Adding End-user AD Groups

Einleitung

Wichtig: Um die einmalige Anmeldung (Single Sign-On, SSO) für Endbenutzer zu aktivieren, ist die neueste Version des Verteiler-Builds nötig. (Mindestens v2021.4)

Wenn Sie die Einstellung ExternalAuthenticationProviders der Servereinstellungen festlegen , wird die Registerkarte Gruppen im Fenster Endbenutzerverwaltung verfügbar. Hier können Sie neue AD-Benutzergruppen hinzufügen. Endbenutzer, die Mitglied einer auf der Registerkarte Gruppen definierten Gruppe sind, können sich bei UiPath Process Mining mit ihrem Microsoft-Konto per Single Sign-On anmelden. Je nach Authentifizierungsanbieter, der für Single Sign-On verwendet wird, wird die Schaltfläche Mit Microsoft anmelden oder Mit Ihrer Windows-Domäne anmelden im Dialogfeld Anmeldung angezeigt. Ein Beispiel finden Sie in der Abbildung unten.

Hinzufügen von Azure AD-Gruppen

Hinweis: Beim Erstellen einer neuen Azure AD -Gruppe in der Endbenutzerverwaltung müssen Sie den Bezeichner der Azure AD-Gruppe angeben. Sie finden diese Azure AD- Gruppen -ID in den Gruppeneinstellungen im Microsoft Azure Portal.

Führen Sie diese Schritte aus, um eine AD-Gruppe hinzuzufügen.

Schritt	Aktion
1	Melden Sie sich bei der Anwendung als Benutzer mit Administratorberechtigungen an.
2	Klicken Sie auf Benutzereinstellungen. Klicken Sie auf den kleinen Abwärtspfeil in der oberen rechten Ecke und wählen Sie Verwaltung aus dem Dropdown-Menü aus. Hinweis: Wenn Sie ein Superadministrator sind, können Sie auch Zugriffsrechte von Endbenutzern konfigurieren, indem Sie sich als ein Endbenutzer-Administrator ausgeben. Siehe Endbenutzerverwaltung.
3	Wechseln Sie auf der Seite Benutzerverwaltung zur Registerkarte Gruppen und klicken Sie auf NEUE GRUPPE.
4	Klicken Sie im Dialogfeld Neue AD-Gruppe auf Name und geben Sie einen beschreibenden Namen für die neue Benutzergruppe ein.
5	Klicken Sie auf Bezeichner , und geben Sie den Azure AD-Gruppenbezeichner ein.
6	Klicken Sie auf GRUPPE HINZUFÜGEN.

Ein Beispiel finden Sie in der Abbildung unten.

Die neue Gruppe wird erstellt und in der Liste der Gruppen angezeigt. Siehe Abbildung unten.

Endbenutzer, die Mitglied einer auf der Registerkarte Gruppen definierten Gruppe sind, können sich jetzt über die Schaltfläche Mit Microsoft anmelden im Dialogfeld Anmeldung mit ihrem Microsoft-Konto bei der Anwendung anmelden.

Hinzufügen von AD-Gruppen für die integrierte Windows-Authentifizierung

Führen Sie diese Schritte aus, um eine AD-Gruppe hinzuzufügen.

Schritt	Aktion
1	Melden Sie sich bei der Anwendung als Benutzer mit Administratorberechtigungen an.
2	Klicken Sie auf Benutzereinstellungen. Klicken Sie auf den kleinen Abwärtspfeil in der oberen rechten Ecke und wählen Sie Verwaltung aus dem Dropdown-Menü aus. Hinweis: Wenn Sie ein Superadministrator sind, können Sie auch Zugriffsrechte von Endbenutzern konfigurieren, indem Sie sich als ein Endbenutzer-Administrator ausgeben. Siehe Endbenutzerverwaltung.
3	Wechseln Sie auf der Seite Benutzerverwaltung zur Registerkarte Gruppen und klicken Sie auf NEUE GRUPPE.
4	Klicken Sie im Dialogfeld Neue AD-Gruppe auf Name und geben Sie einen beschreibenden Namen für die neue Benutzergruppe ein.
5	Klicken Sie auf Bezeichner und geben Sie den vollständigen Namen der IWA-Benutzergruppe ein, die sich anmelden darf. Hinweis: Sie müssen das Format CN=All Users,OU=Distribution Groups,DC=Company,DC=com verwenden.
6	Klicken Sie auf GRUPPE HINZUFÜGEN.

Wichtig: Bei AD-Gruppen muss die Groß-/Kleinschreibung beachtet werden.

Ein Beispiel finden Sie in der Abbildung unten.

Die neue Gruppe wird erstellt und in der Liste der Gruppen angezeigt. Siehe Abbildung unten.

Endbenutzer, die Mitglied einer auf der Registerkarte Gruppen definierten Gruppe sind, können sich jetzt über die Schaltfläche Mit Ihrer Windows-Domäne anmelden im Dialogfeld Anmeldung mit ihrem Microsoft-Konto bei der Anwendung anmelden.

Endbenutzeranmeldung

Wenn sich ein Endbenutzer mit Single Sign-On anmeldet, wird automatisch ein neuer Benutzer auf der Registerkarte Benutzer erstellt. Ein Beispiel finden Sie in der Abbildung unten.

Hinweis: Der Single Sign-On-Zugriff wird über AD-Gruppen bereitgestellt, nicht über den automatisch bereitgestellten Benutzereintrag. Dies wird nur verwendet, um einzelne Einstellungen beizubehalten, z. B. Favoriten. Der Eintrag ist schreibgeschützt, sodass Sie die Benutzereinstellungen nicht ändern können.

Verwalten der Kontoaktivierung

Endbenutzerkonten können durch Deaktivieren einer AD-Gruppe deaktiviert werden. Wenn eine AD-Gruppe deaktiviert wird, können sich die Konten, die der Gruppe zugewiesen sind, nicht mehr anmelden.

Führen Sie diesen Schritt aus, um die Autorisierung für alle Endbenutzerkonten einer AD-Gruppe zu deaktivieren.

Schritt	Aktion
1	Klicken Sie auf das Kontrollkästchen in der Spalte Aktiv der AD-Gruppe.

Dabei handelt es sich um ein Umschalter-Kontrollkästchen. Das bedeutet, dass sich der Benutzer anmelden kann, wenn das Kontrollkästchen aktiviert ist bzw. die Anmeldung eingeschränkt ist, wenn es nicht aktiviert ist.

Lizenz

Obwohl die Benutzer über eine AD-Gruppe authentifiziert werden, wird jedem einzelnen Benutzer, der sich bei UiPath Process Mininganmeldet, eine Lizenz zugewiesen. Beachten Sie, dass sich Benutzer beim Deaktivieren oder Löschen einer Gruppe nicht mehr anmelden können, aber immer noch ein Lizenzslot zugewiesen ist, bis der Benutzer tatsächlich deaktiviert oder gelöscht wird.

Verwalten von Administratorrechten von Endbenutzern

Endbenutzerkonten aus einer AD-Gruppe können Administratorrechte erhalten. Dadurch erhalten sie Zugriff auf die Seite zur Benutzerverwaltung.

Führen Sie diese Schritte aus, um allen Mitgliedern einer AD-Gruppe Administratorrechte zuzuweisen.

Schritt	Aktion
1	Klicken Sie auf das Kontrollkästchen in der Spalte Administrator der AD-Gruppe.

Dabei handelt es sich um ein Umschalter-Kontrollkästchen. Das bedeutet, dass Benutzer über Administratorrechte verfügen, wenn das Kontrollkästchen aktiviert ist bzw. kein Administrator mehr ist, wenn es deaktiviert ist.

Hinweis:

• Ein Benutzer hat Administratorrechte, wenn er Mitglied von mindestens einer Gruppe ist, der Administratorzugriffsrechte zugewiesen sind.
• Der Eintrag eines Benutzers wird nur bei der Anmeldung aktualisiert. Dies bedeutet, dass der Benutzer nach der nächsten Anmeldung über Administratorrechte verfügt, wenn beispielsweise die Option Administrator für den Gruppeneintrag umgeschaltet wird.

Löschen von AD-Gruppen

Vorhandene AD-Gruppen können gelöscht werden. Benutzer eines gelöschten Benutzers können sich nicht mehr anmelden, es sei denn, sie sind Mitglied einer anderen AD-Gruppe.

Führen Sie die folgenden Schritte aus, um eine AD-Gruppe zu entfernen.

Schritt	Aktion
1	Klicken Sie auf die Schaltfläche Löschen in der Spalte der AD-Gruppe, die Sie löschen möchten.
2	Klicken Sie auf JA.

Die gelöschte AD-Gruppe befindet sich nicht mehr in der Liste.

Hinweis: Benutzer werden beim Entfernen einer Gruppe nicht automatisch gelöscht. Ein Benutzer kann sich nicht mehr anmelden, belegt aber weiterhin einen Lizenzslot, bis auch der Benutzereintrag gelöscht wird.

Verwalten des Endbenutzer-App-Zugriffs für AD-Gruppen

Nur die Apps, auf die Benutzer Zugriff haben, können von Benutzern geöffnet werden. Auf diese Weise kann auch der Zugriff auf bestimmte Apps für Endbenutzerkonten eingeschränkt werden. Es ist möglich, allen Benutzern einer AD-Gruppe Rechte zum Öffnen einer bestimmten App zuzuweisen.

Führen Sie die folgenden Schritte aus, um Endbenutzern Rechte zu einer bestimmten App zuzuweisen.

Schritt	Aktion
1	Wechseln Sie zur Registerkarte Anwendungen auf der Seite „Benutzerverwaltung“. Gruppen sind am Gruppensymbol zu erkennen.
2	Klicken Sie auf das Kontrollkästchen in der Spalte [App-Name] der jeweiligen AD-Gruppe. Ein Beispiel finden Sie in der Abbildung unten.

Dabei handelt es sich um ein Umschalter-Kontrollkästchen. Das bedeutet, dass die Benutzer diese bestimmte App aufrufen können, wenn das Kontrollkästchen aktiviert ist, bzw. dass der Zugriff widerrufen wird, wenn das Kontrollkästchen nicht mehr aktiviert ist.

Kombinieren von Zugriffsrechten

Die Zugriffsrechte für einen Benutzer, der sich mit Single Sign-On anmeldet, werden durch Kombinieren aller Rechte bestimmt, die für jede Gruppe gewährt werden, der der Benutzer angehört. Wenn beispielsweise der Gruppe O2C-Benutzer Zugriff auf die O2C- App gewährt wird und der Gruppe P2P-Benutzer Zugriff auf die P2P -App, dann erhält ein Benutzer, der Mitglied beider Gruppen ist, Zugriff sowohl auf die O2C- App als auch auf die P2P -App. . Ein Benutzer, der nur Mitglied der Gruppe P2P-Benutzer ist, hat nur Zugriff auf die P2P -App. Ein Beispiel finden Sie in der Abbildung unten.

Hinweis: Dies gilt auch für Administratorrechte. Ein Benutzer verfügt über Administratorrechte, wenn er Mitglied mindestens einer Gruppe ist, für die die Eigenschaft Administrator ausgewählt ist.

sync-endusers-Skript

Das sync-endusers -Skript, das in einer Verbindungszeichenfolge verwendet werden kann, wenn der Treiberparameter der Verbindungszeichenfolge auf {mvscript} und der Skriptparameter auf sync-endusers wird.

ermöglicht auch die Synchronisierung von Gruppen.

Um eine Gruppe zu synchronisieren, sollten die Felder login und email weggelassen werden. Verwenden Sie stattdessen das Feld externalLogin , um

die Gruppe beschreiben. Die erforderliche Formatierung finden Sie unten.

Authentifizierungsmethode	Format
Azure AD	"aadgroup:{[guid]}"
Integrierte Windows-Authentifizierung	"iwagroup:{[Distinguished Name]}"

Hinweis: Es ist auch möglich, das Flag "isAdmin" zu synchronisieren, um Endbenutzerkonten von einer AD-Gruppe Administratorrechte zu gewähren.

Weitere Informationen finden Sie in der Tabellenhilfe auf mvscript: sync-endusers .