Contrôle d'accès

Dans Orchestrator, vous pouvez utiliser des rôles pour contrôler le niveau d’accès des utilisateurs, des groupes, des comptes Robot et des applications externes. Sur cette page, nous passons en revue les notions que vous devez comprendre pour planifier et mettre en œuvre efficacement votre stratégie de contrôle d’accès :

• les comptes et les applications (c’est-à-dire les comptes utilisateur, les comptes Robot, les applications externes) représentant l’identité utilisée pour accéder aux ressources Orchestrator
• les rôles, qui sont attribués aux comptes afin de leur accorder des autorisations explicites au sein de l’écosystème UiPath
• les groupes, qui sont utilisés afin de simplifier la gestion des comptes, en accordant le même niveau d’accès à plusieurs comptes utilisateur

Les comptes ne sont pas créés et gérés dans Orchestrator, mais seulement leurs rôles et affectations Orchestrator. Les comptes sont créés par les administrateurs de l’organisation. Une fois créés, ils peuvent être affectés à un dossier ou à un locataire dans Orchestrator.

À propos des autorisations

Orchestrator utilise un mécanisme de contrôle d’accès basé sur les rôles et les autorisations. Les rôles sont des collections d’autorisations, ce qui signifie que les autorisations nécessaires à l’utilisation de certaines entités Orchestrator sont affectées à des rôles.

Les relations rôles-autorisations et utilisateurs-rôles permettent un certain niveau d’accès à Orchestrator. Un utilisateur obtient les autorisations requises pour effectuer certaines opérations particulières grâce à un ou plusieurs rôles. Étant donné que les autorisations ne sont pas directement affectées aux utilisateurs, mais qu’ils les acquièrent par le biais de rôles, la gestion des autorisations implique l’affectation de rôles appropriés à l’utilisateur.

Types d’autorisations et types de rôles

Il existe les deux types d’autorisations suivants :

• Les autorisations de locataire définissent l’accès d’un utilisateur aux ressources au niveau du locataire.
• Les autorisations de dossier définissent l’accès et la capacité de l’utilisateur par rapport à chaque dossier qui lui est affecté.

Deux ensembles d’autorisations principaux régissent les opérations dans les dossiers :

• Les autorisations de dossier (à l’échelle du locataire) :
  • permettent à un utilisateur de créer, modifier ou supprimer tous les dossiers de l’ensemble du locataire.
  • sont généralement accordés aux administrateurs ou aux utilisateurs chargés de la gestion de l’organisation.
• Les autorisations de sous-dossier (à l’échelle du dossier) :
  • permettent à un utilisateur de créer, modifier ou supprimer un dossier particulier auquel il est affecté, ainsi que tous les sous-dossiers situés en dessous.
  • offrent un contrôle plus précis, permettant aux utilisateurs de gérer des dossiers spécifiques sans avoir de contrôle sur les autres dossiers du locataire.

En fonction des autorisations qu'ils incluent, il existe trois types de rôles :

• Les rôles de locataire, qui incluent les autorisations de locataire et sont requis pour travailler au niveau du locataire.
• Les rôles de dossier, qui incluent les autorisations pour travailler dans un dossier.
• Les Rôles mixtes, qui incluent les deux types d'autorisations.

  Avec les rôles mixtes, pour une opération globale, seules les autorisations de locataire de l’utilisateur sont prises en compte. Pour une opération spécifique au dossier, si un rôle personnalisé est défini, ces autorisations sont appliquées en faveur de toutes les autorisations présentes au niveau du locataire.

  Remarque : les rôles mixtes ne sont plus pris en charge et vous ne pouvez pas en créer de nouveaux. Si vous avez des rôles mixtes, nous vous recommandons de les remplacer par une combinaison de rôles de locataire et de dossier pour accorder les autorisations requises.

Les ressources suivantes sont disponibles pour les utilisateurs selon le type de rôles qu'ils possèdent :

Ressources du locataire

Ressources de dossier

Alertes Audit Tâches d'arrière-plan Bibliothèques Licence (License) Machines Journaux ML Paquets ML Compétences ML Paquets Robots Rôles Paramètres Dossiers Utilisateurs Webhooks

Apps Actifs Règles métier Fichiers de stockage Compartiments de stockage Connexions Environnements (Environments) Supports d'exécution Paquets de dossiers Tâches (Jobs) Journaux (Logs) Diffusion en direct et contrôle à distance Surveillance Processus (Processes) Files d'attente (Queues) Écrasements de ressource Déclencheurs (Triggers) Sous-dossiers Affectation de l'action Catalogues d'actions (Action Catalogs) Actions Artefacts d'exécution des cas de test Éléments de file d’attente de données de test Files d'attente de données de test Exécution de l'ensemble de tests Ensembles de tests Planifications de l'ensemble de tests Transactions

Autorisations sans effet

En règle générale, vous pouvez sélectionner toutes les autorisations disponibles (Consultation (View), Modification (Edit), Création (Créer) ou Suppression (Delete)) pour n’importe quelle autorisation, à l’exception des autorisations suivantes, qui n’ont aucun effet sur les autorisations répertoriées, et que vous ne pouvez donc pas modifier :

Type d'autorisation	Autorisations	Autorisations non disponibles
Locataire	Alertes	Supprimer (Delete)
	Audit	Modifier (Edit) Créer (Create) Supprimer (Delete)
Dossier	Supports d'exécution	Modifier (Edit)
	Journaux (Logs)	Modifier (Edit) Supprimer (Delete)
	Surveillance	Créer (Create) Supprimer (Delete)

En effet, il n'est par exemple pas possible de modifier les journaux générés par le système.

Choisir les autorisations à inclure

Chaque rôle est une combinaison d'autorisations qui contrôlent les zones de programme et les actions auxquelles les comptes disposant du rôle peuvent accéder.

Exemple : un rôle appelé Infra, destiné à la personne qui gère les machines virtuelles que vous utilisez pour l'automatisation, peut inclure des autorisations telles que Machines - Consultation (Machines - View), Machines - Modification (Machines - Edit), Machines - Création (Machines - Create) et Machines - Suppression (Machines - Delete), ainsi que d'autres autorisations qui sont pertinentes pour leur tâche.

Lors de la création ou de la modification d'un rôle, vous devez examiner la liste des autorisations disponibles et décider lesquelles inclure ou non. Voici quelques approches que vous pouvez essayer :

• Commencer par nos rôles par défaut : Orchestrator est livré avec des rôles par défaut pour les types d'utilisateurs d'automatisation les plus courants, tels que le rôle Administrator, Automation Users, et plus encore. Vous pouvez soit utiliser ces rôles, soit dupliquer celui qui se rapproche le plus de vos besoins, puis le personnaliser.
• Créer un rôle personnalisé : lors de la création d'un rôle, une liste de toutes les autorisations disponibles au niveau du locataire ou du dossier s'affiche, selon le type de rôle, et vous devez décider lesquelles inclure ou non.

Affichage des informations d'autorisation

Lors de la création ou de la modification d'un rôle, vous pouvez survoler la case à cocher d'une autorisation pour voir à quelles pages d'Orchestrator l'autorisation autorise l'accès. Ces informations peuvent vous aider à décider globalement s'il faut inclure l'autorisation ou non.

Important :

• Les fonctions des autorisations peuvent être plus complexes que le simple accès et les capacités dans le contexte d'une page. En cas de doute sur les autorisations nécessaires pour une tâche, consultez la documentation de cette tâche pour connaître les exigences détaillées en matière d'autorisation. Pour les utilisateurs avancés, vous pouvez également consulter l'application Swagger de l'API Orchestrator, qui comprend des informations sur les autorisations requises pour chaque opération. Pour obtenir des instructions, consultez Accéder au fichier Swagger.
• Les informations affichées pour chaque autorisation ne couvrent que les pages Orchestrator. Elles ne couvrent pas les pages ou les actions des autres services UiPath.

  Par exemple, vous pouvez constater qu'aucune page n'est bloquée par les autorisations Compétences ML (ML Skills), ce qui signifie que l'autorisation n'a aucun effet sur l'accès aux pages Orchestrator. Mais l'octroi d'autorisations pour les compétences ML (ML Skills) est nécessaire pour utiliser UiPath AI Center^TM. Dans ce cas, vous devez consulter la documentation AI Center pour plus d'informations sur les autorisations des compétences ML.