Konfigurieren der Active Directory-Integration

Sie können SSO mithilfe der Windows-Authentifizierung aktivieren und die Verzeichnissuchfunktion mit der Active Directory-Integration aktivieren. Mit der Verzeichnissuche können Sie im Orchestrator nach Verzeichniskonten und -gruppen suchen und mit ihnen wie mit lokalen Konten arbeiten.

Hinweis:

Nach der Aktivierung dieser Integration werden lokale Benutzerkonten mit einem Active Directory-Benutzer verknüpft. Dabei wird das Attribut Benutzername auf das Format user@domain aktualisiert. Somit kann sich der Benutzer nicht mehr seinem ursprünglichen Benutzernamen anmelden und muss stattdessen den neuen Benutzernamen im Format user@domain oder die E-Mail-Adresse verwenden, die mit dem Active Directory-Konto verknüpft ist.

Wichtig:

Voraussetzungen

• Für die Integration in Windows Active Directory (AD) und die Verwendung der Windows-Authentifizierung muss der LDAP-Port 389 auf einem oder mehreren Domänencontrollern in Ihrer Domäne zugänglich sein.
• Arbeiten Sie mit Ihren IT-Administratoren zusammen, um sicherzustellen, dass der Orchestrator-Cluster auf Ihr Active Directory (AD) zugreifen kann.

• Wenn Sie LDAP über SSL (LDAPS) verwenden möchten, müssen Sie Zertifikate für die Konfiguration von sicherem LDAP auf jedem Domänencontroller beschaffen und installieren. Weitere Informationen und Anweisungen finden Sie im Artikel LDAP über das SSL-Zertifikat (LDAPS) auf der Microsoft-Website.

Über Integrationsoptionen

Wenn sich Benutzer mit ihren Active Directory-Anmeldeinformationen beim Orchestrator anmelden, verwendet der Orchestrator das Kerberos -Protokoll, um Benutzer zu authentifizieren.

Schritt 1. Konfigurieren des Orchestrator-Clusters (nur Kerberos)

Wenn Sie das Kerberos-Protokoll nicht für die Authentifizierung verwenden möchten, fahren Sie mit dem nächsten Schritt fort.

Anforderungen für Cluster mit mehreren Knoten

• Die Knoten im Cluster müssen unter einem Lastausgleich bereitgestellt werden. Verwenden Sie den Hostnamen des Lastausgleichs, wenn der Hostname in diesen Anweisungen erforderlich ist.
• Der Orchestrator-Anwendungspool muss so konfiguriert werden, dass er unter einer benutzerdefinierten Identität ausgeführt wird. Die benutzerdefinierte Identität sollte ein Domänenkonto sein.

Festlegen einer benutzerdefinierten Identität

Dies ist nur erforderlich, wenn Sie einen Cluster mit mehreren Knoten oder einen Einzelknotencluster mit einem Lastausgleich ausführen.

Für Einzelknotencluster ohne Lastausgleich ist dies optional.

1. Öffnen Sie den IIS (Internet Information Services Manager).
2. Klicken Sie in IIS links im Panel Verbindungen auf Anwendungspools.
3. Wechseln Sie zu Identität > Erweiterte Einstellungen > Prozessmodell > Identität.
4. Wählen Sie im Dialogfeld Anwendungspoolidentität die Option Benutzerdefiniertes Konto aus und geben Sie ein für die Domäne qualifiziertes Benutzerkonto an.
5. Klicken Sie auf OK, um Ihre Änderungen zu übernehmen.
6. Schließen Sie IIS.
   
   

   

   
   

SPN-Einrichtung

Wenn der Orchestrator-Anwendungspool so konfiguriert ist, dass er unter einer benutzerdefinierten Identität ausgeführt wird, muss für dieses Konto ein SPN für den Hostnamen registriert sein.

Dieser Schritt ist erforderlich, wenn Sie Folgendes ausführen:

• einen Cluster mit mehreren Knoten, da Sie eine benutzerdefinierte Identität definieren müssen oder
• ein Einzelknotencluster mit einem Lastausgleich, der wie ein Cluster mit mehreren Knoten behandelt wird.

Dieser Schritt ist nicht erforderlich, wenn:

• Sie einen Einzelknotencluster ohne Lastausgleich ausführen und
• Sie sich für eine benutzerdefinierte Identität entschieden haben, aber den Clustercomputernamen als benutzerdefinierte Identität verwendet haben

Auf einer Maschine, die mit einer Domäne verbunden ist und Schreibzugriff in der Ziel-Orchestrator-Organisation und dem Mandanten hat:

1. Öffnen Sie die Eingabeaufforderung.
2. Ändern Sie das Verzeichnis auf C:\Windows\System32 und verwenden Sie den Befehl cd C:\Windows\System32.
3. Führen Sie den Befehl setspn.exe -a HTTP/<hostname> <domain account> aus. Dabei ist:
   • HTTP/ – Die URL, unter der auf Ihre Orchestrator-Instanz zugegriffen werden kann.
   • <domain account> – Der Name oder Domäne\Name der benutzerdefinierten Identität, unter der der Orchestrator-Anwendungspool ausgeführt wird.

Schritt 2. Konfigurieren Sie IIS, um die Windows-Authentifizierung zu aktivieren

Hinweis: Wenn Sie eine Installation mit mehreren Knoten haben, müssen Sie die IIS-Konfiguration auf jedem Ihrer Clusterknoten durchführen.

1. Öffnen Sie den IIS (Internet Information Services Manager).
2. Wählen Sie im Abschnitt Verbindungen unter dem Knoten Sites die Option UiPath Orchestrator aus.
3. Doppelklicken Sie im Hauptpanel auf Authentifizierung, um die Details anzuzeigen.
4. Wählen Sie Windows-Authentifizierung und dann im Panel Aktionen auf der rechten Seite Erweiterte Einstellungen aus.
   Hinweis: Falls nicht bereits aktiviert, aktivieren Sie die Windows-Authentifizierung und fahren Sie mit diesen Anweisungen fort.

   
5. Klicken Sie links auf die UiPath Orchestrator-Site und doppelklicken Sie dann im Hauptbereich auf Konfigurations-Editor.
   
   

   

   
   
6. Wählen Sie im Konfigurations-Editor oben in der Liste Abschnitt die Option system.webServer/security/authentication/windowsAuthentication aus.
7. Legen Sie für useAppPoolCredentials den Wert auf True fest:

Schritt 3. Konfigurieren des Orchestrators

1. Melden Sie sich als Systemadministrator beim Host-Verwaltungsportal an.
2. Gehen Sie zu Benutzer und wählen Sie die Registerkarte Authentifizierungseinstellungen aus.
3. Klicken Sie im Abschnitt Externe Anbieter unter Active Directory auf Konfigurieren.
   
   

   

   
   

   Der Bereich Konfigurieren des Active Directory wird rechts neben dem Fenster geöffnet.

4. Aktivieren Sie das Kontrollkästchen Aktiviert.
5. Wenn Sie möchten, dass sich Benutzer nur mit ihren Active Directory-Anmeldeinformationen anmelden können, aktivieren Sie das Kontrollkästchen Automatische Anmeldung mit diesem Anbieter erzwingen.

   Wenn diese Option aktiviert ist, können sich Benutzer nicht mehr mit ihrem Orchestrator-Benutzernamen und -Kennwort anmelden. Sie müssen ihre Active Directory-Anmeldeinformationen mit einem Benutzernamen verwenden, der für die Domäne qualifiziert ist.

6. Wenn Sie das Kerberos-Protokoll für die Authentifizierung verwenden möchten, aktivieren Sie das Kontrollkästchen Kerberos -Authentifizierung verwenden.

   Wir empfehlen die Verwendung von Kerberos.

   • Wenn Sie diese Option auswählen, werden Benutzer automatisch beim Orchestrator angemeldet, ohne ihre Anmeldeinformationen eingeben zu müssen.
   • Wenn Sie diese Option nicht auswählen, wird das Standard-NTLM-Protokoll verwendet und Benutzer müssen ihre Active Directory-Anmeldeinformationen eingeben, um sich anzumelden.
7. Optional können Sie den Wert im Feld Anzeigename bearbeiten, um die Beschriftung der Schaltfläche für die Windows-Authentifizierung anzupassen, die auf der Anmeldeseite angezeigt wird.
8. Starten Sie die IIS-Site neu. Dies ist immer dann erforderlich, wenn Sie Änderungen an externen Anbietern vornehmen.

Schritt 4. Überprüfen Sie das Authentifizierungsprotokoll

Nachdem die Integration jetzt konfiguriert ist, empfehlen wir, eine Testanmeldung mit AD-Anmeldeinformationen durchzuführen und zu überprüfen, ob das von Ihnen gewählte Authentifizierungsprotokoll (NTLM oder Kerberos) für die Anmeldung verwendet wird.

1. Melden Sie sich beim Orchestrator mit Ihren Active Directory-Anmeldeinformationen an, um ein Anmeldeereignis zu erstellen.

   Notieren Sie sich die Zeit, zu der Sie sich angemeldet haben.

2. Öffnen Sie Event Viewer in Windows.
3. Gehen Sie zu Windows-Protokolle > Sicherheit.
4. Suchen Sie in der Liste der Sicherheitsereignisse nach dem Eintrag mit den folgenden Besonderheiten:
   • Ereignis-ID: 4624
   • Datum und Uhrzeit: Das heutige Datum und die Uhrzeit, zu der Sie sich mit Ihren Active Directory-Anmeldeinformationen angemeldet haben.
5. Doppelklicken Sie auf die Zeile, um das Dialogfeld mit den Ereigniseigenschaften zu öffnen.
6. Scrollen Sie auf der Registerkarte Allgemein zum Abschnitt „Detaillierte Authentifizierungsinformationen“ und überprüfen Sie Folgendes:
   
   

   

   
   

   Wenn die Kerberos-Authentifizierung verwendet wurde:

   • Der Wert des Authentifizierungspakets muss Negotiate sein
   • Der Wert des Paketnamens muss leer sein (-), da dies nur für NTLM gilt. Wenn dieser Wert NTLM V2 ist, wurde das Standardauthentifizierungsprotokoll verwendet und nicht Kerberos.

Im Inkognito-Modus von Google Chrome fordert der Browser zur Eingabe von Anmeldeinformationen auf und führt eine explizite Authentifizierung mit Anmeldeinformationen durch. Der Ablauf funktioniert und es wird Kerberos verwendet.