Konfigurieren von SSO: Azure Active Directory

Auf dieser Seite wird beschrieben, wie Sie die Azure Active Directory (Azure AD)-Integration auf Hostebene aktivieren, damit alle Benutzer des Orchestrators von SSO profitieren können.

Hinweis:

Integration auf Host- oder Organisationsebene

Wenn Sie die Azure AD-Integration auf Hostebene aktivieren, wie auf dieser Seite beschrieben, können Sie sie nicht auf Organisations-/Mandantenebeneaktivieren.

Die Integration auf Hostebene aktiviert nur SSO. Wenn die Integration jedoch auf Organisations-/Mandantenebene aktiviert ist, ermöglicht die Integration SSO, aber auch die Verzeichnissuche und die automatische Benutzerbereitstellung.

Voraussetzungen

Um die Azure AD-Integration einzurichten, benötigen Sie:

• Administratorberechtigungen sowohl im Orchestrator als auch in Azure AD (wenn Sie keine Administratorberechtigungen in Azure haben, schließen Sie den Einrichtungsprozess gemeinsam mit einem Azure-Administrator ab);
• ein Organisationsadministrator-UiPath-Konto, das die gleiche E-Mail-Adresse wie ein Azure AD-Benutzer verwendet; der Azure AD-Benutzer benötigt keine Administratorberechtigungen in Azure
• UiPath Studio und UiPath Assistant Version 2020.10.3 oder höher
• UiPath Studio und UiPath Assistant, die die empfohlene Bereitstellung verwenden.
• Wenn Sie zuvor lokale Benutzerkonten verwendet haben, stellen Sie sicher, dass alle Ihre Azure AD-Benutzer die E-Mail-Adresse im Feld E-Mail haben; die E-Mail-Adresse nur im Feld „User Principle Name (UPN)“ zu haben, reicht nicht aus. Die Azure AD-Integration verknüpft Verzeichnisbenutzerkonten mit den lokalen Benutzerkonten, wenn die E-Mail-Adressen übereinstimmen. Auf diese Weise können Benutzer Berechtigungen beibehalten, wenn sie sich mit ihrem lokalen Benutzerkonto beim Azure AD-Verzeichnisbenutzerkonto anmelden.

Schritt 1. Erstellen einer Azure AD App-Registrierung

Hinweis: Die folgenden Schritte sind eine umfassende Beschreibung einer Beispielkonfiguration. Ausführliche Anweisungen zum Konfigurieren von AAD als Authentifizierungsanbieter finden Sie in der Microsoft-Dokumentation.

1. Melden Sie sich beim Azure-Portal als Administrator an.
2. Gehen Sie zu App-Registrierungenund klicken Sie auf Neue Registrierung.
3. Füllen Sie auf der Seite Anwendung registrieren das Feld Name mit dem gewünschten Namen Ihrer Orchestrator-Instanz aus.
4. Wählen Sie im Abschnitt Unterstützte Kontotypen die Option Nur Konten in diesem Organisationsverzeichnis aus.
5. Legen Sie den Umleitungs-URI fest, indem Sie Web aus dem Dropdownliste auswählen und die URL Ihrer Automation Suite-Instanz sowie das Suffix /identity/azure-signin-oidc eingeben. Beispiel: https://baseURL/identity/azure-signin-oidc.
6. Aktivieren Sie unten das Kontrollkästchen ID-Token.
7. Klicken Sie auf Registrieren , um die App-Registrierung für Orchestrator zu erstellen.
8. Speichern Sie die Anwendungs-(Client-)ID für die spätere Verwendung.

Schritt 2. Konfigurieren von Azure AD SSO

1. Melden Sie sich als Systemadministrator beim Host-Verwaltungsportal an.
2. Wechseln Sie zu Benutzer und wählen Sie die Registerkarte Sicherheitseinstellungen aus.
3. Klicken Sie im Abschnitt Externe Anbieter unter Azure AD auf Konfigurieren.
   • Aktivieren Sie das Kontrollkästchen Aktiviert.
   • Wenn Sie die Anmeldung beim Orchestrator nur mit AzureAD zulassen möchten, aktivieren Sie das Kontrollkästchen Automatische Anmeldung mit diesem Anbieter erzwingen.
   • Füllen Sie das Feld Anzeigename mit der Bezeichnung aus, die Sie für die AzureAD-Schaltfläche auf der Seite Anmelden verwenden möchten.
   • Fügen Sie im Feld Client-ID den Wert der Anwendungs-ID (Client) ein, die Sie aus dem Azure-Portal erhalten haben.
   • (Optional) Fügen Sie im Feld Clientgeheimnis den Wert ein, den Sie aus dem Azure-Portal erhalten haben.

   • Legen Sie den Parameter Autorität auf einen der folgenden Werte fest:

     • https://login.microsoftonline.com/<tenant>, wobei <tenant> die Mandanten-ID des Azure AD-Mandanten oder eine Domäne ist, die diesem Azure AD-Mandanten zugeordnet ist. Wird nur verwendet, um Benutzer einer bestimmten Organisation anzumelden.
     • https://login.microsoftonline.com/common. Wird verwendet, um Benutzer mit Arbeits- und Schulkonten oder persönlichen Microsoft-Konten anzumelden.
   • (Optional) Fügen Sie in das Feld Abmelde-URL den vom Azure-Portal erhaltenen Wert ein.
4. Klicken Sie auf Speichern, um die Änderungen an den Einstellungen des externen Identitätsanbieters zu speichern.
5. Starten Sie die IIS-Site neu. Dies ist erforderlich, nachdem Änderungen an externen Anbietern vorgenommen wurden.

Lassen Sie Azure AD SSO für die Organisation zu:

Da die Automation Suite jetzt in die Azure AD-Anmeldung integriert ist, können Benutzerkonten mit einer gültigen E-Mail-Adresse von Azure AD die Option Azure AD SSO auf der Anmeldeseite nutzen, um sich bei der Automation Suite anzumelden.

Jeder Administrator muss dies für seine Organisation/seinen Mandanten tun, wenn er die Anmeldung mit Azure AD SSO zulassen möchte.

1. Melden Sie sich beim Orchestrator als Administrator an.
2. Fügen Sie lokale Benutzerkonten für Ihre Benutzer hinzu, jedes mit einer gültigen Azure AD-E-Mail-Adresse.