automation-cloud
latest
false
Guide d'administration d'Automation Cloud
Last updated 31 oct. 2024

Configuration de l'intégration SAML

Cette fonctionnalité est disponible avec le plan de licence Entreprise.

La configuration SAML dans UiPath est un processus intégral qui améliore la sécurité et l'efficacité de l'authentification. Grâce à SAML, notre système facilite l'authentification unique grâce à des jetons d'accès sécurisés. Plus précisément, la plate-forme UiPath peut se connecter à n'importe quel fournisseur d'identité (IdP) utilisant la norme SAML 2.0.

Une fois configuré, les utilisateurs peuvent profiter d'un accès sécurisé et ininterrompu à plusieurs applications et processus, réduisant ainsi les interruptions de connexion répétées. De plus, notre configuration SAML inclut des fonctionnalités de déconnexion unique (SLO) qui permettent des déconnexions simultanées sur toutes vos applications unifiées sous votre fournisseur d'identité (IdP).

L' intégration native d'Azure Active Directory est recommandée en raison de ses fonctionnalités avancées. Si toutefois, vous basculez sur SAML, vous devez remplacer manuellement l'attribution de rôles effectuée via des groupes d'annuaires par une attribution directe de rôles aux comptes d'annuaire pour conserver votre schéma d'accès sans avoir à le recréer à partir de zéro.

Présentation du processus de configuration

L'intégration SAML est conçue de manière à pouvoir être mise en œuvre progressivement, sans perturber les utilisateurs existants.

Les principales phases du processus, décrites plus en détail sur cette page, sont :

  1. Nettoyer les comptes utilisateur inactifs
  2. Configuration de l'intégration SAML
  3. Transition des utilisateurs existants pour qu'ils se connectent via l'authentification unique (SSO) SAML
  4. Configurer les autorisations et les robots pour les nouveaux utilisateurs
  5. Abandonner l'utilisation des comptes locaux (facultatif)

Limites connues

  • Impossible de rechercher des comptes à partir de votre fournisseur d'identité : Avec l'intégration SAML, vous ne pouvez pas rechercher tous les utilisateurs et groupes de votre fournisseur d'identité. Seuls les utilisateurs de répertoire enregistrés sont disponibles pour la recherche.

  • Impossible de voir les utilisateurs de l'annuaire au niveau de l'organisation : seuls les utilisateurs locaux s'affichent au niveau de l'organisation. L'enregistrement « juste à temps » ajoute des utilisateurs à l'annuaire, de sorte qu'ils n'apparaissent pas sur la page de gestion Comptes et groupes (Accounts & Groups).

  • Impossible d'afficher les informations d'accès à l'API: l'affichage des informations d'accès à l'API, qui vous permet d'autoriser les demandes d'API à l'aide d'une clé utilisateur, n'est pas disponible pour les utilisateurs du répertoire qui se connectent via l'intégration SAML.

Prérequis

Pour configurer l'intégration SAML, vous avez besoin de :

  • Une organisation avec le plan de licence Enterprise.
  • Autorisations d'administrateur dans l'organisation UiPath et votre fournisseur d'identité tiers.

    Si vous ne disposez pas d'autorisations d'administrateur dans votre fournisseur d'identité, faites appel à un administrateur pour terminer le processus de configuration.

  • UiPath Studio® et l’assistant UiPath version 2020.10.3 ou ultérieure, afin que vous puissiez les configurer pour utiliser le déploiement recommandé.

Étape 1. Nettoyer les comptes d'utilisateurs inactifs

Si votre organisation recycle les adresses e-mail, il est important de supprimer tous les comptes utilisateur inactifs avant de configurer l'intégration SAML.

Lorsque vous activez l'intégration, les comptes locaux présents sur la plate-forme UiPath peuvent être liés au compte d'annuaire du fournisseur d'identité externe qui utilise la même adresse e-mail. Cette liaison de compte se produit lorsque l'utilisateur du compte d'annuaire avec l'adresse e-mail se connecte pour la première fois. L'identité de votre fournisseur d'identité hérite de tous les rôles du compte local, pour que la transition soit transparente.

Pour cette raison, avec des comptes locaux inactifs présents sur la plate-forme UiPath, il existe un risque que les comptes locaux et les comptes d'annuaire ne correspondent pas, ce qui peut entraîner une élévation involontaire des autorisations.

Pour supprimer les comptes utilisateur inactifs :

  1. Connectez-vous en tant qu'administrateur d'organisation.
  2. Accédez à Admin, sélectionnez votre organisation, puis sélectionnez Comptes et groupes (Accounts & Groups). La page Comptes et groupes (Accounts & Groups) de l'organisation s'ouvre sur l'onglet Utilisateurs (Users).
  3. Cliquez sur l'en-tête de colonne de la colonne Dernière active (Last active ) pour réorganiser les utilisateurs afin que ceux dont la date de dernière connexion est la plus ancienne s'affichent en haut. La colonne Dernière activité (Last active ) affiche la date de dernière connexion de l'utilisateur. En attente dans cette colonne signifie que l'utilisateur ne s'est jamais connecté.
  4. Cliquez sur l'icône Supprimer (Delete) à la fin de la ligne pour supprimer le compte local de cet utilisateur.


  5. Dans la boîte de dialogue de confirmation, cliquez sur Supprimer ( Delete ) pour confirmer la suppression du compte de la plate-forme UiPath. Le compte utilisateur est supprimé de la page.
  6. Continuez à supprimer tous les comptes d'utilisateurs inactifs de votre organisation.

Étape 2. Configuration de l'intégration SAML

Vous devez maintenant configurer à la fois la plate-forme UiPath et votre fournisseur d'identité (IdP) pour l'intégration.

Étape 2.1. Obtenir les détails du fournisseur de services SAML

  1. Connectez-vous en tant qu'administrateur d'organisation.
  2. Accédez à Admin, sélectionnez votre organisation, puis sélectionnez Sécurité (Security). La page Paramètres de sécurité (Security Settings) de l'organisation s'affiche dans l'onglet Paramètres d'authentification (Authentication Settings).
  3. Sous Configuration du répertoire pour l'authentification unique (Directory configuration for SSO), cliquez sur Configurer l'authentification unique ( Configure SSO). La fenêtre de configuration de l'authentification unique s'ouvre, décrivant les avantages et les prérequis de l'intégration.
  4. Parmi les deux options SSO, sélectionnez SAML 2.0. La page de configuration SAML SSO s'ouvre dans l'onglet Configurer le fournisseur d'identité ( Configure identity provider ).
  5. Dans la section supérieure de la page, vous trouverez les informations UiPath nécessaires à la configuration de votre fournisseur d'identité : URL de métadonnées ( Metadata URL), URL du service client relatif aux assertions ( Assertion Consumer Service URL), ID de l'entité ( Entity ID). Copiez-les et enregistrez-les pour configurer le fournisseur d'identité.
    Attention : nous vous recommandons fortement d'utiliser l' URL de métadonnées UiPath dans le cadre du processus de configuration de votre fournisseur d'identité. Cela permet des mises à jour automatiques chaque fois que nous lançons des rotations pour nos certificats de signature, garantissant un fonctionnement ininterrompu de la plate-forme.
    docs image
  6. L'ID d'entité contient l'ID de l'organisation par défaut. Vous pouvez modifier le format afin d'utiliser l’identifiant global (aucun ID d’organisation) à l’aide de l’option Modifier le format de l’ID de l’ entité (Change entity ID format) . Ensuite, dans la fenêtre Modifier le format de l'ID de l' entité (Change entity ID format) , dans la liste déroulante Format de l'ID de l' entité (Entity ID Format) , sélectionnez Identifiant spécifique à l'organisation ( Org spécifique identifier ) pour utiliser le format contenant l'ID de l'organisation, ou Identifiant global ( Global identifier ) pour utiliser le format qui ne contient pas l'ID de l'organisation. Nous vous recommandons d'utiliser l'identifiant spécifique à l'organisation, car il vous permet d'inscrire plusieurs organisations UiPath dans votre fournisseur d'identité, si vous le souhaitez.

Gardez cet onglet de navigateur ouvert pour une utilisation ultérieure.

Étape 2.2. Configurez votre fournisseur d'identité

Vous pouvez vous connecter à n'importe quel fournisseur d'identité (IdP) tiers qui utilise la norme SAML 2.0. Bien que la configuration puisse varier en fonction de l'IdP choisi, nous avons validé la configuration pour les Okta suivants, que vous pouvez utiliser comme référence pour configurer l'intégration :

Pour les autres fournisseurs d'identité, nous vous recommandons de suivre leur documentation d'intégration.

Étape 2.3. Configurez votre organisation

Pour activer UiPath en tant que fournisseur de services qui reconnaît votre fournisseur d'identité, procédez comme suit :

  1. Revenez à l'onglet de configuration SAML SSO dans UiPath.
  2. Dans la deuxième section de la page Configurer le fournisseur d'identité ( Configure identity provider ), vous pouvez afficher les champs nécessaires pour configurer le fournisseur d'identité dans UiPath. Dans le champ URL des métadonnées ( Metadata URL ), saisissez l'URL des métadonnées de votre fournisseur d'identité. Cela permet à la plate-forme UiPath de récupérer et de mettre à jour régulièrement les données de votre fournisseur d'identité, ce qui simplifie le processus de configuration SAML à long terme.
    Important : nous vous recommandons fortement d'utiliser l' URL de métadonnées lors de la configuration de SAML. Cela permet à UiPath d'extraire et de mettre à jour régulièrement les données de votre fournisseur d'identité, ce qui simplifie le processus de configuration SAML à long terme.
    docs image
  3. Cliquez sur Récupérer les données (Fetch data). Une fois l'opération terminée, les champs URL de connexion (Sign-on URL), Identifiant de l'entité du fournisseur d'identité (Identity Provider Entity ID) et Certificat de signature (Signing certificate) sont renseignés avec les informations de l'IdP.
  4. Même si ce n'est pas la méthode recommandée, vous pouvez choisir de saisir manuellement les détails SAML de votre fournisseur d'identité dans les champs URL de connexion ( Sign-on URL), Identifiant de l'entité du fournisseur d'identité ( Identity Provider Entity ID) et Certificats de signature ( Signing certificates) .
  5. Cliquez sur Suivant ( Next) dans le coin inférieur droit pour passer à l'étape suivante. Vous êtes redirigé vers l'onglet Attributs de carte et complétion ( Map attributes & Complete). Le mappage des attributs dans associe les détails des utilisateurs, appelés « demandes », entre votre fournisseur d'identité et UiPath. Cela garantit que les données utilisateur, comme un e-mail ou un nom d'utilisateur, correspondent à tous les systèmes.
    docs image
  6. Dans l'étape Attributs de carte et réalisation ( Map attributs & complete ), sélectionnez l'option Activer l'identifiant unique personnalisé ( Enable the custom unique identifier ) pour configurer un identifiant unique qui n'est pas un e-mail. Ceci est utile, par exemple, si vos utilisateurs n'ont pas tous de comptes de messagerie ou si leurs adresses e-mail ne sont pas uniques.
    Avertissement : une fois que vous avez défini un nom de revendication d' identifiant unique , sa modification peut entraîner la perte d'utilisateurs précédemment reconnus, car le système pourrait ne plus être en mesure de les identifier. En tant que telle, l'interface utilisateur limite la modification de la revendication d' identifiant unique une fois qu'elle a été définie. Pour le modifier, vous devez supprimer et recréer entièrement votre configuration.
    1. Vous devez obligatoirement saisir l'identifiant unique de vos utilisateurs dans le champ Identifiant unique ( Unique identifier ). Il s'agit de la revendication qu'UiPath utilise pour identifier les utilisateurs lorsqu'ils se connectent.
    2. Dans le champ Nom d' affichage (Display Name ), saisissez le nom grâce auquel vos utilisateurs peuvent être reconnus lors de la connexion.
    3. La saisie du champ E-mail ( Email ) pour vos utilisateurs devient facultative. Vous pouvez le remplir comme bon vous semble.
    4. Le champ Domaines d'adresse e-mail autorisés ( Allowed email address domains ) est grisé et non disponible pour la saisie. En effet, le système n'utilise plus l'e-mail comme identifiant unique, ce qui rend ce champ non pertinent.
    5. Vous pouvez également ajouter de nouveaux mappages en spécifiant la revendication respective du fournisseur d'identité et l'attribut correspondant dans UiPath.
  7. Par défaut, l'option Activer l'identifiant personnalisé unique ( Enable the custom unique identifier ) est désactivée, ce qui signifie que l'adresse e-mail est utilisée comme identifiant des utilisateurs. Suivez ces étapes :
    1. Dans le champ Nom d' affichage (Display Name ), saisissez le nom grâce auquel vos utilisateurs peuvent être reconnus lors de la connexion.
    2. Le champ E-mail ( Email ) devient obligatoire et vous ne pouvez pas le modifier.
    3. Renseignez la section Domaines autorisés (Allowed Domains) avec les domaines à partir desquels vous souhaitez autoriser les utilisateurs à se connecter. Saisissez tous les domaines pris en charge par le fournisseur d'identité configuré. Séparez les différents domaines par des virgules.
    4. Sous Mappage des attributs ( Attribute Mapping), renseignez le champ Nom complet (Display Name ) en y spécifiant l'attribut de votre IdP que vous souhaitez afficher sur la plate-forme UiPath comme nom pour les utilisateurs. Vous pouvez utiliser ici les attributs Prénom ( First Name) et Nom (Last Name) .
    5. Vous pouvez également ajouter de nouveaux mappages en spécifiant la revendication respective du fournisseur d'identité et l'attribut correspondant dans UiPath.
  8. Une fois que vous avez configuré les attributs, configurez les champs Autoriser la réponse d'authentification non sollicitée et Type de liaison SAML .
    1. Autoriser la réponse d'authentification non sollicitée ( Allow unsolicited authentication response) : activez si vous souhaitez pouvoir accéder à la plate-forme UiPath à partir du tableau de bord de l'IdP.
    2. Type de liaison SAML : sélectionnez le mode de communication de la configuration SAML via l'agent utilisateur HTTP. Sélectionnez Redirection HTTP (HTTP redirect) pour utiliser les paramètres d'URL, ou HTTP post pour utiliser un formulaire HTML avec un contenu encodé en base64.
  9. Si votre fournisseur d'identité exige qu'UiPath signe toutes les demandes d'authentification SAML, sélectionnez l'option Signer la demande d'authentification ( Sign Authentication Request ). Vérifiez auprès de votre fournisseur d'identité pour déterminer si cette fonctionnalité doit être activée. UiPath met généralement à jour ses clés de signature. Si vous avez activé la fonctionnalité Signer la demande d'authentification ( Sign Authentication Request ), assurez-vous que votre IdP se synchronise régulièrement avec UiPath en téléchargeant en permanence les clés mises à jour à partir de l'URL des métadonnées d'UiPath.
  10. Cliquez sur Tester et enregistrer (Test and Save) pour terminer la configuration de l'intégration.

Étape 2.4. Vérifiez que l'intégration est en cours d'exécution

Pour vérifier que l'intégration avec authentification unique (SSO) SAML fonctionne correctement :

  1. Ouvrez une fenêtre privée dans le navigateur.
  2. Accédez à l' URL de votre organisation.
  3. Vérifiez les points suivants :
    1. Êtes-vous invité à vous connecter avec votre fournisseur d'identité SAML ?
    2. Parvenez-vous à vous connecter ?
    3. Si vous vous connectez avec une adresse e-mail qui correspond à un compte utilisateur existant, disposez-vous des autorisations appropriées ?

Étape 2.5. Configurer les règles d'enregistrement (facultatif)

Si vous utilisez des revendications dans votre IdP, vous pouvez les utiliser comme conditions dans une règle d'enregistrement afin que les utilisateurs reçoivent automatiquement les licences et les rôles appropriés lorsqu'ils se connectent à la plate-forme UiPath. Les règles d'enregistrement sont évaluées lorsqu'un utilisateur se connecte. Si le compte utilisateur remplit les conditions d'une règle, il est automatiquement ajouté au groupe UiPath local associé à la règle.

Phase 1. Configurer des groupes d'enregistrement

Sur la plate-forme UiPath, l'ajout d'un compte à un groupe signifie que le compte hérite des licences, des rôles et de la configuration du robot défini pour le groupe, le cas échéant.

En regroupant des types de comptes similaires (par exemple, développeurs ou testeurs), vous pouvez rationaliser le processus d'intégration des utilisateurs vers la plate-forme UiPath. Assurez-vous que dans l'IdP, vous configurez des comptes similaires de la même manière.

De cette façon, vous configurez le groupe une fois, puis répliquez la configuration en ajoutant des comptes au groupe si nécessaire. Si la configuration d'un groupe de comptes en particulier doit être modifiée, il vous suffit de mettre à jour le groupe une seule fois et les modifications s'appliquent à tous les comptes du groupe.

Pour configurer un groupe pour une règle d'enregistrement :

  1. Créez un nouveau groupe local sur la plate-forme UiPath.

    Si vous le souhaitez, vous pouvez utiliser un de vos groupes existants au lieu d'en créer un nouveau.

  2. (Facultatif et nécessite la gestion des licences utilisateur ) Si les comptes de ce groupe ont besoin de licences utilisateur, configurez des règles d'attribution de licence pour le groupe.

    Si vous utilisez un groupe existant, vérifiez l'attribution des licences pour le groupe afin de vous assurer que les bonnes licences sont attribuées. Si ce n'est pas le cas, modifiez les attributions ou créez un nouveau groupe.

  3. Attribuez les rôles des locataires et complétez éventuellement la configuration du robot pour le groupe. Pour obtenir des instructions, voir Attribuer des rôles à un groupe .

    Si vous utilisez un groupe existant, vérifiez les rôles actuellement attribués au groupe pour vous assurer qu'ils sont adaptés au type de compte que vous ajouterez au groupe. Si ce n'est pas le cas, modifiez les rôles attribués à ce groupe ou créez un nouveau groupe.

  4. Ajoutez le groupe aux dossiers et attribuez des rôles de dossier, si nécessaire. Pour obtenir des instructions, consultez la Gestion des certificats.

Vous pouvez maintenant utiliser ce groupe dans une règle d'enregistrement.

Phase 2. Créer une règle d'enregistrement pour un groupe

Remarque :

Assurez-vous que la revendication associée à la règle d'enregistrement SAML est envoyée à la charge utile SAML en la configurant dans l'application SAML.

Une fois l'intégration SAML configurée et après avoir configuré un groupe :

  1. Accédez à Admin, sélectionnez votre organisation, puis sélectionnez Sécurité (Security).

    La page Paramètres de sécurité (Security Settings) de l'organisation s'affiche dans l'onglet Paramètres d'authentification (Authentication Settings).

  2. Sous l'option SAML SSO, cliquez sur Afficher les règles d'enregistrement (View Provisioning Rule) :

    La page Règles d'enregistrement SAML SSO (SAML SSO Provisioning Rules) s'ouvre, où vos règles existantes sont répertoriées.

  3. Dans l'angle supérieur droit de la page, cliquez sur Ajouter une règle (Add rule).

    La page Ajouter une nouvelle règle (Add new rule) s'ouvre.

  4. Sous Détails de base (Basic details), renseignez le champ Nom de la règle (Rule Name) et éventuellement le champ Description.
  5. Sous Conditions, cliquez sur Ajouter une règle (Add rule).

    Une ligne de champs pour une nouvelle condition est ajoutée. Ensemble, ils définissent les critères qu'un compte doit remplir lors de la connexion pour être ajouté à un groupe (choisi ultérieurement).



  6. Dans le champ Revendication (Claim), saisissez le nom de la revendication, tel qu'il apparaît dans l'IdP. Le

    le champ est sensible à la casse.

  7. Dans la liste Relation (Relationship), sélectionnez la relation entre la revendication et la valeur. Les options suivantes sont disponibles :

    Relation

    Conditions requises

    Exemple

    est

    correspondance exacte, sensible à la casse

    Department is RPA exige que la valeur de la revendication Department soit RPA.
    Par exemple, la condition n'est pas remplie si la valeur est RPADev.

    Cette relation fonctionne pour les réclamations à plusieurs valeurs.

    Par exemple, si les valeurs administrator et developer sont envoyées sous la revendication Group, alors Group is administrator constituerait une relation valide.

    n'est pas

    tout sauf la valeur spécifiée, sensible à la casse

    Pour Department is not ctr, tout compte est ajouté au groupe sauf si Department a la valeur ctr.
    La condition est remplie si le service est Ctr ou electr.

    contient

    inclut, ne nécessite pas de correspondance exacte, sensible à la casse

    Department contains RPA exige que la valeur de la revendication Department inclue RPA.
    La condition est remplie si par exemple la valeur est RPADev, xRPAx ou NewRPA.

    ne contient pas

    exclut, ne nécessite pas de correspondance exacte, sensible à la casse

    Pour Department not contains ctr, tout compte est ajouté au groupe sauf si la valeur de Department inclut ctr.
    Les comptes dont le service est par exemple ctr ou electr, ne sont pas ajoutés au groupe.

    insensible à la casse

    correspondance exacte, non sensible à la casse

    Department is case insensitive RPA exige que la valeur de la revendication Department inclue rpa, dans n'importe quelle casse.
    Par exemple, la condition est remplie si la valeur est rpa. Par exemple, la condition n'est pas remplie si la valeur est crpa.

    contient insensible à la casse

    inclut, ne nécessite pas de correspondance exacte, non sensible à la casse

    Department contains case insensitive RPA exige que la valeur de la revendication Department inclue RPA, dans n'importe quelle casse.
    La condition est remplie si par exemple la valeur est rpa, cRPA ou rpA.
  8. Dans le champ Valeur (Value), saisissez la valeur nécessaire pour remplir la condition.
  9. Si vous souhaitez ajouter une autre condition, cliquez sur Ajouter une règle (Add rule) pour ajouter une nouvelle ligne de condition.

    Lorsque vous ajoutez plusieurs conditions, toutes les conditions doivent être remplies pour que la règle d'enregistrement s'applique. Par exemple, si vous définissez les règles Department is RPA et Title is Engineer, seuls les utilisateurs appartenant à la fois au service RPA et portant l'intitulé Ingénieur sont ajoutés aux groupes spécifiés. Un compte dont le service est RPA, mais dont l'intitulé est AQ n'est pas ajouté aux groupes.
  10. Sous Attribuer à des groupes (Assign to groups), dans la case Ajouter des groupes (Add Groups), commencez à saisir le nom d'un groupe, puis sélectionnez un groupe dans la liste des résultats. Répétez l'opération pour ajouter d'autres groupes, si nécessaire.

    Lorsque les conditions sont remplies, les comptes sont automatiquement ajoutés à ces groupes lorsqu'ils se connectent.

  11. Cliquez sur Enregistrer (Save) dans le coin inférieur droit pour ajouter la règle.

Lorsqu'une règle est en place, chaque fois qu'un utilisateur se connecte et que son compte remplit les conditions spécifiées pour une règle, son compte est ajouté aux groupes d'enregistrement attachés à la règle et son compte est configuré pour fonctionner sur la plate-forme UiPath.

Exemple de fragment de charge utile SAML

<Attribute 
   Name="groups"> 
<AttributeValue 
          xmlns:xs="http://www.w3.org/2001/XMLSchema"
          xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
          xsi:type="xs:string">ProcessAutomation-Developer</AttributeValue><Attribute 
   Name="groups"> 
<AttributeValue 
          xmlns:xs="http://www.w3.org/2001/XMLSchema"
          xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
          xsi:type="xs:string">ProcessAutomation-Developer</AttributeValue>

Mappage des attributs SAML

Lors de la configuration de l’intégration du répertoire SAML, les administrateurs de l’organisation ont la possibilité de définir les attributs de leur IdP qui doivent être mappés aux attributs de l’utilisateur système. Ensuite, lorsqu’un utilisateur se connecte via l’intégration du répertoire SAML, le système lira les réclamations qui sont transmises dans la charge utile ACS et mappera la valeur à leurs attributs système correspondants.
Remarque :
  • Votre IdP doit être configuré pour transmettre ces revendications dans la charge utile ACS.

  • Assurez-vous que les noms d’attribut configurés dans l’IdP correspondent aux paramètres de mappage d’attributs dans le portail de l’administrateur de l’organisation.

Par exemple, s’il s’agit de la structure des utilisateurs de votre IdP, un administrateur de l’organisation peut configurer les paramètres de mappage des attributs suivants pour que ces informations soient renseignées dans l’objet utilisateur système.

{  
    "displayname": "John Doe",  
    "fname": "John",  
    "lname": "Doe",  
    "jobtitle": "Hardware Engineer",  
    "dpt": "Engineering",  
    "city": "Phoenix" 
}{  
    "displayname": "John Doe",  
    "fname": "John",  
    "lname": "Doe",  
    "jobtitle": "Hardware Engineer",  
    "dpt": "Engineering",  
    "city": "Phoenix" 
}

Lorsqu’un utilisateur de cette organisation se connecte via l’intégration du répertoire SAML, son objet utilisateur est mis à jour pour refléter ce paramètre.

{  
    "Display Name": "John Doe",  
    "First Name": "John",  
    "Last Name": "Doe",  
    "Job Title": "Hardware Engineer",  
    "Department": "Engineering",  
    "City": "Phoenix" 
}{  
    "Display Name": "John Doe",  
    "First Name": "John",  
    "Last Name": "Doe",  
    "Job Title": "Hardware Engineer",  
    "Department": "Engineering",  
    "City": "Phoenix" 
}

Étape 3. Transition des utilisateurs vers le SSO SAML

Assurez-vous de fournir l'URL spécifique à votre organisation pour l'organisation UiPath à tous vos utilisateurs.

Remarque :
Après le passage à l'intégration SAML, l'intégration Azure AD est désactivée. Les attributions de groupe Azure AD ne s'appliquent plus, l'appartenance au groupe UiPath et les autorisations héritées d' Azure AD ne sont donc plus respectées.

Pour se connecter à la plate-forme UiPath avec SAML SSO, les utilisateurs peuvent :

  • accéder à l'URL spécifique à votre organisation. L'URL doit inclure l'ID de l'organisation et se terminer par une barre oblique, par exemple https://cloud.uipath.com/orgID.
  • accéder à https://cloud.uipath.com, sélectionner Continuer avec SSO (Continue with SSO) sur la page de connexion, puis fournir l'URL spécifique à leur organisation.

Pour se connecter à UiPath Studio et UiPath Assistant via l'authentification unique (SSO) SAML, les utilisateurs doivent configurer l'Assistant comme suit :

  1. Dans l'Assistant, ouvrez Préférences (Preferences) et sélectionnez l'onglet Connexion Orchestrator (Orchestrator Connection).
  2. Cliquez sur Se déconnecter (Sign Out).
  3. Pour le type de connexion, sélectionnez URL du service (Service URL).
  4. Dans le champ URL du service (Service URL), ajoutez l'URL spécifique à l'organisation.
    L'URL doit inclure l'ID de l'organisation et se terminer par une barre oblique, comme par exemple https://cloud.uipath.com/orgID. Sinon, la connexion échoue en disant que l'utilisateur n'appartient à aucune organisation.
  5. Reconnectez-vous via le SSO SAML.

Étape. 4. Configuration des autorisations et des robots

Ceci n'est requis que pour les nouveaux utilisateurs qui n'ont jamais utilisé la plate-forme UiPath auparavant et qui n'avaient donc pas de compte local configuré pour eux dans UiPath lorsque l'intégration a été activée.

Vous pouvez ajouter de nouveaux utilisateurs aux groupes UiPath par leur adresse e-mail (telle qu'utilisée dans l'IdP externe). Une fois qu'un utilisateur a été affecté à un groupe ou qu'il s'est connecté, il sera disponible via la recherche d'attribution de rôle dans tous les services UiPath.

Étape 5. Abandon de l'utilisation des comptes locaux (facultatif)

une fois que tous les utilisateurs sont passés à l'authentification unique (SSO) SAML et que les nouveaux utilisateurs sont configurés, nous vous recommandons de supprimer tous les comptes d'utilisateurs locaux qui ne sont pas des comptes d'administrateur. Cela garantit que les utilisateurs ne peuvent plus se connecter avec leurs informations d'identification de compte local et qu'ils doivent se connecter via l'authentification unique (SSO) SAML.

Vous pouvez identifier les comptes d'utilisateurs locaux en fonction de leurs icônes.

Un compte local peut être utile dans les scénarios suivants :

  • Pour gérer les problèmes d'intégration SAML (par exemple, la mise à jour d'un certificat expiré) ou si les paramètres d'authentification changent, un compte avec le rôle d'administrateur de l'organisation est recommandé.

  • Pour les processus dépendant de jetons d'accès API pour les autorisations de demande, car la fonctionnalité Accès à l'API (API Access) (sur la page Admin > Locataires (Tenants)) est inaccessible avec un compte SAML SSO. Vous pouvez également passer à l'utilisation d'OAuth pour l'autorisation, ce qui élimine le besoin d'informations d'accès à l'API.

Cette page vous a-t-elle été utile ?

Obtenez l'aide dont vous avez besoin
Formation RPA - Cours d'automatisation
Forum de la communauté UiPath
Uipath Logo White
Confiance et sécurité
© 2005-2024 UiPath Tous droits réservés.