Authentification Amazon Web Services

Prérequis

Utilisez le tableau suivant pour choisir une méthode d'authentification en fonction de votre cas d'utilisation:

Method	Idéal pour	Limitations
Clé d’accès	Connexions rapides et tests avec les informations d’identification IAM existantes	Expiration du jeton de session (15 minutes à 12 heures); les connexions doivent être renouvelées à l’expiration du jeton
Rôle de supposition de la clé d'accès	Robots s’exécutant sur des instances AWS EC2 avec un rôle IAM associé	Le robot doit être déployé sur une instance EC2; le jeton de session expire
Rôle de supposition du compte croisé de gestion UiPath	Production d'automatisations Unattended sans informations d'identification IAM à long terme	Nécessite une demande d'assistance UiPath

Pour créer une connexion, vous devez fournir les informations d'identification suivantes :

• Pour la méthode d’authentification par Clé d’accès :
  • ID de clé d'accès (clé d'accès utilisée pour se connecter à Amazon Web Services)
  • Clé d'accès secrète (clé secrète utilisée pour se connecter à Amazon Web Services)
  • Jeton de session temporaire (utilisé pour créer la session client AWS)
  • Région (spécifie la région AWS à laquelle se connecter)
• Pour la clé d'accès, supposez la méthode d'authentification du rôle :
  • ID de clé d'accès (clé d'accès utilisée pour se connecter à Amazon Web Services)
  • Clé d'accès secrète (clé secrète utilisée pour se connecter à Amazon Web Services)
  • Rôle IAM (spécifie le nom du rôle IAM)
  • Jeton de session temporaire (utilisé pour créer la session client AWS)
  • Région (spécifie la région AWS à laquelle se connecter)
• Pour la méthode d’authentification Simuler le rôle inter-comptes gérés par UiPath :
  • ARN du rôle IAM
  • ID externe
  • Région (spécifie la région AWS à laquelle se connecter)

Remarque :

Le jeton de session temporaire est émis par le service de jeton de sécurité AWS et a une durée limitée (de 15 minutes à 12 heures par défaut). À l’expiration du jeton, la connexion échoue et doit être renouvelée manuellement. Pour les automatisations qui s'exécutent plus longtemps que la durée de vie du jeton de session, envisagez d'utiliser plutôt la méthode de supposition du compte croisé de gestion UiPath , qui ne nécessite pas de jetons de session.

Création d’une connexion de rôle de rôle de clé d’accès

Pour créer une connexion de rôle de rôle de clé d’accès , suivez d’abord les étapes suivantes :

Remarque :

L’utilisateur IAM dont vous fournissez les informations d’identification doit disposer de l’autorisation sts:AssumeRole pour le rôle cible dans sa propre politique IAM.

1. Accédez à la Console AWS > IAM > Rôle.

2. Sélectionnez Créer un rôle (Create role).

3. Sélectionnez Politique d’approbation personnalisée.

4. Attachez la stratégie d'approbation personnalisée, comme indiqué dans la section de code suivante :

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "<user ARN>"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }
   

5. Ajoutez les autorisations nécessaires à attribuer à l'utilisateur.

6. Renseignez toutes les informations requises, puis sélectionnez Create.

7. Le Robot UiPath exécutant l'automatisation doit être déployé dans une instance AWS EC2 à laquelle le rôle IAM spécifié est associé, comme décrit ici.

Créer une connexion de rôle UiPath inter-comptes gérée par UiPath

Ce type de connexion utilise des informations d’identification STS temporaires au lieu de clés IAM à long terme pour accéder en toute sécurité aux ressources AWS (S3, EC2, DynamoDB, Bedrock). Il vous suffit de fournir un minimum d'entrées et de configurer un compte AWS en une seule fois, sans clé d'accès ou secret IAM requis.

Avertissement :

Si vous souhaitez utiliser ce type d’authentification, vous devez d’abord en faire la demande auprès de l’assistance UiPath. Une fois la demande émise, UiPath fournira l’ARN de l’utilisateur IAM, qui doit être ajouté à votre politique de relation de confiance de rôle IAM avant de créer la connexion. Lorsque les mises à jour de la liste blanche et de la politique de confiance IAM requises sont terminées des deux côtés, la connexion peut être créée et exploitée immédiatement.

UiPath créera et gérera un utilisateur IAM différent par client, garantissant que l’accès AWS sera isolé au niveau de l’organisation UiPath.

Remarque :

L'hypothèse du rôle fournira toutes les autorisations associées à votre rôle dans un locataire où ce type de connexion est établi.

Pour créer une connexion :

1. Fournissez l’ ARN du rôle IAM qu’UiPath doit assumer. Cet ARN de rôle sera intégré à la politique d’autorisations d’un utilisateur IAM. L'utilisateur IAM est créé et géré par UiPath spécifiquement et isolé pour chaque client.

2. Configurez la stratégie d’approbation du rôle IAM. Mettez à jour la stratégie d'approbation du rôle IAM pour permettre l'hypothèse par l'utilisateur IAM de UiPath.

   • UiPath partagera l’ ARN de son utilisateur IAM créé spécifiquement pour votre compte client.

   • Vous devez ajouter l’ ARN de l’utilisateur UiPath IAM à l’élément principal de la stratégie d’approbation du rôle.

   • Nous avons besoin d’un ID externe comme sécurité supplémentaire dans les scénarios d’accès tiers et afin d’éviter tout problème de confusion. Il peut s’agir de la chaîne de votre choix. Pour le configurer, ajoutez une condition avec sts:ExternalId comme dans l'exemple ci-dessous. L'ID externe est transmis à UiPath lors de la création de la connexion au Integration Service. Exemple de format de politique :

     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "<UiPath IAM user ARN>"
                 },
                 "Action": "sts:AssumeRole",
                 "Condition": {
                     "StringEquals": {
                         "sts:ExternalId": "<your External Id>"
                     }
                 }
             }
         ]
     }
     

3. Configurez les politiques d'autorisation du rôle IAM. Par exemple :

   • S3 : Lister/Obtenir/Mettre sur des compartiments spécifiques.
   • Bedrock : InvokeModel, InvokeModelWithResponseStream.
   Avertissement :

   Le rôle IAM doit disposer de l’ensemble d’autorisations minimum requis pour votre cas d’utilisation spécifique. Par exemple, si le cas d'utilisation consiste à lire des objets à partir d'un compartiment S3, le rôle ne doit avoir qu'un accès en lecture seule à ce compartiment spécifique. Un exemple de politique pour un tel cas d'utilisation ressemblerait à ceci :

       {
           "Version": "2012-10-17",
           "Statement": [
               {
                   "Effect": "Allow",
                   "Action": [
                       "s3:GetObject",
                       "s3:ListBucket"
                   ],
                   "Resource": [
                       "arn:aws:s3:::your-bucket-name",
                       "arn:aws:s3:::your-bucket-name/*"
                   ]
               }
           ]
       }
   

4. Ajoutez la connexion Amazon Web Services dans Integration Service.

Ajouter la connexion

Pour créer une connexion à votre instance Amazon Web Services, vous devez effectuer les étapes suivantes :

1. Sélectionnez Orchestrator dans le lanceur du produit.

2. Sélectionnez un dossier, puis accédez à l'onglet Connexions .

3. Sélectionnez Ajouter une connexion (Add connecion).

4. Pour ouvrir la page de création de connexion, sélectionnez le connecteur dans la liste. Vous pouvez utiliser la barre de recherche pour trouver le connecteur.

5. Dans le champ Type d’authentification , sélectionnez l’une des trois options : Clé d’accès, Rôle de prise en compte de la clé d’accès, ou Rôle de prise en compte des comptes croisés gérés par UiPath. Par défaut, la Clé d'accès est sélectionnée.

   

6. Saisissez les informations d’identification requises pour votre méthode d’authentification favorite. Si vous avez l'intention d'utiliser l'activité Demande HTTP, sélectionnez le nom du service HTTP AWS: s3, ec2, workspaces ou Bedrock-runtime.

   For any secret-type field, you can select the menu next to the field and choose Use credential asset to reference an Orchestrator credential asset linked to an external vault instead of entering the value directly. For more information, see Use credential assets for connections.

7. Saisissez les informations d'identification requises pour votre méthode d'authentification préférée. Dans le champ Nom du service AWS , sélectionnez le service AWS auquel vous avez l'intention de vous connecter: s3, oc2, Workspaces ou Bedrock-Runtime.

   Remarque :

   Si vous avez l'intention d'utiliser cette connexion avec Amazon Bedrock (par exemple, pour invoquer des modèles d'IA), vous devez sélectionner Bedrock-runtime. La sélection d'un nom de service différent entraînera l'échec des requêtes Bedrock.

8. Select Connect.