Authentification Amazon Web Services

Prérequis

Use the following table to choose an authentication method based on your use case:

Method	Idéal pour	Limitations
Access Key	Quick connections and testing with existing IAM credentials	Session token expires (15 minutes to 12 hours); connections must be renewed when the token expires
Rôle de supposition de la clé d'accès	Robots running on AWS EC2 instances with an attached IAM role	Robot must be deployed on an EC2 instance; session token expires
UiPath Managed Cross-Account Assume Role	Production unattended automations without long-term IAM credentials	Requires a UiPath support request

Pour créer une connexion, vous devez fournir les informations d'identification suivantes :

• Pour la méthode d’authentification par Clé d’accès :
  • ID de clé d'accès (clé d'accès utilisée pour se connecter à Amazon Web Services)
  • Clé d'accès secrète (clé secrète utilisée pour se connecter à Amazon Web Services)
  • Jeton de session temporaire (utilisé pour créer la session client AWS)
  • Région (spécifie la région AWS à laquelle se connecter)
• Pour la clé d'accès, supposez la méthode d'authentification du rôle :
  • ID de clé d'accès (clé d'accès utilisée pour se connecter à Amazon Web Services)
  • Clé d'accès secrète (clé secrète utilisée pour se connecter à Amazon Web Services)
  • Rôle IAM (spécifie le nom du rôle IAM)
  • Jeton de session temporaire (utilisé pour créer la session client AWS)
  • Région (spécifie la région AWS à laquelle se connecter)
• Pour la méthode d’authentification Simuler le rôle inter-comptes gérés par UiPath :
  • ARN du rôle IAM
  • ID externe
  • Région (spécifie la région AWS à laquelle se connecter)

Remarque :

The Temporary session token is issued by the AWS Security Token Service (STS) and has a limited lifetime (15 minutes to 12 hours by default). When the token expires, the connection fails and must be manually renewed. For automations that run longer than the session token lifetime, consider using the UiPath Managed Cross-Account Assume Role method instead, which does not require session tokens.

Création d’une connexion de rôle de rôle de clé d’accès

Pour créer une connexion de rôle de rôle de clé d’accès , suivez d’abord les étapes suivantes :

Remarque :

The IAM user whose credentials you provide must have the sts:AssumeRole permission for the target role in their own IAM policy.

1. Accédez à la Console AWS > IAM > Rôle.

2. Sélectionnez Créer un rôle (Create role).

3. Sélectionnez Politique d’approbation personnalisée.

4. Attachez la stratégie d'approbation personnalisée, comme indiqué dans la section de code suivante :

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "<user ARN>"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }
   

5. Ajoutez les autorisations nécessaires à attribuer à l'utilisateur.

6. Renseignez toutes les informations requises, puis sélectionnez Create.

7. Le Robot UiPath exécutant l'automatisation doit être déployé dans une instance AWS EC2 à laquelle le rôle IAM spécifié est associé, comme décrit ici.

Créer une connexion de rôle UiPath inter-comptes gérée par UiPath

Ce type de connexion utilise des informations d’identification STS temporaires au lieu de clés IAM à long terme pour accéder en toute sécurité aux ressources AWS (S3, EC2, DynamoDB, Bedrock). Il vous suffit de fournir un minimum d'entrées et de configurer un compte AWS en une seule fois, sans clé d'accès ou secret IAM requis.

Avertissement :

If you want to use this authentication type, you must first raise a request with UiPath support. After the request is raised, UiPath will provide the IAM User ARN, which must be added to your IAM role trust relationship policy before creating the connection. When the required IAM role whitelisting and trust policy updates are completed on both sides, the connection can be created and leveraged immediately.

UiPath créera et gérera un utilisateur IAM différent par client, garantissant que l’accès AWS sera isolé au niveau de l’organisation UiPath.

Remarque :

L'hypothèse du rôle fournira toutes les autorisations associées à votre rôle dans un locataire où ce type de connexion est établi.

Pour créer une connexion :

1. Fournissez l’ ARN du rôle IAM qu’UiPath doit assumer. Cet ARN de rôle sera intégré à la politique d’autorisations d’un utilisateur IAM. L'utilisateur IAM est créé et géré par UiPath spécifiquement et isolé pour chaque client.

2. Configurez la stratégie d’approbation du rôle IAM. Mettez à jour la stratégie d'approbation du rôle IAM pour permettre l'hypothèse par l'utilisateur IAM de UiPath.

   • UiPath partagera l’ ARN de son utilisateur IAM créé spécifiquement pour votre compte client.

   • Vous devez ajouter l’ ARN de l’utilisateur UiPath IAM à l’élément principal de la stratégie d’approbation du rôle.

   • Nous avons besoin d’un ID externe comme sécurité supplémentaire dans les scénarios d’accès tiers et afin d’éviter tout problème de confusion. Il peut s’agir de la chaîne de votre choix. Pour le configurer, ajoutez une condition avec sts:ExternalId comme dans l'exemple ci-dessous. L'ID externe est transmis à UiPath lors de la création de la connexion au Integration Service. Exemple de format de politique :

     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "<UiPath IAM user ARN>"
                 },
                 "Action": "sts:AssumeRole",
                 "Condition": {
                     "StringEquals": {
                         "sts:ExternalId": "<your External Id>"
                     }
                 }
             }
         ]
     }
     

3. Configurez les politiques d'autorisation du rôle IAM. Par exemple :

   • S3 : Lister/Obtenir/Mettre sur des compartiments spécifiques.
   • Bedrock : InvokeModel, InvokeModelWithResponseStream.
   Avertissement :

   Le rôle IAM doit disposer de l’ensemble d’autorisations minimum requis pour votre cas d’utilisation spécifique. Par exemple, si le cas d'utilisation consiste à lire des objets à partir d'un compartiment S3, le rôle ne doit avoir qu'un accès en lecture seule à ce compartiment spécifique. Un exemple de politique pour un tel cas d'utilisation ressemblerait à ceci :

       {
           "Version": "2012-10-17",
           "Statement": [
               {
                   "Effect": "Allow",
                   "Action": [
                       "s3:GetObject",
                       "s3:ListBucket"
                   ],
                   "Resource": [
                       "arn:aws:s3:::your-bucket-name",
                       "arn:aws:s3:::your-bucket-name/*"
                   ]
               }
           ]
       }
   

4. Ajoutez la connexion Amazon Web Services dans Integration Service.

Ajouter la connexion

Pour créer une connexion à votre instance Amazon Web Services, vous devez effectuer les étapes suivantes :

1. Sélectionnez Orchestrator dans le lanceur du produit.

2. Sélectionnez un dossier, puis accédez à l'onglet Connexions .

3. Sélectionnez Ajouter une connexion (Add connecion).

4. Pour ouvrir la page de création de connexion, sélectionnez le connecteur dans la liste. Vous pouvez utiliser la barre de recherche pour trouver le connecteur.

5. Dans le champ Type d’authentification , sélectionnez l’une des trois options : Clé d’accès, Rôle de prise en compte de la clé d’accès, ou Rôle de prise en compte des comptes croisés gérés par UiPath. Par défaut, la Clé d'accès est sélectionnée.

   

6. Saisissez les informations d'identification requises pour votre méthode d'authentification préférée. Dans le champ Nom du service AWS , sélectionnez le service AWS auquel vous avez l'intention de vous connecter: s3, oc2, Workspaces ou Bedrock-Runtime.

   Remarque :

   Si vous avez l'intention d'utiliser cette connexion avec Amazon Bedrock (par exemple, pour invoquer des modèles d'IA), vous devez sélectionner Bedrock-runtime. La sélection d'un nom de service différent entraînera l'échec des requêtes Bedrock.

7. Select Connect.