OKTA-Authentifizierung

Konfigurieren von OKTA auf Erkennung einer neuen Orchestrator-Instanz

Hinweis: Die folgenden Schritte gelten für das Okta SAML-Setup. Bitte beachten Sie, dass das folgende Verfahren eine umfassende Beschreibung einer Beispielkonfiguration ist. Eine ausführliche Anleitung finden Sie in der offiziellen Okta-Dokumentation.

1. Anmelden bei OKTA Die folgende Einstellung wird in der Ansicht Classic UI vorgenommen. Sie können die Einstellung im Dropdownmenü rechts oben in der Ecke des Fensters ändern.
   
   

   

   
   
2. Klicken Sie auf der Registerkarte Anwendung (Application)) auf Neue App erstellen (Create New App). Das Fenster Neue Anwendungsintegration erstellen (Create a New Application Integration) wird angezeigt.
3. Wählen Sie als Anmeldemethode SAML 2.0 und klicken Sie auf Erstellen (Create).
   
   

   

   
   
4. Geben Sie den Namen der Anwendung für die neue Integration im Fenster Allgemeine Einstellungen (General Settings) ein.
5. Füllen Sie im Fenster SAML-Einstellungen (SAML Settings) den Abschnitt Allgemein (General) aus wie im folgenden Beispiel veranschaulicht:
   • Single Sign On-URL: Die URL der Orchestrator-Instanz + /identity/Saml2/Acs. Beispiel: https://myOrchestrator.uipath.com/identity/Saml2/Acs.
   • Aktivieren Sie das Kontrollfeld Dies für Empfänger-URL und Bestimmungs-URL verwenden (Use this for Recipient URL and Destination URL).
   • Empfänger-URI: https://myOrchestrator.uipath.com/identity
   • Name ID-Format (Name ID Format): E-Mail-Adresse (EmailAddress)

   • Anwendungs-Benutzername: E-Mail-Adresse

     Hinweis: Stellen Sie beim Ausfüllen der URL der Orchestrator-Instanz sicher, dass sie keinen nachgestellten Schrägstrich enthält. Geben Sie sie immer als https://myOrchestrator.uipath.com/identity und nicht als https://myOrchestrator.uipath.com/identity/ ein.
6. Klicken Sie auf Erweiterte Einstellungen anzeigen (Show Advanced Settings) und füllen Sie den Abschnitt Attributs-Statements (Attribute Statements) aus:
   • Setzen Sie das Feld Name (Name) auf http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress und wählen Sie Benutzer-E-Mail-Adresse (user.email) aus dem Dropdownmenü Wert (Value) aus.
     
     

     

     
     
7. Laden Sie das OKTA-Zertifikat herunter.
8. Wählen Sie im Abschnitt Rückmeldung (Feedback) die gewünschte Option aus und klicken Sie auf Fertigstellen (Finish).
9. Klicken Sie auf der Registerkarte Anmelden (Sign On) im Abschnitt Einstellungen (Settings) auf Setup-Anweisungen (Setup Instructions). Sie werden auf eine neue Seite umgeleitet. Diese enthält die erforderlichen Anweisungen zur Fertigstellung Ihrer Orchestrator-Konfiguration für SAML 2.0: Identitäts-Provider-Sign-On URL (Identity Provider Sign-On URL), Identitäts-Provider-Aussteller (Identity Provider Issuer), X.509-Zertifikat (X.509 Certificate).
   Hinweis: Sollten die Informationen über den Identitäts-Provider aus irgendeinem Grund verloren gehen, können Sie jederzeit Anmelden (Sign On) > Einstellungen (Settings) > Setup-Anweisungen anzeigen (View Setup Instructions) besuchen.

Zuordnen von Mitarbeitern zur Anwendung

Damit der Benutzer die OKTA-Authentifizierung verwenden kann, muss ihm die neu erstellte Anwendung zugewiesen werden:

1. Anmelden bei OKTA
2. Wählen Sie auf der Seite Anwendung (Application) die neu erstellte Anwendung aus.
3. Wählen Sie auf der Registerkarte Zuordnungen die Option Zuweisen > Zu Mitarbeitern zuweisen und anschließend die Benutzer aus, denen die erforderlichen Berechtigungen erteilt werden sollen.
   
   

   

   
   
4. Die neu hinzugefügten Benutzer werden auf der Registerkarte Mitarbeiter (People) angezeigt.

Konfigurieren von Orchestrator/Identity Server zur Verwendung der OKTA-Authentifizierung

Hinweis:

Ersetzen Sie alle vorkommenden https://myOrchestrator.uipath.com/identity durch die URL Ihrer Orchestrator-Instanz.

Stellen Sie sicher, dass die URL der Orchestrator-Instanz keinen nachgestellten Schrägstrich enthält. Geben Sie sie immer als https://myOrchestrator.uipath.com/identity und nicht als https://myOrchestrator.uipath.com/identity/ ein.

1. Definieren Sie einen Benutzer in Orchestrator und richten Sie auf der Seite Benutzer (Users) eine gültige E-Mail-Adresse ein.
2. Importieren Sie das Signaturzertifikat.
   • Importieren Sie bei Windows-Bereitstellungen das vom Identitätsanbieter bereitgestellte Signaturzertifikat über die Microsoft Management Console in die Windows-Zertifikatspeicher (vertrauenswürdige Stammzertifizierungsstellen und persönliche Speicher).
   • Laden Sie für Azure-Bereitstellungen das vom Identitätsanbieter bereitgestellte Zertifikat im Azure-Portal hoch. (TLS/SSL-Einstellungen > Öffentliche Zertifikate (.cer) > Öffentliches Schlüsselzertifikathochladen ). Lesen Sie hier , wie Sie Ihre Web-App-Konfiguration anpassen, wenn Sie die OKTA-Authentifizierung nicht verwenden können und die folgende Fehlermeldung angezeigt wird: An error occurred while loading the external identity provider. Please check the external identity provider configuration.
3. Stellen Sie sicher, dass die folgende Konfiguration in den SAML2-Einstellungen vom Identity Server auf der Seite Externe Anbieter vorhanden ist (lesen Sie hier, wie Sie auf den Identity Server zugreifen):
   • Aktivieren Sie das Kontrollkästchen Aktiviert.
   • Legen Sie den Parameter Entitäts-ID des Dienstanbieters auf https://orchestratorURL/identity.
   • Legen Sie den Identity Provider Entity ID-Parameter auf den Wert fest, den Sie durch Konfigurieren der OKTA-Authentifizierung erhalten haben (siehe Schritt 9).
   • Aktivieren Sie das Kontrollkästchen Unangeforderte Authentifizierungsantwort zulassen.
   • Legen Sie den Parameter Rückgabe-URL auf https://orchestratorURL/identity/externalidentity/saml2redirectcallback fest. Stellen Sie sicher, dass Sie /identity/externalidentity/saml2redirectcallback am Ende der URL für den Rückgabe-URL-Parameter hinzufügen. Dieser Pfad ist spezifisch für OKTA, da er es Ihnen ermöglicht, eine Orchestrator-Umgebung direkt von OKTA aus zu erreichen.
   • Legen Sie den Parameter des SAML-Bindungstyps auf HTTP redirect.
4. Im Abschnitt Signaturzertifikat :
   • Legen Sie den Parameter Store name auf My.
   • Legen Sie den Parameter Speicherort für Windows-Bereitstellungen auf LocalMachine oder für Azure Web App-Bereitstellungen auf CurrentUser fest.

   • Legen Sie den Fingerabdruck-Parameter auf den Fingerabdruck-Wert fest, der im Windows-Zertifikatspeicher angegeben ist. Details finden Sie hier.

     
     

     

     
     
     Hinweis:

     Stellen Sie sicher, dass das Zertifikat in den vertrauenswürdigen Stammzertifizierungsstellen und persönlichen Zertifikatspeichern installiert ist.

     Erfahren Sie, wie Sie den Orchestrator/Identity Server für die Verwendung eines privaten Schlüsselzertifikats konfigurieren.

5. Optional. Erforderlich zum Verschlüsseln von SAML-Assertionen, wenn Sie Identity Server so konfiguriert haben, dass SSL nicht verwendet wird (z. B. SSL-Offloading in Umgebungen mit Lastenausgleich). Der externe Identitätsanbieter verschlüsselt SAML-Assertionen mithilfe des öffentlichen Schlüssels des Dienstzertifikats, und der Identity Server entschlüsselt sie mit dem privaten Schlüssel des Zertifikats.
   Im Abschnitt Schritte für Dienstzertifikate:

   • Legen Sie Store-Name im Dropdown-Menü auf My fest.
   • Legen Sie den Speicherort auf LocalMachine.

   • Legen Sie den Fingerabdruck-Parameter auf den Fingerabdruck-Wert fest, der im Windows-Zertifikatspeicher angegeben ist. Details finden Sie hier.

     
     

     

     
     
     Wichtig:

     Das Dienstzertifikat muss:

     • einen öffentlichen Schlüssel mit 2048 Bit haben
     • über einen privaten Schlüssel verfügen, auf den der AppPool-Benutzer zugreifen kann,
     • in seinem Gültigkeitszeitraum sein (nicht abgelaufen).
6. Klicken Sie auf Speichern, um die Änderungen an den Einstellungen des externen Identitätsanbieters zu speichern.
7. Führen Sie eventuelle Konfigurationsänderungen im Identity Server durch und starten Sie anschließend den IIS-Server neu.