UIP-Administratorautorisierung

Syntax und Optionen für „UIP-Administratorautorisierung“, die Rollen des Autorisierungsdiensts, Rollenzuweisungen, den Berechtigungskatalog und Suchen nach effektivem Zugriff verwaltet.

uip admin authorization verwaltet UiPath-Autorisierungsdienstelement: benutzerdefinierte Rollendefinitionen auf dem Richtlinienverwaltungspunkt (PAP), der welche Rolle hat (Rollenzuweisungen), einen schreibgeschützten Katalog von Berechtigungsdefinitionen und Suchen mit effektivem Zugriff für den Richtlinienentscheidungspunkt (PDP). Es wird als @uipath/authz-commands -Paket ausgeliefert, eines von sieben Unterpaketen, die in einem einzigen uip admin -Tool zusammengefasst sind – das vollständige Verzeichnis der Administratorunterressourcen finden Sie unter uip admin .

Hinweis:

Die Rollen-/Berechtigungsrichtlinie CRUD für integrierte Produktbereiche basiert auf einem anderen Befehl – uip gov access-policy – der auf denselben authz-sdk-Swagger abzielt, aber im Besitz des Governance-Tools ist. Auf dieser Seite geht es um benutzerdefinierte Rollen, wer sie zugewiesen hat und die Berechnung des effektiven Zugriffs.

Diese Ressource umfasst eine Seite

Jedes folgende Verb wird als uip admin authorization <verb> aufgerufen – für diese Unterressource gibt es keine separate gleichgeordnete Seite.

Konzepte

• Rollenform – Die --scope einer Rolle und die optionalen --service bestimmen zusammen, wo sie angewendet wird: Organization (organisationsweit), TenantGlobal (eine Vorlage, die auf jeden Mandanten angewendet wird), Tenant (ein Mandant) oder Project (auf einen Dienst beschränkt, der Berechtigungen auf Projektebene registriert, z. B Document Understanding, Reinfer). Allein --service leitet den Scope aus der Dienstregistrierung ab – ein Dienst auf Organisationsebene (z. B. apps) leitet Organization ab; einen Dienst auf Mandantenebene (z. B. documentunderstanding) leitet Tenant ab. Kombinieren Sie --scope und --service, um die Inferenz zu überschreiben.
• Die Erstellung wird für Dienste blockiert, die ihren eigenen Rollenkatalog besitzen – orchestrator, dataservice, insights, taskmining, testmanager, automationops, casemanagement, processmining – und für Dienste auf Plattformebene – authz, oms, platform, identity, licensing. roles create/update/delete und roles assignments create lehnen alle --service -Werte aus dieser Liste ab; Das Auflisten von Rollen/Berechtigungen/Zuweisungen für diese Dienste funktioniert weiterhin.
• Die Rollenerstellung ist ein Upsert im PUT-Stil – roles create erstellt immer eine neue Rolle (die ID wird vom Server generiert); roles update <id> sendet den vollständigen Rollentext mit derselben ID erneut. update ohne --description behält die aktuelle Beschreibung bei, indem die Rolle zuerst abgerufen wird – sie wird nicht gelöscht.
• Zusammensetzung des Zuweisungs-Scope – roles assignments list/create erstellen Sie einen scope -Pfad aus --scope/--service/--scope-id/--tenant-id mithilfe derselben Inferenzmatrix wie die Rollenerstellung, mit einer Escape-Schleife: --scope-path <path> Sendet ein exaktes Pfadverbatim, das jedes andere Scope-Flag überschreibt. TenantGlobal ist kein gültiger Zuweisungs- Scope (nur ein Rollenerstellungs-Scope), außer als Alias zur Erstellungszeit für Tenant.
• Batch-Modus – roles assignments create --file <path> und roles assignments delete --file <path>/<id> akzeptieren JSON-Arrays für Massenvorgänge, die sich mit den Inline-Flags/Arguments für einzelne Elemente gegenseitig ausschließen. Der zugrundeliegende Endpunkt für Massenaktualisierungen ist atomaren Best-Effizienz und im Hintergrund keine Operationen für unbekannte/bereits gelöschte Zuweisungs-IDs – delete überprüft nicht, ob IDs zuvor vorhanden waren.
• --login-validity <minutes> ist hier für jedes Verb verfügbar (überschreibt die Lebensdauer des interaktiven Anmeldetokens für diesen einen Aufruf – selten erforderlich).

Zusammenfassung

uip admin authorization roles list [--limit <n>] [--offset <n>] [--filter <fragment>] [--service <service>] [--scope <type>] [--role-type BuiltIn|Custom] [--tenant-id <guid>]
uip admin authorization roles get <id>
uip admin authorization roles create --name <name> --file <path> [--description <text>] [--service <service>] [--scope <type>] [--tenant-id <guid>]
uip admin authorization roles update <id> --name <name> --file <path> [--description <text>] [--service <service>] [--scope <type>] [--tenant-id <guid>]
uip admin authorization roles delete <id>

uip admin authorization roles assignments list [--limit <n>] [--offset <n>] [--service <service>] [--identity-id <id>] [--scope <type>] [--scope-id <id>] [--scope-path <path>] [--tenant-id <guid>] [--include-inherited]
uip admin authorization roles assignments create (--role-id <guid> --identity-id <guid> --identity-type <type> [--service <service>] [--scope <type>] [--scope-id <id>] [--scope-path <path>] [--tenant-id <guid>]) | --file <path>
uip admin authorization roles assignments delete [<id>] | --file <path>

uip admin authorization permissions list [--service <service>] [--scope <type>]

uip admin authorization check-access [<identity>] [--scope Tenant|Folder] [--tenant-id <guid>] [--folder-id <guid>] [--service <service>] | --file <path>

UIP-Administratorautorisierungsrollen

Verwalten Sie benutzerdefinierte Rollendefinitionen auf dem PAP.

Liste der Autorisierungsrollen für UIP-Administrator

Listen Sie Rollen für die Organisation des Aufrufers auf – sowohl integriert als auch standardmäßig benutzerdefinierte.

Optionen

Long	Wert	Standard	Beschreibung
--limit <n>	Integer	20	Seitengröße.
--offset <n>	Integer	0	Zu überspringende Datensätze (nullbasiert).
--filter <fragment>	string	–	Übereinstimmung der Teilzeichenfolge für den Rollennamen.
--service <service>	string	–	Besitz eines Dienstes (z. B. apps, documentunderstanding). Kombiniert mit --scope oder leitet nur den Scope aus der Dienstregistrierung ab.
--scope <type>	Organization|TenantGlobal|Tenant|Project|Folder	–	Filtern Sie nach Rollenform. Optional, wenn --service angegeben wird.
--role-type <type>	BuiltIn|Custom	–	Filtern Sie nach Rollentyp.
--tenant-id <guid>	UUID	–	Beschränken Sie sich auf Rollen, die auf einen bestimmten Mandanten zugeordnet sind. Suchen Sie mit uip admin tenants list --filter <name> nach einer UUID.

Das Auflisten funktioniert für jeden Dienst, einschließlich für diejenigen, deren Rollenkatalog nicht über diese CLI erstellt werden kann (siehe Konzepte) – nur die Erstellung wird blockiert.

Beispiele

uip admin authorization roles list
uip admin authorization roles list --scope Organization
uip admin authorization roles list --service apps --filter Admin

Datenform (--output json)

{
  "Code": "AuthzRolesList",
  "Data": {
    "totalCount": 1,
    "results": [
      {
        "id": "11111111-2222-3333-4444-555555555555",
        "name": "Folder Admin",
        "description": "Folder admin role",
        "type": "BuiltIn",
        "scopeType": "Folder",
        "ownerServiceName": "orchestrator",
        "ownerServiceId": "<service-guid>",
        "tenantId": "<tenant-guid>",
        "createdBy": "<user-guid>",
        "createdOn": "<iso-date>",
        "actionDetails": []
      }
    ]
  }
}

Abrufen der Autorisierungsrollen für UIP-Administrator

Rufen Sie eine einzelne Rolle nach ID ab.

Argumente

Name	Erforderlich	Zweck
<id>	ja	Rollen-UUID. Von roles list abrufen.

Beispiel

uip admin authorization roles get 11111111-2222-3333-4444-555555555555

Datenform (--output json)

{
  "Code": "AuthzRoleGet",
  "Data": {
    "id": "11111111-2222-3333-4444-555555555555",
    "name": "Folder Admin",
    "description": "Folder admin role",
    "type": "BuiltIn",
    "scopeType": "Folder",
    "ownerServiceName": "orchestrator",
    "actionDetails": [
      { "id": "<action-guid>", "name": "OR.FOLDERS.READ", "namespace": "ORCHESTRATOR", "resourceAction": "Read" }
    ]
  }
}

UIP-Administratorautorisierungsrollen erstellen

Erstellen Sie eine benutzerdefinierte Rolle. Erstellt immer – die Rollen-ID wird vom Server generiert; Verwenden Sie roles update <id>, um eine vorhandene Rolle zu ändern.

Optionen

Long	Wert	Erforderlich	Beschreibung
--name <name>	string	ja	Anzeigename der Rolle.
--file <path>	Pfad	ja	JSON-Datei mit den gewährten Aktionen der Rolle als Array von Zeichenfolgen, z. B. ["STUDIO.X.Y", "STUDIO.A.B"]).
--description <text>	string	nein	Rollenbeschreibung.
--service <service>	string	nein	Besitz des Dienstes – leitet den Scope ab oder kombiniert ihn mit --scope. Ablehnungen die für die Erstellung blockierte Dienstliste aus.
--scope <type>	Organization|TenantGlobal|Tenant|Project	Nein*	Rollenform. Mindestens eines von --scope/--service ist erforderlich.
--tenant-id <guid>	UUID	nein	Mandant für Scope Tenant/Project. Nicht zulässig mit Organization/TenantGlobal. Standardmäßig der Anmeldemandant.

Beispiele

uip admin authorization roles create --scope Organization --name "Org Reader" \
  --description "Read-only org admin" --file ./actions.json

uip admin authorization roles create --service documentunderstanding --name "DU Tenant Editor" --file ./actions.json

uip admin authorization roles create --scope Project --service documentunderstanding \
  --name "DU Project Editor" --file ./actions.json

Datenform (--output json)

{ "Code": "AuthzRoleCreated", "Data": { "createdRoleId": "<new-role-guid>" } }

Aktualisierung der UIP-Administratorautorisierungsrollen

Aktualisieren Sie eine vorhandene benutzerdefinierte Rolle nach ID – der gleiche Upsert-Vorgang im PUT-Stil wie bei create, wobei die ID auf den Textkörper gesendet wird.

Argumente

Name	Erforderlich	Zweck
<id>	ja	Rollen-UUID.

Optionen

Wie create (--name erforderlich, --file erforderlich, --description, --service, --scope, --tenant-id). Wenn Sie --description weglassen, wird der aktuelle Wert der Rolle (zuerst abgerufen) beibehalten, anstatt ihn zu löschen. Dieselbe Liste der für die Erstellung blockierten Dienste wie create.

Beispiel

uip admin authorization roles update 11111111-2222-3333-4444-555555555555 \
  --scope Tenant --name "Tenant Reader" --file ./actions.json

Datenform (--output json)

{ "Code": "AuthzRoleUpdated", "Data": { "createdRoleId": "11111111-2222-3333-4444-555555555555" } }

Löschen von UIP-Administratorautorisierungsrollen

Löschen Sie eine benutzerdefinierte Rolle nach ID. Integrierte Rollen, Host-Organisationsrollen und Rollen, die einem autorisierungsblockierten Dienst gehören (siehe Konzepte), können nicht gelöscht werden – die CLI ruft die Rolle vorab ab und abgelehnt.

Argumente

Name	Erforderlich	Zweck
<id>	ja	Rollen-UUID.

Beispiel

uip admin authorization roles delete 11111111-2222-3333-4444-555555555555

Datenform (--output json)

{ "Code": "AuthzRoleDeleted", "Data": {} }

Zuweisungen von UIP-Administratorautorisierungsrollen

Verwalten, wer welche Rolle hat (geschachtelt unter roles).

Liste der Zuweisungen von UIP-Administratorautorisierungsrollen

Listen Sie Rollenzuweisungen auf, gruppiert nach Identität. Wenn keine Scope-Flags angegeben sind, wird standardmäßig der Anmeldemandant verwendet und nur direkte (nicht geerbte) Zuweisungen.

Optionen

Long	Wert	Standard	Beschreibung
--limit <n>	Integer	10	Seitengröße (Serverlimits bei 10 Zuweisungsgruppen).
--offset <n>	Integer	0	Zu überspringende Datensätze.
--service <service>	string	–	Besitz des Dienstes. Kombiniert mit --scopeoder legt nur den Scope aus der Dienstregistrierung fest.
--identity-id <id>	UUID	–	Auf eine Identität beschränken (Benutzer/Gruppe/externe App).
--scope <type>	Organization|Tenant|Project|Folder|App	Mandanten anzumelden	TenantGlobal ist hier nicht gültig. Project/Folder/App erfordern --service und --scope-id.
--scope-id <id>	string	–	Projekt-ID/Ordnername-oder-ID/App-ID, gekoppelt mit --service für Scope Project/Folder/App.
--scope-path <path>	string	–	Erweitert: Exakter Scope-Pfad, der wörtlich gesendet wird und --scope/--service/--scope-id/--tenant-id überschreibt.
--tenant-id <guid>	UUID	Mandanten anzumelden	Mandant für Tenant/Project/Folder/App Scopes.
--include-inherited	Markieren	aus	Schließen Sie Zuweisungen ein, die von übergeordneten Scopes geerbt wurden, nicht nur direkte.

Die Auflistung funktioniert für jeden Dienst, einschließlich für Dienste, deren Zuweisungen nicht über diese CLI erstellt werden können – nur die Erstellung wird blockiert.

Beispiele

uip admin authorization roles assignments list
uip admin authorization roles assignments list --scope Folder --service orchestrator --scope-id Insights
uip admin authorization roles assignments list --scope-path /tenant/11111111-2222-3333-4444-555555555555/reinfer

Datenform (--output json)

{
  "Code": "AuthzAssignmentsList",
  "Data": {
    "totalCount": 1,
    "results": [
      {
        "securityPrincipalId": "<user-guid>",
        "displayName": "Jane Doe",
        "email": "[e-mail]",
        "type": "User",
        "roleAssignmentDtos": [
          {
            "id": "<assignment-guid>",
            "type": "Direct",
            "scope": "/tenant/<tenant-guid>",
            "roleId": "<role-guid>",
            "roleName": "Tenant Administrator",
            "inherited": false,
            "mutable": true
          }
        ]
      }
    ]
  }
}

UIP-Administratorautorisierungsrollenzuweisungen erstellen

Erstellen Sie eine Rollenzuweisung (inline) oder viele (Batch über --file) – die beiden Modi schließen sich gegenseitig aus.

Optionen – Inline-Modus

Long	Wert	Erforderlich	Beschreibung
--role-id <guid>	UUID	ja (inline)	Zuzuweisende Rolle.
--identity-id <guid>	UUID	ja (inline)	Sicherheitsprinzipal, dem die Rolle zugewiesen werden soll.
--identity-type <type>	User|Group|Robot|ExternalApplication	ja (inline)	Prinzipaltyp.
--service <service>	string	nein	Dieselbe Semantik für die Scope-Zusammenfassung wie assignments list. Ablehnungen die für die Erstellung blockierte Dienstliste aus.
--scope <type>	Organization|TenantGlobal|Tenant|Project|Folder|App	nein	TenantGlobal wird hier als Alias für Tenant akzeptiert.
--scope-id <id>	string	nein	Gekoppelt mit --service für Project/Folder/App.
--scope-path <path>	string	nein	Erweitert: Verbatim-Pfad, überschreibt andere Scope-Flags.
--tenant-id <guid>	UUID	nein	Standardmäßig der Anmeldemandant.

Optionen – Batch-Modus

Long	Wert	Erforderlich	Beschreibung
--file <path>	Pfad	ja (Batch)	JSON-Array von AddRoleAssignmentRequest -Objekten mit jeweils eigenem scope: {roleId, securityPrincipalId, securityPrincipalType, scope?, tenantId?}. Elementar gesendet.

Das Übergeben von --file zusammen mit einem Inline-Flag ist ein Fehler; Wenn Sie keines von beiden übergeben, ist dies auch ein Fehler.

Beispiele

uip admin authorization roles assignments create \
  --role-id 98dc776b-835c-407f-9d58-6676318ac968 \
  --identity-id b44fc962-d544-4c99-b520-71121070ec17 --identity-type User

uip admin authorization roles assignments create --file ./assignments.json

Datenform (--output json)

{ "Code": "AuthzAssignmentCreated", "Data": {} }

Zuweisungen von UIP-Administratorautorisierungsrollen löschen

Löschen Sie eine Zuweisung (Positions-ID) oder mehrere (Batch über --file) – sich gegenseitig ausschließen.

Argumente

Name	Erforderlich	Zweck
[id]	bedingt	UUID der einzelnen Zuweisung. Sich gegenseitig mit --file ausschließen.

Optionen

Long	Wert	Beschreibung
--file <path>	Pfad	JSON-Array von Zuweisungs-ID-Zeichenfolgen, z. B. ["0fae98e1-...", "1aab33cf-..."]). Elementar gesendet.

Hinweis:

Der Endpunkt für Massenaktualisierungen nimmt bei unbekannten oder bereits gelöschten IDs im Hintergrund keine Operationen vor und meldet weiterhin Erfolg – dieser Befehl überprüft nicht, ob IDs zuvor vorhanden waren. Listet Vorher/Nachher auf, wenn Sie das Löschen bestätigen müssen.

Beispiele

uip admin authorization roles assignments delete 0fae98e1-0f2e-4f8d-bdab-7ce1cf475676
uip admin authorization roles assignments delete --file ./assignment-ids.json

Datenform (--output json)

{ "Code": "AuthzAssignmentDeleted", "Data": {} }

Autorisierungsberechtigungen des UIP-Administrators

Schreibgeschützter Katalog mit Berechtigungsdefinitionen für Dienste.

Liste der UIP-Administratorautorisierungsberechtigungen

Optionen

Long	Wert	Beschreibung
--service <service>	string	Besitz des Dienstes. Kombiniert mit --scope oder leitet nur den Scope aus der Dienstregistrierung ab.
--scope <type>	Organization|TenantGlobal|Tenant|Project	Filtern Sie nach Berechtigungen, die in einer Rolle dieser Form verwendet werden können. Spiegelt roles create --scope.

Beispiele

uip admin authorization permissions list
uip admin authorization permissions list --scope Project --service documentunderstanding

Datenform (--output json)

{
  "Code": "AuthzPermissionsList",
  "Data": [
    {
      "id": "<action-guid>",
      "name": "OR.FOLDERS.READ",
      "namespace": "ORCHESTRATOR",
      "serviceDisplayName": "Orchestrator",
      "resourceType": "Folders",
      "resourceAction": "Read",
      "resourceGroup": "Folder",
      "description": "View folders",
      "scopeType": "Folder"
    }
  ]
}

Zugriff auf die UIP-Administratorautorisierung

Berechnen Sie die effektiven Berechtigungen eines Sicherheitsprinzipals innerhalb eines Mandanten- oder Ordner-Scope über den Richtlinienentscheidungspunkt.

Argumente

Name	Erforderlich	Zweck
[identity]	bedingt	Benutzer-UUID oder eine Teilzeichenfolge des Namens/der E-Mail-Adresse, die über die Identitätssuche aufgelöst wurde. Erforderlich, es sei denn, --file wird verwendet.

Optionen

Long	Wert	Standard	Beschreibung
--scope <type>	Tenant|Folder	Tenant	Auswertungsumfang.
--tenant-id <guid>	UUID	Mandanten anzumelden	Für Scope Tenant, der sowohl als Scope-ID als auch als übergeordneteID verwendet wird; beim Scope Folder die ParentId.
--folder-id <guid>	UUID	–	Erforderlich mit --scope Folder. Wird als Scope-ID verwendet.
--service <service>	string	–	Beschränken Sie das Ergebnis auf einen Dienst.
--file <path>	Pfad	–	Vollständiger Anforderungstext (erweitert – z. B. ein RoleNameStartsWith -Filter). Sich gegenseitig mit dem Positional- und jedem Scope-Flag ausschließen.

Eine Nicht-GUID <identity> wird über eine Übereinstimmung der Benutzersuche in einer Teilzeichenfolge aufgelöst: 0 Übereinstimmungen schlagen mit einem Erkennungshinweis fehl, 1 Übereinstimmung wird verwendet, mehr als 1 Versuch einer exakten E-Mail-/Benutzernamenübereinstimmung, bevor sie mit einer Kandidatenliste fehlschlagen.

Beispiele

uip admin authorization check-access [e-mail]
uip admin authorization check-access <user-guid> --scope Folder --folder-id <folder-guid>
uip admin authorization check-access --file ./check-access.json

Datenform (--output json)

{
  "Code": "AuthzCheckAccess",
  "Data": {
    "roleAssignments": { "totalCount": 0, "results": [] },
    "grantedServicesMetadata": [],
    "grantedRolesMetadata": []
  }
}

Zugehörig

• uip admin – das vollständige uip admin -Unterressourcenverzeichnis.
• uip gov access-policy – Richtlinien-CRUD für integrierte Produktbereiche, gleicher Authz-Sdk-Swagger.

Siehe auch

• Tools (Plugins)
• Globale Optionen
• Exitcodes