Configurar la integración de Microsoft Entra ID

Configure la integración de Microsoft Entra ID en Automation Suite creando un registro de aplicación en Azure, estableciendo permisos y vinculando su organización al directorio para SSO y aprovisionamiento de usuarios.

Si su organización utiliza Microsoft Entra ID u Office 365, puede conectar su organización de Automation Suite directamente a su tenant de Microsoft Entra ID para ver las cuentas y grupos existentes en su entorno de Automation Suite.

Con la integración de Microsoft Entra ID, puedes seguir aprovechando el modelo de cuentas locales, mientras arrancas tu organización con los beneficios adicionales de utilizar el modelo Microsoft Entra ID. La integración de Microsoft Entra ID está diseñada de tal manera que su activación e implementación pueden ocurrir gradualmente, sin interrupciones en la producción para sus usuarios existentes.

Si tu organización ha decidido utilizar el modelo Microsoft Entra ID, sigue las instrucciones de esta página para configurar la integración.

Requisitos previos

Para configurar la integración de Microsoft Entra ID, necesitas:

• Permisos de administrador tanto en Automation Suite como en Microsoft Entra ID (pueden ser personas diferentes)
• una cuenta de Microsoft Entra ID con la misma dirección de correo electrónico que la cuenta local de UiPath del administrador de la organización que lleva a cabo la integración. Tenga en cuenta que esta cuenta de Microsoft Entra ID es solo para probar la integración y no necesita tener permisos de administrador en Azure
• UiPath Studio y UiPath Assistant versión 2020.10.3 o posterior
• UiPath Studio y UiPath Assistant para usar la implementación recomendada
• si utilizaste previamente cuentas de usuario locales, asegúrate de que todos tus usuarios de Microsoft Entra ID tengan la dirección de correo electrónico en el campo Correo . Tener la dirección de correo electrónico en el campo Nombre principal de usuario (UPN) no es suficiente. La integración de Microsoft Entra ID vincula las cuentas de usuario del directorio con las cuentas de usuario locales si las direcciones de correo electrónico coinciden. Esto permite a los usuarios conservar los permisos cuando pasan de iniciar sesión con su cuenta de usuario local a la cuenta de usuario del directorio de Microsoft Entra ID.
  Nota:

  UiPath sigue el protocolo OIDC para su integración con Microsoft Entra ID. Sin embargo, la integración no admite el uso de claves personalizadas de la aplicación mediante la solicitud de un parámetro de consulta appid en una URL dedicada, como se describe en la documentación de los tokens de acceso de Microsoft .

Cómo configurar Azure para la integración

Su organización requiere un registro de la aplicación en su tenant de Microsoft Entra ID y alguna configuración para que pueda ver sus miembros AD para establecer la identidad de la cuenta. Los detalles de registro de la aplicación también son necesarios para conectar posteriormente tu organización a tu tenant de Microsoft Entra ID.

Permisos: debe ser administrador en Azure para realizar las tareas de esta sección. Los siguientes roles de administrador de Azure tienen los privilegios necesarios: Administrador global, Administrador de aplicaciones en la nube o Administrador de aplicaciones.

Hay dos maneras de configurar tu tenant de Azure para la integración:

• Sigue los siguientes pasos para configurar manualmente un registro de aplicación para la integración.
• Utiliza los scripts UiPath Microsoft Entra ID que creamos para esta tarea, que están disponibles en GitHub: El script configAzureADconnection.ps1 realiza todas las acciones descritas en esta sección y devuelve los detalles de registro de la aplicación. A continuación, puedes ejecutar el script testAzureADappRegistration.ps1 para asegurarte de que el registro de la aplicación se ha realizado correctamente.

Para configurar manualmente tu tenant de Azure, sigue los siguientes pasos en Azure Portal:

1. Crea un registro de aplicación para Automation Suite. Para obtener más información, consulta la documentación de Microsoft sobre Registrar una aplicación.

   Durante el registro, selecciona Cuentas solo en este directorio de la organización y establece el URI de redirección como https://{yourDomain}/identity_/signin-oidc.

   Nota:

   Si ya tienes una aplicación registrada para tu organización, no es necesario crear una nueva, pero asegúrate de que la aplicación está configurada como se ha descrito anteriormente.

2. Abre la página Descripción general de la aplicación, copia el ID de la aplicación (cliente) y el ID del directorio (tenant), y guárdalos para utilizarlos más adelante:

   

3. Ve a la página Autenticación de tu aplicación:

   1. En URI de redirección, selecciona Añadir URI para añadir una nueva entrada.
   2. Añade https://{yourDomain}/portal_/testconnection a la lista de URI de redireccionamiento.
   3. En la parte inferior, selecciona ID tokens en la casilla de verificación.
   4. Selecciona Guardar.
   

4. Ve a la página Configuración de token.

5. Selecciona Añadir solicitud opcional.

6. En Tipo de token, selecciona ID.

7. Selecciona las casillas de verificación para family_name, given_name y upn para añadirlas como reclamaciones opcionales:

   

8. Ve a la página Permisos de la API.

9. Selecciona Añadir permiso y añade los siguientes permisos delegados de la categoría Microsoft Graph :

   • Permisos de OpenId : email, openid, offline_access, profile
   • Permisos de los miembros del grupo : GroupMember.Read.All
   • Permisos de usuario : User.Read, User.ReadBasic.All, User.Read.All (requiere consentimiento administrativo)
   

   La siguiente tabla describe los permisos de la API:

   Permiso	Qué te permite hacer	Qué hacemos con él
   email, openid, profile, offline_access, User.Read	Permite que Microsoft Entra ID emita un token de usuario a la aplicación del sistema	Permitir a los usuarios iniciar sesión en el sistema utilizando un inicio de sesión de Microsoft Entra ID. Esto nos permite mantener actualizado nuestro objeto de usuario, garantizando la coherencia de estos atributos.
   User.ReadBasic.All	Lee las propiedades básicas de todos los usuarios en el directorio que el usuario que ha iniciado sesión puede ver	Cuando un usuario asigna permisos a otros usuarios en el directorio a sus recursos, puede buscar en estos usuarios. La funcionalidad para la gestión/autorización de acceso están en la experiencia de usuario del sistema.
   User.Read.All (requiere consentimiento de administrador)	Lee todas las propiedades del usuario en el directorio que el usuario que ha iniciado sesión puede ver	Es posible que tu administrador quiera importar estas propiedades de usuario adicionales para configurar permisos o mostrar información personalizada dentro de los servicios del sistema. Para Automation Hub, los clientes que buscan obtener el conjunto completo de atributos de Microsoft Entra ID, es necesario otorgar el permiso User.Read.All a la aplicación.
   GroupMember.Read.All	Lee las membresías de grupo de todos los usuarios a los que el usuario que ha iniciado sesión tiene acceso	Si tu organización utiliza grupos para gestionar los permisos en el sistema, la plataforma debe poder enumerar todos los grupos y descubrir los miembros de un grupo. Eso permite tanto la gestión como la aplicación de los permisos asignados al grupo.

10. Selecciona la casilla Conceder consentimiento de administrador.

    Nota:

    El administrador da su consentimiento en nombre de todos los usuarios en el directorio activo del tenant. Esto permite que la aplicación acceda a los datos de todos los usuarios, sin que estos tengan que dar su consentimiento. Para obtener más información sobre los permisos y el consentimiento, consulta la documentación de Microsoft Entra ID de Microsoft.

11. Ve a la página Certificados y secretos para crear un nuevo secreto de cliente o un nuevo certificado.

    • Opción 1. Secreto de cliente. Para obtener más información sobre los secretos de cliente, consulta la documentación de Microsoft sobre Añadir un nuevo secreto de cliente.
      Nota:

      El secreto de cliente creado no es permanente. Debes actualizar el secreto de cliente después de su período de validez.

    • Opción 2. Certificado. Los pasos de alto nivel para configurar certificados se describen en Configuración de un certificado de Azure Key Vault para UiPath. Para obtener más información sobre los certificados, consulta Configurar y recuperar un certificado de Azure Key Vault en la documentación de Microsoft.

12. Proporcione al administrador de su organización los valores de ID del directorio (tenant) e ID de la aplicación (cliente) . Si eliges la opción Secreto de cliente, comparte también el valor Secreto de cliente . Si eliges la opción de certificado, comparte los detalles del certificado. Esta información permite al administrador continuar con la configuración.

    

Configurar un certificado de Azure Key Vault para UiPath

Esta sección describe los pasos de alto nivel para la configuración con un certificado. También puedes utilizar un secreto de cliente. Para obtener más información sobre la configuración de certificados, consulta la configuración y recuperación de un certificado de Azure Key Vault en la documentación de Microsoft. Sigue estos pasos de alto nivel para configurar un certificado:

1. Inicia sesión en Azure Key Vault y ve a la sección Certificados .

2. Crea un certificado con el Asunto como CN=uipath.com y el Tipo de contenido como PEM.

   

3. Después de la creación, descarga el certificado en formato PFX/PEM.

4. Abre el archivo .pem con un editor de texto. Debe constar de dos secciones: BEGIN PRIVATE KEY/END PRIVATE KEY y BEGIN CERTIFICATE/END CERTIFICATE.

5. Crea un nuevo archivo .pem que contenga solo las líneas entre BEGIN CERTIFICATE y END CERTIFICATE.

6. En el portal de Azure, localiza la pestaña Certificados y secretos en tu Registro de aplicaciones y carga el nuevo archivo .pem .

7. Como parte de la configuración de Automation Suite, debes añadir todo el contenido del certificado .pem descargado de Azure Key Vault en el campo Secreto o certificado de cliente .

   Nota:

   El tamaño máximo permitido para los certificados es de 10 KB.

Implementar la integración en Automation Suite

Una vez finalizada la configuración de Azure, puedes preparar la integración, activarla y, a continuación, limpiar las cuentas antiguas. El proceso se divide en etapas para que no haya interrupciones para tus usuarios.

Nota:

Debe ser administrador de la organización en Automation Suite para realizar las tareas de esta sección.

Limpiar los usuarios inactivos

Cuando conectas Automation Suite a Microsoft Entra ID activando la integración, las cuentas con direcciones de correo electrónico coincidentes se vinculan, de modo que la cuenta de Microsoft Entra ID se beneficia de los mismos permisos que la cuenta local de UiPath coincidente.

Si tu organización recicla correos electrónicos, es decir, si una dirección de correo electrónico utilizada en el pasado puede ser asignada a un nuevo usuario en el futuro, esto podría suponer un riesgo de acceso elevado.

Digamos que una vez tuvo un empleado cuya dirección de correo electrónico era [e-mail] y este empleado tenía una cuenta local en la que era administrador de la organización, pero desde entonces ha dejado la empresa y la dirección de correo electrónico se desactivó, pero el usuario no se eliminó.

Cuando un nuevo empleado que también se llama John Doe se une a su empresa, recibe la misma dirección de correo electrónico [e-mail] . En tal caso, cuando las cuentas se vinculan como parte de la integración con Microsoft Entra ID, John Doe hereda los privilegios de administrador de la organización.

Para evitar este tipo de situaciones, asegúrese de eliminar todos los usuarios que ya no están activos de la organización de Automation Suite antes de continuar con el siguiente paso. Puedes omitir este paso si las direcciones de correo electrónico inactivas no se reutilizan en tu organización.

Activar la integración de Microsoft Entra ID

Nota:

Antes de comenzar:

• asegúrese de que la configuración de Azure esté completa;
• Obtenga los valores ID de directorio (tenant), ID de aplicación (cliente) y secreto del cliente para el registro de aplicación de Automation Suite en Azure de su administrador de Azure.

Para activar la integración de Microsoft Entra ID, aplica los siguientes pasos en Automation Suite:

1. Ve a Administración y, si no lo has seleccionado, selecciona la organización en la parte superior del panel izquierdo.

2. Selecciona Seguridad para abrir la Configuración de seguridad.

3. En la pestaña Configuración de los ajustes de autenticación, en Integración de directorio para SSO, selecciona Configurar SSO.

4. Selecciona Microsoft Entra ID en el panel de configuración de SSO.

5. Rellena los campos con la información recibida de tu administrador de Azure.

6. Selecciona la casilla de verificación Entiendo y acepto que los usuarios agregados y los usuarios de Microsoft Entra ID con direcciones de correo electrónico coincidentes tendrán sus cuentas vinculadas.

7. Selecciona Probar conexión para validar que la integración se ha configurado correctamente.

8. Cuando se te solicite, inicia sesión con tu cuenta de Microsoft Entra ID.

   Un inicio de sesión satisfactorio indica que la integración se ha configurado correctamente. En caso de que falle, pide a tu administrador de Azure que compruebe que Azure está correctamente configurado y vuelve a intentarlo.

9. Selecciona Guardar para activar la integración para tu organización.

   Después de guardar tus cambios, las cuentas coincidentes se vinculan automáticamente.

10. Cierra sesión.

11. Dirígete a la URL de la organización (https://{yourDomain}/organizationID/) e inicia sesión con tu cuenta de Microsoft Entra ID.

Ahora puedes trabajar con los usuarios y grupos en el ID de Microsoft Entra del tenant vinculado. Las cuentas y grupos del directorio no aparecen en las páginas Usuarios o Grupos en Admin - Cuentas y grupos, solo puedes encontrarlos a través de la búsqueda.

Probar la integración de Microsoft Entra ID

Para comprobar que la integración se está ejecutando, inicia sesión como administrador de la organización con una cuenta de Microsoft Entra ID e intenta buscar usuarios y grupos de Microsoft Entra ID en cualquier página relacionada, como el panel Editar grupo en Automation Suite (Admin > Cuentas y Grupos > Grupos > Editar).

Si puedes buscar usuarios y grupos que se originan en Microsoft Entra ID, significa que la integración se está ejecutando. Puedes saber el tipo de usuario o grupo por su icono.

Si se produce un error al intentar buscar usuarios, como se muestra en el siguiente ejemplo, esto indica que hay algo mal con la configuración en Azure. Ponte en contacto con tu administrador de Azure y pídele que compruebe que Azure está configurado como se describe anteriormente en la documentación sobre Configuración de Azure para la integración.

Consejo:

Pide a tu administrador de Azure que confirme que ha seleccionado la casilla de verificación Conceder consentimiento de administrador durante la configuración de Azure. Esta es una causa común por la que falla la integración.

Completar la transición a Microsoft Entra ID

Una vez activa la integración, te recomendamos que sigas las instrucciones de esta sección para asegurarte de que la creación de usuarios y las asignaciones de grupos se transfieran a Microsoft Entra ID. De esta manera, puede construir sobre su infraestructura de gestión de identidades y accesos existente para facilitar el control de la gestión de accesos y la gobernanza sobre sus recursos de UiPath en Automation Suite.

Configurar grupos de permisos y robots (opcional)

Puedes hacerlo para asegurarte de que el administrador de Azure también puede incorporar nuevos usuarios con los mismos permisos y la misma configuración del robot que habías configurado antes de la integración. Pueden hacerlo añadiendo cualquier usuario nuevo a un grupo de Microsoft Entra ID si el grupo ya tiene asignados los roles necesarios.

Puede asignar sus grupos de usuarios existentes de Automation Suite a grupos nuevos o existentes en Microsoft Entra ID. Puedes hacerlo de varias maneras, dependiendo de cómo utilices los grupos en Microsoft Entra ID:

• Si los usuarios con los mismos roles en Automation Suite ya están en los mismos grupos en Microsoft Entra ID, el administrador de la organización puede añadir estos grupos de Microsoft Entra ID a los grupos de usuarios en los que estaban estos usuarios. Esto garantiza que los usuarios mantengan los mismos permisos y la misma configuración del robot.
• De lo contrario, el administrador de Azure puede crear nuevos grupos en Microsoft Entra ID para que coincidan con los de Automation Suite y añadir los mismos usuarios que están en los grupos de usuarios de UiPath. A continuación, el administrador de la organización puede añadir los nuevos grupos de Microsoft Entra ID a los grupos de usuarios existentes para garantizar que los mismos usuarios tengan los mismos roles.

Asegúrate de verificar cualquier rol específicamente asignado a los usuarios, en todos los casos. Si es posible, elimina estas asignaciones de roles directos y añade estos usuarios a grupos ya asignados con estos roles.

Por ejemplo, digamos que el grupo Administradores en Automation Suite incluye a los usuarios Anna, Tom y John. Estos mismos usuarios también están en un grupo en Microsoft Entra ID llamado admins. El administrador de la organización puede añadir el grupo de administradores de Azure al grupo Administradores en Automation Suite. De esta manera, Anna, Tom y John, como miembros del grupo admins Microsoft Entra ID, se benefician de los roles del grupo Administradores en Automation Suite.

Dado que admins ahora forma parte del grupo Administradores, cuando necesite incorporar un nuevo administrador, el administrador de Azure puede añadir un nuevo usuario al grupo admins de Azure, otorgándoles así permisos de administración en Automation Suite sin tener que hacer ningún cambio en Automation Suite.

Nota:

Los cambios en las asignaciones de grupos de Microsoft Entra ID se aplican en Automation Suite cuando el usuario inicia sesión con su cuenta de Microsoft Entra ID, o si ya ha iniciado sesión, en el plazo de una hora.

Migrar a los usuarios existentes

Para que se apliquen los permisos asignados a los usuarios y grupos de Microsoft Entra ID, los usuarios deben iniciar sesión al menos una vez. Recomendamos que, una vez ejecutada la integración, comuniques a todos tus usuarios que cierren la sesión de su cuenta local y vuelvan a iniciar sesión con su cuenta de Microsoft Entra ID. Pueden iniciar sesión con su cuenta de Microsoft Entra ID:

• Navegando a la URL específica de la organización de Automation Suite, en cuyo caso el tipo de inicio de sesión ya está seleccionado. La URL debe incluir el ID de la organización y terminar en una barra diagonal, como https://{yourDomain}/orgID/.
• seleccionando SSO para Enterprise en la página principal de inicio de sesión. Proporciona la URL específica de tu organización para Automation Suite a todos tus usuarios.

Los usuarios migrados reciben los permisos combinados que se les asignan directamente en Automation Suite junto con los de sus grupos de Microsoft Entra ID.

Para configurar Studio y Assistant para conectarse con cuentas de Microsoft Entra ID:

1. En Assistant, abre Preferencias y selecciona la pestaña Conexión de Orchestrator.
2. Selecciona Cerrar sesión.
3. Para el tipo de conexión, selecciona URL de servicio.
4. En el campo URL de servicio , añade la URL específica de la organización. La URL debe incluir el ID de la organización y terminar en una barra diagonal, como https://{yourDomain}/orgID/. De lo contrario, la conexión falla diciendo que el usuario no pertenece a ninguna organización.
5. Vuelve a iniciar sesión con la cuenta de Microsoft Entra ID.
   Importante:

   Los permisos de los grupos de Microsoft Entra ID no influyen en las automatizaciones de las carpetas clásicas o los robots que están conectados mediante la clave de la máquina. Para operar con permisos basados en grupos, configura las automatizaciones en carpetas modernas y utiliza la opción URL de servicio para conectarte a UiPath Assistant o Studio.

Dejar de usar las cuentas locales de UiPath (opcional)

Te recomendamos que elimines el uso de cuentas locales para maximizar los principales beneficios de cumplimiento y eficiencia de la integración completa entre Automation Suite y Microsoft Entra ID.

Importante:

Solo elimina las cuentas de no administrador. Se recomienda conservar al menos una cuenta local de administrador de la organización para poder cambiar la configuración de autenticación en el futuro.

ADVERTENCIA:

Asegúrate de que todos los usuarios hayan iniciado sesión con su cuenta de Microsoft Entra ID al menos una vez antes de eliminar sus cuentas locales. La vinculación de cuentas solo se produce en el primer inicio de sesión en el directorio. Si se elimina una cuenta local antes de que el usuario inicie sesión con su cuenta de directorio, se crea una nueva identidad de directorio en su lugar: el usuario pierde acceso a su trabajo anterior, incluidos proyectos y soluciones. Esto no se puede revertir.

Una vez que se hayan migrado todos los usuarios, puedes eliminar los usuarios que no sean administradores de la pestaña Usuarios , para que tus usuarios ya no puedan iniciar sesión con su cuenta local. Puedes encontrar estas cuentas en función de sus iconos de usuario.

También puedes limpiar los permisos individuales en los servicios de UiPath, como el servicio de Orchestrator, y eliminar usuarios individuales de los grupos para que los permisos dependan exclusivamente de la pertenencia al grupo de Microsoft Entra ID.

Características avanzadas

La siguiente sección describe algunos consejos útiles para las características avanzadas que puedes aprovechar ahora que tienes configurada la integración de Microsoft Entra ID.

Restringir el acceso a su organización

Dado que la integración con Microsoft Entra ID se realiza a nivel de tenant de Azure, de forma predeterminada todos los usuarios de Microsoft Entra ID pueden acceder a Automation Suite. La primera vez que un usuario de Microsoft Entra ID inicia sesión en su organización UiPath, se incluye automáticamente en el grupo Everyone de UiPath, lo que le otorga el rol de Usuario en la organización que proporciona el nivel básico de acceso dentro del ecosistema UiPath.

Si quieres permitir que solo ciertos usuarios accedan a tu organización, puedes activar la asignación de usuarios para el registro de la aplicación UiPath en Azure. De esta manera, los usuarios deben estar asignados explícitamente a la aplicación para poder acceder a ella. Para obtener instrucciones, consulta cómo restringir tu aplicación a un conjunto de usuarios en la documentación de Microsoft Entra ID de Microsoft.

Restringe el acceso a redes o dispositivos de confianza

Si deseas que tus usuarios solo accedan a Automation Suite desde una red o un dispositivo de confianza, puedes utilizar la característica de acceso condicional de Microsoft Entra ID .

Control para grupos en Microsoft Entra ID

Si has creado grupos en Microsoft Entra ID para facilitar la incorporación de UiPath directamente desde Microsoft Entra ID, como se describe anteriormente en Configurar grupos para permisos y robots, puedes utilizar las opciones de seguridad avanzadas de gestión de identidad privilegiada (PIM) para que estos grupos controlen el acceso solicitudes para grupos de UiPath. Para obtener más información, consulta la documentación de Microsoft sobre PIM.

Preguntas frecuentes

¿Qué cambia para mis usuarios cuando la integración está activa?

Los usuarios pueden iniciar sesión inmediatamente utilizando su cuenta de Microsoft Entra ID existente y beneficiarse de los mismos permisos que tenían en su cuenta local.

Si no has eliminado sus cuentas locales, los usuarios también pueden seguir iniciando sesión con su cuenta local, ambos métodos funcionan.

Para utilizar su cuenta de Microsoft Entra ID, deben navegar a la URL específica de tu organización, que tiene la forma https://{yourDomain}/orgID/, o seleccionar Enterprise SSO en la página principal de inicio de sesión.

Otro cambio que los usuarios pueden notar es que si ya han iniciado sesión en sus cuentas de Microsoft Entra ID desde el uso de otra aplicación, inician sesión automáticamente cuando navegan a esta URL.

¿Qué roles tiene cada cuenta?

Cuenta de Microsoft Entra ID: cuando un usuario inicia sesión con su cuenta de Microsoft Entra ID, se beneficia inmediatamente de todos los roles que tenía en su cuenta local, más cualquier rol asignado dentro de UiPath a la cuenta de Microsoft Entra ID o a los grupos de Microsoft Entra ID a la que pertenecen. Estos roles pueden provenir del usuario de Microsoft Entra ID o del grupo de Microsoft Entra ID que se incluyen en los grupos, o de otros servicios en los que los roles se asignaron al usuario de Microsoft Entra ID o al grupo de Microsoft Entra ID.

Cuenta local: con la integración de Microsoft Entra ID activa, para las cuentas locales, depende de:

• Si el usuario no ha iniciado sesión al menos una vez con su cuenta de Microsoft Entra ID, solo tendrá los roles de la cuenta local.
• Si los usuarios inician sesión con su cuenta de Microsoft Entra ID, la cuenta local tiene todos los roles que el usuario de Microsoft Entra ID tiene dentro de UiPath, ya sea asignados explícitamente o heredados de las membresías de grupo.

¿Tengo que volver a aplicar los permisos para las cuentas de Microsoft Entra ID?

No. Dado que las cuentas coincidentes se vinculan automáticamente, sus permisos existentes también se aplican cuando se inicia sesión con la cuenta de Microsoft Entra ID. Sin embargo, si decides dejar de utilizar las cuentas locales, asegúrate de que se han establecido los permisos adecuados para los usuarios y grupos de Microsoft Entra ID de antemano.