Einmaliges Anmelden über integrierte Windows-Authentifizierung einrichten

Einleitung

Auf dieser Seite wird beschrieben, wie Sie Single Sign-On über die integrierte Microsoft Windows-Authentifizierung einrichten.

Wichtig: Die Single-Sign-On-Authentifizierung für UiPath Process Mining über die integrierte Windows-Authentifizierung von Microsoft erfordert, dass sich sowohl der Benutzer, der sich anmeldet, als auch der IIS-Server in derselben Domäne befinden. Wenn Ihr Setup umfasst, dass sich Benutzer von verschiedenen Domänen aus anmelden, sollten Sie eine der anderen Authentifizierungsmethoden wie SAML oder Azure Active Directoryin Betracht ziehen.

Wenn die integrierte Microsoft-Windows-Authentifizierung aktiviert und korrekt konfiguriert ist, wird unten auf der Anmeldeseite eine Schaltfläche angezeigt. Siehe Abbildung unten.

Schritt 1: Konfigurieren des Servers, auf dem UiPath Process Mining ausgeführt wird.

Hinweis: Bevor Sie mit den nächsten Schritten fortfahren, muss der IIS-Server, auf dem der UiPath Process Mining-Server ausgeführt wird, korrekt konfiguriert sein. Eine detaillierte Beschreibung zum Einrichten der integrierten Windows-Authentifizierung im Internet Information Services (IIS) Manager finden Sie in der offiziellen Microsoft-Dokumentation.

Schritt 2: Konfigurieren von UiPath Process Mining für Single Sign-On

Servereinstellungen konfigurieren

1. Wechseln Sie zur Registerkarte Einstellungen der Seite Superadministrator Ihrer UiPath Process Mining-Installation. Siehe Abbildung unten.

   
   

   

   
   
2. Fügen Sie die erforderlichen integrierten Windows-Authentifizierungseinstellungen in der ExternalAuthenticationProviders-Einstellung der Servereinstellungen hinzu. Nachfolgend finden Sie eine Beschreibung der JSON-Schlüssel des integratedWindowsAuthentication-Objekts.

   Schlüssel	Beschreibung
   url	Der LDAP-URL-Domänencontroller in der Domäne, die Sie verwenden möchten. Diese URL muss über den UiPath Process Mining -Server zugänglich sein. Verwenden Sie das Format: ldap://dc.company.domain.com.
   base	Der definierte Basisname, unter dem Benutzer authentifiziert werden sollen. Verwenden Sie das Format DC=Company,DC=com. Der genaue Name hängt von der Einrichtung des AD ab.
   bindDN	Der Benutzername des AD-Benutzers, der zum Abrufen von Benutzergruppen verwendet wird. Dieser Benutzer sollte die Rechte haben, Benutzergruppen nach Benutzern abzufragen, die sich anmelden dürfen. Hinweis: Diesem Benutzer muss möglicherweise der Domänenname vorangestellt werden, z. B.: DOMAINNAME\)\)\)\)username . Die doppelten umgekehrten Schrägstriche sind erforderlich, um als Escape-Zeichen zu fungieren. Alternativ können Sie Ihren DC als Postfix verwenden, z. B.: [e-mail] .
   bindCredentials	Das Kennwort des in bindDN angegebenen Benutzers. Siehe auch Verwenden eines Anmeldeinformationsspeichers.
   search_query	Ermöglicht Ihnen anzugeben, ob sich Benutzer mit einem anderen Attribut als userPrincipalName anmelden können.
   tlsOptions	Ermöglicht es Ihnen, zusätzliche Optionen für die Verwendung mit LDAPS anzugeben. ca : Wird verwendet, um das Zertifikat anzugeben, das verwendet werden soll. rejectUnauthorized : Legen Sie dies auf true fest. Siehe auch Einrichten von Secure LDAP.

   In der Abbildung unten finden Sie ein Beispiel für die Servereinstellungen mit der ExternalAuthenticationProviders -Einstellung mit dem integratedWindowsAuthentication -Objekt.

   , "ExternalAuthenticationProviders": {
                         "integratedWindowsAuthentication": {
                           "url":             "ldap://server1:389",
                           "base":            "DC=Company,DC=com",
                           "bindDN":          "username",
                           "bindCredentials": "password"
                             }
       }

3. Klicken Sie auf SPEICHERN, um die Servereinstellungen zu speichern.
4. Drücken Sie F5, um die Superadmin-Seite zu aktualisieren. Dadurch werden die neuen Einstellungen geladen und es können Benutzergruppen basierend auf diesen Einstellungen erstellt werden.

Automatische Anmeldung

Wichtig: Stellen Sie sicher, dass Single Sign-On ordnungsgemäß funktioniert, bevor Sie die automatische Anmeldung aktivieren. Das Aktivieren der automatischen Anmeldung, wenn SSO nicht ordnungsgemäß eingerichtet ist, kann dazu führen, dass sich Benutzer, die von der Einstellung für die automatische Anmeldung betroffen sind, nicht mehr anmelden können.

Mit der AutoLogin wird der Benutzer automatisch mit der aktuell aktiven SSO-Methode angemeldet.

Standardmäßig ist AutoLogin auf nonefestgelegt. Wenn Sie die automatische Anmeldung für Endbenutzer und/oder Superadministratoren aktivieren möchten, können Sie dies im AutoLogin auf der Registerkarte Superadministrator-Einstellungen angeben . Siehe Die Registerkarte „Einstellungen“.

Hinweis: Wenn Sie sich über localhost anmelden, wird die automatische Anmeldung für Superadmin-Benutzer immer deaktiviert.

Zusätzliche Schritte

Um die Authentifizierung mit integrierter Windows-Authentifizierung verwenden zu können, müssen Sie eine oder mehrere AD-Gruppen erstellen, damit sich Mitglieder anmelden können. Für Superadmin-Benutzer oder App-Entwickler können Sie AD-Gruppen auf der Registerkarte Superadmin-Benutzer erstellen. Siehe Hinzufügen von Superadministrator-AD-Gruppen.

Für die Endbenutzerauthentifizierung können AD-Gruppen auf der Seite Endbenutzerverwaltung erstellt werden. Siehe Hinzufügen von Endbenutzer-AD-Gruppen.

Fehlersuche und ‑behebung

Überprüfen, ob der Process Mining-Server eine Verbindung mit dem LDAP-Server herstellen kann

• Installieren Sie den grafischen LDP -Client gemäß der offiziellen Microsoft-Dokumentation.
• Stellen Sie sicher, dass eine erfolgreiche Verbindung von LDP mit denselben Einstellungen möglich ist, die im integratedWindowsAuthentication -Objekt in den Servereinstellungenkonfiguriert sind.

Untersuchen von Protokolldateien

Untersuchen Sie den Ordner [PLATFORMDIR]/logs/iisnode auf Dateien, die Zeilen mit der Endung LDAP connection error enthalten. Im folgenden Beispiel wird eine Protokolldatei mit einer Fehlermeldung angezeigt. Das Feld data enthält den relevanten Fehlercode. Eine Erklärung des Fehlers finden Sie im LDAP-Wiki . Im folgenden Beispiel ist der Fehler 52e, ERROR_LOGON_FAILURE.

[2000-01-01T00:00:00.000Z] LDAP connection error:
[2000-01-01T00:00:00.000Z] json: {"lde_message":"80090308: LdapErr: DSID-0C090447, comment: AcceptSecurityContext error, data 52e, v3839\)\)u0000","lde_dn":null}