Configurar SSO: Azure Active Directory

En esta página se describe cómo habilitar la integración de Azure Active Directory (Azure AD) a nivel de host para que todos los usuarios de Orchestrator puedan beneficiarse de SSO.

Nota:

Integración a nivel de host o de organización

Si habilitas la integración de Azure AD en host, como se describe en esta página, no puedes habilitarla en organización/tenant.

La integración a nivel de host solo permite SSO. Ahora bien, si se activa a nivel de organización/tenant, la integración permite SSO, así como la búsqueda en directorios y el aprovisionamiento automático de usuarios.

Requisitos previos

Para configurar la integración de Azure AD, necesitas:

• permisos de administrador tanto en Orchestrator como en Azure AD (si no dispones de estos permisos en Azure, colabora con un administrador de Azure para completar el proceso de configuración);
• una cuenta UiPath de administrador de la organización que utiliza la misma dirección de correo electrónico que un usuario de Azure AD; el usuario de Azure AD no requiere permisos de administrador en Azure;
• UiPath Studio y Assistant versión 2020.10.3 o posterior;
• UiPath Studio y Assistant para utilizar la implementación recomendada.
• Si ya has usado cuentas de usuario local, comprueba que todos tus usuarios de Azure AD tienen la dirección de correo en el campo Correo; no sirve con tener la dirección de correo electrónico solamente en el campo User Principle Name (UPN). La integración de Azure AD vincula las cuentas de usuarios del directorio con las cuentas de usuarios locales si las direcciones de correo electrónico coinciden. Esto permite a los usuarios conservar los permisos cuando pasan de iniciar sesión con su cuenta de usuario local a hacerlo con la cuenta de usuario del directorio de Azure AD.

Paso 1. Crear un registro de aplicaciones de Azure AD

Nota: Los siguientes pasos son una descripción general de una configuración de ejemplo. Para obtener instrucciones más detalladas, consulta la documentación de Microsoft para configurar Azure AD como proveedor de autenticación.

1. Inicia sesión en el portal de Azure como administrador.
2. Ve a Registros de aplicaciones y haz clic en Nuevo registro.
3. En la página Registrar una aplicación, rellena el campo Nombre con un nombre para tu instancia de Orchestrator.
4. En la sección Tipos de cuenta admitidos, seleccione Solo cuentas de este directorio organizativo.
5. Establece el URI de redirección seleccionando Web en la lista desplegable y rellenando la URL de tu instancia de Orchestrator más el sufijo /identity/azure-signin-oidc. Por ejemplo, https://baseURL/identity/azure-signin-oidc
6. En la parte inferior, selecciona ID tokens en la casilla de verificación.
7. Haz clic en Registrar para crear el registro de aplicación de Orchestrator.
8. Guarda el ID de aplicación (cliente) para utilizarlo más adelante.

Paso 2. Configurar Azure AD SSO

1. Inicia sesión en el portal de gestión como administrador del sistema.
2. Diríjase a Usuarios y seleccione la pestaña Configuración de seguridad.
3. En la sección Proveedores externos, haga clic en Configurar en Azure AD.
   • Selecciona la casilla de verificación Habilitada.
   • Si deseas permitir únicamente el inicio de sesión en Orchestrator mediante AzureAD, selecciona la casilla de verificación Forzar inicio de sesión automático usando este proveedor.
   • Rellena el campo Nombre para mostrar con la etiqueta que deseas utilizar para el botón AzureAD en la página de inicio de sesión.
   • En el campo ID de cliente, pegue el valor del ID de aplicación (cliente) obtenido en el portal de Azure.
   • (Opcional) En el campo Secreto del cliente, pegue el valor obtenido del portal de Azure.

   • Establezca el parámetro Autoridad en uno de los siguientes valores:

     • https://login.microsoftonline.com/<tenant>, donde <teant> es el ID de tenant del tenant de Azure AD o un dominio asociado a este tenant de Azure AD. Solo se utiliza para iniciar la sesión de los usuarios de una organización específica.
     • https://login.microsoftonline.com/common. Se utiliza para iniciar la sesión de usuarios con cuentas de trabajo y escuela o cuentas personales de Microsoft.
   • (Opcional) en la URL de cierre de sesión, pegue el valor obtenido en el portal de Azure.
4. Haz clic en Guardar para guardar los cambios de la configuración del proveedor de identidades externo.
5. Reinicia el sitio IIS. Esto es necesario tras realizar cualquier cambio en los proveedores externos.

Paso 3. Permitir Azure AD SSO para la organización

Ahora que Orchestrator está integrado con Azure AD Sign-In, las cuentas de usuario que tienen una dirección de correo electrónico válida de Azure AD pueden utilizar la opción Azure AD SSO en la página de inicio de sesión para iniciar sesión en Orchestrator.

Cada administrador debe proceder así para su organización/tenant si quiere permitir el inicio de sesión con Azure AD SSO.

1. Inicia sesión en Orchestrator como administrador.
2. Añade cuentas de usuario locales para tus usuarios, cada una con una dirección de correo electrónico válida de Azure AD.