Orchestrator
2023.4
False
Configuring the Active Directory Integration - Standalone 2023.4
Bannerhintergrundbild
Logo
Orchestrator-Anleitung
Letzte Aktualisierung 6. Dez. 2023

Konfigurieren der Active Directory-Integration

Hinweis: Nach der Aktivierung dieser Integration werden lokale Benutzerkonten mit einem Active Directory-Benutzer verknüpft. Dabei wird das Attribut Benutzername auf das Format user@domain aktualisiert. Somit kann sich der Benutzer nicht mehr seinem ursprünglichen Benutzernamen anmelden und muss stattdessen den neuen Benutzernamen im Format user@domain oder die E-Mail-Adresse verwenden, die mit dem Active Directory-Konto verknüpft ist.
Wichtig:

Voraussetzungen

  1. Für die Integration in Windows Active Directory (AD) und die Verwendung der Windows-Authentifizierung muss der LDAP-Port 389 auf einem oder mehreren Domänencontrollern in Ihrer Domäne zugänglich sein.

  2. Arbeiten Sie mit Ihren IT-Administratoren zusammen, um sicherzustellen, dass der Orchestrator-Cluster auf Ihr Active Directory (AD) zugreifen kann.

  3. If you plan on using LDAP over SSL (LDAPS), you must obtain and install certificates for configuring secure LDAP on each domain controller. For more information and instructions, see the article LDAP over SSL (LDAPS) Certificate .

Über Integrationsoptionen

When users log in to Orchestrator with their Active Directory credentials, Orchestrator uses the Kerberos protocol to authenticate users.

In einer Active Directory-Umgebung ist LDAPS eine häufig verwendete sichere Verbindung für Verzeichnisdienste. Beachten Sie, dass sich die LDAPS-Unterstützung nach dem verwendeten Authentifizierungsmechanismus richtet.

Authentifizierungsmechanismus

LDAPS-Unterstützung

Benutzername und Kennwort (nicht verfügbar)

Keine Angabe

Kerberos-Authentifizierung

Wird unterstützt

Schritt 1. Konfigurieren Sie den Orchestrator-Cluster

Anforderungen für Cluster mit mehreren Knoten

  • Die Knoten im Cluster müssen unter einem Lastausgleich bereitgestellt werden. Verwenden Sie den Hostnamen des Lastausgleichs, wenn der Hostname in diesen Anweisungen erforderlich ist.
  • Der Orchestrator-Anwendungspool muss so konfiguriert werden, dass er unter einer benutzerdefinierten Identität ausgeführt wird. Die benutzerdefinierte Identität sollte ein Domänenkonto sein.

Festlegen einer benutzerdefinierten Identität

Dies ist nur erforderlich, wenn Sie einen Cluster mit mehreren Knoten oder einen Einzelknotencluster mit einem Lastausgleich ausführen.

Für Einzelknotencluster ohne Lastausgleich ist dies optional.

  1. Öffnen Sie den IIS (Internet Information Services Manager).
  2. Klicken Sie in IIS links im Panel Verbindungen auf Anwendungspools.
  3. Wechseln Sie zu Identität > Erweiterte Einstellungen > Prozessmodell > Identität.
  4. Wählen Sie im Dialogfeld Anwendungspoolidentität die Option Benutzerdefiniertes Konto aus und geben Sie ein für die Domäne qualifiziertes Benutzerkonto an.
  5. Klicken Sie auf OK, um Ihre Änderungen zu übernehmen.
  6. Schließen Sie IIS.


SPN-Einrichtung

Wenn der Orchestrator-Anwendungspool so konfiguriert ist, dass er unter einer benutzerdefinierten Identität ausgeführt wird, muss für dieses Konto ein SPN für den Hostnamen registriert sein.

Dieser Schritt ist erforderlich, wenn Sie Folgendes ausführen:

  • einen Cluster mit mehreren Knoten, da Sie eine benutzerdefinierte Identität definieren müssen oder
  • ein Einzelknotencluster mit einem Lastausgleich, der wie ein Cluster mit mehreren Knoten behandelt wird.

Dieser Schritt ist nicht erforderlich, wenn:

  • Sie einen Einzelknotencluster ohne Lastausgleich ausführen und
  • Sie sich für eine benutzerdefinierte Identität entschieden haben, aber den Clustercomputernamen als benutzerdefinierte Identität verwendet haben

Auf einer Maschine, die mit einer Domäne verbunden ist und Schreibzugriff in der Ziel-Orchestrator-Organisation und dem Mandanten hat:

  1. Öffnen Sie die Eingabeaufforderung.
  2. Ändern Sie das Verzeichnis auf C:\Windows\System32 und verwenden Sie den Befehl cd C:\Windows\System32.
  3. Führen Sie den Befehl setspn.exe -a HTTP/<hostname> <domain account> aus. Dabei ist:
    • HTTP/ – Die URL, unter der auf Ihre Orchestrator-Instanz zugegriffen werden kann.
    • <domain account> – Der Name oder Domäne\Name der benutzerdefinierten Identität, unter der der Orchestrator-Anwendungspool ausgeführt wird.

Schritt 2. Konfigurieren Sie IIS, um die Windows-Authentifizierung zu aktivieren

Hinweis: Wenn Sie eine Installation mit mehreren Knoten haben, müssen Sie die IIS-Konfiguration auf jedem Ihrer Clusterknoten durchführen.
  1. Öffnen Sie den IIS (Internet Information Services Manager).
  2. Wählen Sie im Abschnitt Verbindungen unter dem Knoten Sites die Option UiPath Orchestrator aus.
  3. Doppelklicken Sie im Hauptpanel auf Authentifizierung, um die Details anzuzeigen.
  4. Wählen Sie Windows-Authentifizierung und dann im Panel Aktionen auf der rechten Seite Erweiterte Einstellungen aus.
    Hinweis: Falls nicht bereits aktiviert, aktivieren Sie die Windows-Authentifizierung und fahren Sie mit diesen Anweisungen fort.
  5. Klicken Sie links auf die UiPath Orchestrator-Site und doppelklicken Sie dann im Hauptbereich auf Konfigurations-Editor.


  6. Wählen Sie im Konfigurations-Editor oben in der Liste Abschnitt die Option system.webServer/security/authentication/windowsAuthentication aus.
  7. Legen Sie für useAppPoolCredentials den Wert auf True fest:

Schritt 3. Konfigurieren des Orchestrators

  1. Melden Sie sich als Systemadministrator beim Verwaltungsportal an.
  2. Gehen Sie zu Benutzer und wählen Sie die Registerkarte Authentifizierungseinstellungen aus.
  3. Klicken Sie im Abschnitt Externe Anbieter unter Active Directory auf Konfigurieren.


    Der Bereich Konfigurieren des Active Directory wird rechts neben dem Fenster geöffnet.

  4. Aktivieren Sie das Kontrollkästchen Aktiviert.
  5. Wenn Sie möchten, dass sich Benutzer nur mit ihren Active Directory-Anmeldeinformationen anmelden können, aktivieren Sie das Kontrollkästchen Automatische Anmeldung mit diesem Anbieter erzwingen.

    Wenn diese Option aktiviert ist, können sich Benutzer nicht mehr mit ihrem Orchestrator-Benutzernamen und -Kennwort anmelden. Sie müssen ihre Active Directory-Anmeldeinformationen mit einem Benutzernamen verwenden, der für die Domäne qualifiziert ist.

  6. Optional können Sie den Wert im Feld Anzeigename bearbeiten, um die Beschriftung der Schaltfläche für die Windows-Authentifizierung anzupassen, die auf der Anmeldeseite angezeigt wird.
  7. Starten Sie die IIS-Site neu. Dies ist immer dann erforderlich, wenn Sie Änderungen an externen Anbietern vornehmen.

Schritt 4. Überprüfen Sie das Authentifizierungsprotokoll

Da die Integration nun konfiguriert ist, empfehlen wir, eine Testanmeldung mit AD-Anmeldeinformationen durchzuführen und zu überprüfen, ob das Kerberos-Protokoll für die Anmeldung verwendet wird.

  1. Melden Sie sich beim Orchestrator mit Ihren Active Directory-Anmeldeinformationen an, um ein Anmeldeereignis zu erstellen.

    Notieren Sie sich die Zeit, zu der Sie sich angemeldet haben.

  2. Öffnen Sie Event Viewer in Windows.
  3. Gehen Sie zu Windows-Protokolle > Sicherheit.
  4. Suchen Sie in der Liste der Sicherheitsereignisse nach dem Eintrag mit den folgenden Besonderheiten:
    • Ereignis-ID: 4624
    • Datum und Uhrzeit: Das heutige Datum und die Uhrzeit, zu der Sie sich mit Ihren Active Directory-Anmeldeinformationen angemeldet haben.
  5. Doppelklicken Sie auf die Zeile, um das Dialogfeld mit den Ereigniseigenschaften zu öffnen.
  6. Scrollen Sie auf der Registerkarte Allgemein zum Abschnitt „Detaillierte Authentifizierungsinformationen“ und überprüfen Sie Folgendes:


    Wenn die Kerberos-Authentifizierung verwendet wurde:

    • Der Wert des Authentifizierungspakets muss Negotiate sein
    • Der Wert des Paketnamens muss leer sein (-), da dies nur für NTLM gilt. Wenn dieser Wert NTLM V2 ist, wurde das Standardauthentifizierungsprotokoll verwendet und nicht Kerberos.
Hinweis: Im Inkognito-Modus von Google Chrome fordert der Browser zur Eingabe von Anmeldeinformationen auf und führt eine explizite Authentifizierung mit Anmeldeinformationen durch. Der Ablauf funktioniert und es wird Kerberos verwendet.
Symbol für Support und Dienste
Hilfe erhalten
UiPath Academy-Symbol
RPA lernen – Automatisierungskurse
Symbol für UiPath-Forum
UiPath Community-Forum
UiPath Logo weiß
Vertrauen und Sicherheit
© 2005-2024 UiPath. All rights reserved.