- Primeros pasos
- Mejores prácticas
- Tenant
- Acerca del contexto de tenant
- Buscar recursos en un tenant
- Gestionar robots
- Conexión de los robots a Orchestrator
- Almacenar credenciales de robots en CyberArk
- Almacenar contraseñas de robots desatendidos en Azure Key Vault (solo lectura)
- Almacenar las credenciales de robots desatendidos en HashiCorp Vault (solo lectura)
- Almacenamiento de credenciales de Unattended Robot en AWS Secrets Manager (solo lectura)
- Eliminar sesiones desconectadas y sin respuesta no atendidas
- Autenticación de Robot
- Autenticación de robots con credenciales de cliente
- Autenticación por SmartCard
- Configurar las capacidades de automatización
- Auditoría
- Configuración: a nivel de tenant
- Servicio de catálogo de recursos
- Contexto de carpetas
- Automatizaciones
- Procesos
- Trabajos
- Desencadenadores
- Registros
- Supervisión
- Colas
- Activos
- Depósitos de almacenamiento
- Test Suite - Orchestrator
- Otras configuraciones
- Integraciones
- Administración de host
- About the host level
- Gestionar los administradores del sistema
- Gestión de tenants
- Configuración de las notificaciones por correo electrónico del sistema
- Registros de auditoría para el portal del host
- Modo de mantenimiento
- Administración de la organización
- Solución de problemas
Configurar la integración de Azure AD
Si tu organización utiliza Azure Active Directory (Azure AD) u Office 365, puedes conectar tu organización de Orchestrator directamente a tu tenant de Azure AD para ver las cuentas de usuario existentes en tu entorno de UiPath®.
La integración de Azure AD te permite seguir aprovechando el modelo de usuario local, si así lo deseas, a la vez que impulsa tu organización con las ventajas adicionales de utilizar el modelo de Azure AD.
Si ha decidido usar Azure AD para su organización, siga las instrucciones de esta página para configurar la integración.
Para configurar la integración de Azure AD, necesitas:
- permisos de administrador tanto en Orchestrator como en Azure AD (si no dispones de estos permisos en Azure, colabora con un administrador de Azure para completar el proceso de configuración);
- una cuenta UiPath de administrador de la organización que utiliza la misma dirección de correo electrónico que un usuario de Azure AD; el usuario de Azure AD no requiere permisos de administrador en Azure;
- UiPath Studio y Assistant versión 2020.10.3 o posterior;
- UiPath Studio y Assistant para utilizar la implementación recomendada.
- si ya ha usado cuentas de usuario local, compruebe que todos sus usuarios de Azure AD tienen la dirección de correo en el campo Correo; no sirve con tener la dirección de correo electrónico solamente en el campo User Principle Name (UPN). La integración de Azure AD vincula las cuentas de usuarios del directorio con las cuentas de usuarios locales si las direcciones de correo electrónico coinciden. Esto permite a los usuarios conservar los permisos cuando pasan de iniciar sesión con su cuenta de usuario local a hacerlo con la cuenta de usuario del directorio de Azure AD.
appid
en una URL dedicada, como se describe en la documentación de los tokens de acceso de Microsoft .
Tu organización requiere un registro de aplicación en tu tenant de Azure AD y algo de configuración para que pueda ver tus miembros de AD para establecer la identidad de la cuenta. Los detalles de registro de la aplicación también son necesarios para conectar posteriormente tu organización a tu tenant de Azure AD.
Permisos: debe ser administrador en Azure para realizar las tareas de esta sección. Los siguientes roles de administrador de Azure tienen los privilegios necesarios: Administrador global, Administrador de aplicaciones en la nube o Administrador de aplicaciones.
Hay dos maneras de configurar tu tenant de Azure para la integración:
- Sigue las siguientes instrucciones para configurar manualmente el registro de una aplicación para la integración.
- Utiliza los scripts UiPath Azure AD que hemos creado para esta tarea, que están disponibles en GitHub: el script configAzureADconnection.ps1 realiza todas las acciones descritas en esta sección y devuelve los detalles de registro de la app. A continuación, puedes ejecutar el script testAzureADappRegistration.ps1 para asegurarte de que el registro de la aplicación se ha realizado correctamente.
Para configurar manualmente tu tenant de Azure, haz lo siguiente en Azure Portal:
Una vez finalizada la configuración de Azure, puedes preparar la integración, activarla y, a continuación, limpiar las cuentas antiguas.
El proceso se divide en etapas para que no haya interrupciones para tus usuarios.
Permisos: para poder realizar las tareas de esta sección, debes ser administrador en Orchestrator.
Cuando conectas Orchestrator a Azure AD activando la integración, las cuentas con direcciones de correo electrónico coincidentes se vinculan para que la cuenta de Azure AD se beneficie de los mismos permisos que la cuenta de UiPath coincidente.
Si tu organización recicla correos electrónicos, es decir, si una dirección de correo electrónico utilizada en el pasado puede ser asignada a un nuevo usuario en el futuro, esto podría suponer un riesgo de acceso elevado.
Ejemplo
john.doe@example.com
y este empleado tenía una cuenta de UiPath en la que era administrador de la organización, pero ya no está en la empresa y la dirección de correo electrónico ha sido desactivada, pero el usuario no ha sido eliminado.
john.doe@example.com
. En tal caso, Juan Pérez hereda los privilegios de administrador de la organización.
Para evitar este tipo de situaciones, asegúrate de eliminar todos los usuarios que ya no están activos de Orchestrator antes de proceder al siguiente paso.
Antes de empezar
- Asegúrate de que la configuración de Azure está completa.
- Solicita a tu administrador de Azure los valores de ID de directorio (tenant), ID de aplicación (cliente) y Secreto de cliente para el registro de la aplicación en Azure.
Ahora puedes trabajar con los usuarios y grupos en el Azure AD del tenant vinculado. Puedes localizar usuarios y grupos de Azure AD utilizando la búsqueda, por ejemplo para añadir un usuario a un grupo.Consulta las siguientes Preguntas frecuentes para obtener más información sobre los cambios que se producen cuando se activa la integración.
Para comprobar que la integración se ejecuta desde Orchestrator, inicia sesión como administrador de la organización con una cuenta de Azure AD e intenta buscar usuarios y grupos de Azure AD en cualquier página relacionada, como el panel Editar grupo en Orchestrator (Admin > Cuentas y grupos > Grupos > Editar).
-
If you can search for users and groups that originate in Azure AD, it means the integration is running. You can tell the type of user or group by its icon.
Note: Los usuarios y grupos de Azure AD no aparecen en la página Usuarios ni en la página Grupos, solo están disponibles a través de la búsqueda. -
Si se produce un error al intentar buscar usuarios, como se muestra en el ejemplo siguiente, esto indica que hay algo mal en la configuración en Azure. Ponte en contacto con tu administrador de Azure y pídele que compruebe que Azure está configurado como se describe en Configurar Azure para la integración anterior en esta página.
Consejo: Pide a tu administrador de Azure que confirme que ha seleccionado la casilla de verificación Conceder consentimiento de administrador durante la configuración de Azure. Esta es una causa común por la que falla la integración.
Una vez activada la integración, recomendamos seguir las instrucciones de esta sección para garantizar que la creación de usuarios y las asignaciones de grupos se transfieran a Azure AD. De este modo, puedes construir sobre tu infraestructura de gestión de identidades y accesos existente para facilitar el control de la gestión de accesos y la gobernanza sobre los recursos de tu organización de Orchestrator.
Puedes hacer esto para asegurarte de que el administrador de Azure también pueda incorporar nuevos usuarios con los mismos permisos y la misma configuración del robot para Orchestrator y otros servicios que habías configurado antes de la integración. Puedes hacer esto añadiendo cualquier nuevo usuario a un grupo de Azure AD si el grupo tiene los roles requeridos ya asignados en Orchestrator.
Puedes asignar tus grupos de usuarios existentes desde Orchestrator a grupos nuevos o existentes en Azure AD. Puedes hacerlo de varias maneras, dependiendo de cómo utilices los grupos en Azure AD:
- Si los usuarios con los mismos roles en Orchestrator ya están en los mismos grupos en Azure AD, el administrador de la organización puede añadir estos grupos de Azure AD a los grupos de usuarios de Orchestrator en los que estaban estos usuarios. De este modo, se garantiza que los usuarios mantengan los mismos permisos y la configuración del robot.
- De lo contrario, el administrador de Azure puede crear nuevos grupos en Azure AD para que coincidan con los de Orchestrator y añadir los mismos usuarios que están en los grupos de usuarios de Orchestrator. A continuación, el administrador de la organización puede añadir los nuevos grupos de Azure AD a los grupos de usuarios existentes para garantizar que los mismos usuarios tengan las mismas funciones.
En cualquier caso, asegúrate de comprobar los roles que se asignaron a las cuentas. Si es posible, elimina las asignaciones explícitas de funciones añadiendo estos usuarios a grupos que tengan las funciones que se asignaron explícitamente.
Ejemplo: supongamos que el grupo Administradores en Orchestrator incluye a los usuarios Pedro, Tomás y Juan. Estos mismos usuarios también están en un grupo en Azure AD llamado admins. El administrador de la organización puede añadir el grupo admins al grupo Administradores en Orchestrator. De este modo, Pedro, Tomás y Juan, como miembros del grupo admins de Azure AD, se benefician de los roles del grupo Administradores.
Dado que el grupo admins ahora forma parte del grupo Administradores, cuando necesites incorporar un nuevo administrador, el administrador de Azure puede añadir el nuevo usuario al grupo admins de Azure, otorgándoles así permisos de administración en Orchestrator sin tener que realizar ningún cambio en Orchestrator.
Los cambios en las asignaciones de grupos de Azure AD se aplican en Orchestrator cuando el usuario inicia sesión con su cuenta de Azure AD o, si ya ha iniciado sesión, en el plazo de una hora.
Inicio de sesión inicial: para que se apliquen los permisos asignados a los usuarios y grupos de Azure AD, los usuarios deben iniciar sesión al menos una vez. Recomendamos que, una vez ejecutada la integración, comuniques a todos tus usuarios que salgan de su cuenta de UiPath y vuelvan a iniciar sesión con su cuenta de Azure AD. Pueden iniciar sesión con su cuenta de Azure Ad:
- navegando a la URL específica de la organización, en cuyo caso el tipo de inicio de sesión ya está seleccionado;
-
seleccionando SSO para Enterprise en la página principal de inicio de sesión.
Nota: asegúrate de proporcionar la URL específica de tu organización para Orchestrator a todos sus usuarios. Solo los administradores de la organización pueden ver esta información en Orchestrator.
Los usuarios migrados se benefician de la combinación de los permisos que les fueron asignados directamente y los de sus grupos de Azure AD.
Configuración de Studio y Assistant para los usuarios: para configurar estos productos para que se conecten con las cuentas de Azure AD:
- En Assistant, abre Preferencias y selecciona la pestaña Conexión de Orchestrator.
- Haz clic en Cerrar sesión.
- Para el tipo de conexión, selecciona URL de servicio.
-
En el campo URL de servicio, añade la URL específica de la organización, por ejemplo
https://orchestrator.mydomain.local/
. - Vuelve a iniciar sesión con la cuenta de Azure AD.
Aunque es opcional, te recomendamos que lo hagas para maximizar las principales ventajas de cumplimiento y eficiencia de la integración completa entre Orchestrator y Azure AD.
After all users have been migrated, you can remove the users which are based on personal local accounts from the Users tab, so that your users won't be able to sign in using their UiPath accounts anymore. You can find these accounts based on their icon.
También puedes eliminar los permisos individuales en los servicios de UiPath, como el servicio de Orchestrator, y eliminar a los usuarios de los grupos de Orchestrator para que los permisos dependan exclusivamente de la pertenencia a grupos de Azure AD.
Excepción
Si decide dejar de utilizar las cuentas locales, le recomendamos que conserve como mínimo una cuenta local con el rol de administración de la organización para usarla si tiene que actualizar la configuración de autenticación de su organización. Por lo demás, las opciones Configuración de autenticación no están activadas.
A continuación, te ofrecemos algunos consejos útiles sobre las funciones avanzadas que puedes aprovechar ahora que tienes configurada la integración con Azure AD.
Because the integration with Azure AD is performed at the level of the Azure tenant, by default all Azure AD users can access the Orchestrator organization. The first time an Azure AD user signs in to Orchestrator, they are automatically included in the Orchestrator group Everyone, which grants them the User organization-level role .
Si deseas permitir que solo determinados usuarios accedan a tu organización de Orchestrator, puedes activar la asignación de usuarios para el registro de la aplicación de Orchestrator en Azure. De este modo, los usuarios deben asignarse expresamente a la aplicación (Orchestrator) para poder acceder a ella. Para obtener instrucciones, consulta este artículo en la documentación de Azure AD.
Si deseas permitir solo a tus usuarios acceder a Orchestrator desde una red de confianza o un dispositivo de confianza, puedes utilizar la característica de acceso condicional de Azure AD.
Si has creado grupos en Azure AD para una fácil incorporación de Orchestrator directamente desde Azure AD, como se describe anteriormente en la sección Configurar grupos para permisos y robots , puedes utilizar las opciones de seguridad avanzadas de Gestión de identidades privilegiadas (PIM) para estos grupos para gobernar las solicitudes de acceso para grupos de Orchestrator.
- Información general
- Requisitos previos
- Cómo configurar Azure para la integración
- Implementar integración a Orchestrator
- Limpiar los usuarios inactivos
- Activar la integración de Azure AD
- Probar la integración de Azure AD
- Completar la transición a Azure AD
- Configurar grupos de permisos y robots (opcional)
- Migrar a los usuarios existentes
- Dejar de usa cuentas locales (opcional)
- Mejores prácticas
- Restringir acceso a Orchestrator
- Restringe el acceso a redes o dispositivos de confianza
- Control para grupos de Orchestrator en Azure AD