Verwalten von Zugriffs- und Automatisierungsfunktionen

On the Manage Access page you can define and assign roles as well as configure the automation capabilities of your accounts. In Orchestrator, you use roles to control the level of access a user should have. On this page we go over the notions you need to understand to effectively plan and implement your access control strategy.

Die Zugriffsebene und die Aktionen, die Ihre Benutzer ausführen können, werden mithilfe von zwei Elementen gesteuert:

• accounts, which establish the identity of a user and are used to log in to your UiPath® applications.
• Rollen, die Konten zugewiesen werden, um ihnen bestimmte Berechtigungen innerhalb des UiPath-Ökosystems zu erteilen.

Accounts are created and managed by organization administrators, as described in Accounts and groups. Accounts must already exist to be able to assign roles to them.

Auf dieser Seite und den folgenden Seiten wird Folgendes beschrieben:

• Rollen verwalten
• wie Sie Automatisierungsfunktionen verwalten, die als Teil der Rolleneinrichtung konfiguriert werden.

Über Konten

Ein Konto ist eine Entität der UiPath Platform mit zugriffsabhängigen Fähigkeiten. Die Ansicht und Steuerung des Orchestrators hängt von den zugewiesenen Zugriffsrechten ab.

Konten können:

• lokal erstellt und verwaltet werden (lokale Konten)
• created and managed in an external directory (directory accounts and directory groups). See the section AD Integration below for a better understanding of directory integrations.

Sie fügen Konten aus dem Verwaltungsportal auf Organisationsebene hinzu und die Konten sind nur innerhalb der jeweiligen Organisation verfügbar.

Sobald ein Konto erfolgreich hinzugefügt wurde, gibt es zwei Möglichkeiten, ihm Zugriffsrechte für den Orchestrator zu gewähren: Durch Hinzufügen des Kontos zu einer Gruppe, sodass es die Rollen der Gruppe übernimmt, oder durch Zuweisen von Rollen zu jedem Konto auf Dienstebene. Sie können beide Methoden verwenden, um den Zugriff eines Kontos in Ihrer Organisation detailliert zu steuern.

AD-Integration

Ein Active Directory (AD), auf das im Orchestrator verwiesen wird, macht seine Mitglieder zu potenziellen Orchestrator-Benutzern. Die Zugriffsebene für ein Verzeichniskonto wird im Orchestrator entweder auf Gruppenebene (Verzeichnisgruppe) oder auf Benutzerebene (Verzeichnisbenutzer) konfiguriert.

Sie können integrieren mit:

• ein lokales Active Directory
• Azure Active Directory

Voraussetzungen

• Der Parameter WindowsAuth.Domain wird mit einer gültigen Domäne aufgefüllt werden. Beim Hinzufügen von Benutzern/Gruppen sind alle Domänen und Unterdomänen gemäß WindowsAuth.Domain aus Strukturen verfügbar, die eine bidirektionale Vertrauensstellung mit der hier angegebenen Domäne haben.
• Die Maschine, auf der der Orchestrator installiert ist, ist mit der im Parameter WindowsAuth.Domain festgelegten Domäne verbunden. Um zu überprüfen, ob das Gerät mit der Domäne verbunden ist, führen Sie dsregcmd /status über die Eingabeaufforderung aus, und gehen Sie zum Abschnitt Gerätestatus.
• Die Identität, unter welcher der Orchestrator-Anwendungspool ausgeführt wird, muss Teil der Windows Authorization Access-Gruppe (WAA) sein.

Verhalten

• Durch Hinzufügen einer Verzeichnisgruppe wird eine Benutzergruppenentität im Orchestrator erstellt, für die Sie Zugriffsrechte beliebig konfigurieren. Dieser Eintrag im Orchestrator dient als Referenz für die Gruppe, wie sie in AD zu finden ist.

• Wenn Sie sich anmelden, überprüft der Orchestrator Ihre Gruppenmitgliedschaft. Bei Bestätigung wird Ihr Benutzerkonto automatisch bereitgestellt und dann den von der Gruppe übernommenen Zugriffsrechten zugeordnet. Übernommene Rechte werden nur für die Dauer der Benutzersitzung beibehalten.

• Die automatische Bereitstellung erfolgt bei der ersten Anmeldung. Ein automatisch bereitgestelltes Benutzerkonto wird beim Abmelden nicht gelöscht, da Sie den Eintrag möglicherweise für Prüfungszwecke benötigen.

• Die Gruppenmitgliedschaft für ein Konto wird vom Orchestrator bei der Anmeldung oder einmal pro Stunde während aktiver Sitzungen überprüft. Wenn sich die Gruppenmitgliedschaft eines Kontos ändert, gelten die Änderungen für das Konto, wenn es sich das nächste Mal anmeldet oder, wenn es gerade angemeldet ist, innerhalb einer Stunde.

  This one hour interval for checking group membership can be changed by setting the value of IdentityServer.GroupMembershipCacheExpireHours.

• Gruppen im AD werden mit dem Orchestrator synchronisiert, aber die im Orchestrator vorgenommenen Änderungen haben keine Auswirkungen auf die Benutzerkonfiguration im AD.

• AD-Benutzer, deren geerbte Zugriffsrechte (aus Gruppenmitgliedschaften) nicht ermittelt werden können, verhalten sich wie lokale Benutzer, d. h. sie verfügen ausschließlich über Rollen, die dem Benutzerkonto zugewiesen sind.

• Es besteht nur eine Möglichkeit, Zugriffsrechte zu konfigurieren, die zwischen den Sitzungen bestehen bleiben, unabhängig davon, wie sich die Gruppenmitgliedschaft ändert: Sie müssen die Rolle direkt dem Benutzerkonto in Orchestrator zuweisen, anstatt Gruppen für die Rollenzuweisung zu verwenden.

Bekannte Probleme (Known Issues)

• Aufgrund verschiedener Netzwerk- oder Konfigurationsprobleme kann es sein, dass nicht alle Domänen zugänglich sind, die in der Dropdownliste Domänenname angezeigt werden.
• Änderungen an Benutzer- oder Gruppennamen im AD werden nicht an den Orchestrator weitergegeben.
• Es kann bis zu einer Stunde dauern, die Domänenliste mit neu hinzugefügten Domänen mit bidirektionaler Vertrauensstellung zu aktualisieren.
• Die Anforderungen GetOrganizationUnits(Id) und GetRoles(Id) geben nur Ordner und Rollen zurück, die explizit für einen automatisch bereitgestellten Benutzer festgelegt wurden. Die von der Gruppenkonfiguration übernommen können über den Endpunkt /api/DirectoryService/GetDirectoryPermissions?userId={userId} abgerufen werden.
• Das gleiche gilt für die Benutzeroberfläche, bei der nur explizit festgelegte Ordner und Rollen auf der Seite Benutzer angezeigt werden, wohingegen übernommene einen neuen dedizierten Speicherort haben, das Fenster Benutzerberechtigungen (Benutzer > Weitere Aktionen > Berechtigungen überprüfen).
• Benutzer übernehmen keine Warnungsabonnementeinstellungen von der übergeordneten Gruppe und sie erhalten standardmäßig keine Warnungen. Um Zugriff auf Warnungen zu erhalten, müssen Sie dem jeweiligen Benutzer die entsprechenden Berechtigungen explizit erteilen.
• Wenn eine Verzeichnisgruppe entfernt wird, wird die Lizenz eines zugeordneten Verzeichnisbenutzers nicht entfernt, auch wenn die Zuweisung des Benutzers zu einem Ordner durch das Entfernen der Gruppe aufgehoben wird. Die einzige Möglichkeit, die Lizenz freizugeben, besteht darin, den Roboter-Tray zu schließen.
• In bestimmten Browsern erfordert die Anmeldung beim Orchestrator mit Ihren AD-Anmeldeinformationen nur Ihren Benutzernamen. Es ist nicht erforderlich, auch die Domäne anzugeben. Wenn also die Syntax Domäne\Benutzername nicht funktioniert, versuchen Sie es damit, nur den Benutzernamen einzugeben.

Prüfungsüberlegungen

• Benutzermitgliedschaft: Benutzer [Benutzername] wurde den folgenden Verzeichnisgruppen [Verzeichnisgruppen, von denen der Benutzer in der aktuellen Sitzung Zugriffsrechte erbt] zugewiesen.
• Automatische Bereitstellung: Benutzer [Benutzername] wurde automatisch von den folgenden Verzeichnisgruppen [Verzeichnisgruppen, von denen der Benutzer in der aktuellen Sitzung Zugriffsrechte erbt] bereitgestellt.

Benutzertypen

„Gruppieren“ (Group)

Mit Gruppen können Sie mehrere Benutzer gleichzeitig verwalten, indem Sie ihnen über die Gruppe die gleichen Rollen und Konfigurationen zuweisen.

The membership of a user is set from Admin > Accounts & Groups.

Benutzergruppen ermöglichen den automatischen Zugriff mit den Gruppenberechtigungen basierend auf dem Hinzufügen oder Entfernen von Benutzern aus der Gruppe, ohne dass Benutzerberechtigungen einzeln verwaltet werden müssen.

There are 4 default local groups: Administrators, Automation Users, Automation Developers, and Everyone. All groups come with a default set of permissions in each new service you create. The out-of-the-box roles can be customized later on for each Orchestrator service.

Wenn Sie mehr als die vier von UiPath bereitgestellten Standardgruppen benötigen, können Sie benutzerdefinierte lokale Gruppen erstellen. Im Gegensatz zu lokalen Standardgruppen müssen benutzerdefinierte Gruppen manuell im Orchestrator hinzugefügt werden, um die korrekte Zuordnung zwischen der Gruppenmitgliedschaft eines Benutzers und der entsprechenden Rolle im Orchestrator sicherzustellen.

Die Rollen einer Gruppe werden an alle Benutzer weitergegeben, die zu dieser Gruppe gehören – sowohl automatisch bereitgestellte als auch manuell hinzugefügte. Wir bezeichnen sie als „geerbte Rollen“ im Gegensatz zu „direkt zugewiesenen Rollen“, die nur pro Konto festgelegt werden können.

Hinweis:

• Ein Benutzer, der mehreren Gruppen angehört, erbt die Zugriffsrechte von allen.
• Ein Benutzer, der mehreren Gruppen angehört und dem auch direkt Rollen zugewiesen wurden, besitzt die Summe aller von Gruppen geerbten und direkt zugewiesenen Rollen.
• Sie benötigen kein explizites Benutzerkonto, um sich beim Orchestrator anzumelden, wenn Sie zu einer Gruppe gehören, die dem Orchestrator hinzugefügt wurde.
• Geerbte Rollen sind von der zugeordneten Benutzergruppe abhängig. Wenn die Gruppe aus dem Dienst gelöscht wird, werden die geerbten Rollen dieses Kontos ebenfalls gelöscht.
• Direkt zugewiesene Rollen sind nicht von Gruppen beeinflusst, in denen sich das Konto befindet. Sie bleiben unabhängig vom Status der Gruppe bestehen.

Beispiel

Angenommen, ich habe John Smith zu den Benutzergruppen „ Automation Users “ und „ Administratoren “ in meiner Organisation hinzugefügt.

• Die Automation User-Gruppe ist im Finance Orchestrator-Dienst vorhanden.
• Die Administrators-Gruppe ist im HR Orchestrator-Dienst vorhanden.
• Johns Konto wurden in beiden Diensten auch direkt Rollen zugewiesen.

John hat die Summe von geerbten und expliziten Rechten für jeden Dienst:

Dienst/Rollen	Benutzergruppen	Geerbte Rollen	Explizite Rollen	Insgesamt
Finance tenant	Automation User
Rollen auf Mandantenebene	Allow to be Automation User	Allow to be Automation User	Allow to be Folder Administrator	Allow to be Automation User Allow to be Folder Administrator
Rollen auf Ordnerebene	Automation User on Folder A Automation User on Folder B	Automation User on Folder A Automation User on Folder B	Folder Administrator on Folder A	Automation User on Folder A Automation User on Folder B Folder Administrator on Folder A
HR tenant	Administratoren
Rollen auf Mandantenebene	Allow to be Folder Administrator	Allow to be Folder Administrator		Allow to be Folder Administrator
Rollen auf Ordnerebene	Folder Administrator on Folder D Folder Administrator on Folder E	Folder Administrator on Folder D Folder Administrator on Folder E	Folder Administrator on Folder F	Folder Administrator on Folder D Folder Administrator on Folder E Folder Administrator on Folder F

Benutzer

Nach dem Mechanismus, mit dem Benutzerkonten im Orchestrator hinzugefügt werden, können sie in zwei Kategorien eingeteilt werden:

Manuell hinzugefügte Benutzer

Benutzer, die manuell im Orchestrator hinzugefügt wurden und denen Berechtigungen explizit auf Mandanten- oder Ordnerebene erteilt wurden. Manuell hinzugefügte Benutzerkonten erben Gruppenzugriffsrechte, wenn sie zu einer Gruppe gehören, die ebenfalls zu diesem Orchestrator-Dienst hinzugefügt wurde.

Automatisch bereitgestellte Benutzer

Benutzer, die einer lokalen Gruppe hinzugefügt wurden und sich beim Orchestrator anmelden. Sie können auf der Grundlage der Berechtigungen, die sie von der Gruppe geerbt haben, auf den Orchestrator zugreifen. Sobald sie sich zum ersten Mal beim Orchestrator anmelden, werden sie automatisch bereitgestellt.

Wichtig:

On the Users page, in the Roles column, you can see explicitly assigned roles for a user, be it manually added or auto-provisioned. Inherited roles are not displayed in this column.

You can check the entire permission set of a user, inherited ones included, by navigating to More Actions > Check Permissions > User Permissions window for that specific user.

	Manuell hinzugefügter Benutzer	Automatisch bereitgestellter Benutzer
Erbt Zugriffsrechte	Ja	Ja
Kann explizite Zugriffsrechte haben	Ja	Ja
Cloud Portal ist der zentrale Hub für Benutzerinformationen	Ja	Ja
Kann SSO verwenden	Ja	Ja

Robot

The Robot user is automatically created when you manually deploy a Robot to Orchestrator. Robot users have the Robot role by default. This role grants your Robot access to multiple pages, making it able to perform various actions.

Konto- und Gruppensymbole

Auf Seiten, auf denen Sie Konten, Gruppen oder Rollen verwalten, werden für jeden Typ bestimmte Symbole angezeigt, damit Sie den Kontotyp oder den Gruppentyp erkennen können.

Kontosymbole

– UiPath-Benutzerkonto: Benutzerkonto, das mit einem UiPath-Konto verknüpft und mit der Standardauthentifizierung angemeldet ist

– SSO-Benutzerkonto: Benutzerkonto, das mit einem UiPath-Konto verknüpft ist, das sich mit SSO angemeldet hat; Gilt auch für Benutzerkonten, die sowohl ein UiPath-Benutzerkonto als auch ein Verzeichniskonto haben

– Verzeichnisbenutzerkonto: Das Konto stammt aus einem Verzeichnis und ist mit Enterprise SSO angemeldet

– Robot-Konto

Gruppensymbole

- Local group (or plainly, group): the group was created by a host administrator.

– Verzeichnisgruppe: Die Gruppe stammt aus einem verknüpften Verzeichnis.

Berechtigungen zum Verwalten von Benutzern

Um verschiedene Vorgänge auf den Seiten Benutzer und Rollen ausführen zu können, benötigen Sie die entsprechenden Berechtigungen:

• Benutzer – Anzeigen – Anzeigen der Seiten Benutzer und Profil.
• Benutzer – Bearbeiten – Bearbeiten von Benutzerdetails und -einstellungen auf der Seite Profil und Aktivieren/Deaktivieren von Benutzern auf der Seite Benutzer.
• Users - View and Roles - View - Displaying user permissions.
• Benutzer – Bearbeiten und Rollen – Anzeigen – Bearbeiten von Rollenzuweisungen auf der Seite Zugriff verwalten > Rollen zuweisen.
• Benutzer – Erstellen und Rollen – Anzeigen – Erstellen eines Benutzers.
• Benutzer – Anzeigen und Rollen – Bearbeiten – Verwalten von Rollen im Fenster Benutzer verwalten, das auf der Seite „Zugriff verwalten“ > „Rollen“ geöffnet wird.
• Benutzer – Löschen – Entfernen eines Benutzers aus dem Orchestrator.

Über Rollen

Der Orchestrator verwendet einen Zugriffssteuerungsmechanismus, der auf Rollen und Berechtigungen basiert. Rollen sind Sammlungen von Berechtigungen, was bedeutet, dass die Berechtigungen, die für die Verwendung bestimmter Orchestrator-Entitäten erforderlich sind, Rollen zugewiesen sind.

Role-permissions and user-roles relationships allow for a certain level of access to Orchestrator. A user gets the permissions required to perform particular operations through one or multiple roles. Since users are not assigned permissions directly, but only acquire them through roles, management of access rights involves assigning appropriate roles to the user. See Modifying the Roles of a User.

Berechtigungs- und Rollentypen

Es gibt zwei Arten von Berechtigungen:

• Mandantenberechtigungen definieren den Zugriff eines Benutzers auf Ressourcen auf Mandantenebene.
• Die Ordnerberechtigungen definieren den Zugriff und die Möglichkeiten des Benutzers innerhalb jedes Ordners, dem er zugewiesen ist.

Zwei primäre Berechtigungssätze regeln Vorgänge innerhalb von Ordnern:

• Ordnerberechtigungen (Mandanten-Scope):
  • ermöglichen einem Benutzer das Erstellen, Bearbeiten oder Löschen aller Ordner innerhalb des gesamten Mandanten.
  • werden in der Regel Administratoren gewährt oder Benutzern, die für die Verwaltung der Organisation verantwortlich sind.
• Berechtigungen für Unterordner (Ordner-Scope):
  • ermöglichen es einem Benutzer, einen bestimmten Ordner, dem er zugewiesen ist, zusammen mit allen Unterordnern zu erstellen, zu bearbeiten oder zu löschen.
  • bieten eine detailliertere Kontrolle, sodass Benutzer bestimmte Ordner verwalten können, ohne die Kontrolle über die anderen Ordner im Mandanten zu haben.

Basierend auf ihren enthaltenen Berechtigungen gibt es drei Typen von Rollen:

• Mandantenrollen, die Mandantenberechtigungen enthalten und für die Arbeit auf Mandantenebene erforderlich sind.

• Ordnerrollen, die Berechtigungen für die Arbeit in einem Ordner enthalten.

• Gemischte Rollen, die beide Berechtigungstypen enthalten.

  Bei gemischten Rollen werden für einen globalen Vorgang nur die Mandantenberechtigungen des Benutzers berücksichtigt. Wenn für einen ordnerspezifischen Vorgang eine benutzerdefinierte Rolle definiert ist, werden diese Berechtigungen zugunsten vorhandener Berechtigungen auf Mandantenebene angewendet.

  Hinweis:

  Gemischte Rollen werden nicht mehr unterstützt und Sie können keine neuen erstellen. Wenn Sie gemischte Rollen haben, empfehlen wir, sie durch eine Kombination aus Mandanten- und Ordnerrollen zu ersetzen, um die erforderlichen Berechtigungen zu gewähren.

Die folgenden Ressourcen stehen Benutzern je nach Typ ihrer Rollen zur Verfügung:

Mandantenressourcen	Ordnerressourcen
Warnungen Audit Aufgaben im Hintergrund Bibliotheken Lizenz Maschinen ML-Protokolle ML-Pakete Roboter Rollen Einstellungen Ordner Benutzer Webhooks	Assets Speicherdateien Speicher-Buckets Verbindungen Umgebungen Ausführungsmedien Ordnerpakete Jobs Protokolle Überwachung Prozesse Warteschlangen Auslöser Unterordner Aktionszuweisung Aktionskataloge Aktionen Artefakte der Testfallausführung Testdaten-Warteschlangenelemente Testdaten-Warteschlangen Ausführung der Testsätze Testsätze Zeitpläne der Testsätze Transaktionen

Sie haben die Möglichkeit, Berechtigungen vollständig über die Benutzeroberfläche und API mit dem Parameter Auth.DisabledPermissions in UiPath.Orchestrator.dll.config zu deaktivieren.

Zuweisen der verschiedenen Rollentypen

Der Rollentyp ist wichtig, weil Sie Rollen je nach Typ unterschiedlich zuweisen:

• Wenn Klassische Ordner aktivieren unter Mandant > Einstellungen > Allgemein gelöscht wird:

  You assign tenant roles and mixed roles from the Users page or from the Roles page.

  You assign folder roles and mixed roles from the Folders page or from the folder's Settings page.

• Wenn Klassische Ordner aktivieren unter Mandant > Einstellungen > Allgemein ausgewählt ist:

  Sie weisen einen der drei Rollentypen auf der Seite Benutzer oder auf der Seite Rollen zu.

  You assign folder roles and mixed roles from the Folders page or from the folder's Settings page.

Berechtigungen ohne Effekt

In der Regel können Sie alle verfügbaren Berechtigungen (Anzeigen, Bearbeiten, Erstellen oder Löschen) für jede Berechtigung auswählen, außer die folgenden, die keine Auswirkungen auf die aufgeführten Berechtigungen haben, und deshalb können Sie diese nicht bearbeiten:

Berechtigungstypen	Berechtigungen	Nicht verfügbare Berechtigungen
Mandant	Warnungen	Löschen
	Audit	Bearbeiten Erstellen Löschen
Ordner	Ausführungsmedien	Bearbeiten
	Protokolle	Bearbeiten Löschen
	Überwachung	Erstellen Löschen

Dies liegt z. B. daran, dass es nicht möglich ist, vom System generierte Protokolle zu bearbeiten.

Sicherheitsüberlegungen

Kontosperrung

Standardmäßig werden Sie nach 10 fehlgeschlagenen Anmeldeversuchen für 5 Minuten gesperrt.

System administrators can customize the Account Lockout settings from the host Management portal.

Hinweis:

Anmelden unter demselben Benutzer auf einer anderen Maschine trennt den Benutzer von der vorherigen Maschine.