- Erste Schritte
- Best Practices
- Organisationsmodellierung im Orchestrator
- Verwalten großer Bereitstellungen
- Beste Praktiken für die Automatisierung (Automation Best Practices)
- Optimieren von Unattended-Infrastruktur mithilfe von Maschinenvorlagen
- Organisieren von Ressourcen mit Tags
- Schreibgeschütztes Orchestrator-Replikat
- Exportieren von Rastern im Hintergrund
- Mandant
- Über den Kontext „Mandant“
- Suche nach Ressourcen in einem Mandanten
- Verwaltung von Robotern
- Verbindung von Robotern mit Orchestrator
- Speicherung von Roboterzugangsdaten in CyberArk
- Speichern der Kennwörter von Unattended-Robotern im Azure Key Vault (schreibgeschützt)
- Speichern der Anmeldeinformationen von Unattended-Robotern im HashiCorp Vault (schreibgeschützt)
- Speichern der Anmeldeinformationen von Unattended-Robotern im AWS Secrets Manager (schreibgeschützt)
- Löschen von getrennten und nicht reagierenden Unattended-Sitzungen
- Roboter-Authentifizierung
- Roboter-Authentifizierung mit Client-Anmeldeinformationen
- SmartCard-Authentifizierung
- Audit
- Einstellungen – Mandantenebene
- Ressourcenkatalogdienst
- Ordnerkontext
- Automatisierungen
- Prozesse
- Jobs
- Auslöser
- Protokolle
- Überwachung
- Warteschlangen
- Assets
- Speicher-Buckets
- Test Suite - Orchestrator
- Sonstige Konfigurationen
- Integrationen
- Klassische Roboter
- Hostverwaltung
- About the host level
- Verwalten von Systemadministratoren
- Verwalten von Mandanten
- Verwalten Ihrer Hostlizenz
- Konfigurieren von System-E-Mail-Benachrichtigungen
- Prüfungsprotokolle für das Hostportal
- Wartungsmodus
- Organisationsadministration
- Fehlersuche und ‑behebung
Einrichten der Azure-AD-Integration
Wenn Ihre Organisation Azure Active Directory (Azure AD) oder Office 365 verwendet, können Sie Ihre Orchestrator-Organisation direkt mit Ihrem Azure AD-Mandanten verbinden, um vorhandene Benutzerkonten in Ihrer UiPath®-Umgebung anzuzeigen.
Mit der Azure AD-Integration können Sie das lokale Benutzermodell weiterhin nutzen und Ihre Organisation mit den zusätzlichen Vorteilen der Verwendung von Azure AD urladen.
Wenn Sie sich entschieden haben, Azure AD für Ihre Organisation zu verwenden, befolgen Sie die Anweisungen auf dieser Seite, um die Integration einzurichten.
Um die Azure AD-Integration einzurichten, benötigen Sie:
- Administratorberechtigungen sowohl im Orchestrator als auch in Azure AD (wenn Sie keine Administratorberechtigungen in Azure haben, schließen Sie den Einrichtungsprozess gemeinsam mit einem Azure-Administrator ab);
- ein Organisationsadministrator-UiPath-Konto, das die gleiche E-Mail-Adresse wie ein Azure AD-Benutzer verwendet; der Azure AD-Benutzer benötigt keine Administratorberechtigungen in Azure
- UiPath Studio und UiPath Assistant Version 2020.10.3 oder höher
- UiPath Studio und UiPath Assistant, die die empfohlene Bereitstellung verwenden.
- Wenn Sie zuvor lokale Benutzerkonten verwendet haben, stellen Sie sicher, dass alle Ihre Azure AD-Benutzer die E-Mail-Adresse im Feld E-Mail haben; die E-Mail-Adresse nur im Feld User Principle Name (UPN) zu haben, reicht nicht aus. Die Azure AD-Integration verknüpft Verzeichnisbenutzerkonten mit den lokalen Benutzerkonten, wenn die E-Mail-Adressen übereinstimmen. Auf diese Weise können Benutzer Berechtigungen beibehalten, wenn sie sich mit ihrem lokalen Benutzerkonto beim Azure AD-Verzeichnisbenutzerkonto anmelden.
appid
-Abfrageparameters in einer dedizierten URL, wie in der Zugriffstoken-Dokumentation von Microsoft beschrieben.
Ihre Organisation erfordert eine App-Registrierung in Ihrem Azure AD-Mandanten und eine Konfiguration, damit Sie Ihre AD-Mitglieder anzeigen können, um die Kontoidentität zu bestimmen. Die App-Registrierungsdetails sind auch erforderlich, um Ihre Organisation später mit Ihrem Azure AD-Mandanten zu verbinden.
Berechtigungen: Sie müssen ein Administrator in Azure sein, um die Schritte in diesem Abschnitt ausführen zu können. Die folgenden Azure-Administratorrollen verfügen über die erforderlichen Berechtigungen: Globaler Administrator, Cloudanwendungsadministrator und Anwendungsadministrator.
Es gibt zwei Möglichkeiten, Ihren Azure-Mandanten für die Integration einzurichten:
- Verwenden Sie die folgenden Anweisungen, um eine App-Registrierung für die Integration manuell zu konfigurieren.
- Verwenden Sie die UiPath Azure AD-Skripts, die wir für diese Aufgabe erstellt haben und die auf GitHub verfügbar sind: Das Skript configAzureADconnection.ps1 führt alle in diesem Abschnitt beschriebenen Aktionen aus und gibt die App-Registrierungsdetails zurück. Dann können Sie das Skript testAzureADappRegistration.ps1 ausführen, um sicherzustellen, dass die App-Registrierung erfolgreich war.
Um Ihren Azure-Mandanten manuell zu konfigurieren, gehen Sie im Azure-Portal wie folgt vor:
Nachdem das Azure-Setup abgeschlossen ist, können Sie sich auf die Integration vorbereiten, sie aktivieren und alte Konten bereinigen.
Der Prozess erfolgt schrittweise, sodass es zu keinen Unterbrechungen für Ihre Benutzer kommt.
Berechtigungen: Sie müssen ein Administrator im Orchestrator sein, um die Schritte in diesem Abschnitt ausführen zu können.
Wenn Sie den Orchestrator durch Aktivieren der Integration mit Azure AD verbinden, werden Konten mit übereinstimmenden E-Mail-Adressen verknüpft, sodass das Azure AD-Konto die gleichen Berechtigungen wie das übereinstimmende UiPath-Konto bekommt.
Wenn Ihre Organisation E-Mail-Recycling betreibt, d. h., dass eine E-Mail-Adresse, die in der Vergangenheit verwendet wurde, in der Zukunft einem neuen Benutzer zugewiesen werden kann, könnte dies zu einem erhöhten Zugriffsrisiko führen.
Beispiel
john.doe@example.com
lautete und der über ein UiPath-Konto verfügte, bei dem er Organisationsadministrator war. Inzwischen hat er aber das Unternehmen verlassen und die E-Mail-Adresse wurde deaktiviert, der Benutzer jedoch nicht entfernt.
john.doe@example.com
). In einem solchen Fall erbt John Doe die Administratorrechte der Organisation.
Um solche Situationen zu verhindern, entfernen Sie alle Benutzer, die nicht mehr aktiv sind, aus dem Orchestrator, bevor Sie mit dem nächsten Schritt fortfahren.
Bevor Sie beginnen
- Stellen Sie sicher, dass die Azure-Konfiguration abgeschlossen ist.
- Holen Sie sich die Werte Verzeichnis-(Mandanten-)ID, Anwendungs-(Client-)ID und geheimer Clientschlüssel für die App-Registrierung von Ihrem Azure-Administrator in Azure.
Jetzt können Sie mit den Benutzern und Gruppen auf dem Azure AD des verknüpften Mandanten arbeiten. Sie können Azure AD-Benutzer und Gruppen mithilfe der Suche finden, um beispielsweise einen Benutzer zu einer Gruppe hinzuzufügen. Weitere Informationen zu den Änderungen nach Aktivierung der Integration finden Sie auch in den unten stehenden häufig gestellten Fragen.
Um zu überprüfen, ob die Integration über den Orchestrator ausgeführt wird, melden Sie sich als Organisationsadministrator mit einem Azure AD-Konto an und versuchen Sie, auf den zugehörigen Seiten nach Azure AD-Benutzern und -Gruppen zu suchen, z. B. im Panel Gruppe bearbeiten im Orchestrator (Administrator > Konten und Gruppen > Gruppen > Bearbeiten).
-
Wenn Sie nach Benutzern und Gruppen suchen können, die aus Azure AD stammen, bedeutet dies, dass die Integration läuft. Sie können den Benutzer- oder Gruppentyp anhand des Symbols erkennen.
Hinweis: Benutzer und Gruppen aus Azure AD sind nicht auf den Seiten Benutzer oder Gruppen aufgeführt, sie sind nur über die Suche abrufbar. -
Wenn bei der Suche nach Benutzern ein Fehler auftritt, wie im folgenden Beispiel gezeigt, weist dies darauf hin, dass mit der Konfiguration in Azure etwas nicht stimmt. Wenden Sie sich an Ihren Azure-Administrator und bitten Sie ihn, zu überprüfen, ob Azure wie unter Konfigurieren von Azure für die Integration oben auf dieser Seite beschrieben eingerichtet ist.
Tipp: Bitten Sie Ihren Azure-Administrator zu bestätigen, dass er das Kontrollkästchen Administratorzustimmung gewähren während der Azure-Konfiguration aktiviert hat. Dies ist eine häufige Ursache, warum die Integration fehlschlägt.
Sobald die Integration aktiv ist, empfehlen wir Ihnen, die Anweisungen in diesem Abschnitt zu befolgen, um sicherzustellen, dass Benutzererstellung und Gruppenzuordnung an Azure AD weitergegeben werden. Auf diese Weise können Sie auf Ihrer vorhandenen Identitäts- und Zugriffsverwaltungsinfrastruktur aufbauen, um einfachere Governance und Zugriffsverwaltung über die Ressourcen Ihrer Orchestrator-Organisation zu erhalten.
So stellen Sie sicher, dass der Azure-Administrator auch neue Benutzer mit denselben Berechtigungen und der gleichen Roboterkonfiguration für den Orchestrator und andere Dienste einbinden kann, die Sie vor der Integration eingerichtet haben. Dazu können sie alle neuen Benutzer zu einer Azure AD-Gruppe hinzufügen, wenn der Gruppe bereits die erforderlichen Rollen im Orchestrator zugewiesen sind.
Sie können Ihre vorhandenen Benutzergruppen vom Orchestrator neuen oder vorhandenen Gruppen in Azure AD zuordnen. Je nachdem, wie Sie Gruppen in Azure AD verwenden, können Sie dies auf mehrere Arten tun:
- Wenn Benutzer mit denselben Rollen im Orchestrator bereits in denselben Gruppen in Azure AD sind, kann der Organisationsadministrator diese Azure AD-Gruppen zu den Orchestrator-Benutzergruppen hinzufügen, in denen sich diese Benutzer befanden. Dadurch wird sichergestellt, dass Benutzer dieselben Berechtigungen und dieselbe Robotereinrichtung beibehalten.
- Andernfalls kann der Azure-Administrator neue Gruppen in Azure AD erstellen, die den Gruppen im Orchestrator entsprechen, und dieselben Benutzer hinzufügen, die sich in den Orchestrator-Benutzergruppen befinden. Dann kann der Organisationsadministrator den vorhandenen Benutzergruppen die neuen Azure AD-Gruppen hinzufügen, um sicherzustellen, dass dieselben Benutzer die gleichen Rollen haben.
Stellen Sie in beiden Fällen sicher, dass Sie auf Rollen achten, die Konten zugewiesen wurden. Beseitigen Sie nach Möglichkeit die expliziten Rollenzuweisungen, indem Sie diese Benutzer zu Gruppen hinzufügen, denen die Rollen explizit zugewiesen wurden.
Beispiel: Angenommen, die Gruppe Administrators im Orchestrator umfasst die Benutzer „Roger“, „Tom“ und „Jerry“. Dieselben Benutzer befinden sich auch in einer Gruppe in Azure AD namens admins. Der Organisationsadministrator kann die Gruppe admins zur Gruppe Administrators im Orchestrator hinzufügen. So profitieren auch Roger, Tom und Jerry als Mitglieder der Azure AD-Gruppe admins von den Rollen der Gruppe Administrators.
Da admins jetzt Teil der Gruppe Administrators ist, kann der Azure-Administrator den neuen Benutzer zur Gruppe admins in Azure hinzufügen, wodurch er ihm Administratorberechtigungen im Orchestrator gewährt, ohne Änderungen im Orchestrator vornehmen zu müssen.
Änderungen an Azure AD-Gruppenzuweisungen werden im Orchestrator innerhalb einer Stunde übernommen, wenn sich der Benutzer mit seinem Azure AD-Konto anmeldet, oder, wenn er bereits angemeldet ist, innerhalb einer Stunde.
Erstanmeldung: Damit die Berechtigungen gelten, die Azure AD-Benutzern und -Gruppen zugewiesen sind, müssen sich Benutzer mindestens einmal anmelden. Wir empfehlen Ihnen, nach der Ausführung der Integration alle Ihre Benutzer aufzufordern, sich von ihrem UiPath-Konto abzumelden und sich mit ihrem Azure AD-Konto erneut anzumelden. Sie können sich mit ihrem Azure Ad-Konto anmelden, indem sie:
- die organisationsspezifische URL aufrufen – in diesem Fall ist der Anmeldetyp bereits ausgewählt;
-
durch Auswählen von Enterprise SSO auf der Haupt-Anmeldeseite
Hinweis: Stellen Sie sicher, dass Sie allen Benutzern Ihre organisationsspezifische URL für den Orchestrator zur Verfügung stellen. Nur Organisationsadministratoren können diese Informationen im Orchestrator sehen.
Migrierte Benutzer profitieren davon, dass Berechtigungen aus ihren Azure AD-Gruppen und zugleich die, die ihnen direkt zugewiesen wurden, zur Verfügung stehen.
Konfigurieren von Studio und des UiPath Assistant für Benutzer: So richten Sie diese Produkte für eine Verbindung mit Azure AD-Konten ein:
- Öffnen Sie im UiPath Assistant Einstellungen und wählen Sie die Registerkarte Orchestrator-Verbindung aus.
- Klicken Sie auf Abmelden.
- Wählen Sie für den Verbindungstyp Dienst-URL aus.
- Fügen Sie im Feld Dienst-URL die organisationsspezifische URL hinzu, z. B.
https://orchestrator.mydomain.local/
. - Melden Sie sich mit dem Azure AD-Konto wieder an.
Das ist zwar optional, wird aber empfohlen, um die wichtigsten Vorteile der vollständigen Integration zwischen dem Orchestrator und Azure AD in Bezug auf Compliance und Effizienz optimal zu nutzen.
Nachdem alle Benutzer migriert wurden, können Sie die Benutzer, die auf persönlichen lokalen Konten basieren, von der Registerkarte Benutzer entfernen, sodass sich Ihre Benutzer nicht mehr mit ihren UiPath-Konten anmelden können. Sie können diese Konten anhand ihrer Benutzersymbole erkennen.
Sie können auch einzelne Berechtigungen in den UiPath-Diensten, z. B. dem Orchestrator-Dienst, bereinigen und einzelne Benutzer aus Orchestrator-Gruppen entfernen, sodass die Berechtigungen ausschließlich von der Azure AD-Gruppenmitgliedschaft abhängen.
Ausnahme
Wenn Sie die Verwendung lokaler Konten einstellen möchten, empfehlen wir Ihnen, mindestens ein lokales Konto mit der Rolle des Organisationsadministrators zu behalten, wenn Sie die Authentifizierungseinstellungen für Ihre Organisation ändern müssen. Die Optionen zu den Authentifizierungseinstellungen sind andernfalls nicht aktiv.
Es folgen einige nützliche Hinweise über erweiterte Funktionen, die Sie jetzt nutzen können, nachdem Sie die Azure AD-Integration eingerichtet haben.
Because the integration with Azure AD is performed at the level of the Azure tenant, by default all Azure AD users can access the Orchestrator organization. The first time an Azure AD user signs in to Orchestrator, they are automatically included in the Orchestrator group Everyone, which grants them the User organization-level role .
Wenn Sie nur bestimmten Benutzern Zugriff auf Ihre Orchestrator-Organisation gewähren möchten, können Sie die Benutzerzuweisung für die Registrierung der Orchestrator-App in Azure aktivieren. Auf diese Weise müssen Benutzer explizit zur App (Orchestrator) zugewiesen werden, um darauf zugreifen zu können. Anweisungen finden Sie in diesem Artikel in der Azure AD-Dokumentation.
Wenn Sie Ihren Benutzern den Zugriff auf den Orchestrator nur von einem vertrauenswürdigen Netzwerk oder einem vertrauenswürdigen Gerät aus erlauben möchten, können Sie die Funktion Azure AD – Bedingter Zugriff verwenden.
Wenn Sie Gruppen in Azure AD für das einfache Orchestrator-Onboarding direkt aus Azure AD erstellt haben, wie oben im Abschnitt Konfigurieren von Gruppen für Berechtigungen und Roboter beschrieben, können Sie die erweiterten Sicherheitsoptionen von Privileged Identity Management (PIM) für diese Gruppen verwenden, um Zugriffsanforderungen für Orchestrator-Gruppen zu steuern.
- Überblick
- Voraussetzungen
- Konfigurieren von Azure für die Integration
- Bereitstellen der Integration im Orchestrator
- Inaktive Benutzer bereinigen
- Die Azure AD-Integration aktivieren
- Die Azure AD-Integration testen
- Abschließen des Übergangs zu Azure AD
- Gruppen für Berechtigungen und Roboter konfigurieren (optional)
- Vorhandene Benutzer migrieren
- Verwendung von lokalen Konten einstellen (optional)
- Best Practices
- Zugriff auf den Orchestrator einschränken
- Zugriff auf vertrauenswürdige Netzwerke oder Geräte einschränken
- Governance für Orchestrator-Gruppen in Azure AD