Einrichten der Microsoft Entra ID-Integration

Wenn Ihre Organisation Microsoft Entra ID oder Office 365 verwendet, können Sie Ihre Private Test Cloud-Organisation direkt mit Ihrem Microsoft Entra ID-Mandanten verbinden, um vorhandene Konten und Gruppen in Ihrer Private Test Cloud-Umgebung anzuzeigen.

Mit der Integration von Microsoft Entra ID können Sie das lokale Kontenmodell weiterhin nutzen, während Sie Ihre Organisation mit den zusätzlichen Vorteilen der Verwendung des Microsoft Entra ID-Modells urladen. Die Microsoft Entra ID-Integration ist so konzipiert, dass die Aktivierung und Einführung ohne Unterbrechung der Produktion für Ihre vorhandenen Benutzer erfolgen kann.

Wenn Ihre Organisation sich für die Verwendung des Microsoft Entra ID-Modells entschieden hat, befolgen Sie die Anweisungen auf dieser Seite, um die Integration einzurichten.

Voraussetzungen

Um die Microsoft Entra ID-Integration einzurichten, benötigen Sie:

• Administratorberechtigungen sowohl in Private Test Cloud als auch in Microsoft Entra ID (können unterschiedliche Personen sein)
• ein Microsoft Entra ID-Konto mit derselben E-Mail-Adresse wie das lokale UiPath-Konto des Organisationsadministrators, der die Integration durchführt. Beachten Sie, dass dieses Microsoft Entra ID-Konto nur zum Testen der Integration dient und keine Administratorberechtigungen in Azure benötigt
• UiPath Studio und UiPath Assistant ab Version 2020.10.3
• UiPath Studio und UiPath Assistant, die die empfohlene Bereitstellung verwenden
• Wenn Sie zuvor lokale Benutzerkonten verwendet haben, stellen Sie sicher, dass alle Ihre Microsoft Entra ID-Benutzer die E-Mail-Adresse im E-Mail-Feld haben. Die E-Mail-Adresse allein im Feld „Benutzerprinzipalname“ (UPN) ist nicht genug. Die Integration von Microsoft Entra ID verknüpft Verzeichnisbenutzerkonten mit den lokalen Benutzerkonten, wenn die E-Mail-Adressen übereinstimmen. Dadurch können Benutzer die Berechtigungen behalten, wenn sie von der Anmeldung mit ihrem lokalen Benutzerkonto zum Benutzerkonto Microsoft im Entra ID-Verzeichnis wechseln.
  Hinweis:

  UiPath verwendet das OIDC-Protokoll für die Integration mit Microsoft Entra ID. Die Integration unterstützt jedoch nicht die Verwendung von benutzerdefinierten Anwendungsschlüsseln durch Anfordern eines appid -Abfrageparameters in einer dedizierten URL, wie in der Dokumentation zu Zugriffstoken von Microsoft beschrieben.

Konfigurieren von Azure für die Integration

Ihre Organisation erfordert eine App-Registrierung in Ihrem Microsoft Entra ID-Mandanten und eine Konfiguration, damit Sie Ihre AD-Mitglieder anzeigen können, um die Kontoidentität zu bestimmen. Die App-Registrierungsdetails sind auch erforderlich, um Ihre Organisation später mit Ihrem Microsoft Entra ID-Mandanten zu verbinden.

Berechtigungen: Sie müssen ein Administrator in Azure sein, um die Schritte in diesem Abschnitt ausführen zu können. Die folgenden Azure-Administratorrollen verfügen über die erforderlichen Berechtigungen: Globaler Administrator, Cloudanwendungsadministrator und Anwendungsadministrator.

Es gibt zwei Möglichkeiten, Ihren Azure-Mandanten für die Integration einzurichten:

• Führen Sie die folgenden Schritte aus, um eine App-Registrierung für die Integration manuell zu konfigurieren.
• Verwenden Sie die UiPath Microsoft Entra ID-Skripts, die wir für diese Aufgabe erstellt haben und die auf GitHub verfügbar sind : Das Skript configAzureADconnection.ps1 führt alle in diesem Abschnitt beschriebenen Aktionen aus und gibt die App-Registrierungsdetails zurück. Dann können Sie das Skript testAzureADappRegistration.ps1 ausführen, um sicherzustellen, dass die App-Registrierung erfolgreich war.

Um Ihren Azure-Mandanten manuell zu konfigurieren, führen Sie die folgenden Schritte im Azure-Portal aus:

1. Erstellen Sie eine App-Registrierung für Private Test Cloud. Weitere Informationen finden Sie in der Dokumentation von Microsoft zum Registrieren einer Anwendung.

   Wählen Sie während der Registrierung Nur Konten in diesem Organisationsverzeichnis aus und legen Sie den Umleitungs-URI auf https://{yourDomain}/identity_/signin-oidc fest.

   Hinweis:

   Wenn Sie bereits über eine registrierte Anwendung für Ihre Organisation verfügen, muss keine neue erstellt werden. Stellen Sie aber sicher, dass die App wie zuvor beschrieben eingerichtet ist.

2. Öffnen Sie die Seite Übersicht der Anwendung, kopieren Sie die Anwendungs-(Client-)ID und die Verzeichnis-(Mandanten-)ID und speichern Sie sie für die spätere Verwendung:

   

3. Gehen Sie zur Seite Authentifizierung Ihrer App:

   1. Wählen Sie unter Umleitungs-URIs die Option URI hinzufügen aus, um einen neuen Eintrag hinzuzufügen.
   2. Fügen Sie https://{yourDomain}/portal_/testconnection zur Liste Umleitungs-URIs hinzu.
   3. Aktivieren Sie unten das Kontrollkästchen ID-Token .
   4. Wählen Sie Speichern.
   

4. Gehen Sie zur Seite Tokenkonfiguration.

5. Wählen Sie Optionalen Anspruch hinzufügen aus.

6. Wählen Sie unter Tokentyp die Option ID aus.

7. Aktivieren Sie die Kontrollkästchen für family_name, given_name und upn , um sie als optionale Ansprüche hinzuzufügen:

   

8. Gehen Sie zur Seite API-Berechtigungen.

9. Wählen Sie Berechtigung hinzufügen aus und fügen Sie die folgenden delegierten Berechtigungen aus der Kategorie Microsoft Graph hinzu:

   • OpenId-Berechtigungen – email, openid, offline_access, profile
   • Berechtigungen für Gruppenmitglieder – GroupMember.Read.All
   • Benutzerberechtigungen – User.Read, User.ReadBasic.All, User.Read.All (erfordert Administratorzustimmung)
   

In der folgenden Tabelle werden die API-Berechtigungen beschrieben:

Berechtigung	Was Sie damit tun können	Was wir damit tun
email, openid, profile, offline_access, User.Read	Ermöglicht Microsoft Entra ID die Ausstellung eines Benutzertoken für die Systemanwendung	Benutzern die Anmeldung beim System mit einer Microsoft Entra-ID-Anmeldung ermöglichen. Dadurch können wir unser Benutzerobjekt auf dem neuesten Stand halten und die Konsistenz dieser Attribute sicherstellen.
User.ReadBasic.All	Liest grundlegende Eigenschaften aller Benutzer im Verzeichnis, die der angemeldete Benutzer anzeigen darf	Wenn ein Benutzer anderen Benutzern im Verzeichnis Berechtigungen für Ressourcen zuweist, können diese Benutzer gesucht werden. Die Funktionen für die Zugriffsverwaltung/Autorisierung befinden sich in der Systembenutzerumgebung.
User.Read.All (erfordert die Zustimmung des Administrators)	Liest alle Benutzereigenschaften im Verzeichnis, die der angemeldete Benutzer anzeigen darf	Möglicherweise möchte Ihr Administrator diese zusätzlichen Benutzereigenschaften importieren, um Berechtigungen zu konfigurieren oder benutzerdefinierte Informationen in den Systemdiensten anzuzeigen. Für Kunden von Automation Hub, die alle Attribute von Microsoft Entra ID erhalten möchten, ist es erforderlich, der App die Berechtigung User.Read.All zu erteilen.
GroupMember.Read.All	Liest die Gruppenmitgliedschaften aller Benutzer, auf die der angemeldete Benutzer Zugriff hat	Wenn Ihre Organisation Gruppen verwendet, um Berechtigungen im System zu verwalten, muss die Plattform alle Gruppen auflisten und die Mitglieder einer Gruppe erkennen können. Dies ermöglicht sowohl die Verwaltung als auch die Durchsetzung von gruppenbasierten Berechtigungen.

10. Setzen Sie einen Haken im Kontrollkästchen Administratorzustimmung gewähren.

    Hinweis:

    Der Administrator stimmt im Namen aller Benutzer im Active Directory des Mandanten zu. Dies ermöglicht der Anwendung den Zugriff auf die Daten aller Benutzer, ohne dass die Benutzer aufgefordert werden, zuzustimmen. Weitere Informationen zu Berechtigungen und Zustimmung finden Sie in der Dokumentation zu Microsoft Entra ID von Microsoft .

11. Gehen Sie zur Seite Zertifikate und Geheimschlüssel , um einen neuen geheimen Clientschlüssel oder ein neues Zertifikat zu erstellen.

    • Option 1. Geheimer Clientschlüssel. Weitere Informationen zu Clientgeheimnissen finden Sie in der Dokumentation von Microsoft unter Hinzufügen eines neuen geheimen Clientschlüssels.
      Hinweis:

      Der erstellte geheime Clientschlüssel ist nicht dauerhaft. Sie müssen den geheimen Clientschlüssel nach dessen Gültigkeitszeitraum aktualisieren.

    • Option 2. Zertifikat. Die übergeordneten Schritte zum Konfigurieren von Zertifikaten werden unter Einrichten eines Azure Key Vault-Zertifikats für UiPath beschrieben. Weitere Informationen zu Zertifikaten finden Sie unter Einrichten und Abrufen eines Zertifikats aus Azure Key Vault in der Microsoft-Dokumentation.

12. Stellen Sie Ihrem Organisationsadministrator die Werte Verzeichnis-(Mandanten)-ID und Anwendungs-(Client)-ID bereit. Wenn Sie die Option „Geheimer Clientschlüssel“ ausgewählt haben, geben Sie auch den Wert des geheimen Clientschlüssels an. Wenn Sie die Zertifikatoption ausgewählt haben, geben Sie die Zertifikatdetails an. Mit diesen Informationen kann der Administrator mit der Konfiguration fortfahren.

    

Einrichten eines Azure Key Vault-Zertifikats für UiPath

Dieser Abschnitt beschreibt die groben Schritte für die Konfiguration mit einem Zertifikat. Sie können auch einen geheimen Clientschlüssel verwenden. Weitere Informationen zum Einrichten von Zertifikaten finden Sie unter Einrichten und Abrufen eines Zertifikats aus Azure Key Vault in der Microsoft-Dokumentation. Führen Sie diese allgemeine Schritte aus, um ein Zertifikat einzurichten:

1. Melden Sie sich bei Azure Key Vault an und navigieren Sie zum Abschnitt Zertifikate .

2. Erstellen Sie ein Zertifikat mit dem Antragsteller als CN=uipath.com und Inhaltstyp als PEM .

   

3. Laden Sie das Zertifikat nach der Erstellung im PFX/PEM-Format herunter.

4. Öffnen Sie die Datei .pem mit einem Texteditor. Er muss aus zwei Abschnitten bestehen: BEGIN PRIVATE KEY/END PRIVATE KEY und BEGIN CERTIFICATE/END CERTIFICATE.

5. Erstellen Sie eine neue .pem -Datei, die nur die Zeilen zwischen BEGIN CERTIFICATE und END CERTIFICATE.enthält.

6. Suchen Sie im Azure-Portal die Registerkarte Zertifikate und Geheimnisse in Ihrer App-Registrierung und laden Sie die neue .pem -Datei hoch.

7. Als Teil der Konfiguration {Delivery option} müssen Sie den gesamten Inhalt des heruntergeladenen .pemZertifikats aus Azure Key Vault in das Feld Geheimer Clientschlüssel oder Zertifikat einfügen.

   Hinweis:

   Die maximal zulässige Größe für Zertifikate beträgt 10 KB.

Bereitstellen der Integration in Private Test Cloud

Nachdem das Azure-Setup abgeschlossen ist, können Sie sich auf die Integration vorbereiten, sie aktivieren und alte Konten bereinigen. Der Prozess erfolgt schrittweise, sodass es zu keinen Unterbrechungen für Ihre Benutzer kommt.

Hinweis:

Sie müssen ein Organisationsadministrator in der Private Test Cloud sein, um die Schritte in diesem Abschnitt ausführen zu können.

Inaktive Benutzer bereinigen

Wenn Sie Private Test Cloud durch Aktivieren der Integration mit Microsoft Entra ID verbinden, werden Konten mit übereinstimmenden E-Mail-Adressen verknüpft, sodass das Microsoft Entra ID-Konto von den gleichen Berechtigungen wie das übereinstimmende lokale UiPath-Konto profitiert.

Wenn Ihre Organisation E-Mail-Recycling betreibt, d. h., dass eine E-Mail-Adresse, die in der Vergangenheit verwendet wurde, in der Zukunft einem neuen Benutzer zugewiesen werden kann, könnte dies zu einem erhöhten Zugriffsrisiko führen.

Angenommen, Sie hatten einmal einen Mitarbeiter, dessen E-Mail-Adresse [e-mail] lautete und der über ein lokales Konto verfügte, als er Organisationsadministrator war. Inzwischen hat er aber das Unternehmen verlassen und die E-Mail-Adresse wurde deaktiviert, der Benutzer jedoch nicht entfernt.

Wenn ein neuer Mitarbeiter mit dem Namen „John Doe“ in Ihr Unternehmen eintritt, erhält er dieselbe E-Mail-Adresse [e-mail] . In diesem Fall übernimmt er Organisationsadministratorrechte, wenn Konten im Rahmen der Integration mit der Microsoft Entra-ID verknüpft sind.

Um solche Situationen zu verhindern, entfernen Sie alle Benutzer, die nicht mehr aktiv sind, aus der Private Test Cloud-Organisation, bevor Sie mit dem nächsten Schritt fortfahren. Sie können diesen Schritt überspringen, wenn inaktive E-Mail-Adressen in Ihrer Organisation nicht wiederverwendet werden.

Aktivieren Sie die Microsoft Entra ID-Integration

Hinweis:

Bevor Sie beginnen:

• Stellen Sie sicher, dass die Azure-Konfiguration abgeschlossen ist;
• Holen Sie die Verzeichnis-(Mandanten-)ID, die Anwendungs-(Client-)ID und die Werte der geheimen Clientschlüssel für die Registrierung der Private Test Cloud-App in Azure von Ihrem Azure-Administrator ein.

Um die Integration von Microsoft Entra ID zu aktivieren, führen Sie folgende Schritte in Private Test Cloud aus:

1. Wechseln Sie zu Administrator und wählen Sie, falls nicht bereits ausgewählt, oben im Bereich auf der linken Seite die Organisation aus.

2. Wählen Sie Sicherheit aus, um die Sicherheitseinstellungen zu öffnen .

3. Wählen Sie auf der Registerkarte Authentifizierungseinstellungen unter Verzeichnisintegration für SSO die Option SSO konfigurieren aus.

4. Wählen Sie Microsoft Entra ID im SSO-Konfigurationsbereich.

5. Füllen Sie die Felder mit den Informationen aus, die Sie von Ihrem Azure-Administrator erhalten haben.

6. Markieren Sie das Kontrollkästchen neben Ich verstehe und akzeptiere, dass hinzugefügte Benutzer und Microsoft Entra ID-Benutzer mit übereinstimmenden E-Mail-Adressen mit ihren Konten verknüpft werden.

7. Wählen Sie Testverbindung aus, um zu überprüfen, ob die Integration korrekt konfiguriert wurde.

8. Wenn Sie dazu aufgefordert werden, melden Sie sich mit Ihrem Microsoft Entra ID-Konto an.

   Eine erfolgreiche Anmeldung zeigt an, dass die Integration korrekt konfiguriert wurde. Falls dies fehlschlägt, bitten Sie Ihren Azure-Administrator, zu überprüfen, ob Azure korrekt konfiguriert ist, und versuchen Sie es dann erneut.

9. Wählen Sie Speichern aus, um die Integration für Ihre Organisation zu aktivieren.

   Nachdem Sie Ihre Änderungen gespeichert haben, werden übereinstimmende Konten automatisch verknüpft.​

10. Melden Sie sich ab.

11. Navigieren Sie zur Organisations-URL (https://{yourDomain}/organizationID/) und melden Sie sich mit Ihrem Microsoft Entra ID-Konto an.

Jetzt können Sie mit den Benutzern und Gruppen in der Microsoft Entra-ID des verknüpften Mandanten arbeiten. Verzeichniskonten und -gruppen werden weder auf der Seite Benutzer noch auf der Seite Gruppen unter Administrator – Konten und Gruppen aufgeführt. Sie können sie nur über die Suche finden.

Testen Sie die Integration der Microsoft Entra-ID

Um zu überprüfen, ob die Integration ausgeführt wird, melden Sie sich als Organisationsadministrator mit einem Microsoft Entra ID-Konto an und versuchen Sie, auf den zugehörigen Seiten nach Microsoft Entra ID-Benutzern und -Gruppen zu suchen , z. B. im Panel Gruppe bearbeiten in der Private Test Cloud (Admin > Konten und Gruppen > Gruppen > Bearbeiten).

Wenn Sie nach Benutzern und Gruppen suchen können, die aus einer Microsoft Entra-ID stammen, bedeutet dies, dass die Integration läuft. Sie können den Benutzer- oder Gruppentyp anhand des Symbols erkennen.

Wenn bei der Suche nach Benutzern ein Fehler auftritt, wie im folgenden Beispiel gezeigt, heißt das, dass mit der Konfiguration in Azure etwas nicht stimmt. Wenden Sie sich an Ihren Azure-Administrator, und bitten Sie ihn, zu überprüfen, ob Azure wie zuvor in der Dokumentation zum Konfigurieren von Azure für die Integration beschrieben eingerichtet ist.

Tipp:

Bitten Sie Ihren Azure-Administrator zu bestätigen, dass er das Kontrollkästchen Administratorzustimmung gewähren während der Azure-Konfiguration aktiviert hat. Dies ist eine häufige Ursache, warum die Integration fehlschlägt.

Abschluss des Übergangs zu Microsoft Entra ID

Nachdem die Integration aktiv ist, empfehlen wir Ihnen, die Anweisungen in diesem Abschnitt zu befolgen, um sicherzustellen, dass die Benutzererstellung und Gruppenzuweisungen an Microsoft Entra ID übergeben werden. So können Sie auf Ihrer bestehenden Identitäts- und Zugriffsverwaltungsinfrastruktur für eine einfachere Governance und Zugriffsverwaltungskontrolle über Ihre UiPath-Ressourcen in Private Test Cloud aufbauen.

Gruppen für Berechtigungen und Roboter konfigurieren (optional)

Sie können dies tun, um sicherzustellen, dass der Azure-Administrator auch neue Benutzer mit den gleichen Berechtigungen und Roboterkonfigurationen ausstatten kann, die Sie vor der Integration eingerichtet haben. Dazu können sie alle neuen Benutzer zu einer Microsoft Entra ID-Gruppe hinzufügen, wenn der Gruppe bereits die erforderlichen Rollen zugewiesen sind.

Sie können Ihre bestehenden Benutzergruppen aus der Private Test Cloud neuen oder vorhandenen Gruppen in Microsoft Entra ID zuordnen. Dies ist auf verschiedene Arten möglich, abhängig davon, wie Sie Gruppen in Microsoft Entra ID verwenden:

• Wenn sich Benutzer mit den gleichen Rollen in Private Test Cloud bereits in denselben Gruppen in Microsoft Entra ID befinden, kann der Organisationsadministrator diese Microsoft Entra ID-Gruppen zu den Benutzergruppen hinzufügen, in denen diese Benutzer waren. Dadurch wird sichergestellt, dass Benutzer die gleichen Berechtigungen und das gleiche Roboter-Setup behalten.
• Andernfalls kann der Azure-Administrator neue Gruppen in Microsoft Entra ID erstellen, um mit denen in Private Test Cloud zu übereinstimmen, und dieselben Benutzer hinzufügen, die sich in den UiPath-Benutzergruppen befinden. Dann kann der Organisationsadministrator die neuen Microsoft Entra ID-Gruppen zu den vorhandenen Benutzergruppen hinzufügen, um sicherzustellen, dass dieselben Benutzer die gleichen Rollen haben.

Stellen Sie sicher, dass Sie in allen Instanzen alle Rollen überprüfen, die Benutzern speziell zugewiesen sind. Entfernen Sie nach Möglichkeit diese direkten Rollenzuweisungen und fügen Sie diese Benutzer zu Gruppen hinzu, denen diese Rollen bereits zugewiesen sind.

Angenommen, die Gruppe Administrators in Private Test Cloud umfasst die Benutzer „Anna“, „Tom“ und „John“. Dieselben Benutzer befinden sich auch in einer Gruppe in Microsoft Entra ID namens admins. Der Organisationsadministrator kann die Azure-Gruppe admins zur Gruppe Administrators in Private Test Cloud hinzufügen. So profitieren auch Maria, Tom und John als Mitglieder der Microsoft Entra ID-Gruppe admins von den Rollen der Gruppe Administrators in Private Test Cloud.

Da admins jetzt Teil der Gruppe Administrators ist, kann der Azure-Administrator den neuen Benutzer zur Gruppe admins in Azure hinzufügen, wodurch er ihm Administratorberechtigungen in der Private Test Cloud gewährt, ohne Änderungen vornehmen zu müssen Private Test Cloud.

Hinweis:

Änderungen an Microsoft Entra ID-Gruppenzuweisungen werden in der Private Test Cloud innerhalb einer Stunde übernommen, wenn sich der Benutzer mit seinem Microsoft Entra ID-Konto anmeldet, oder, wenn er bereits angemeldet ist, innerhalb einer Stunde.

Vorhandene Benutzer migrieren

Damit die Berechtigungen gelten, die Microsoft Entra ID-Benutzern und -Gruppen zugewiesen sind, müssen sich Benutzer mindestens einmal anmelden. Wir empfehlen Ihnen, nach der Ausführung der Integration alle Ihre Benutzer aufzufordern, sich von ihrem lokalen Konto abzumelden und sich mit ihrem Microsoft Entra ID-Konto erneut anzumelden. Sie können sich mit ihrem Microsoft Entra ID-Konto anmelden, indem sie:

• Navigieren zur organisationsspezifischen URL der Private Test Cloud – in diesem Fall ist der Anmeldetyp bereits ausgewählt. Die URL muss die Organisations-ID enthalten und mit einem Schrägstrich enden, z. B. https://{yourDomain}/orgID/.
• durch Auswählen von Enterprise SSO auf der Haupt-Anmeldeseite Stellen Sie sicher, dass Sie allen Benutzern Ihre organisationsspezifische URL für Private Test Cloud zur Verfügung stellen.

Migrierte Benutzer erhalten die kombinierten Berechtigungen, die ihnen direkt in Private Test Cloud zugewiesen wurden, zusammen mit denen aus ihren Microsoft Entra ID-Gruppen.

So richten Sie Studio und Assistant für die Verbindung mit Microsoft Entra ID-Konten ein:

1. Öffnen Sie im UiPath Assistant Einstellungen und wählen Sie die Registerkarte Orchestrator-Verbindung aus.
2. Wählen Sie Abmelden aus.
3. Wählen Sie für den Verbindungstyp Dienst-URL aus.
4. Fügen Sie im Feld Dienst-URL die organisationsspezifische URL hinzu. Die URL muss die Organisations-ID enthalten und mit einem Schrägstrich enden, z. B. https://{yourDomain}/orgID/. Andernfalls schlägt die Verbindung mit dem Hinweis fehl, der Benutzer gehöre keiner Organisation an.
5. Melden Sie sich mit dem Microsoft Entra ID-Konto wieder an.
   Wichtig:

   Berechtigungen von Microsoft Entra ID-Gruppen beeinflussen nicht die Automatisierungen aus klassischen Ordnern oder den Robotern, die mit dem Maschinenschlüssel verbunden sind. Um mit gruppenbasierten Berechtigungen zu arbeiten, konfigurieren Sie die Automatisierungen in modernen Ordnern und verwenden Sie die Option Dienst-URL , um eine Verbindung mit dem UiPath Assistant oder Studio herzustellen.

Verwendung von lokalen UiPath-Konten einstellen (optional)

Wir empfehlen Ihnen, die Verwendung lokaler Konten zu beenden, um die grundlegenden Compliance- und Effizienzvorteile der vollständigen Integration zwischen Private Test Cloud und Microsoft Entra ID zu maximieren.

Wichtig:

Entfernen Sie nur Konten von Nicht-Administratoren. Sie sollten mindestens ein lokales Konto für einen Organisationsadministrator behalten, um die Authentifizierungseinstellungen in der Zukunft ändern zu können.

Warnung:

Stellen Sie sicher, dass sich alle Benutzer mindestens einmal mit ihrem Microsoft Entra ID-Konto angemeldet haben, bevor Sie ihre lokalen Konten entfernen. Die Kontoverknüpfung erfolgt nur bei der ersten Verzeichnisanmeldung. Wenn ein lokales Konto gelöscht wird, bevor sich der Benutzer mit dem Verzeichniskonto anmeldet, wird stattdessen eine neue Verzeichnisidentität erstellt – der Benutzer verliert den Zugriff auf seine vorherige Arbeit, einschließlich Projekte und Lösungen. Dies kann nicht rückgängig gemacht werden.

Nachdem alle Benutzer migriert wurden, können Sie die Benutzer, die Nicht-Administratoren sind, von der Registerkarte Benutzer entfernen, sodass sich Ihre Benutzer nicht mehr mit ihren lokalen Konten anmelden können. Sie können diese Konten anhand ihrer Benutzersymbole erkennen.

Sie können auch einzelne Berechtigungen in den UiPath-Diensten, z. B. dem Orchestrator-Dienst, bereinigen und einzelne Benutzer aus Gruppen entfernen, sodass die Berechtigungen ausschließlich von der Microsoft Entra ID-Gruppenmitgliedschaft abhängen.

Erweiterte Funktionen

Im folgenden Abschnitt werden einige nützliche Hinweise über erweiterte Funktionen beschrieben, die Sie jetzt nutzen können, nachdem Sie die Microsoft Entra ID-Integration eingerichtet haben.

Beschränken Sie den Zugriff auf Ihre Organisation

Da die Integration mit Microsoft Entra ID auf der Ebene des Azure-Mandanten durchgeführt wird, können standardmäßig alle Benutzer von Microsoft Entra ID auf Private Test Cloud zugreifen. Wenn sich ein Microsoft Entra ID-Benutzer zum ersten Mal bei seiner UiPath-Organisation anmeldet, wird er automatisch in die UiPath-Gruppe Everyone aufgenommen, wodurch er die Rolle Benutzer in der Organisation erhält, die die grundlegende Zugriffsebene innerhalb des UiPath-Ökosystems bietet.

Wenn Sie nur bestimmten Benutzern Zugriff auf Ihre Organisation gewähren möchten, können Sie die Benutzerzuweisung für die UiPath-App-Registrierung in Azure aktivieren. Auf diese Weise müssen Benutzer explizit zugewiesen werden, um darauf zugreifen zu können. Anweisungen finden Sie unter Beschränken Ihrer App auf eine Gruppe von Benutzern in der Microsoft Entra ID-Dokumentation von Microsoft.

Zugriff auf vertrauenswürdige Netzwerke oder Geräte einschränken

Wenn Sie Ihren Benutzern nur den Zugriff auf Private Test Cloud von einem vertrauenswürdigen Netzwerk oder einem vertrauenswürdigen Gerät aus erlauben möchten, können Sie die Funktion Microsoft Entra ID – Bedingter Zugriff verwenden.

Governance für Gruppen in Microsoft Entra ID

Wenn Sie Gruppen in Microsoft Entra ID für das einfache UiPath-Onboarding direkt aus Microsoft Entra ID erstellt haben, wie zuvor in Konfigurieren von Gruppen für Berechtigungen und Roboter beschrieben, können Sie die erweiterten Sicherheitsoptionen der privilegierten Identitätsverwaltung (PIM) für diese Gruppen verwenden, um den Zugriff zu steuern Anforderungen für UiPath-Gruppen. Weitere Informationen finden Sie in der Microsoft-Dokumentation zu PIM.

Häufige Fragen

Was ändert sich für meine Benutzer, sobald die Integration aktiv ist?

Benutzer können sich sofort mit ihrem bestehenden Microsoft Entra ID-Konto anmelden und von den gleichen Berechtigungen profitieren, die sie in ihrem lokalen Konto hatten.

Wenn Sie deren lokale Konten nicht entfernt haben, können sich Benutzer auch weiterhin mit ihrem lokalen Konto anmelden, beide Methoden funktionieren.

Um ihr Microsoft Entra ID-Konto zu verwenden, müssen sie zu Ihrer organisationsspezifischen URL navigieren, die das Format https://{yourDomain}/orgID/ aufweist, oder auf der Hauptanmeldeseite Enterprise SSO auswählen.

Eine weitere Änderung besteht darin, dass Benutzer beim Aufrufen dieser URL automatisch angemeldet werden, wenn sie bereits durch die Nutzung einer anderen Anwendung bei einem Microsoft Entra ID-Konto angemeldet sind.

Welche Rollen haben die jeweiligen Konten?

Microsoft Entra ID-Konto: Wenn sich ein Benutzer mit dem Microsoft Entra ID-Konto anmeldet, profitiert er sofort von allen Rollen, die er auf dem lokalen Konto hatte, sowie von allen Rollen, die innerhalb von UiPath dem Microsoft Entra ID-Konto oder den Microsoft Entra ID-Gruppen zugewiesen wurden zu denen sie gehören. Diese Rollen können vom Microsoft Entra ID-Benutzer oder der Microsoft Entra ID-Gruppe stammen, die in Gruppen enthalten sind, oder von anderen Diensten, bei denen dem Microsoft Entra ID-Benutzer oder der Microsoft Entra ID-Gruppe Rollen zugewiesen wurden.

Lokales Konto: Wenn die Microsoft Entra ID-Integration aktiv ist, kommt es bei lokalen Konten auf Folgendes an:

• Wenn sich der Benutzer nicht mindestens einmal mit dem Microsoft Entra ID-Konto angemeldet hat, hat er nur die Rollen des lokalen Kontos.
• Wenn sich Benutzer mit ihrem Microsoft Entra ID-Konto anmelden, hat das lokale Konto alle Rollen, die der Microsoft Entra ID-Benutzer innerhalb von UiPath hat, entweder explizit zugewiesene oder von Gruppenmitgliedschaften übernommene.

Muss ich die Berechtigungen für die Microsoft Entra ID-Konten erneut verteilen?

Nein. Da übereinstimmende Konten automatisch verknüpft werden, gelten die vorhandenen Berechtigungen auch bei Anmeldung mit dem Microsoft Entra ID-Konto. Wenn Sie sich jedoch entscheiden, die Verwendung von lokalen Konten einzustellen, stellen Sie sicher, dass zuvor die entsprechenden Berechtigungen für Benutzer und Gruppen von Microsoft Entra ID festgelegt wurden.