Adding End-user AD Groups

Einleitung

Wichtig:

Um die einmalige Anmeldung für Endbenutzer zu aktivieren, ist die neueste Version des Verteiler-Builds nötig. (Mindestens v2021.4)

Wenn Sie die Einstellung ExternalAuthenticationProviders der Servereinstellungen vornehmen, wird die Registerkarte Gruppen im Fenster Endbenutzerverwaltung verfügbar. Hier können Sie neue AD-Benutzergruppen hinzufügen. Endbenutzer, die Mitglied einer auf der Registerkarte Gruppen definierten Gruppe sind, können sich bei UiPath Process Mining mit ihrem Microsoft-Konto per Single Sign-On anmelden. Je nach Authentifizierungsanbieter, der für Single Sign-On verwendet wird, wird die Schaltfläche Mit Microsoft anmelden oder Mit Ihrer Windows-Domäne anmelden im Anmeldedialogfeld angezeigt. Ein Beispiel finden Sie in der Abbildung unten.

Hinzufügen von Azure AD-Gruppen

Hinweis:

Beim Erstellen einer neuen Azure AD-Gruppe in der Endbenutzerverwaltung müssen Sie den Bezeichner der Azure AD-Gruppe angeben. Sie finden diese Azure AD-Gruppen-ID in den Gruppeneinstellungen im Microsoft Azure Portal.

Führen Sie diese Schritte aus, um eine AD-Gruppe hinzuzufügen.

Schritt	Aktion
1	Melden Sie sich bei der Anwendung als Benutzer mit Administratorberechtigungen an.
2	Klicken Sie auf Benutzereinstellungen . Klicken Sie auf das kleine Pfeilsymbol nach unten in der oberen rechten Ecke und wählen Sie Verwaltung im Dropdownmenü aus. Hinweis: Wenn Sie ein Superadministrator sind, können Sie auch Zugriffsrechte von Endbenutzern konfigurieren, indem Sie sich als Endbenutzer-Administrator ausgeben. Siehe Endbenutzerverwaltung .
3	Wechseln Sie auf der Seite „Benutzerverwaltung“ zur Registerkarte Gruppen und klicken Sie auf NEUE GRUPPE .
4	Klicken Sie im Dialogfeld Neue AD-Gruppe auf Name und geben Sie einen beschreibenden Namen für die neue Benutzergruppe ein.
5	Klicken Sie auf Bezeichner und geben Sie den Azure AD-Gruppenbezeichner ein.
6	Klicken Sie auf GRUPPE HINZUFÜGEN .

Ein Beispiel finden Sie in der Abbildung unten.

Die neue Gruppe wird erstellt und in der Liste der Gruppen angezeigt. Siehe Abbildung unten.

Endbenutzer, die Mitglied einer auf der Registerkarte Gruppen definierten Gruppe sind, können sich jetzt über die Schaltfläche Mit Microsoft anmelden im Dialogfeld Anmeldung mit ihrem Microsoft-Konto bei der Anwendung anmelden .

Hinzufügen von AD-Gruppen für die integrierte Windows-Authentifizierung

Führen Sie diese Schritte aus, um eine AD-Gruppe hinzuzufügen.

Schritt	Aktion
1	Melden Sie sich bei der Anwendung als Benutzer mit Administratorberechtigungen an.
2	Klicken Sie auf Benutzereinstellungen . Klicken Sie auf das kleine Pfeilsymbol nach unten in der oberen rechten Ecke und wählen Sie Verwaltung im Dropdownmenü aus. Hinweis: Wenn Sie ein Superadministrator sind, können Sie auch Zugriffsrechte von Endbenutzern konfigurieren, indem Sie sich als Endbenutzer-Administrator ausgeben. Siehe Endbenutzerverwaltung .
3	Wechseln Sie auf der Seite „Benutzerverwaltung“ zur Registerkarte Gruppen und klicken Sie auf NEUE GRUPPE .
4	Klicken Sie im Dialogfeld Neue AD-Gruppe auf Name und geben Sie einen beschreibenden Namen für die neue Benutzergruppe ein.
5	Klicken Sie auf Bezeichner und geben Sie den vollständigen Namen der IWA-Gruppe von Benutzern ein, die sich anmelden dürfen. Hinweis: Sie müssen das Format CN=All Users,OU=Distribution Groups,DC=Company,DC=com verwenden.
6	Klicken Sie auf GRUPPE HINZUFÜGEN .

Wichtig:

Bei AD-Gruppen wird die Groß-/Kleinschreibung beachtet.

Ein Beispiel finden Sie in der Abbildung unten.

Die neue Gruppe wird erstellt und in der Liste der Gruppen angezeigt. Siehe Abbildung unten.

Endbenutzer, die Mitglied einer auf der Registerkarte Gruppen definierten Gruppe sind, können sich jetzt über die Schaltfläche Mit Ihrer Windows-Domäne anmelden im Dialogfeld Anmeldung mit ihrem Microsoft-Konto bei der Anwendung anmelden.

Endbenutzeranmeldung

When an end-user logs in using single sign-on a new user is created automatically in the Users tab. See illustration below for an example.

Hinweis:

Der einmalige Anmelde-Zugriff wird über AD-Gruppen bereitgestellt, nicht über den automatisch bereitgestellten Benutzereintrag. Dies wird nur verwendet, um einzelne Einstellungen beizubehalten, z. B. Favoriten. Der Eintrag ist schreibgeschützt, sodass Sie die Benutzereinstellungen nicht ändern können.

Verwalten der Kontoaktivierung

Endbenutzerkonten können durch Deaktivieren einer AD-Gruppe deaktiviert werden. Wenn eine AD-Gruppe deaktiviert wird, können sich die Konten, die der Gruppe zugewiesen sind, nicht mehr anmelden.

Führen Sie diesen Schritt aus, um die Autorisierung für alle Endbenutzerkonten einer AD-Gruppe zu deaktivieren.

Schritt	Aktion
1	Klicken Sie auf das Kontrollkästchen in der Spalte Aktiv der AD-Gruppe.

Dabei handelt es sich um ein Umschalter-Kontrollkästchen. Das bedeutet, dass sich der Benutzer anmelden kann, wenn das Kontrollkästchen aktiviert ist bzw. die Anmeldung eingeschränkt ist, wenn es nicht aktiviert ist.

Lizenz

Obwohl die Benutzer über eine AD-Gruppe authentifiziert werden, wird eine Lizenz von jedem einzelnen Benutzer zugewiesen, der sich bei UiPath Process Mining anmeldet. Beachten Sie Folgendes: Wenn eine Gruppe deaktiviert oder gelöscht wird, können sich Benutzer nicht mehr anmelden und dennoch einen Lizenzslot zugewiesen bekommen, bis der Benutzer tatsächlich deaktiviert oder gelöscht wird.

Verwalten von Administratorrechten von Endbenutzern

Endbenutzerkonten aus einer AD-Gruppe können Administratorrechte erhalten. Dadurch erhalten sie Zugriff auf die Seite zur Benutzerverwaltung.

Führen Sie diese Schritte aus, um allen Mitgliedern einer AD-Gruppe Administratorrechte zuzuweisen.

Schritt	Aktion
1	Klicken Sie auf das Kontrollkästchen in der Spalte Administrator der AD-Gruppe.

Dabei handelt es sich um ein Umschalter-Kontrollkästchen. Das bedeutet, dass Benutzer über Administratorrechte verfügen, wenn das Kontrollkästchen aktiviert ist bzw. kein Administrator mehr ist, wenn es deaktiviert ist.

Hinweis:

• Ein Benutzer hat Administratorrechte, wenn er Mitglied von mindestens einer Gruppe ist, der Administratorzugriffsrechte zugewiesen sind.
• Der Eintrag eines Benutzers wird nur bei der Anmeldung aktualisiert. Dies bedeutet, dass wenn z. B. die Option Administrator für den Gruppeneintrag umgeschaltet ist, der Benutzer nach der nächsten Anmeldung über Administratorrechte verfügt.

Löschen von AD-Gruppen

Vorhandene AD-Gruppen können gelöscht werden. Benutzer eines gelöschten Benutzers können sich nicht mehr anmelden, es sei denn, sie sind Mitglied einer anderen AD-Gruppe.

Führen Sie die folgenden Schritte aus, um eine AD-Gruppe zu entfernen.

Schritt	Aktion
1	Klicken Sie auf die Schaltfläche Löschen in der Spalte der AD-Gruppe, die Sie löschen möchten.
2	Klicken Sie auf JA.

Die gelöschte AD-Gruppe befindet sich nicht mehr in der Liste.

Hinweis:

Benutzer werden beim Entfernen einer Gruppe nicht automatisch gelöscht. Ein Benutzer kann sich dann nicht mehr anmelden, belegt aber weiterhin einen Lizenz-Slot, bis der Benutzereintrag ebenfalls gelöscht wird.

Verwalten des Endbenutzer-App-Zugriffs für AD-Gruppen

Nur die Apps, auf die Benutzer Zugriff haben, können von Benutzern geöffnet werden. Auf diese Weise kann auch der Zugriff auf bestimmte Apps für Endbenutzerkonten eingeschränkt werden. Es ist möglich, allen Benutzern einer AD-Gruppe Rechte zum Öffnen einer bestimmten App zuzuweisen.

Führen Sie die folgenden Schritte aus, um Endbenutzern Rechte zu einer bestimmten App zuzuweisen.

Schritt	Aktion
1	Wechseln Sie zur Registerkarte Anwendungen auf der Seite „Benutzerverwaltung“. Gruppen sind am Gruppensymbol zu erkennen.
2	Klicken Sie auf das Kontrollkästchen in der Spalte [App-Name] der jeweiligen AD-Gruppe. Ein Beispiel finden Sie in der Abbildung unten.

Dabei handelt es sich um ein Umschalter-Kontrollkästchen. Das bedeutet, dass die Benutzer diese bestimmte App aufrufen können, wenn das Kontrollkästchen aktiviert ist, bzw. dass der Zugriff widerrufen wird, wenn das Kontrollkästchen nicht mehr aktiviert ist.

Kombinieren von Zugriffsrechten

Die Zugriffsrechte für einen Benutzer, der sich mit Single Sign-On anmeldet, werden durch die Kombination aller Rechte bestimmt, die jeder Gruppe gewährt werden, in der der Benutzer Mitglied ist. Wenn beispielsweise die Gruppe O2C-Benutzer Zugriff auf die O2C -App gewährt wird und die Gruppe P2P-Benutzer Zugriff auf die P2P- App gewährt wird, dann erhält ein Benutzer, der Mitglied beider Gruppen ist, Zugriff sowohl auf die O2C -App als auch auf die P2P- App . Ein Benutzer, der nur Mitglied der Gruppe P2P-Benutzer ist, hat nur Zugriff auf die P2P -App. Ein Beispiel finden Sie in der Abbildung unten.

Hinweis:

Dies gilt auch für Administratorrechte. Ein Benutzer verfügt über Administratorrechte, wenn er Mitglied von mindestens einer Gruppe ist, für die die Eigenschaft Administrator ausgewählt ist.

sync-endusers-Skript

Das Skript sync-endusers , das in einer Verbindungszeichenfolge verwendet werden kann, wenn der Treiberparameter der Verbindungszeichenfolge auf {mvscript} und der Skriptparameter auf sync-endusersfestgelegt wird.

ermöglicht auch die Synchronisierung von Gruppen.

Um eine Gruppe zu synchronisieren, sollten die Felder login und email weggelassen werden. Verwenden Sie stattdessen das Feld externalLogin , um

die Gruppe beschreiben. Die erforderliche Formatierung finden Sie unten.

Authentifizierungsmethode	Format
Azure AD	"aadgroup:{[guid]}"
Integrierte Windows-Authentifizierung	"iwagroup:{[Distinguished Name]}"

Hinweis:

Es ist auch möglich, das Flag "isAdmin" zu synchronisieren, um Endbenutzerkonten aus einer AD-Gruppe Administratorrechte zu gewähren.

Weitere Informationen finden Sie in der Tabellenhilfe auf mvscript: sync-endusers .