Cuentas y grupos

En la página Cuentas y grupos puedes definir cuentas de usuario locales, cuentas de robot y grupos locales para tu organización.

El nivel de acceso y las acciones que sus usuarios pueden realizar se controlan mediante dos elementos:

• cuentas, que establecen la identidad de un usuario y se utilizan para iniciar sesión en tus aplicaciones UiPath.
• roles, que se asignan a las cuentas para concederles determinados permisos en el ecosistema UiPath.

Las cuentas no se crean ni se gestionan en Orchestrator, solo los roles y sus asignaciones.

Acerca de las cuentas

Una cuenta es una entidad de la plataforma UiPath con capacidades que dependen del acceso y cuya vista y control de Orchestrator dependen de los derechos de acceso asignados.

Las cuentas pueden:

• crearse y gestionarse localmente (cuentas locales) desde

  • Portal de gestión. Para obtener más información, consulta Gestionar cuentas.
• creado y gestionado en un directorio externo (cuentas de directorio y grupos de directorio). Consulta la sección Integración de AD a continuación para entender mejor las integraciones de directorios.

Más información

• Learn more about the .

• Descubre el modelo de control de acceso de Orchestrator, que se basa en la asignación de roles.

Las cuentas se añaden desde el portal de gestión de la organización y solo están disponibles dentro de la organización correspondiente.

Una vez que se ha añadido una cuenta satisfactoriamente, hay dos formas de concederle derechos de acceso a Orchestrator: añadiendo la cuenta a un grupo para que herede los roles del grupo, o asignando roles a cada cuenta a nivel de servicio. Puedes utilizar ambos métodos para tener un control detallado del acceso que tiene una cuenta en tu organización.

Nota: la gestión de UiPath Robot se realiza en el nivel de usuario. Consulta Gestionar cuentas para obtener más detalles.

Integración de AD

Un directorio activo (AD) referenciado en Orchestrator hace que sus miembros sean usuarios potenciales de Orchestrator. El nivel de acceso de una cuenta de directorio se configura en Orchestrator, ya sea a nivel de grupo (grupo de directorio) o de usuario (usuario de directorio).

Puedes integrarte con:

• un Active Directory local (Orchestrator independiente)

• Active Directory de Azure (Orchestrator independiente)

  Nota: El uso de una integración AD junto con el autoaprovisionamiento de robots attended y carpetas jerárquicas permiten configurar fácilmente grandes implementaciones. Para obtener información detallada, consulta Gestionar grandes implementaciones.

Requisitos previos

• El parámetro WindowsAuth.Domain se rellena con un dominio válido. Todos los dominios y subdominios de los bosques de confianza bidireccional con el dominio especificado en el parámetro WindowsAuth.Domain están disponibles al añadir usuarios/grupos.
• La máquina en la que está instalado Orchestrator se une al dominio establecido en el parámetro WindowsAuth.Domain. Para comprobar si el dispositivo está asociado al dominio, ejecuta dsregcmd /status desde el símbolo del sistema del sistema y dirígete a la sección Estado del dispositivo.
• La identidad bajo la que se ejecuta el grupo de aplicaciones de Orchestrator debe formar parte del grupo de acceso de autorización de Windows (WAA).

Comportamiento

• Al añadir un grupo de directorio se crea una entidad de grupo de usuarios en Orchestrator para la que se configuran los derechos de acceso de la manera deseada. Esta entrada en Orchestrator sirve como referencia al grupo tal y como se encuentra en AD.
• Al iniciar sesión, Orchestrator comprueba la pertenencia a los grupos. Si se confirma, aprovisiona automáticamente tu cuenta de usuario, y luego se asocia a los derechos de acceso heredados del grupo. Los derechos heredados solo se conservan durante la sesión de usuario.
• Se realiza el aprovisionamiento automático la primera vez que inicias la sesión. Una cuenta de usuario aprovisionada automáticamente no se elimina al cerrar la sesión, ya que podrías necesitar la entrada para fines de auditoría.

• Orchestrator comprueba la pertenencia a un grupo de una cuenta al iniciar la sesión o bien, cada hora durante las sesiones activas. Si la pertenencia a un grupo de una cuenta cambia, los cambios se aplicarán la próxima vez que la cuenta se conecte o, si ya se ha conectado, en el plazo de una hora.

  Este intervalo de una hora para la comprobación de la pertenencia al grupo puede cambiarse estableciendo el valor de IdentityServer.GroupMembershipCacheExpireHours.

• Los grupos en AD se sincronizan con Orchestrator, si bien los cambios realizados en Orchestrator no afectan a la configuración de los usuarios en AD.
• Los usuarios de AD cuyos derechos de acceso heredados (de la pertenencia a un grupo) no pueden determinarse se comportan como usuarios locales, lo que significa que dependen únicamente de los roles asignados a la cuenta de usuario.
• La única forma de configurar derechos de acceso que persistan entre sesiones, independientemente de los cambios en la pertenencia a un grupo, es asignar directamente el rol a la cuenta de usuario en Orchestrator, en lugar de utilizar grupos para asignar roles.

Problemas conocidos

• Debido a diversos problemas de red o de configuración, existe la posibilidad de que no todos los dominios mostrados en el Nombre de dominio estén accesibles.
• Los cambios realizados en los nombres de usuarios o grupos en AD no se propagan a Orchestrator.
• La actualización de la lista de dominios con los nuevos dominios de confianza bidireccionales puede tardar hasta una hora.
• Las solicitudes GetOrganizationUnits(Id) y GetRoles(Id) solo devuelven carpetas y roles establecidos explícitamente para un usuario aprovisionado automáticamente. Los heredados de la configuración del grupo pueden recuperarse a través del punto final /api/DirectoryService/GetDirectoryPermissions?userId={userId}.
• Lo mismo vale para la interfaz de usuario, donde solo se muestran carpetas y roles establecidos de forma explícita en la página Usuarios. En contraste, los heredados tienen una nueva ubicación independiente, la ventana Permisos de usuario (Usuarios > Más acciones > Comprobar permisos).
• Los usuarios no heredan la configuración de la suscripción a las alertas del grupo principal, ni reciben ninguna alerta de forma predeterminada. Para tener acceso a las alertas deberás otorgar los permisos correspondientes al usuario explícitamente.
• Eliminar un grupo de directorio no elimina la licencia de un usuario de directorio asociado, incluso si la eliminación del grupo quita al usuario de cualquier carpeta. La única forma de eliminar la licencia es cerrar la bandeja de Robots.
• En ciertos navegadores, iniciar sesión en Orchestrator utilizando tus credenciales de AD solo requiere tu nombre de usuario. No hace falta especificar también el dominio. Por tanto, si la sintaxis dominio/nombre de usuario no funciona, intenta rellenar solo el nombre de usuario.

Consideraciones de auditoría

• Membresía de usuario: el usuario [username] se asignó a los siguientes grupos de directorio [Grupos de directorio de los que el usuario hereda derechos de acceso en la sesión actual].
• Aprovisionamiento automático: el usuario [username] será aprovisionado automáticamente de los siguientes grupos de directorio [Grupos de directorio de los que el usuario hereda derechos de acceso en la sesión actual].

Tipos de usuario

Grupo

Los grupos te permiten gestionar varios usuarios a la vez, aplicándoles las mismas funciones y la misma configuración a través del grupo.

La condición de miembro de un usuario se establece desde Admin > Cuentas y grupos.

Los grupos de usuarios permiten el acceso automático con los permisos de grupo, según los usuarios que se hayan añadido o eliminado del grupo sin necesidad de administrar los permisos de usuario de forma individual.

There are 6 default local groups: Administrators, Automation Users, Automation Developers, Citizen Developers, Automation Express, and Everyone. All groups come with a default set of permissions in each new service you create. The out-of-the-box roles can be customized later on for each Orchestrator service.

Si necesitas más niveles aparte de los 4 predeterminados proporcionados por UiPath, puedes crear grupos de usuarios personalizados. A diferencia de los grupos locales predeterminados, los grupos personalizados deben añadirse manualmente en Orchestrator para garantizar la correcta asignación entre la pertenencia a un grupo de un usuario y el rol correspondiente en Orchestrator.

Los roles de un grupo se transmiten a todos los usuarios que pertenecen al grupo, tanto los autoaprovisionados como los que se han añadido manualmente. Se denominan "roles heredados" en contraposición a los "roles asignados directamente", que solo pueden definirse por cuenta.

Nota:

• Un usuario que pertenece a varios grupos hereda derechos de acceso de todos ellos.
• Un usuario que pertenece a varios grupos, y al que también se le han asignado funciones directamente, tiene la unión de todas las funciones heredadas de los grupos y asignadas directamente.
• No es necesario tener una cuenta de usuario explícita para acceder a Orchestrator si se pertenece a un grupo que se ha añadido a Orchestrator.
• Los roles heredados dependen del grupo de usuarios asociado. Si el grupo se elimina del servicio, también se eliminan los roles heredados de esa cuenta.
• Las funciones asignadas directamente no se ven influidas por los grupos a los que pertenece la cuenta. Persisten con independencia del estado del grupo.

Ejemplo

Por ejemplo, añado a John Smith a los grupos de Usuarios de automatización y Administradores en mi organización.

• El grupo Usuarios de automatización existe en el servicio de Finanzas de Orchestrator
• El grupo de Administradores existe en el servicio de RR. HH. de Orchestrator
• Asignación directa de roles a la cuenta de John en ambos servicios.

John tiene la unión de los derechos heredados y explícitos para cada servicio:

Servicio/Roles	Grupos de usuario	Roles heredados	Roles explícitos	Descripción general
Tenant definanzas	Automation User
Roles de tenant	Permite ser Usuario de automatización	Permite ser Usuario de automatización	Permite ser Administrador de carpeta	Permite ser Usuario de automatización Permite ser Administrador de carpeta
Roles de carpeta	Automation User en carpeta A Automation User en carpeta B	Automation User en carpeta A Automation User en carpeta B	Administrador de carpeta en carpeta A	Automation User en carpeta A Automation User en carpeta B Administrador de carpeta en carpeta A
Tenant derecursos humanos	Administradores
Roles de tenant	Permite ser Administrador de carpeta	Permite ser Administrador de carpeta		Permite ser Administrador de carpeta
Roles de carpeta	Administrador de carpeta en carpeta D Folder Administrator en carpeta E	Administrador de carpeta en carpeta D Folder Administrator en carpeta E	Administrador de carpeta en carpeta F	Administrador de carpeta en carpeta D Folder Administrator en carpeta E Administrador de carpeta en carpeta F

Usuario

Según el mecanismo utilizado para añadir cuentas de usuario en Orchestrator, se pueden clasificar en dos categorías:

Usuarios añadidos manualmente

Usuarios que se han añadido manualmente a Orchestrator y a los que se le han otorgado permisos explícitos a nivel de tenant o de carpeta. Las cuentas de usuario añadidas manualmente heredan derechos de acceso de grupo si pertenecen a un grupo que también se ha añadido a ese servicio de Orchestrator.

Usuarios aprovisionados automáticamente

Usuarios que se han añadido a un grupo local y que inician sesión en Orchestrator. Pueden acceder a Orchestrator según los permisos heredados del grupo. Una vez que hayan iniciado sesión en Orchestrator por primera vez, se aprovisionan automáticamente.

Importante: en la página Usuarios, en la columna Roles, puedes ver los roles asignados explícitamente a un usuario, tanto si se añaden manualmente como si se aprovisionan automáticamente. Los roles heredados no se muestran en esta columna.

Puedes comprobar todos permisos de un usuario, incluyendo los heredados, desde la ventana Más acciones > Comprobar permisos > Permisos de usuario, específica para dicho usuario.

	Usuario añadido manualmente	Usuario aprovisionado automáticamente
Hereda derechos de acceso	Sí	Sí
Puede tener derechos de acceso explícitos	Sí	Sí
Cloud Portal es el núcleo central de información de usuarios	Sí	Sí
Puede usar SSO	Sí	Sí

Robot

El usuario Robot se crea automáticamente cuando implementas manualmente un Robot en Orchestrator. Los usuarios de UiPath Robot tienen el rol Robot de forma predeterminada. Este rol le otorga a tu Robot acceso a múltiples páginas, permitiéndole realizar diversas acciones.

Iconos de cuentas y grupos

En las páginas en las que se gestionan las cuentas, los grupos o los roles, se muestran iconos específicos para cada tipo para ayudarte a reconocer el tipo de cuenta o el tipo de grupo.

Iconos de la cuenta

- Cuenta de usuario UiPath: cuenta de usuario que está vinculada a una cuenta UiPath y que ha iniciado sesión mediante autenticación básica

- Cuenta de usuario SSO: cuenta de usuario vinculada a una cuenta UiPath que ha iniciado sesión mediante SSO; también se aplica a las cuentas de usuario que tienen tanto una cuenta de usuario UiPath como una cuenta de directorio

- Cuenta de usuario de directorio: la cuenta se origina en un directorio y se registra con Enterprise SSO

: Cuenta de robot

Iconos del grupo

: grupo local (o simplemente, grupo): el grupo fue creado por un administrador de host.

: Grupo de directorio: el grupo se origina en un directorio vinculado.

Acerca de los roles

Orchestrator utiliza un mecanismo de control de acceso basado en roles y permisos. Los roles son recopilaciones de permisos, lo que significa que los permisos necesarios para usar ciertas entidades de Orchestrator están asignados a roles.

Las relaciones de los permisos del rol y los los roles de usuario permiten un determinado nivel de acceso a Orchestrator. Un usuario obtiene los permisos necesarios para realizar operaciones concretas a través de uno o varios roles. Como no se pueden asignar permisos directamente a los usuarios, sino que los adquieren a través de sus roles, la gestión de derechos de acceso implica asignar los roles adecuados al usuario.

Consulta Gestionar roles para obtener más información.

Permisos para la gestión de usuarios

Para poder realizar varias operaciones en las páginas Usuarios y Roles, deberás tener los permisos correspondientes:

• Ver en Usuarios: permite la visualización de las páginas Usuarios y Perfil.
• Editar en Usuarios: permite editar los detalles y la configuración del usuario en la página Perfil, así como activar/desactivar usuarios en la página Usuarios.
• Ver en Usuarios y Ver en Roles: permiten la visualización de permisos del usuario en la ventana Permisos del usuario.
• Editar en Usuarios y Ver en Roles: permite editar asignaciones de rol en la página Gestionar accesos > Asignar roles.
• Crear en Usuarios y Ver en Roles: permiten crear un usuario.
• Ver en Usuarios y Editar en Roles: permiten gestionar roles en la ventana Gestionar usuarios, que se abre desde la página Gestionar accesos > Roles.
• Eliminar en Usuarios: permite eliminar un usuario de Orchestrator.

Tipos de cuenta

Cuenta local

Una cuenta ya creada y que se puede gestionar desde Orchestrator, a través del Portal de gestión, se considera local en el ecosistema de UiPath.

Para las cuentas locales, todos los atributos de la cuenta, como el nombre y la dirección de correo electrónico, se almacenan en Identity Server.

Cuenta de directorio

Las cuentas de usuario que se originan en un directorio fuera del ecosistema UiPath (por ejemplo, desde Azure Active Directory) son usuarios de directorio. Estas cuentas pueden acceder a Orchestrator y pueden recibir roles si se integra con el directorio.

Para los usuarios de directorio, solo se gestionan las asignaciones de roles y los ajustes específicos de Orchestrator dentro del ecosistema UiPath, en Identity Server y Orchestrator. El administrador del directorio externo gestiona los atributos específicos de la cuenta (nombre, correo electrónico, pertenencia a un grupo de directorio).

Hay dos maneras de que un usuario del directorio obtenga acceso a Orchestrator:

1. Un administrador asigna roles a su cuenta de directorio en Orchestrator; a esto se le denomina cuenta añadida de manera individual.
2. Un administrador añade la cuenta de directorio a un grupo y el usuario inicia sesión con su cuenta de directorio.
3. Un administrador de Orchestrator añade un grupo de directorio a un grupo local y, a continuación, un administrador de directorio añade la cuenta de usuario al grupo de directorio, lo que se denomina cuenta autoaprovisionada.

Independientemente de su tipo, la cuenta de directorio siempre hereda los roles de los grupos a los que pertenece, si existen en Orchestrator.

Grupo Local

Los grupos locales son entidades que se originan en Identity Server y que representan una colección de cuentas de usuarios y robots. Se pueden asignar roles y licencias a grupos en lugar de asignarlos a usuarios individuales. Todo lo que se asigna al grupo se asigna automáticamente a todos los miembros del grupo.

Grupo del directorio

Una entidad creada mediante la referencia a un grupo de un directorio vinculado en tu instancia de Orchestrator. Todos los miembros del grupo son usuarios potenciales de Orchestrator. Todos los roles asignados a un grupo son heredados por los usuarios que pertenecen a ese grupo, autoaprovisionados o agregados individualmente.

• Un usuario que pertenece a varios grupos hereda los roles de todos ellos.
• Un usuario que pertenece a varios grupos, y al que también se le han concedido roles explícitamente, tiene la unión de todos los roles heredados y asignados explícitamente.

El uso de grupos de directorio permite el acceso automático con los permisos del grupo, en función de los usuarios que se añadan o eliminen del grupo de directorio (por ejemplo, al cambiar departamento) y sin necesidad de gestionar los permisos de usuario de forma individual.

Ejemplo

Grupos del directorio	Derechos heredados	Derechos explícitos
Se ha añadido el grupo X con un conjunto de derechos de acceso X y el grupo Y con un conjunto de derechos de acceso Y.	John Smith pertenece tanto al grupo X como al Y. Se conecta a Orchestrator. Su usuario está autoaprovisionado con los siguientes derechos: X, Y.	Además de los conjuntos X e Y, a Juan también se le concede explícitamente el conjunto Z. Juan tiene ahora los siguientes derechos: X, Y, Z. La eliminación de los grupos X e Y deja a Juan con Z.

• No necesitas una entrada de usuario concreto para iniciar sesión en Orchestrator si perteneces a un grupo añadido a Orchestrator.
• Los derechos de acceso heredados dependen del Grupo de directorio asociado. Si se borra el directorio, también se eliminan los derechos de acceso heredados.
• Los derechos de acceso establecidos explícitamente son independientes del Grupo de Directorio. Persisten entre sesiones, independientemente del estado del grupo.

Robot

Cuentas de robot

Las cuentas de los robots son útiles para cuando se necesita ejecutar procesos desatendidos de administración que no deben ser responsabilidad de ningún usuario en particular. Se trata de nuestro equivalente de cuentas de servicio específicas de RPA. Al igual que las cuentas que los servicios de Windows ejecutan como identidades de aplicación en el modelo OAuth, son una identidad de no usuario que se utiliza para ejecutar procesos desatendidos.

Trabajar con cuentas de los robots

Las cuentas de los robots se comportan como las cuentas de los usuarios en cuanto a permisos. En UiPath Orchestrator, se pueden añadir cuentas de robot y configurar los permisos para ellas del mismo modo que para cualquier otra cuenta.

Las únicas diferencias con respecto a las cuentas de usuario son:

• las cuentas de los robots no pueden configurar ningún proceso relacionado con la interactividad
• no se requiere una dirección de correo electrónico para crear una cuenta de robot.

Puedes encontrar y trabajar con las cuentas de los robots prácticamente de la misma manera que trabajas con las cuentas de los usuarios:

• Los administradores de la organización pueden crear y gestionar las cuentas de los robots desde la página Admin > Cuentas y grupos, pero no desde la pestaña Usuarios, sino desde la pestaña Cuentas de robot dedicada.

  Las cuentas de los robots también pueden incluirse en grupos y administrarse como parte del grupo.

• Al asignar roles en Orchestrator, la búsqueda de cuentas muestra usuarios, grupos y también cuentas de robots para su selección.

CuentaServicio

Una cuenta de servicio es una cuenta no humana que se utiliza para proporcionar un contexto de seguridad para ejecutar cargas de trabajo que no implican la existencia de una cuenta humana, como las autenticaciones de servidor a servidor. En estos casos, Orchestrator asume la identidad de la cuenta de servicio.

Solo se crea una cuenta de servicio por instancia de Orchestrator; no es visible en la interfaz de usuario y solo se puede identificar en las tablas de la base de datos.

No hay información de autenticación adjunta a este tipo de cuenta y, como tal, no puede iniciar sesión de forma interactiva a través de navegadores o cookies.

Recomendamos no deshabilitar o eliminar la cuenta de servicio, ya que esto tendrá un impacto directo en las cargas de trabajo en ejecución.