Configuration de l'intégration SAML

Cette fonctionnalité est disponible avec le plan de licence Entreprise.

En utilisant la configuration SAML dans Automation Cloud , nous améliorons à la fois la sécurité et l'efficacité de l'authentification. Notre système utilise SAML pour activer l'authentification unique (SSO) via des jetons d'accès sécurisés, permettant à la plate-forme UiPath de se connecter à n'importe quel fournisseur d'identité (IdP) qui utilise la norme SAML 2.0.

De plus, notre configuration SAML inclut des fonctionnalités de déconnexion unique (SLO), qui permettent des déconnexions simultanées sur toutes vos applications unifiées sous votre IdP.

L'intégration SAML est conçue de manière à pouvoir être mise en œuvre progressivement, sans perturber les utilisateurs existants.

Remarque :

Passer de l'intégration native d'Azure Active Directory à l'intégration SAML

Si vous utilisez AAD pour l'authentification, nous vous recommandons d'utiliser notre intégration AAD native car elle est plus riche en fonctionnalités.

Si vous décidez de passer à l'intégration SAML, vous devez remplacer manuellement l'attribution de rôles effectuée via des groupes d'annuaire par une attribution directe de rôles aux comptes d'annuaire afin que vous n'ayez pas à recréer complètement votre schéma d'accès.

Limites connues

• Les assertions SAML chiffrées de votre fournisseur d'identité ne sont pas prises en charge.

• Vous ne pouvez pas rechercher des utilisateurs et des groupes à partir de votre fournisseur d'identité. Seuls les utilisateurs de répertoire enregistrés sont disponibles pour la recherche.

• Vous ne pouvez pas voir les utilisateurs de l'annuaire au niveau de l'organisation. Seuls les utilisateurs locaux s'affichent au niveau de l'organisation. L'enregistrement « juste à temps » ajoute des utilisateurs à l'annuaire, de sorte qu'ils n'apparaissent pas sur la page Comptes et groupes ( Accounts & Groups ) dans Automation Cloud.

• L'affichage des informations d'accès à l'API (API access information), qui vous permet d'autoriser les demandes d'API à l'aide d'une clé utilisateur, n'est pas disponible pour les utilisateurs du répertoire qui se connectent via l'intégration SAML.

Prérequis

Pour configurer l'intégration SAML, vous avez besoin de :

• Une organisation Automation Cloud avec le plan de licence Enterprise.

• Autorisations d'administrateur dans l'organisation Automation Cloud et votre fournisseur d'identité tiers. Si vous ne disposez pas d'autorisations d'administrateur dans votre fournisseur d'identité, faites appel à un administrateur pour terminer le processus de configuration.

• UiPath Studio® et l’assistant UiPath version 2020.10.3 ou ultérieure, afin que vous puissiez les configurer pour utiliser le déploiement recommandé.

Étape 1. Nettoyer les comptes d'utilisateurs inactifs

Si votre organisation recycle les adresses e-mail, il est important de supprimer tous les comptes utilisateur inactifs avant de configurer l'intégration SAML.

Lorsque vous activez l'intégration, les comptes locaux présents dans Automation Cloud peuvent être liés au compte d'annuaire du fournisseur d'identité externe qui utilise la même adresse e-mail. Cette liaison de compte se produit lorsque l'utilisateur du compte d'annuaire avec l'adresse e-mail se connecte pour la première fois. L'identité de votre fournisseur d'identité hérite de tous les rôles du compte local, pour que la transition soit transparente. Pour cette raison, avec des comptes locaux inactifs présents dans Automation Cloud, il existe un risque que les comptes locaux et les comptes d'annuaire ne correspondent pas, ce qui peut entraîner une élévation involontaire des autorisations.

Pour supprimer les comptes utilisateur inactifs :

1. Connectez-vous à Automation Cloud en tant qu'administrateur d'organisation.
2. Accédez à Admin, sélectionnez votre organisation, puis sélectionnez Comptes et groupes (Accounts & Groups). La page Comptes et groupes (Accounts & Groups) de l'organisation s'ouvre sur l'onglet Utilisateurs (Users).
3. Sélectionnez l'en-tête de colonne de la colonne Dernière activité (Last active ) pour réorganiser les utilisateurs afin que ceux dont la date de dernière connexion est la plus ancienne s'affichent en haut. La colonne Dernière activité (Last active ) affiche la date de dernière connexion de l'utilisateur. En attente dans cette colonne signifie que l'utilisateur ne s'est jamais connecté.
4. Sélectionnez l'icône Supprimer (Delete) à la fin de la ligne pour supprimer le compte local de cet utilisateur.
   
   

   

   
   
5. Dans la boîte de dialogue de confirmation, cliquez sur Supprimer ( Delete ) pour confirmer la suppression du compte d' Automation Cloud. Le compte utilisateur est supprimé de la page.
6. Continuez à supprimer tous les comptes d'utilisateurs inactifs de votre organisation.

Étape 2. Configuration de l'intégration SAML

Vous devez maintenant configurer Automation Cloud et votre fournisseur d'identité (IdP) pour l'intégration.

Étape 2.1. Obtenir les détails du fournisseur de services SAML

1. Connectez-vous à Automation Cloud en tant qu'administrateur d'organisation.
2. Accédez à Admin, sélectionnez votre organisation, puis sélectionnez Sécurité (Security). La page Paramètres de sécurité (Security Settings) de l'organisation s'affiche dans l'onglet Paramètres d'authentification (Authentication Settings).
3. Sous Configuration du répertoire pour l'authentification unique (Directory configuration for SSO), cliquez sur Configurer l'authentification unique ( Configure SSO). La fenêtre de configuration de l'authentification unique s'ouvre, décrivant les avantages et les prérequis de l'intégration.
4. Parmi les deux options SSO, sélectionnez SAML 2.0. La page de configuration SAML SSO s'ouvre dans l'onglet Configurer le fournisseur d'identité ( Configure identity provider ).
5. Dans la section supérieure de la page, vous trouverez les informations UiPath nécessaires à la configuration de votre fournisseur d'identité : URL de métadonnées ( Metadata URL), URL du service client relatif aux assertions ( Assertion Consumer Service URL), ID de l'entité ( Entity ID). Copiez-les et enregistrez-les pour configurer le fournisseur d'identité.
   Attention : nous vous recommandons fortement d'utiliser l' URL de métadonnées UiPath dans le cadre du processus de configuration de votre fournisseur d'identité. Cela permet des mises à jour automatiques chaque fois que nous lançons des rotations pour nos certificats de signature, garantissant un fonctionnement ininterrompu de la plate-forme.
   
6. L'ID d'entité contient l'ID de l'organisation par défaut. Vous pouvez modifier le format afin d'utiliser l’identifiant global (aucun ID d’organisation) à l’aide de l’option Modifier le format de l’ID de l’ entité (Change entity ID format) . Ensuite, dans la fenêtre Modifier le format de l'ID de l' entité (Change entity ID format) , dans la liste déroulante Format de l'ID de l' entité (Entity ID Format) , sélectionnez Identifiant spécifique à l'organisation ( Org spécifique identifier ) pour utiliser le format contenant l'ID de l'organisation, ou Identifiant global ( Global identifier ) pour utiliser le format qui ne contient pas l'ID de l'organisation. Nous vous recommandons d'utiliser l'identifiant spécifique à l'organisation, car il vous permet d'inscrire plusieurs organisations UiPath dans votre fournisseur d'identité, si vous le souhaitez.

Gardez cet onglet de navigateur ouvert pour une utilisation ultérieure.

Étape 2.2. Configurez votre fournisseur d'identité

Vous pouvez vous connecter à n'importe quel fournisseur d'identité (IdP) tiers qui utilise la norme SAML 2.0. Bien que la configuration puisse varier en fonction de l'IdP choisi, nous avons validé la configuration pour les Okta suivants, que vous pouvez utiliser comme référence pour configurer l'intégration :

Configurez Okta comme fournisseur d'identité.

Configurer PingOne comme fournisseur d'identité.

Pour les autres fournisseurs d'identité, nous vous recommandons de suivre leur documentation d'intégration.

Étape 2.3. Configurer Automation Cloud

Pour activer Automation Cloud en tant que fournisseur de services qui reconnaît votre fournisseur d'identité, procédez comme suit :

1. Revenez à l'onglet de configuration SSO SAML dans Automation Cloud.
2. Dans la deuxième section de la page Configurer le fournisseur d'identité ( Configure identity provider ), vous pouvez voir les champs nécessaires pour configurer le fournisseur d'identité dans Automation Cloud. Dans le champ URL des métadonnées ( Metadata URL ), saisissez l'URL des métadonnées de votre fournisseur d'identité. Cela permet à Automation Cloud de récupérer et de mettre à jour régulièrement les données de votre fournisseur d'identité, ce qui simplifie le processus de configuration SAML à long terme.
   Important : nous vous recommandons fortement d'utiliser l' URL de métadonnées lors de la configuration de SAML. Cela permet à UiPath d'extraire et de mettre à jour régulièrement les données de votre fournisseur d'identité, ce qui simplifie le processus de configuration SAML à long terme.
   
3. Cliquez sur Récupérer les données (Fetch data). Une fois l'opération terminée, les champs URL de connexion (Sign-on URL), Identifiant de l'entité du fournisseur d'identité (Identity Provider Entity ID) et Certificat de signature (Signing certificate) sont renseignés avec les informations de l'IdP.
4. Même si ce n'est pas la méthode recommandée, vous pouvez choisir de saisir manuellement les détails SAML de votre fournisseur d'identité dans les champs URL de connexion ( Sign-on URL), Identifiant de l'entité du fournisseur d'identité ( Identity Provider Entity ID) et Certificats de signature ( Signing certificates) .
5. Pour saisir manuellement plusieurs certificats, collez-les dans le champ Certificat de signature ( Signing certificate ) en base64, inclus par les indicateurs de certificat de début et de fin et séparés par un caractère de nouvelle ligne. Par exemple, si vous avez deux certificats, vous devez utiliser le format suivant :

   -----BEGIN CERTIFICATE-----
   <base64 encoded certificate retrieved from SAML metadata URL or SAML admin>
   -----END CERTIFICATE-----
   -----BEGIN CERTIFICATE-----
   <base64 encoded certificate retrieved from SAML metadata URL or SAML admin>
   -----END CERTIFICATE-----

   
6. Cliquez sur Suivant ( Next) dans le coin inférieur droit pour passer à l'étape suivante. Vous êtes redirigé vers l'onglet Attributs de carte et complétion ( Map attributes & Complete). Les attributs de mappage, appelés « demandes », lient les détails de l'utilisateur entre votre fournisseur d'identité et Automation Cloud. Cela garantit que les données utilisateur, comme un e-mail ou un nom d'utilisateur, correspondent à tous les systèmes.
   
7. Dans l'étape Attributs de carte et réalisation ( Map attributs & complete ), sélectionnez l'option Activer l'identifiant unique personnalisé ( Enable the custom unique identifier ) pour configurer un identifiant unique qui n'est pas un e-mail. Ceci est utile, par exemple, si vos utilisateurs n'ont pas tous de comptes de messagerie ou si leurs adresses e-mail ne sont pas uniques.
   Avertissement : une fois que vous avez défini un nom de revendication d' identifiant unique , sa modification peut entraîner la perte d'utilisateurs précédemment reconnus, car le système pourrait ne plus être en mesure de les identifier. En tant que telle, l'interface utilisateur limite la modification de la revendication d' identifiant unique une fois qu'elle a été définie. Pour le modifier, vous devez supprimer et recréer entièrement votre configuration.
   1. Vous devez obligatoirement saisir l'identifiant unique de vos utilisateurs dans le champ Identifiant unique ( Unique identifier ). Il s'agit de la revendication utilisée par Automation Cloud pour identifier les utilisateurs lorsqu'ils se connectent.
   2. Dans le champ Nom d' affichage (Display Name ), saisissez le nom grâce auquel vos utilisateurs peuvent être reconnus lors de la connexion.
   3. La saisie du champ E-mail ( Email ) pour vos utilisateurs devient facultative. Vous pouvez le remplir comme bon vous semble.
   4. Le champ Domaines d'adresse e-mail autorisés ( Allowed email address domains ) est grisé et non disponible pour la saisie. En effet, le système n'utilise plus l'e-mail comme identifiant unique, ce qui rend ce champ non pertinent.
   5. Vous pouvez éventuellement ajouter de nouveaux mappages en spécifiant la revendication respective du fournisseur d'identité et l'attribut correspondant dans Automation Cloud.
8. Par défaut, l'option Activer l'identifiant personnalisé unique ( Enable the custom unique identifier ) est désactivée, ce qui signifie que l'adresse e-mail est utilisée comme identifiant des utilisateurs. Suivez ces étapes :
   1. Le champ E-mail ( Email ) devient obligatoire et vous ne pouvez pas le modifier.
   2. Renseignez la section Domaines autorisés (Allowed Domains) avec les domaines à partir desquels vous souhaitez autoriser les utilisateurs à se connecter. Saisissez tous les domaines pris en charge par le fournisseur d'identité configuré. Séparez les différents domaines par des virgules.
   3. Sous Mappage des attributs ( Attribute Mapping), renseignez le champ Nom complet (Display Name ) en y spécifiant l'attribut de votre IdP que vous souhaitez afficher dans Automation Cloud comme nom pour les utilisateurs. Vous pouvez utiliser ici les attributs Prénom ( First Name) et Nom (Last Name) .
   4. Vous pouvez éventuellement ajouter de nouveaux mappages en spécifiant la revendication respective du fournisseur d'identité et l'attribut correspondant dans Automation Cloud.
9. Une fois que vous avez configuré les attributs, configurez les champs Autoriser la réponse d'authentification non sollicitée et Type de liaison SAML .
   1. Autoriser la réponse d'authentification non sollicitée ( Allow unsolicited authentication response) : activez si vous souhaitez pouvoir accéder à la plate-forme UiPath à partir du tableau de bord de l'IdP.
   2. Type de liaison SAML : sélectionnez le mode de communication de la configuration SAML via l'agent utilisateur HTTP. Sélectionnez Redirection HTTP (HTTP redirect) pour utiliser les paramètres d'URL, ou HTTP post pour utiliser un formulaire HTML avec un contenu encodé en base64.
10. Si votre fournisseur d'identité exige qu'Automation Cloud signe toutes les demandes d'authentification SAML, sélectionnez l'option Signer la demande d'authentification ( Sign Authentication Request ). Vérifiez auprès de votre fournisseur d'identité pour déterminer si cette fonctionnalité doit être activée. Automation Cloud met généralement à jour ses clés de signature. Si vous avez activé la fonctionnalité Signer la demande d'authentification ( Sign Authentication Request ), veillez à ce que votre IdP se synchronise régulièrement avec Automation Cloud en téléchargeant en permanence les clés mises à jour à partir de l' URL de métadonnées d' Automation Cloud.
11. Cliquez sur Tester et enregistrer (Test and Save) pour terminer la configuration de l'intégration.

Étape 2.4. Vérifiez que l'intégration est en cours d'exécution

Pour vérifier que l'intégration avec authentification unique (SSO) SAML fonctionne correctement :

1. Ouvrez une fenêtre privée dans le navigateur.
2. Accédez à l'URL de votre organisation Automation Cloud .
3. Vérifiez les points suivants :
   1. Êtes-vous invité à vous connecter avec votre fournisseur d'identité SAML ?
   2. Parvenez-vous à vous connecter ?
   3. Si vous vous connectez avec une adresse e-mail qui correspond à un compte utilisateur existant, disposez-vous des autorisations appropriées ?

Étape 2.5. Configurer les règles d'enregistrement (facultatif)

Si vous utilisez des revendications dans votre IdP, vous pouvez les utiliser comme conditions dans une règle d'enregistrement afin que les utilisateurs reçoivent automatiquement les licences et les rôles appropriés lorsqu'ils se connectent à Automation Cloud. Les règles d'enregistrement sont évaluées lorsqu'un utilisateur se connecte. Si le compte utilisateur remplit les conditions d'une règle, il est automatiquement ajouté au groupe UiPath local associé à la règle. Par exemple, un administrateur peut configurer une règle pour enregistrer les utilisateurs directement dans le groupe Automation Users à l'aide de ces paramètres : Revendication ( Claim ) =groupe, Relation( Relationship) =, Valeur (Value) =Utilisateur d'automatisation (Automation User).

2.5.1 Configurer des groupes d'enregistrement

Dans Automation Cloud, l'ajout d'un compte à un groupe signifie que le compte hérite des licences, des rôles et de la configuration du robot défini pour le groupe, le cas échéant.

En regroupant des types de comptes similaires (par exemple, développeurs ou testeurs), vous pouvez rationaliser le processus d'intégration des utilisateurs vers Automation Cloud. Assurez-vous que dans l'IdP, vous configurez des comptes similaires de la même manière.

De cette façon, vous configurez le groupe une fois, puis répliquez la configuration en ajoutant des comptes au groupe si nécessaire. Si la configuration d'un groupe de comptes en particulier doit être modifiée, il vous suffit de mettre à jour le groupe une seule fois et les modifications s'appliquent à tous les comptes du groupe.

Pour configurer un groupe pour une règle d'enregistrement :

1. Créez un nouveau groupe local dans Automation Cloud.

   Si vous le souhaitez, vous pouvez utiliser un de vos groupes existants au lieu d'en créer un nouveau.

2. (Facultatif et nécessite que la gestion des licences utilisateur soit activée) Si les comptes de ce groupe ont besoin de licences utilisateur, configurez des règles d'attribution de licence pour le groupe.

   Si vous utilisez un groupe existant, vérifiez l'attribution des licences pour le groupe afin de vous assurer que les bonnes licences sont attribuées. Si ce n'est pas le cas, modifiez les attributions ou créez un nouveau groupe.

3. Attribuez les rôles des locataires et complétez éventuellement la configuration du robot pour le groupe. Pour obtenir des instructions, voir Attribuer des rôles à un groupe .

   Si vous utilisez un groupe existant, vérifiez les rôles actuellement attribués au groupe pour vous assurer qu'ils sont adaptés au type de compte que vous ajouterez au groupe. Si ce n'est pas le cas, modifiez les rôles attribués à ce groupe ou créez un nouveau groupe.

4. Ajoutez le groupe aux dossiers et attribuez des rôles de dossier, si nécessaire. Pour obtenir des instructions, consultez la Gestion des certificats.

Vous pouvez maintenant utiliser ce groupe dans une règle d'enregistrement.

2.5.2 Créer une règle d'enregistrement pour un groupe

Remarque :

Assurez-vous que la revendication associée à la règle d'enregistrement SAML est envoyée à la charge utile SAML en la configurant dans l'application SAML.

Une fois l'intégration SAML configurée et après avoir configuré un groupe :

1. Accédez à Admin, sélectionnez votre organisation, puis sélectionnez Sécurité (Security).

   La page Paramètres de sécurité (Security Settings) de l'organisation s'affiche dans l'onglet Paramètres d'authentification (Authentication Settings).

2. Sous l'option SAML SSO , cliquez sur Afficher les règles d'enregistrement (View Provisioning Rule). La page Règles d'enregistrement SAML SSO ( SAML SSO Provisioning Rules) s'ouvre, où vos règles existantes sont répertoriées.

3. Dans l'angle supérieur droit de la page, cliquez sur Ajouter une règle (Add rule).

   La page Ajouter une nouvelle règle (Add new rule) s'ouvre.

4. Sous Détails de base (Basic details), renseignez le champ Nom de la règle (Rule Name) et éventuellement le champ Description.

5. Sous Conditions, cliquez sur Ajouter une règle (Add rule).

   Une ligne de champs pour une nouvelle condition est ajoutée. Ensemble, ils définissent les critères qu'un compte doit remplir lors de la connexion pour être ajouté à un groupe (choisi ultérieurement).

   
   

   

   
   
6. Dans le champ Revendication (Claim), saisissez le nom de la revendication, tel qu'il apparaît dans l'IdP. Le champ est sensible à la casse.

7. Dans la liste Relation (Relationship), sélectionnez la relation entre la revendication et la valeur. Les options suivantes sont disponibles :

   Relation	Conditions requises	Exemple
   est	correspondance exacte, sensible à la casse	Department is RPA exige que la valeur de la revendication Department soit RPA. Par exemple, la condition n'est pas remplie si la valeur est RPADev. Cette relation fonctionne pour les réclamations à plusieurs valeurs. Par exemple, si les valeurs administrator et developer sont envoyées sous la revendication Group, alors Group is administrator constituerait une relation valide.
   n'est pas	tout sauf la valeur spécifiée, sensible à la casse	Pour Department is not ctr, tout compte est ajouté au groupe sauf si Department a la valeur ctr. La condition est remplie si le service est Ctr ou electr.
   contient	inclut, ne nécessite pas de correspondance exacte, sensible à la casse	Department contains RPA exige que la valeur de la revendication Department inclue RPA. La condition est remplie si par exemple la valeur est RPADev, xRPAx ou NewRPA.
   ne contient pas	exclut, ne nécessite pas de correspondance exacte, sensible à la casse	Pour Department not contains ctr, tout compte est ajouté au groupe sauf si la valeur de Department inclut ctr. Les comptes dont le service est par exemple ctr ou electr, ne sont pas ajoutés au groupe.
   insensible à la casse	correspondance exacte, non sensible à la casse	Department is case insensitive RPA exige que la valeur de la revendication Department inclue rpa, dans n'importe quelle casse. Par exemple, la condition est remplie si la valeur est rpa. Par exemple, la condition n'est pas remplie si la valeur est crpa.
   contient insensible à la casse	inclut, ne nécessite pas de correspondance exacte, non sensible à la casse	Department contains case insensitive RPA exige que la valeur de la revendication Department inclue RPA, dans n'importe quelle casse. La condition est remplie si par exemple la valeur est rpa, cRPA ou rpA.

8. Dans le champ Valeur (Value), saisissez la valeur nécessaire pour remplir la condition.

9. Si vous souhaitez ajouter une autre condition, cliquez sur Ajouter une règle (Add rule) pour ajouter une nouvelle ligne de condition.

   Lorsque vous ajoutez plusieurs conditions, toutes les conditions doivent être remplies pour que la règle d'enregistrement s'applique. Par exemple, si vous définissez les règles Department is RPA et Title is Engineer, seuls les utilisateurs appartenant à la fois au service RPA et portant l'intitulé Ingénieur sont ajoutés aux groupes spécifiés. Un compte dont le service est RPA, mais dont l'intitulé est AQ n'est pas ajouté aux groupes.

10. Sous Attribuer à des groupes (Assign to groups), dans la case Ajouter des groupes (Add Groups), commencez à saisir le nom d'un groupe, puis sélectionnez un groupe dans la liste des résultats. Répétez l'opération pour ajouter d'autres groupes, si nécessaire.

    Lorsque les conditions sont remplies, les comptes sont automatiquement ajoutés à ces groupes lorsqu'ils se connectent.

11. Cliquez sur Enregistrer (Save) dans le coin inférieur droit pour ajouter la règle.

Lorsqu'une règle est en place, chaque fois qu'un utilisateur se connecte et que son compte remplit les conditions spécifiées pour une règle, son compte est ajouté aux groupes d'enregistrement attachés à la règle et son compte est configuré pour fonctionner dans Automation Cloud.

Exemple de fragment de charge utile SAML

<Attribute 
   Name="groups"> 
<AttributeValue 
          xmlns:xs="http://www.w3.org/2001/XMLSchema"
          xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
          xsi:type="xs:string">ProcessAutomation-Developer</AttributeValue>

Mappage des attributs SAML

Lors de la configuration de l’intégration du répertoire SAML, les administrateurs de l’organisation peuvent définir les attributs de leur IdP qui doivent être mappés aux attributs de l’utilisateur système. Ensuite, lorsqu’un utilisateur se connecte via l’intégration du répertoire SAML, le système lit les réclamations qui sont transmises dans la charge utile ACS et mappe la valeur à leurs attributs système correspondants.

Remarque :

• Votre IdP doit être configuré pour transmettre ces revendications dans la charge utile ACS.

• Assurez-vous que les noms d’attribut configurés dans l’IdP correspondent aux paramètres de mappage d’attributs dans le portail de l’administrateur de l’organisation.

Par exemple, s’il s’agit de la structure des utilisateurs de votre IdP, un administrateur de l’organisation peut configurer les paramètres de mappage des attributs suivants pour que ces informations soient renseignées dans l’objet utilisateur système.

{  
    "displayname": "John Doe",  
    "fname": "John",  
    "lname": "Doe",  
    "jobtitle": "Hardware Engineer",  
    "dpt": "Engineering",  
    "city": "Phoenix" 
}

Lorsqu’un utilisateur de cette organisation se connecte via l’intégration du répertoire SAML, son objet utilisateur est mis à jour pour refléter ce paramètre.

{  
    "Display Name": "John Doe",  
    "First Name": "John",  
    "Last Name": "Doe",  
    "Job Title": "Hardware Engineer",  
    "Department": "Engineering",  
    "City": "Phoenix" 
}

Étape 3. Transition des utilisateurs vers le SSO SAML

Assurez-vous de fournir l'URL spécifique à votre organisation pour l'organisation Automation Cloud à tous vos utilisateurs.

Remarque :

Après le passage à l'intégration SAML, l'intégration Azure AD est désactivée. Les attributions de groupe Azure AD ne s'appliquent plus, l'appartenance au groupe Automation Cloud et les autorisations héritées d' Azure AD ne sont donc plus respectées.

Pour se connecter à Automation Cloud avec SAML SSO, les utilisateurs peuvent :

• accéder à l'URL spécifique à votre organisation. L'URL doit inclure l'ID de l'organisation et se terminer par une barre oblique, par exemple https://cloud.uipath.com/orgID.
• accéder à https://cloud.uipath.com, sélectionner Continuer avec SSO (Continue with SSO) sur la page de connexion, puis fournir l'URL spécifique à leur organisation.

Pour se connecter à UiPath Studio et UiPath Assistant via l'authentification unique (SSO) SAML, les utilisateurs doivent configurer l'Assistant comme suit :

1. Dans l'Assistant, ouvrez Préférences (Preferences) et sélectionnez l'onglet Connexion Orchestrator (Orchestrator Connection).
2. Cliquez sur Se déconnecter (Sign Out).
3. Pour le type de connexion, sélectionnez URL du service (Service URL).
4. Dans le champ URL du service (Service URL), ajoutez l'URL spécifique à l'organisation.
   L'URL doit inclure l'ID de l'organisation et se terminer par une barre oblique, comme par exemple https://cloud.uipath.com/orgID. Sinon, la connexion échoue en disant que l'utilisateur n'appartient à aucune organisation.
5. Reconnectez-vous via le SSO SAML.

Étape. 4. Configuration des autorisations et des robots

Ceci n'est requis que pour les nouveaux utilisateurs qui n'ont jamais utilisé Automation Cloud auparavant et qui n'avaient donc pas de compte local configuré pour eux dans Automation Cloud lorsque l'intégration a été activée.

Vous pouvez ajouter de nouveaux utilisateurs aux groupes Automation Cloud par leur adresse e-mail (telle qu'utilisée dans l'IdP externe). Une fois qu'un utilisateur a été affecté à un groupe ou qu'il s'est connecté, il sera disponible via la recherche d'attribution de rôle dans tous les services UiPath.

Étape 5. Abandon de l'utilisation des comptes locaux (facultatif)

une fois que tous les utilisateurs sont passés à l'authentification unique (SSO) SAML et que les nouveaux utilisateurs sont configurés, nous vous recommandons de supprimer tous les comptes d'utilisateurs locaux qui ne sont pas des comptes d'administrateur. Cela garantit que les utilisateurs ne peuvent plus se connecter avec leurs informations d'identification de compte local et qu'ils doivent se connecter via l'authentification unique (SSO) SAML.

Vous pouvez identifier les comptes d'utilisateurs locaux en fonction de leurs icônes.

Un compte local peut être utile :

• Pour gérer les problèmes d'intégration SAML (par exemple, la mise à jour d'un certificat expiré) ou si les paramètres d'authentification changent, un compte avec le rôle d'administrateur de l'organisation est recommandé.

• Pour les processus dépendant de jetons d'accès API pour les autorisations de demande, car la fonctionnalité Accès à l'API (API Access) (sur la page Admin > Locataires (Tenants)) est inaccessible avec un compte SAML SSO. Vous pouvez également passer à l'utilisation d'OAuth pour l'autorisation, ce qui élimine le besoin d'informations d'accès à l'API.