Authentification Amazon Web Services

Prérequis

Pour créer une connexion, vous devez fournir les informations d'identification suivantes :

• Pour la méthode d’authentification par Clé d’accès :
  • ID de clé d'accès (clé d'accès utilisée pour se connecter à Amazon Web Services)
  • Clé d'accès secrète (clé secrète utilisée pour se connecter à Amazon Web Services)
  • Jeton de session temporaire (utilisé pour créer la session client AWS)
  • Région (spécifie la région AWS à laquelle se connecter)
• Pour la clé d'accès, supposez la méthode d'authentification du rôle :
  • ID de clé d'accès (clé d'accès utilisée pour se connecter à Amazon Web Services)
  • Clé d'accès secrète (clé secrète utilisée pour se connecter à Amazon Web Services)
  • Rôle IAM (spécifie le nom du rôle IAM)
  • Jeton de session temporaire (utilisé pour créer la session client AWS)
  • Région (spécifie la région AWS à laquelle se connecter)
• Pour la méthode d’authentification Simuler le rôle inter-comptes gérés par UiPath :
  • ARN du rôle IAM
  • ID externe
  • Région (spécifie la région AWS à laquelle se connecter)

Création d’une connexion de rôle de rôle de clé d’accès

Pour créer une connexion de rôle de rôle de clé d’accès , suivez d’abord les étapes suivantes :

1. Accédez à la Console AWS > IAM > Rôle.

2. Sélectionnez Créer un rôle (Create role).

3. Sélectionnez Politique d’approbation personnalisée.

4. Attachez la stratégie d'approbation personnalisée, comme indiqué dans la section de code suivante :

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "<user ARN>"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }
   

5. Ajoutez les autorisations nécessaires à attribuer à l'utilisateur.

6. Renseignez toutes les informations requises, puis sélectionnez Create.

7. Le Robot UiPath exécutant l'automatisation doit être déployé dans une instance AWS EC2 à laquelle le rôle IAM spécifié est associé, comme décrit ici.

Créer une connexion de rôle UiPath inter-comptes gérée par UiPath

Ce type de connexion utilise des informations d’identification STS temporaires au lieu de clés IAM à long terme pour accéder en toute sécurité aux ressources AWS (S3, EC2, DynamoDB, Bedrock). Il vous suffit de fournir un minimum d'entrées et de configurer un compte AWS en une seule fois, sans clé d'accès ou secret IAM requis.

Avertissement :

Si vous souhaitez utiliser ce type d'authentification, vous devez d'abord commencer une demande auprès de l'assistance UiPath. Après avoir généré la demande, cela peut prendre environ trois semaines et de moitié avant que vous puissiez créer une connexion à l'aide de ce type d'authentification.

UiPath créera et gérera un utilisateur IAM différent par client, garantissant que l’accès AWS sera isolé au niveau de l’organisation UiPath.

Remarque :

L'hypothèse du rôle fournira toutes les autorisations associées à votre rôle dans un locataire où ce type de connexion est établi.

Pour créer une connexion :

1. Fournissez l’ ARN du rôle IAM qu’UiPath doit assumer. Cet ARN de rôle sera intégré à la politique d’autorisations d’un utilisateur IAM. L'utilisateur IAM est créé et géré par UiPath spécifiquement et isolé pour chaque client.

2. Configurez la stratégie d’approbation du rôle IAM. Mettez à jour la stratégie d'approbation du rôle IAM pour permettre l'hypothèse par l'utilisateur IAM de UiPath.

   • UiPath partagera l’ ARN de son utilisateur IAM créé spécifiquement pour votre compte client.

   • Vous devez ajouter l’ ARN de l’utilisateur UiPath IAM à l’élément principal de la stratégie d’approbation du rôle.

   • Nous avons besoin d’un ID externe comme sécurité supplémentaire dans les scénarios d’accès tiers et afin d’éviter tout problème de confusion. Il peut s’agir de la chaîne de votre choix. Pour le configurer, ajoutez une condition avec sts:ExternalId comme dans l'exemple ci-dessous. L'ID externe est transmis à UiPath lors de la création de la connexion au Integration Service. Exemple de format de politique :

     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "<UiPath IAM user ARN>"
                 },
                 "Action": "sts:AssumeRole",
                 "Condition": {
                     "StringEquals": {
                         "sts:ExternalId": "<your External Id>"
                     }
                 }
             }
         ]
     }
     

3. Configurez les politiques d'autorisation du rôle IAM. Par exemple :

   • S3 : Lister/Obtenir/Mettre sur des compartiments spécifiques.
   • Bedrock : InvokeModel, InvokeModelWithResponseStream.
   Avertissement :

   Le rôle IAM doit disposer de l’ensemble d’autorisations minimum requis pour votre cas d’utilisation spécifique. Par exemple, si le cas d'utilisation consiste à lire des objets à partir d'un compartiment S3, le rôle ne doit avoir qu'un accès en lecture seule à ce compartiment spécifique. Un exemple de politique pour un tel cas d'utilisation ressemblerait à ceci :

       {
           "Version": "2012-10-17",
           "Statement": [
               {
                   "Effect": "Allow",
                   "Action": [
                       "s3:GetObject",
                       "s3:ListBucket"
                   ],
                   "Resource": [
                       "arn:aws:s3:::your-bucket-name",
                       "arn:aws:s3:::your-bucket-name/*"
                   ]
               }
           ]
       }
   

4. Ajoutez la connexion Amazon Web Services dans Integration Service.

Ajouter la connexion

Pour créer une connexion à votre instance Amazon Web Services, vous devez effectuer les étapes suivantes :

1. Sélectionnez Orchestrator dans le lanceur du produit.

2. Sélectionnez un dossier, puis accédez à l'onglet Connexions .

3. Sélectionnez Ajouter une connexion (Add connecion).

4. Pour ouvrir la page de création de connexion, sélectionnez le connecteur dans la liste. Vous pouvez utiliser la barre de recherche pour trouver le connecteur.

5. Dans le champ Type d’authentification , sélectionnez l’une des trois options : Clé d’accès, Rôle de prise en compte de la clé d’accès, ou Rôle de prise en compte des comptes croisés gérés par UiPath. Par défaut, la Clé d'accès est sélectionnée.

   

6. Saisissez les informations d’identification requises pour votre méthode d’authentification favorite. Si vous avez l'intention d'utiliser l'activité Demande HTTP, sélectionnez le nom du service HTTP AWS: s3, ec2, workspaces ou Bedrock-runtime.

7. Select Connect.