Konfigurieren der Active Directory-Integration

Hinweis:

• Nach der Aktivierung dieser Integration werden lokale Benutzerkonten mit einem Active Directory-Benutzer verknüpft. Dabei wird das Attribut Benutzername auf das Format user@domain aktualisiert. Somit kann sich der Benutzer nicht mehr seinem ursprünglichen Benutzernamen anmelden und muss stattdessen den neuen Benutzernamen im Format user@domain oder die E-Mail-Adresse verwenden, die mit dem Active Directory-Konto verknüpft ist.

• Wenn Sie Ihre Orchestrator auf 2020.4+ aktualisieren, dann migriert der Identity Server Ihre vorherigen Einstellungen. Wenn Sie zuvor die Windows-Authentifizierung aktiviert haben, während Sie die automatische Anmeldung für Windows-AD-Benutzer eingerichtet haben, können die Benutzer nach dem Upgrade nicht auf die Seite Externe Anbieter zugreifen, wenn sie sich zuvor bei Identity Server angemeldet haben. Die Benutzer werden direkt nach Eingabe ihrer Windows-Anmeldeinformationen bei den Mandanten angemeldet.

  Ohne Zugriff auf die Anmeldeseite kann sich der Host-Administrator nicht beim Hostmandanten anmelden, und er kann nicht auf Identity Management Portal zugreifen.

  Wenn dies der Fall ist, öffnen Sie einen Browser im Inkognito-Modus neu, und geben Sie https://<OrchestratorURL>/identity/configuration ein.

Wichtig:

Voraussetzungen

1. Für die Integration in Windows Active Directory (AD) und die Verwendung der Windows-Authentifizierung muss der LDAP-Port 389 auf einem oder mehreren Domänencontrollern in Ihrer Domäne zugänglich sein.

2. Arbeiten Sie mit Ihren IT-Administratoren zusammen, um sicherzustellen, dass der Orchestrator-Cluster auf Ihr Active Directory (AD) zugreifen kann.

3. Wenn Sie LDAP über SSL (LDAPS) verwenden möchten, müssen Sie Zertifikate für die Konfiguration von sicherem LDAP auf jedem Domänencontroller erwerben und installieren. Weitere Informationen und Anweisungen finden Sie im Artikel LDAP über das SSL-Zertifikat (LDAPS).

Über Integrationsoptionen

Wenn sich Benutzer mit ihren Active Directory-Anmeldeinformationen beim Orchestrator anmelden, verwendet der Orchestrator das Kerberos -Protokoll, um Benutzer zu authentifizieren.

Schritt 1. Konfigurieren Sie den Orchestrator-Cluster

Anforderungen für Cluster mit mehreren Knoten

• Die Knoten im Cluster müssen unter einem Lastausgleich bereitgestellt werden. Verwenden Sie den Hostnamen des Lastausgleichs, wenn der Hostname in diesen Anweisungen erforderlich ist.
• Der Orchestrator-Anwendungspool muss so konfiguriert werden, dass er unter einer benutzerdefinierten Identität ausgeführt wird. Die benutzerdefinierte Identität sollte ein Domänenkonto sein.

Festlegen einer benutzerdefinierten Identität

Dies ist nur erforderlich, wenn Sie einen Cluster mit mehreren Knoten oder einen Einzelknotencluster mit einem Lastausgleich ausführen.

Für Einzelknotencluster ohne Lastausgleich ist dies optional.

1. Öffnen Sie den IIS (Internet Information Services Manager).
2. Klicken Sie in IIS links im Panel Verbindungen auf Anwendungspools.
3. Wechseln Sie zu Identität > Erweiterte Einstellungen > Prozessmodell > Identität.
4. Wählen Sie im Dialogfeld Anwendungspoolidentität die Option Benutzerdefiniertes Konto aus und geben Sie ein für die Domäne qualifiziertes Benutzerkonto an.
5. Klicken Sie auf OK, um Ihre Änderungen zu übernehmen.
6. Schließen Sie IIS.
   
   

   

   
   

SPN-Einrichtung

Wenn der Orchestrator-Anwendungspool so konfiguriert ist, dass er unter einer benutzerdefinierten Identität ausgeführt wird, muss für dieses Konto ein SPN für den Hostnamen registriert sein.

Dieser Schritt ist erforderlich, wenn Sie Folgendes ausführen:

• einen Cluster mit mehreren Knoten, da Sie eine benutzerdefinierte Identität definieren müssen oder
• ein Einzelknotencluster mit einem Lastausgleich, der wie ein Cluster mit mehreren Knoten behandelt wird.

Dieser Schritt ist nicht erforderlich, wenn:

• Sie einen Einzelknotencluster ohne Lastausgleich ausführen und
• Sie sich für eine benutzerdefinierte Identität entschieden haben, aber den Clustercomputernamen als benutzerdefinierte Identität verwendet haben

Auf einer Maschine, die mit einer Domäne verbunden ist und Schreibzugriff in der Ziel-Orchestrator-Organisation und dem Mandanten hat:

1. Öffnen Sie die Eingabeaufforderung.
2. Ändern Sie das Verzeichnis auf C:\Windows\System32 und verwenden Sie den Befehl cd C:\Windows\System32.
3. Führen Sie den Befehl setspn.exe -a HTTP/<hostname> <domain account> aus. Dabei ist:
   • HTTP/ – Die URL, unter der auf Ihre Orchestrator-Instanz zugegriffen werden kann.
   • <domain account> – Der Name oder Domäne\Name der benutzerdefinierten Identität, unter der der Orchestrator-Anwendungspool ausgeführt wird.

Schritt 2. Konfigurieren Sie IIS, um die Windows-Authentifizierung zu aktivieren

Hinweis: Wenn Sie eine Installation mit mehreren Knoten haben, müssen Sie die IIS-Konfiguration auf jedem Ihrer Clusterknoten durchführen.

1. Öffnen Sie den IIS (Internet Information Services Manager).
2. Wählen Sie im Abschnitt Verbindungen unter dem Knoten Sites die Option UiPath® Orchestrator aus.
3. Doppelklicken Sie im Hauptpanel auf Authentifizierung, um die Details anzuzeigen.
4. Wählen Sie Windows-Authentifizierung und dann im Panel Aktionen auf der rechten Seite Erweiterte Einstellungen aus.
   Hinweis: Falls nicht bereits aktiviert, aktivieren Sie die Windows-Authentifizierung und fahren Sie mit diesen Anweisungen fort.

   
5. Klicken Sie links auf die UiPath Orchestrator-Site und doppelklicken Sie dann im Hauptbereich auf Konfigurations-Editor.
   
   

   

   
   
6. Wählen Sie im Konfigurations-Editor oben in der Liste Abschnitt die Option system.webServer/security/authentication/windowsAuthentication aus.
7. Legen Sie für useAppPoolCredentials den Wert auf True fest:

Schritt 3. Konfigurieren des Orchestrators

1. Melden Sie sich als Systemadministrator beim Verwaltungsportal an.
2. Gehen Sie zu den Sicherheitseinstellungen.
3. Klicken Sie im Abschnitt Externe Anbieter unter Active Directory auf Konfigurieren.
   
   

   

   
   

   Der Bereich Konfigurieren des Active Directory wird rechts neben dem Fenster geöffnet.

4. Aktivieren Sie das Kontrollkästchen Aktiviert.
5. Wenn Sie möchten, dass sich Benutzer nur mit ihren Active Directory-Anmeldeinformationen anmelden können, aktivieren Sie das Kontrollkästchen Automatische Anmeldung mit diesem Anbieter erzwingen.

   Wenn diese Option aktiviert ist, können sich Benutzer nicht mehr mit ihrem Orchestrator-Benutzernamen und -Kennwort anmelden. Sie müssen ihre Active Directory-Anmeldeinformationen mit einem Benutzernamen verwenden, der für die Domäne qualifiziert ist.

6. Optional können Sie den Wert im Feld Anzeigename bearbeiten, um die Beschriftung der Schaltfläche für die Windows-Authentifizierung anzupassen, die auf der Anmeldeseite angezeigt wird.
7. Starten Sie die IIS-Site neu. Dies ist immer dann erforderlich, wenn Sie Änderungen an externen Anbietern vornehmen.

Schritt 4. Überprüfen Sie das Authentifizierungsprotokoll

Da die Integration nun konfiguriert ist, empfehlen wir, eine Testanmeldung mit AD-Anmeldeinformationen durchzuführen und zu überprüfen, ob das Kerberos-Protokoll für die Anmeldung verwendet wird.

1. Melden Sie sich beim Orchestrator mit Ihren Active Directory-Anmeldeinformationen an, um ein Anmeldeereignis zu erstellen.

   Notieren Sie sich die Zeit, zu der Sie sich angemeldet haben.

2. Öffnen Sie Event Viewer in Windows.
3. Gehen Sie zu Windows-Protokolle > Sicherheit.
4. Suchen Sie in der Liste der Sicherheitsereignisse nach dem Eintrag mit den folgenden Besonderheiten:
   • Ereignis-ID: 4624
   • Datum und Uhrzeit: Das heutige Datum und die Uhrzeit, zu der Sie sich mit Ihren Active Directory-Anmeldeinformationen angemeldet haben.
5. Doppelklicken Sie auf die Zeile, um das Dialogfeld mit den Ereigniseigenschaften zu öffnen.
6. Scrollen Sie auf der Registerkarte Allgemein zum Abschnitt „Detaillierte Authentifizierungsinformationen“ und überprüfen Sie Folgendes:
   
   

   

   
   

   Wenn die Kerberos-Authentifizierung verwendet wurde:

   • Der Wert des Authentifizierungspakets muss Negotiate sein
   • Der Wert des Paketnamens muss leer sein (-), da dies nur für NTLM gilt. Wenn dieser Wert NTLM V2 ist, wurde das Standardauthentifizierungsprotokoll verwendet und nicht Kerberos.

Hinweis: Im Inkognito-Modus von Google Chrome fordert der Browser zur Eingabe von Anmeldeinformationen auf und führt eine explizite Authentifizierung mit Anmeldeinformationen durch. Der Ablauf funktioniert und es wird Kerberos verwendet.