Konfiguration von SSO: Microsoft Entra ID

Auf dieser Seite wird beschrieben, wie Sie die Integration von Microsoft Entra ID auf Ebene des Hosts aktivieren, sodass alle Benutzer von Orchestrator SSO profitieren.

Hinweis:

Integration auf Host- oder Organisationsebene

Wenn Sie die Microsoft Entra ID-Integration auf Hostebene aktivieren, wie auf dieser Seite beschrieben, können Sie sie nicht auf Organisations-/Mandantenebene aktivieren.

Die Integration auf Hostebene aktiviert nur SSO. Wenn die Integration jedoch auf Organisations-/Mandantenebene aktiviert ist, ermöglicht die Integration SSO, aber auch die Verzeichnissuche und die automatische Benutzerbereitstellung.

Voraussetzungen

Um die Microsoft Entra ID-Integration einzurichten, benötigen Sie:

• Administratorberechtigungen sowohl in Orchestrator als auch in Microsoft Entra ID (wenn Sie keine Administratorberechtigungen in Azure haben, schließen Sie mit einem Administrator von Microsoft Entra ID zusammen den Einrichtungsprozess ab);
• Ein UiPath-Konto eines Organisationsadministrators, das dieselbe E-Mail-Adresse wie ein Microsoft Entra ID-Benutzer verwendet; der Microsoft Entra ID-Benutzer benötigt keine Administratorrechte in Azure;
• UiPath Studio und UiPath Assistant Version 2020.10.3 oder höher
• UiPath Studio und UiPath Assistant, die die empfohlene Bereitstellung verwenden.
• Wenn Sie zuvor lokale Benutzerkonten verwendet haben, stellen Sie sicher, dass all Ihre Microsoft Entra ID-Benutzer die E-Mail-Adresse im Feld Mail haben, wobei es nicht genügt, die E-Mail-Adresse nur im „Feld User Principle Name (UPN)“ anzugeben.Die Integration von Microsoft Entra ID verknüpft Verzeichnisbenutzerkonten mit den lokalen Benutzerkonten, wenn die E-Mail-Adressen übereinstimmen. Dadurch können Benutzer die Berechtigungen behalten, wenn sie von der Anmeldung mit ihrem lokalen Benutzerkonto zum Benutzerkonto Microsoft im Entra ID-Verzeichnis wechseln.

Schritt 1. Registrieren Sie sich bei der Microsoft Entra ID-App

Hinweis: Folgende Schritte sind eine grobe Beschreibung einer Beispielkonfiguration.Weitere Anweisungen dazu finden Sie in der Dokumentation von Microsoft zur Konfiguration von Microsoft Entra ID als Authentifizierungsanbieter.

1. Melden Sie sich beim Azure-Portal als Administrator an.
2. Wechseln Sie zu App-Registrierungen und wählen Sie Neue Registrierung aus.
3. Füllen Sie auf der Seite Anwendung registrieren das Feld Name mit dem gewünschten Namen Ihrer Orchestrator-Instanz aus.
4. Wählen Sie im Abschnitt Unterstützte Kontotypen die Option Nur Konten in diesem Organisationsverzeichnis aus.
5. Legen Sie den Umleitungs-URI fest, indem Sie Web aus dem Dropdownliste auswählen und die URL Ihrer Automation Suite-Instanz sowie das Suffix /identity/azure-signin-oidc eingeben. Beispiel: https://baseURL/identity/azure-signin-oidc.
6. Aktivieren Sie unten das Kontrollkästchen ID-Token.
7. Wählen Sie Registrieren aus, um die App-Registrierung für den Orchestrator zu erstellen.
8. Speichern Sie die Anwendungs-(Client-)ID für die spätere Verwendung.

Schritt 2. Konfigurieren Sie Microsoft Entra ID SSO

1. Melden Sie sich als Systemadministrator beim Verwaltungsportal an.
2. Wählen Sie Sicherheit aus.
3. Wählen Sie Konfigurieren unter Microsoft Entra ID SSO.
   • Wenn Sie die Anmeldung beim Orchestrator nur mit Microsoft Entra ID zulassen möchten, markieren Sie das Kontrollkästchen Automatische Anmeldung mit diesem Anbieter erzwingen.
   • Füllen Sie das Feld Anzeigename mit der Bezeichnung aus, die Sie für die AzureAD-Schaltfläche auf der Seite Anmelden verwenden möchten.
   • Fügen Sie im Feld Client-ID den Wert der Anwendungs-ID (Client) ein, die Sie aus dem Azure-Portal erhalten haben.
   • (Optional) Fügen Sie im Feld Clientgeheimnis den Wert ein, den Sie aus dem Azure-Portal erhalten haben.

   • Legen Sie den Parameter Autorität auf einen der folgenden Werte fest:

     • https://login.microsoftonline.com/<tenant>, <tenant> wobei die Mandanten-ID des Microsoft Entra ID-Mandanten oder eine dieser Microsoft Entra ID-Mandanten zugeordnete Domäne ist.Wird nur verwendet, um Benutzer einer bestimmten Organisation anzumelden.
     • https://login.microsoftonline.com/common. Wird verwendet, um Benutzer mit Arbeits- und Schulkonten oder persönlichen Microsoft-Konten anzumelden.
   • (Optional) Fügen Sie in das Feld Abmelde-URL den vom Azure-Portal erhaltenen Wert ein.
4. Wählen Sie Speichern aus, um die Änderungen an den Einstellungen des externen Identitätsanbieters zu speichern.

   Die Seite wird geschlossen und Sie kehren zur Seite Sicherheitseinstellungen zurück.

5. Wählen Sie den Umschalter links neben SAML SSO aus, um die Integration zu aktivieren.
6. Starten Sie die IIS-Site neu. Dies ist erforderlich, nachdem Änderungen an externen Anbietern vorgenommen wurden.

Schritt 3. Aktivieren Sie die Einmalanmeldung (SSO) von Microsoft Entra ID für die Organisation

Da Orchestrator jetzt in die Microsoft Entra ID-Anmeldung integriert ist, können Benutzerkonten mit einer gültigen E-Mail-Adresse von Microsoft Entra ID die SSO-Option Microsoft Entra ID auf der Seite Anmeldung nutzen, um sich beim Orchestrator anzumelden.

Jeder Administrator muss dies für seine Organisation/Mandanten tun, wenn die Anmeldung mit Microsoft Entra ID SSO möglich sein soll.

1. Melden Sie sich beim Orchestrator als Administrator an.
2. Fügen Sie lokale Benutzerkonten für Ihre Benutzer hinzu, jedes mit einer gültigen Microsoft Entra ID-E-Mail-Adresse.