Configuration de l'authentification unique : Azure Active Directory

Cette page explique comment activer l'intégration Azure Active Directory (Azure AD) au niveau de l'hôte afin que tous les utilisateurs d'Orchestrator puissent bénéficier de l'authentification unique.

Remarque :

Intégration au niveau de l'hôte et au niveau de l'organisation

Si vous activez l'intégration Azure AD au niveau de l'hôte, comme décrit sur cette page, vous ne pouvez pas l'activer au niveau de l' organisation/du locataire.

L'intégration au niveau de l'hôte active uniquement l'authentification unique. Mais si elle est activée au niveau de l'organisation/du locataire, l'intégration permet l'authentification unique, mais aussi la recherche dans l'annuaire et l'enregistrement automatique des utilisateurs.

Prérequis

Pour configurer l'intégration Azure AD, vous avez besoin de :

• des autorisations d'Administrator dans Orchestrator et Azure AD (si vous n'avez pas d'autorisations d'Administrator dans Azure, collaborez avec un Administrator Azure pour terminer le processus de configuration) ;
• l'administrateur de l'organisation UiPath doit avoir un compte Azure AD qui a la même adresse e-mail que son compte UiPath ; le compte Azure AD ne nécessite pas d'autorisations d'administrateur dans Azure ;
• vos utilisateurs doivent utiliser UiPath Studio et la version 2020.10.3 ou ultérieure de l'Assistant ;
• UiPath Studio et l’assistant doivent être configurés pour utiliser le déploiement recommandé.
• si vous utilisiez auparavant des comptes d'utilisateurs locaux, assurez-vous que tous vos utilisateurs Azure AD disposent de l'adresse e-mail dans le champ Courrier (Mail) ; avoir l'adresse e-mail dans le champ Nom principal de l'utilisateur (User Principle Name ou UPN) seul ne suffit pas. L'intégration d'Azure AD lie les comptes d'utilisateurs de l'annuaire aux comptes d'utilisateurs locaux si les adresses e-mail correspondent. Cela permet aux utilisateurs de conserver les autorisations lorsqu'ils passent de la connexion avec leur compte d'utilisateur local au compte d'utilisateur de l'annuaire Azure AD.

Étape 1. Créer un enregistrement d'application Azure AD

Remarque : Les étapes ci-dessous sont une description générale d'un exemple de configuration. Pour obtenir des instructions plus détaillées, consultez la documentation Microsoft sur la configuration d'Azure AD en tant que fournisseur d'authentification.

1. Connectez-vous au portail Azure en tant qu'administrateur.
2. Accédez à Inscriptions d’applications (App Registrations) et cliquez sur Nouvelle inscription (New Registration).
3. Sur la page Enregistrer une application (Register an application), renseignez dans le champ Nom un nom pour votre instance Orchestrator.
4. Dans la section Types de comptes pris en charge ( Supported account types ), sélectionnez Comptes dans cet annuaire organisationnel uniquement (Accounts in this organisationnel directory only).
5. Définissez l'URI de redirection (Redirect URI) en sélectionnant Web dans le menu déroulant et en renseignant l’URL de votre instance Orchestrator avec le suffixe /identity/azure-signin-oidc. Par exemple, https://baseURL/identity/azure-signin-oidc.
6. En bas, cochez la case Jetons d'identification (ID Tokens).
7. Cliquez sur Enregistrer pour créer l'enregistrement de l'application pour Orchestrator.
8. Enregistrez l'ID d’application (client) (Application (Client) ID) pour une utilisation ultérieure.

Étape 2. Configurer Azure AD SSO

1. Connectez-vous au portail de gestion en tant qu'administrateur système.
2. Cliquez sur Sécurité (Security).
3. Cliquez sur Configurer sous Azure AD SSO.
   • Si vous souhaitez autoriser uniquement la connexion à Orchestrator à l'aide d'Azure AD, cochez la case Forcer la connexion automatique à l'aide de ce fournisseur .
   • Remplissez le champ Nom complet (Display Name ) avec le libellé que vous souhaitez utiliser pour le bouton AzureAD sur la page de connexion.
   • Dans le champ ID du client ( Client ID ), collez la valeur de l' ID d'application (client) obtenu à partir du portail Azure.
   • (Facultatif) Dans le champ Clé secrète du client (Client Secret ), collez la valeur obtenue à partir du portail Azure.

   • Définissez le paramètre Autorité (Authority) sur l’une des valeurs suivantes :

     • https://login.microsoftonline.com/<tenant>, où <tenant> est l'ID de locataire du locataire Azure AD ou un domaine associé à ce locataire Azure AD. Utilisé uniquement pour connecter les utilisateurs d'une organisation spécifique.
     • https://login.microsoftonline.com/common. Utilisé pour connecter les utilisateurs disposant de comptes professionnels et scolaires ou de comptes Microsoft personnels.
   • (Facultatif) Dans Logout URL, collez la valeur obtenue à partir du portail Azure.
4. Cliquez sur Enregistrer pour enregistrer les modifications apportées aux paramètres du fournisseur d’identité externe.

   La page se ferme et vous revenez à la page Paramètres de sécurité (Security Settings) .

5. Cliquez sur le bouton bascule à gauche de SAML SSO pour activer l'intégration.
6. Redémarrez le site IIS. Cela est nécessaire après avoir apporté des modifications aux fournisseurs externes.

Étape 3 : Autoriser Azure AD SSO pour l’organisation

Maintenant qu'Orchestrator est intégré à Azure AD Sign-In, les comptes d'utilisateurs disposant d'une adresse e-mail Azure AD valide peuvent utiliser l'option Azure AD sur la page de connexion pour se connecter à Orchestrator.

Chaque administrateur doit le faire pour son organisation/locataire s'il souhaite autoriser la connexion avec Azure AD SSO.

1. Connectez-vous à Orchestrator en tant qu'administrateur.
2. Ajoutez des comptes d'utilisateurs locaux pour vos utilisateurs, chacun avec une adresse e-mail Azure AD valide.