- Démarrage
- Meilleures pratiques
- Modélisation de l'organisation dans Orchestrator
- Gestion de grands déploiements
- Meilleures pratiques d'automatisation
- Optimisation de l'infrastructure Unattended à l'aide de modèles de machine
- Organisation des ressources avec des balises
- Réplica Orchestrator en lecture seule
- Exportation des grilles dans l'arrière-plan
- Locataire
- À propos du contexte du locataire
- Recherche de ressources dans un locataire
- Gestion des Robots
- Connexion des Robots à Orchestrator
- Enregistrement des identifiants du Robot dans CyberArk
- Stockage des mots de passe de l’Unattended Robot dans Azure Key Vault (lecture seule)
- Stockage des informations d’identification de l’Unattended Robot dans HashiCorp Vault (lecture seule)
- Stockage des informations d'identification du robot Unattended dans AWS Secrets Manager (lecture seule)
- Suppression des sessions Unattended déconnectées et qui ne répondent pas
- Authentification du Robot
- Authentification du Robot avec les informations d'identification du client
- Authentification par carte à puce
- Configurer les capacités d’automatisation
- Audit
- Paramètres - Niveau du locataire
- Service de catalogue de ressources
- Contexte des dossiers
- Automatisations
- Processus (Processes)
- Tâches (Jobs)
- Déclencheurs (Triggers)
- Journaux (Logs)
- Surveillance
- Files d'attente (Queues)
- Actifs
- Compartiments de stockage
- Test Suite - Orchestrator
- Autres configurations
- Intégrations
- Administration de l'hôte
- À propos du niveau de l’hôte
- Gestion des administrateurs système
- Gestion des locataires
- Configuration des notifications par e-mail du système
- Journaux d'audit pour le portail hôte
- Mode de Maintenance
- Administration de l'organisation
- À propos des organisations
- Gestion des administrateurs de l'organisation
- Gestion des paramètres de l'organisation
- Configuration de l’intégration d’Azure AD
- Gestion des balises
- Journaux d’audit
- Résolution des problèmes
Guide de l'utilisateur d'Orchestrator
Configuration de l’intégration d’Azure AD
Si votre organisation utilise Azure Active Directory (Azure AD) ou Office 365, vous pouvez connecter votre organisation directement à votre locataire Azure AD pour voir les comptes utilisateur existants dans votre environnement UiPath®.
L'intégration Azure AD vous permet de continuer à tirer parti du modèle d'utilisateur local, si vous le souhaitez, tout en amorçant votre organisation avec les avantages supplémentaires offerts par l'utilisation d'Azure AD.
Si vous avez décidé d'utiliser Azure AD pour votre organisation, suivez les instructions de cette page pour configurer l'intégration.
Pour configurer l'intégration Azure AD, vous avez besoin de :
- des autorisations d'Administrator dans Orchestrator et Azure AD (si vous n'avez pas d'autorisations d'Administrator dans Azure, collaborez avec un Administrator Azure pour terminer le processus de configuration) ;
- d'un compte UiPath d'administrateur d'organisation qui utilise la même adresse e-mail qu'un utilisateur Azure AD ; l'utilisateur Azure AD n'a pas besoin d'autorisations d'administrateur dans Azure ;
- d'UiPath Studio et Assistant version 2020.10.3 ou ultérieure ;
- UiPath Studio et Assistant pour utiliser le déploiement recommandé.
- si vous utilisiez auparavant des comptes d'utilisateurs locaux, assurez-vous que tous vos utilisateurs Azure AD disposent de l'adresse e-mail dans le champ Courrier (Mail) ; avoir l'adresse e-mail dans le champ Nom principal de l'utilisateur (User Principle Name ou UPN) seul ne suffit pas. L'intégration d'Azure AD lie les comptes d'utilisateurs de l'annuaire aux comptes d'utilisateurs locaux si les adresses e-mail correspondent. Cela permet aux utilisateurs de conserver les autorisations lorsqu'ils passent de la connexion avec leur compte d'utilisateur local au compte d'utilisateur de l'annuaire Azure AD.
appid
dans une URL dédiée, comme décrit dans la documentation des jetons d'accès de Microsoft .
Votre organisation nécessite une inscription d’application dans votre locataire Azure AD et une certaine configuration afin qu’il puisse afficher vos membres AD pour établir l’identité de du compte. Les détails d’inscription de l’application sont également requis pour connecter ultérieurement votre organisation à votre locataire Azure AD.
Autorisations (Permissions) : vous devez être administrateur dans Azure pour effectuer les tâches de cette section. Les rôles d'administrateur Azure suivants disposent des privilèges requis : Administrateur général, Administrateur d'applications cloud ou Administrateur d'applications.
Il existe deux manières de configurer votre locataire Azure pour l'intégration :
- Suivez les instructions ci-dessous pour configurer manuellement un enregistrement d'application pour l'intégration.
- Utilisez les scripts UiPath Azure AD que nous avons créés pour cette tâche, qui sont disponibles sur GitHub: le script
configAzureADconnection.ps1
exécute toutes les actions décrites dans cette section et renvoie les détails d’inscription de l’application. Ensuite, vous pouvez exécuter le scripttestAzureADappRegistration.ps1
pour vous assurer que l'inscription de l'application a réussi.
Pour configurer manuellement votre locataire Azure, procédez comme suit dans le portail Azure :
Une fois l’installation d’Azure terminée, vous pouvez préparer l’intégration, l’activer, puis nettoyer les anciens comptes. Le processus est décomposé en étapes afin qu’il n’y ait pas de perturbation pour vos utilisateurs.
Autorisations (Permissions) : vous devez être Administrator dans Orchestrator pour effectuer les tâches de cette section.
Lorsque vous connectez Orchestrator à Azure AD en activant l'intégration, les comptes avec des adresses e-mail correspondantes sont liés afin que le compte Azure AD reçoive les mêmes autorisations que le compte UiPath correspondant.
Si votre organisation pratique le recyclage des e-mails, cela signifie qu'une adresse e-mail qui a été utilisée dans le passé pourrait être attribuée à un nouvel utilisateur à l'avenir, ce qui peut entraîner un risque d'accès élevé.
john.doe@example.com
et que cet employé avait un compte UiPath où il était administrateur de l'organisation, mais a depuis quitté l'entreprise et l'adresse e-mail a été désactivée, mais l'utilisateur n'a pas été supprimé d'Orchestrator.
john.doe@example.com
adresse e-mail. Dans ce cas, John Doe hérite des privilèges d'administrateur de l'organisation.
Pour éviter de telles situations, assurez-vous de supprimer tous les utilisateurs inactifs d'Orchestrator avant de passer à l'étape suivante. Si les adresses e-mail inactives ne sont pas réutilisées dans votre organisation, vous pouvez ignorer cette étape.
- assurez-vous que la configuration d'Azure est terminée ;
- Obtenez les valeurs ID d’annuaire (locataire) (Directory (tenant) ID), ID d’application (client) (Application (client) ID) et Clé secrète du client (Client Secret) pour l’inscription de l’application Orchestrator dans Azure auprès de votre administrateur Azure.
Vous pouvez désormais travailler avec les utilisateurs et les groupes dans l' Azure AD du locataire lié. Les comptes et les groupes du Répertoire ne sont pas listés dans les pages Utilisateurs ( Users ) ou Groupes (Groups) sous Admin - Comptes et groupes (Admin - Accounts & Groups). Vous ne pouvez les trouver que via la recherche.
Pour vérifier que l’intégration s’exécute à partir d’Orchestrator, connectez-vous en tant qu’administrateur d’organisation avec un compte Azure AD et essayez de rechercher des utilisateurs et des groupes Azure AD sur n’importe quelle page qui propose cette fonctionnalité, telle que le panneau Modifier le groupe (Edit Group) dans le portail de gestion (Admin > Comptes et Groupes (Accounts and Groups) > Groupes (Groups) > Modifier (Edit)).
-
Si vous pouvez rechercher des utilisateurs et des groupes provenant d’Azure AD, cela signifie que leur intégration est en cours d’exécution. Vous pouvez identifier le type d'utilisateur ou de groupe par son icône.
-
Si vous rencontrez une erreur en essayant de rechercher des utilisateurs, comme illustré dans l’exemple ci-dessous, cela indique qu’il y a un problème avec la configuration dans Azure. Contactez votre administrateur Azure et demandez-lui de vérifier qu’Azure est configuré comme décrit dans la section Configuration d’Azure pour l’intégration plus haut sur cette page.
Astuce : Demandez à votre administrateur Azure de confirmer qu'il a coché la case Accorder le consentement de l'administrateur (Grant admin consent) lors de la configuration d'Azure. C'est une cause fréquente d'échec de l'intégration.
Une fois l'intégration active, nous vous recommandons de suivre les instructions de cette section pour vous assurer que les affectations de création d'utilisateur et de groupe sont transférées à Azure AD. De cette façon, vous pouvez vous appuyer sur votre infrastructure existante de gestion des identités et des accès pour faciliter la gouvernance et le contrôle de la gestion des accès sur vos ressources de votre organisation Orchestrator.
Vous pouvez le faire pour vous assurer que l'administrateur Azure peut également intégrer de nouveaux utilisateurs avec les mêmes autorisations et la même configuration de Robot pour Orchestrator et d'autres services que vous aviez configurés avant l'intégration. Il peut procéder en ajoutant de nouveaux utilisateurs à un groupe Azure AD si le groupe dispose des rôles requis déjà attribués dans Orchestrator.
Vous pouvez mapper vos groupes d'utilisateurs existants depuis Orchestrator vers des groupes nouveaux ou existants dans Azure AD. Vous pouvez le faire de plusieurs manières, selon la façon dont vous utilisez les groupes dans Azure AD :
- Si des utilisateurs avec les mêmes rôles dans Orchestrator sont déjà dans les mêmes groupes dans Azure AD, l'administrateur de l'organisation peut ajouter ces groupes Azure AD aux groupes d'utilisateurs Orchestrator auxquels ces utilisateurs appartenaient. Cela garantit que les utilisateurs conservent les mêmes autorisations et la même configuration de Robot.
- Sinon, l'administrateur Azure peut créer des dans Azure AD pour correspondre à ceux d'Orchestrator et ajouter les mêmes utilisateurs que ceux des groupes d'utilisateurs Orchestrator. Ensuite, l'administrateur de l'organisation peut ajouter les nouveaux groupes Azure AD aux groupes d'utilisateurs existants pour s'assurer que les mêmes utilisateurs ont les mêmes rôles.
Assurez-vous de vérifier tous les rôles spécifiquement attribués aux utilisateurs, dans toutes les instances. Si possible, supprimez ces attributions directes de rôles et ajoutez ces utilisateurs aux groupes déjà attribués avec ces rôles.
Par exemple, supposons que le groupe Administrators dans Orchestrator comprend les utilisateurs Anna, Tom et John. Ces mêmes utilisateurs font également partie d’un groupe dans Azure AD appelé admins. L’administrateur de l’organisation peut ajouter le groupe Azure admins au groupe Administrators dans Orchestrator. De cette façon, Anna, Tom et John, en tant que membres du groupe Azure AD admins, bénéficient tous des rôles du groupe Administrators dans Orchestrator.
Parce que admins fait maintenant partie du groupe Administrators, lorsque vous avez besoin d'intégrer un nouvel Administrator, l'administrateur Azure peut ajouter le nouvel utilisateur au groupe Azure admins, lui accordant ainsi des autorisations d'administration dans Orchestrator sans avoir à faire des changements dans Orchestrator.
Les modifications apportées aux attributions de groupe Azure AD s'appliquent dans Orchestrator lorsque l'utilisateur se connecte avec son compte Azure AD, ou s'il s'est déjà connecté au cours de la dernière heure.
Connexion initiale : pour que les autorisations attribuées aux utilisateurs et groupes Azure AD s'appliquent, les utilisateurs doivent se connecter au moins une fois. Nous vous recommandons, une fois l'intégration en cours d'exécution, de demander à tous vos utilisateurs de se déconnecter de leur compte UiPath et de se reconnecter avec leur compte Azure AD. Ils peuvent se connecter avec leur compte Azure AD en :
- naviguant vers l'URL spécifique à l'organisation, auquel cas le type de connexion est déjà sélectionné ;
-
en sélectionnant Enterprise SSO sur la page de connexion principale.
Remarque : Assurez-vous de fournir l'URL spécifique à votre organisation pour Orchestrator à tous vos utilisateurs. Seuls les administrateurs d'organisation peuvent voir ces informations dans Orchestrator.
Les utilisateurs migrés bénéficient de l'union des autorisations qui leur ont été directement attribuées et de celles de leurs groupes Azure AD.
Configuration de Studio et Assistant pour les utilisateurs : pour configurer ces produits afin de les connecter aux comptes Azure AD :
- Dans l'Assistant, ouvrez Préférences (Preferences) et sélectionnez l'onglet Connexion Orchestrator (Orchestrator Connection).
- Cliquez sur Se déconnecter (Sign Out).
- Pour le type de connexion, sélectionnez URL du service (Service URL).
-
Dans le champ URL du service (Service URL ), ajoutez l'URL spécifique à l'organisation, par exemple
https://orchestrator.mydomain.local/
. - Reconnectez-vous avec le compte Azure AD.
Bien que facultatif, nous vous recommandons de le faire afin de profiter pleinement des principaux avantages de conformité et d'efficacité de l'intégration complète entre Orchestrator et Azure AD.
Une fois tous les utilisateurs migrés, vous pouvez supprimer les utilisateurs basés sur des comptes locaux personnels dans l’onglet Utilisateurs (Users), afin que vos utilisateurs ne puissent plus se connecter à l’aide de leurs comptes UiPath. Vous pouvez identifier ces comptes en fonction de leur icône.
Supprimez uniquement les comptes non administrateurs. Il est recommandé de conserver au moins un compte local d’administrateur de l’organisation pour pouvoir modifier les paramètres d’authentification ultérieurement.
Vous pouvez également nettoyer les autorisations individuelles dans les services UiPath, tels que le service Orchestrator, et supprimer des utilisateurs individuels des groupes Orchestrator afin que les autorisations reposent exclusivement sur l'appartenance au groupe Azure AD.
Voici quelques conseils utiles sur les fonctionnalités avancées que vous pouvez exploiter maintenant que vous avez configuré l'intégration Azure AD.
Restreindre l'accès à Orchestrator
Étant donné que l’intégration avec Azure AD est effectuée au niveau du locataire Azure, par défaut, tous les utilisateurs Azure AD peuvent accéder à l’organisation Orchestrator. La première fois qu’un utilisateur Azure AD se connecte à Orchestrator, il est automatiquement inclus dans le groupe Automation Suite Everyone, qui lui accorde le rôle d’utilisateur au niveau de l’organisation.
Si vous souhaitez autoriser uniquement certains utilisateurs à accéder à l'organisation Orchestrator, vous pouvez activer l'attribution d'utilisateurs pour l'enregistrement de l'application Orchestrator dans Azure. De cette façon, les utilisateurs doivent être explicitement affectés à l'application (Orchestrator) pour pouvoir y accéder. Pour prendre connaissance des instructions, consultez cet article de la documentation Azure AD.
Restreindre l'accès aux réseaux ou appareils de confiance
Si vous souhaitez autoriser uniquement vos utilisateurs à accéder à Orchestrator à partir d'un réseau ou d'un appareil approuvé, vous pouvez utiliser la fonctionnalité Accès sous conditions à Azure AD (Azure AD Conditional Access).
Gouvernance pour les groupes Orchestrator dans Azure AD
Si vous avez créé des groupes dans Azure AD pour faciliter l'intégration d'Orchestrator directement à partir d'Azure AD, comme décrit plus haut dans la section Configurer des groupes pour les autorisations et les robots (Configure groups for permissions and robots), vous pouvez utiliser les options de sécurité avancées de Privileged Identity Management (PIM) pour ces groupes afin de gérer les demandes d'accès pour les groupes Orchestrator.
Étant donné que l’intégration avec Azure AD est effectuée au niveau du locataire Azure, par défaut, tous les utilisateurs Azure AD peuvent accéder à l’organisation Orchestrator. La première fois qu’un utilisateur Azure AD se connecte à Orchestrator, il est automatiquement inclus dans le groupe Automation Suite Everyone, qui lui accorde le rôle d’utilisateur au niveau de l’organisation.
Si vous souhaitez autoriser uniquement certains utilisateurs à accéder à l’organisation Orchestrator, vous pouvez activer l’attribution d’utilisateurs pour l’enregistrement de l’application Orchestrator dans Azure. De cette façon, les utilisateurs doivent être explicitement affectés à l’application (Orchestrator) pour pouvoir y accéder. Pour prendre connaissance des instructions, consultez cet article de la documentation Azure AD.
Si vous souhaitez autoriser uniquement vos utilisateurs à accéder à Orchestrator à partir d’un réseau ou d’un appareil approuvé, vous pouvez utiliser la fonctionnalité Accès sous conditions à Azure AD (Azure AD Conditional Access).
Si vous avez créé des groupes dans Azure AD pour faciliter l’intégration d’Orchestrator directement à partir d’Azure AD, comme décrit plus haut dans la section Configurer des groupes pour les autorisations et les robots (Configure groups for permissions and robots), vous pouvez utiliser les options de sécurité avancées de Privileged Identity Management (PIM) pour ces groupes afin de gérer les demandes d’accès pour les groupes Orchestrator.
- Vue d'ensemble (Overview)
- Prérequis
- Configuration d'Azure pour l'intégration
- Déploiement de l'intégration sur Orchestrator
- Nettoyer les utilisateurs inactifs
- Activer l'intégration Azure AD
- Tester l'intégration Azure AD
- Terminer la transition vers Azure AD
- Configurer des groupes pour les autorisations et les robots (facultatif)
- Migrer les utilisateurs existants
- Abandonner l'utilisation des comptes locaux (facultatif)
- Fonctionnalités avancées
- Restreindre l'accès à Orchestrator
- Restreindre l'accès aux réseaux ou appareils de confiance
- Gouvernance pour les groupes Orchestrator dans Azure AD