Configurar la integración de Azure AD

If the Azure Active Directory integration is active at the host level (you see AzureAD as an option on the Login page), you cannot set it up at the tenant level.

Información general

Si tu empresa utiliza Azure Active Directory (Azure AD) u Office 365, puedes conectar tu organización de Orchestrator directamente a tu tenant de Azure AD para ver tus cuentas y grupos del directorio existentes en tu entorno de UiPath.

La integración de Azure AD te permite seguir aprovechando el modelo de usuario local, si lo deseas, a la vez que potencian tu organización con las ventajas adicionales de utilizar Azure AD.

Si ha decidido usar Azure AD para su organización, siga las instrucciones de esta página para configurar la integración.

Consejo:

La integración de Azure AD está diseñada de tal manera que su activación y despliegue puede realizarse gradualmente, sin interrumpir la producción de los usuarios existentes.

Requisitos previos

Para configurar la integración de Azure AD, necesitas:

• permisos de administrador tanto en Orchestrator como en Azure AD (si no dispones de estos permisos en Azure, colabora con un administrador de Azure para completar el proceso de configuración);
• una cuenta UiPath de administrador de la organización que utiliza la misma dirección de correo electrónico que un usuario de Azure AD; el usuario de Azure AD no requiere permisos de administrador en Azure;
• UiPath Studio y Assistant versión 2020.10.3 o posterior;
• UiPath Studio y Assistant para utilizar el despliegue recomendado.
• Si ya has usado cuentas de usuario local, comprueba que todos tus usuarios de Azure AD tienen la dirección de correo en el campo Correo; no sirve con tener la dirección de correo electrónico solamente en el campo User Principle Name (UPN). La integración de Azure AD vincula las cuentas de usuarios del directorio con las cuentas de usuarios locales si las direcciones de correo electrónico coinciden. Esto permite a los usuarios conservar los permisos cuando pasan de iniciar sesión con su cuenta de usuario local a hacerlo con la cuenta de usuario del directorio de Azure AD.

Cómo configurar Azure para la integración

Permisos: debe ser administrador en Azure para realizar las tareas de esta sección. Los siguientes roles de administrador de Azure tienen los privilegios necesarios: Administrador global, Administrador de aplicaciones en la nube o Administrador de aplicaciones.

Para configurar su tenant en Azure, haga lo siguiente en el portal de Azure:

1. Create an app registration for Automation Suite .

   Durante el registro, selecciona Cuentas solo en este directorio de la organización y establece el URI de redirección como https://{baseURL}/identity_/signin-oidc.

   Nota:

   Si ya tiene registrada una aplicación en Automation Suite, no es necesario que cree otra, pero compruebe que la que tiene esté configurada como se describe más arriba.

2. Abre la página Descripción general de la aplicación, copia el ID de la aplicación (cliente) y el ID del directorio (tenant), y guárdalos para utilizarlos más adelante:

   

3. Ve a la página Autenticación de tu aplicación:

   1. Under Redirect URIs, click Add URI to add a new entry.

   2. Añade https://{baseURL}/portal_/testconnection a la lista de URI de redireccionamiento.

   3. At the bottom, select the ID tokens check box.

   4. Click Save along the top.

      

4. Ve a la página Configuración de token.

5. Selecciona Añadir solicitud opcional.

6. En Tipo de token, selecciona ID.

7. Select the check boxes for family_name,given_name, and upn to add them as optional claims:

   

8. Ve a la página Permisos de la API.

9. Haz clic en Añadir permiso y añade los siguientes permisos delegados de la categoría Microsoft Graph:

   

   Permiso	Qué te permite hacer	Qué hacemos con él
   email, openid, profile, offline_access, User.Read	Permite a AAD emitir un token de usuario a la aplicación de sistema	Permite a los usuarios iniciar sesión en el sistema utilizando un inicio de sesión de AAD. Esto nos permite mantener nuestro objeto de usuario actualizado, garantizando la coherencia de estos atributos.
   User.ReadBasic.All	Lee las propiedades básicas de todos los usuarios en el directorio que el usuario que ha iniciado sesión puede ver	Cuando un usuario asigna permisos a otros usuarios en el directorio a sus recursos, puede buscar en estos usuarios. La funcionalidad para la gestión/autorización de acceso están en la experiencia de usuario del sistema.
   User.Read.All (requiere consentimiento de administrador)	Lee todas las propiedades de usuario en el directorio que el usuario que ha iniciado sesión puede ver	Tu administrador puede importar estas propiedades de usuario adicionales para configurar permisos o mostrar información personalizada dentro de los servicios de sistema. Para los clientes de Automation Hub que desean obtener todos los atributos de AAD, es necesario otorgar los permisos User.Read.All a la aplicación.
   GroupMember.Read.All	Lee las membresías de grupo de todos los usuarios a los que el usuario que ha iniciado sesión tiene acceso	Si tu organización utiliza grupos para gestionar los permisos en el sistema, la plataforma debe poder enumerar todos los grupos y descubrir a los miembros de un grupo; eso permite tanto la gestión como la aplicación de los permisos asignados al grupo.

   To learn more about UiPath's access with these permissions, see our Encryption documentation.

   • OpenId permissions - email, openid, offline_access, profile;
   • Group member permissions - GroupMember.Read.All;
   • User permissions - User.Read, User.ReadBasic.All, User.Read.All (requires administrative consent).

10. Selecciona la casilla Conceder consentimiento de administrador.

    Nota:

    El administrador da su consentimiento en nombre de todos los usuarios del directorio activo del tenant. Esto permite que la aplicación acceda a los datos de todos los usuarios, sin que estos tengan que dar su consentimiento.

    For more information about permissions and consent, see the Azure AD documentation.

11. Ve a la página Certificados y secretos.

12. Create a new client secret.

13. Copia el secreto del cliente Valor y guárdalo para usarlo más tarde

    

14. Share the Directory (tenant) ID,Application (client) ID, and Client Secret values with the Automation Suite organization administrator so that they can proceed with configuring Automation Suite.

Implementar integración a Orchestrator

Una vez finalizada la configuración de Azure, puedes preparar la integración, activarla y, a continuación, limpiar las cuentas antiguas.

El proceso se divide en etapas para que no haya interrupciones para tus usuarios.

Permisos: para poder realizar las tareas de esta sección, debes ser administrador en Orchestrator.

Limpiar los usuarios inactivos

Si las direcciones de correo electrónico inactivas no se reutilizan en tu organización, puedes omitir este paso.

Cuando conectas Orchestrator a Azure AD activando la integración, las cuentas con direcciones de correo electrónico coincidentes se vinculan para que la cuenta de Azure AD se beneficie de los mismos permisos que la cuenta de UiPath coincidente.

Importante:

Para que la vinculación de cuentas funcione correctamente, asegúrate de que todos tus usuarios de Azure AD tengan la dirección de correo electrónico añadida en el campo Correo en Azure; tener la dirección de correo electrónico en el campo Nombre principal de usuario (UPN) no es suficiente.

Si tu organización recicla correos electrónicos, es decir, si una dirección de correo electrónico utilizada en el pasado puede ser asignada a un nuevo usuario en el futuro, esto podría suponer un riesgo de acceso elevado.

Ejemplo

Supongamos que has tenido un empleado cuya dirección de correo electrónico [e-mail] y este empleado tenía una cuenta de UiPath en la que era administrador de la organización, pero ya no está en la empresa y la dirección de correo electrónico ha sido desactivada, pero el usuario no ha sido eliminado de Automation Suite.

Si un nuevo empleado que se llama Juan Pérez se incorpora a la empresa, recibirá la misma dirección de correo electrónico [e-mail]. En este caso, si las cuentas coinciden con la integración de Orchestrator con Azure AD, Juan Pérez hereda los privilegios de administrador de la organización.

Para evitar este tipo de situaciones, asegúrate de eliminar todas las cuentas que ya no están activas de Orchestrator antes de proceder al siguiente paso.

Activar la integración de Azure AD

Antes de empezar

• Make sure that Azure is configured as described above in Configuring Azure for the integration.
• Obtain the Directory (tenant) ID,Application (client) ID, and Client Secret values for the Orchestrator app registration in Azure from your Azure administrator.

Para activar la integración de Azure AD, haz lo siguiente en Orchestrator:

1. Inicia sesión en el portal de gestión (https://OrchestratorUR:/identity/management) como administrador.

2. En la página Cuentas y grupos, selecciona la pestaña Configuración de autenticación.

3. In the External Providers section, click Configure under Azure Active Directory:

   

   El panel Configurar Azure Active Directory se abre a la derecha de la ventana.

4. Rellena los campos con la información recibida de tu administrador de Azure.

5. Selecciona la casilla de verificación.

   Esto es necesario porque después de guardar los cambios, las cuentas coincidentes se vinculan automáticamente.

6. Haz clic en Guardar.

   La integración está ahora activa para tu organización.

You can now navigate to the URL for your tenant (https://{baseURL}/tenant/) and sign in using your Azure AD account by clicking Continue with Enterprise SSO at the bottom of the login box:

Además, ahora puedes trabajar con los usuarios y grupos en el tenant de Azure AD vinculado.

You can find Azure AD users and groups using search, for example to add a user to an Orchestrator local group, but they are not listed in either the Users or Groups pages.

¿Qué cambia para mis usuarios cuando la integración está activa?

Los usuarios pueden iniciar sesión inmediatamente utilizando su cuenta Azure AD existente y beneficiarse de los mismos permisos que tenían en su cuenta UiPath.

Si no has eliminado sus cuentas de usuario de UiPath, los usuarios también pueden seguir iniciando sesión con su cuenta de UiPath, ambos métodos funcionan.

Para utilizar su cuenta de Azure AD, debe ir al Orchestrator específico de tu organización, que tiene la forma https://{baseURL}/myOrganization/, o seleccionar Enterprise SSO en la página principal de inicio de sesión.

Otro cambio que pueden notar los usuarios es que si ya han iniciado la sesión en sus cuentas de Azure AD desde el uso de otra aplicación, inician la sesión automáticamente cuando navegan a esta URL.

¿Qué roles tiene cada cuenta?

Cuenta de Azure AD: cuando un usuario inicia sesión con su cuenta de Azure AD, se beneficia inmediatamente de todos los roles que tenía en su cuenta de UiPath, además de cualquier rol asignado dentro de UiPath a la cuenta de Azure AD o a los grupos de Azure AD a los que pertenece. Estos roles pueden provenir del usuario de Azure AD o del grupo de Azure AD que se incluye en los grupos de Orchestrator, o de otros servicios como Orchestrator donde los roles fueron asignados al usuario de Azure AD o al grupo de Azure AD.

Cuenta de UiPath: con la integración de Azure AD activa, para las cuentas de UiPath depende:

• Si el usuario no ha iniciado sesión al menos una vez con su cuenta de Azure AD, solo tiene los roles de la cuenta de UiPath.
• Si ha iniciado sesión previamente con la cuenta de Azure AD al menos una vez, la cuenta de UiPath también tiene cualquier rol que el usuario de Azure AD tenga dentro de UiPath, ya sea asignado explícitamente o heredado de la pertenencia a un grupo de Orchestrator. La cuenta de UiPath no se beneficia de ninguno de los roles asignados a los grupos de Azure AD en los que se encuentra la cuenta de Azure AD.

¿Tengo que volver a conceder los permisos para las cuentas de Azure AD?

No. Dado que las cuentas coincidentes se vinculan automáticamente, sus permisos existentes se aplican también al iniciar sesión con la cuenta de Azure AD. Sin embargo, si decides dejar de utilizar las cuentas de UiPath, asegúrate de que se han establecido los permisos adecuados para los usuarios y grupos de Azure AD de antemano.

Probar la integración de Azure AD

To check that the integration is running from Orchestrator, sign in as an administrator with an Azure AD account and try to search for Azure AD users and groups on any related page, such as the Assign roles page in Orchestrator (Manage access > Assign roles > Assign role).

• If you can search for users and groups that originate in Azure AD, it means the integration is running. You can tell the type of user or group by its icon.

  Nota:

  Los usuarios y grupos de Azure AD no aparecen en la página de Usuarios ni en la de Grupos, solo están disponibles a través de la búsqueda.

• If you encounter an error while trying to search for users, as shown in the example below, this indicates that there is something wrong with the configuration in Azure. Reach out to your Azure administrator and ask them to check that Azure is set up as described in Configuring Azure for the Integration.

  Consejo:

  Pide a tu administrador de Azure que confirme que ha seleccionado la casilla de verificación Conceder consentimiento de administrador durante la configuración de Azure. Esta es una causa común por la que falla la integración.

Completar la transición a Azure AD

Una vez activada la integración, recomendamos seguir las instrucciones de esta sección para garantizar que la creación de usuarios y las asignaciones de grupos se transfieran a Azure AD. De este modo, puedes construir sobre tu infraestructura de gestión de identidades y accesos existente para facilitar el control de la gestión de accesos y la gobernanza sobre los recursos de tu organización de Orchestrator.

Configurar grupos de permisos y robots (opcional)

Puedes hacer esto para asegurarte de que el administrador de Azure también pueda incorporar nuevos usuarios con los mismos permisos y la misma configuración del robot para Orchestrator y otros servicios que habías configurado antes de la integración. Puedes hacer esto añadiendo cualquier nuevo usuario a un grupo de Azure AD si el grupo tiene los roles requeridos ya asignados en Orchestrator.

Puedes asignar tus grupos de usuarios existentes desde Orchestrator a grupos nuevos o existentes en Azure AD. Puedes hacerlo de varias maneras, dependiendo de cómo utilices los grupos en Azure AD:

• Si los usuarios con los mismos roles en Orchestrator ya están en los mismos grupos en Azure AD, el administrador de la organización puede añadir estos grupos de Azure AD a los grupos de usuarios de Orchestrator en los que estaban estos usuarios. De este modo, se garantiza que los usuarios mantengan los mismos permisos y la configuración del robot.
• De lo contrario, el administrador de Azure puede crear nuevos grupos en Azure AD para que coincidan con los de Orchestrator y añadir los mismos usuarios que están en los grupos de usuarios de Orchestrator. A continuación, el administrador de la organización puede añadir los nuevos grupos de Azure AD a los grupos de usuarios existentes para garantizar que los mismos usuarios tengan las mismas funciones.

In either case, make sure you check for any roles that were explicitly assigned to users. If possible, eliminate the explicit role assignments by adding these users to groups that have the roles that were explicitly assigned.

Ejemplo: supongamos que el grupo Administradores en Orchestrator incluye a los usuarios Pedro, Tomás y Juan. Estos mismos usuarios también están en un grupo en Azure AD llamado admins. El administrador de la organización puede añadir el grupo admins al grupo Administradores en Orchestrator. De este modo, Pedro, Tomás y Juan, como miembros del grupo admins de Azure AD, se benefician de los roles del grupo Administradores.

Dado que el grupo admins ahora forma parte del grupo Administradores, cuando necesites incorporar un nuevo administrador, el administrador de Azure puede añadir el nuevo usuario al grupo admins de Azure, otorgándoles así permisos de administración en Orchestrator sin tener que realizar ningún cambio en Orchestrator.

Los cambios en las asignaciones de grupos de Azure AD se aplican en Orchestrator cuando el usuario inicia sesión con su cuenta de Azure AD o, si ya ha iniciado sesión, en el plazo de una hora.

Migrar a los usuarios existentes

Inicio de sesión inicial: para que se apliquen los permisos asignados a los usuarios y grupos de Azure AD, los usuarios deben iniciar sesión al menos una vez. Recomendamos que, una vez ejecutada la integración, comuniques a todos tus usuarios que salgan de su cuenta de UiPath y vuelvan a iniciar sesión con su cuenta de Azure AD. Pueden iniciar sesión con su cuenta de Azure Ad:

• navegando a la URL específica de la organización, en cuyo caso el tipo de inicio de sesión ya está seleccionado;

  Nota:

  La URL debe incluir el ID de la organización y terminar en una barra diagonal, como por ejemplo https://{baseURL}/orgID/.

• seleccionando SSO para Enterprise en la página principal de inicio de sesión.

  Nota:

  Asegúrate de proporcionar la URL específica de tu organización para Orchestrator a todos tus usuarios. Solo los administradores de la organización pueden ver esta información en Orchestrator.

Los usuarios migrados se benefician de la combinación de los permisos que les fueron asignados directamente y los de sus grupos de Azure AD.

Configuración de Studio y Assistant para los usuarios: para configurar estos productos para que se conecten con las cuentas de Azure AD:

1. En Assistant, abre Preferencias y selecciona la pestaña Conexión de Orchestrator.

2. Haz clic en Cerrar sesión.

3. Para el tipo de conexión, selecciona URL de servicio.

4. En el campo URL del servicio, añade la URL específica de la organización

   Nota:

   The URL must include the organization ID and end in a forward slash, such as https://{baseURL}/orgID/. Otherwise the connection fails saying that the user does not belong to any organization.

5. Vuelve a iniciar sesión con la cuenta de Azure AD.

Importante:

Permissions from Azure AD groups don't influence the automations from classic folders or the robots that are connected using the machine key. To operate under group-based permissions, configure the automations in modern folders and use the Service URL option to connect to UiPath Assistant or Studio.

Dejar de usa cuentas locales (opcional)

Aunque es opcional, te recomendamos que lo hagas para maximizar las principales ventajas de cumplimiento y eficiencia de la integración completa entre Orchestrator y Azure AD.

After all users have been migrated, you can remove the users which are based on personal local accounts from the Users tab, so that your users won't be able to sign in using their UiPath accounts anymore. You can find these accounts based on their user icons.

También puedes eliminar los permisos individuales en los servicios de UiPath, como el servicio de Orchestrator, y eliminar a los usuarios de los grupos de Orchestrator para que los permisos dependan exclusivamente de la pertenencia a grupos de Azure AD.

Excepción

Si decide dejar de utilizar las cuentas locales, le recomendamos que conserve como mínimo una cuenta local con el rol de administración de la organización para usarla si tiene que actualizar la configuración de autenticación de su organización. Por lo demás, las opciones Configuración de autenticación no están activadas.

Mejores prácticas

A continuación, te ofrecemos algunos consejos útiles sobre las funciones avanzadas que puedes aprovechar ahora que tienes configurada la integración con Azure AD.

Restringir acceso a Orchestrator

Because the integration with Azure AD is performed at the level of the Azure tenant, by default all Azure AD users can access the Orchestrator organization. The first time an Azure AD user signs in to Orchestrator, they are automatically included in the Orchestrator group Everyone, which grants them the User organization-level role.

Si deseas permitir que solo determinados usuarios accedan a tu organización de Orchestrator, puedes activar la asignación de usuarios para el registro de la aplicación de Orchestrator en Azure. De este modo, los usuarios deben asignarse expresamente a la aplicación (Orchestrator) para poder acceder a ella. Para obtener instrucciones, consulta este artículo en la documentación de Azure AD.

Restringe el acceso a redes o dispositivos de confianza

Si deseas que tus usuarios solo accedan a Orchestrator desde una red o un dispositivo de confianza, puedes utilizar la función de acceso condicional de Azure AD.

Control para grupos de Orchestrator en Azure AD

If you have created groups in Azure AD for easy Orchestrator onboarding directly from Azure AD, as described above in Configure groups for permissions and robots, you can use the advanced security options of Privileged Identity Management (PIM) for these groups to govern access requests for Orchestrator groups.