Comptes et groupes

Sur la page Comptes et groupes (Accounts & Groups), vous pouvez définir des comptes utilisateur locaux, des comptes Robot et des groupes locaux pour votre organisation.

Le niveau d'accès et les actions que vos utilisateurs peuvent effectuer sont contrôlés à l'aide de deux éléments :

• les comptes, qui établissent l'identité d'un utilisateur et sont utilisés pour se connecter à vos applications UiPath ;
• les rôles, qui sont attribués aux comptes afin de leur accorder certaines autorisations au sein de l'écosystème UiPath.

Les comptes ne sont pas créés ou gérés dans Orchestrator. Seuls les rôles et leurs affectations le sont.

À propos des comptes

Un compte est une entité UiPath Platform dont l'affichage et le contrôle d'Orchestrator reposent sur les droits d'accès qui lui ont été affectés.

Les comptes peuvent être :

• créés et gérés localement (comptes locaux) depuis :

  • Le portail de gestion. Voir Gestion des comptes (Managing accounts) pour plus d'informations.
• créés et gérés dans un annuaire externe (comptes d'annuaire et groupes d'annuaires). Voir la section Intégration AD (AD Integration) ci-dessous pour une meilleure compréhension des intégrations d'annuaire.

Plus d’informations :

• Learn more about the .

• En savoir plus sur le modèle de contrôle d'accès d'Orchestrator, qui repose sur l'affectation de rôles.

Vous ajoutez des comptes à partir du portail de gestion au niveau de l'organisation, et les comptes ne sont disponibles qu'au sein de l'organisation concernée.

Une fois qu'un compte a été ajouté avec succès, il existe deux façons de lui accorder des droits d'accès à Orchestrator : en ajoutant le compte à un groupe afin qu'il hérite de ses rôles, ou en attribuant des rôles à chaque compte au niveau du service. Vous pouvez utiliser les deux méthodes pour disposer d'un contrôle granulaire de l'accès dont dispose un compte au sein de votre organisation.

Remarque : la gestion des Robots s'effectue au niveau de l'utilisateur. Voir Gestion des comptes (Managing accounts) pour plus de détails.

Integration AD

Un annuaire Active Directory (AD) référencé dans Orchestrator fait de ses membres des utilisateurs potentiels d'Orchestrator. Le niveau d'accès d'un compte d'annuaire est configuré dans Orchestrator, soit au niveau du groupe (groupe d'annuaire), soit au niveau de l'utilisateur (utilisateur d'annuaire).

Vous pouvez effectuer l'intégration avec :

• un répertoire Active Directory local (Orchestrator autonome)

• Azure Active Directory (Orchestrator autonome)

  Remarque : L'utilisation d'une intégration AD avec l' enregistrement automatique d'Attended Robots et des dossiers hiérarchisés permet de configurer sans effort des déploiements importants. Voir Gestion des grands déploiements ( Managing large deployments) pour plus de détails.

Prérequis

• Le paramètre WindowsAuth.Domain est renseigné avec un domaine valide. Tous les domaines et sous-domaines de forêts se trouvant dans une relation de confiance réciproque avec le domaine spécifié dans le paramètre WindowsAuth.Domain sont disponibles lors de l'ajout d'utilisateurs/de groupes.
• La machine sur laquelle Orchestrator est installé est connectée au domaine défini dans le paramètre WindowsAuth.Domain. Pour vérifier si le périphérique est connecté au domaine, exécutez le dsregcmd /status de l’invite de commande et accédez à la section État du périphérique (Device State).
• L’identité sous laquelle le pool d'applications Orchestrator est en cours d’exécution doit faire partie du groupe d’accès Windows Authorization Access (WAA).

Comportement

• L'ajout d'un groupe d'annuaire crée une entité de groupe d'utilisateurs dans Orchestrator pour laquelle vous configurez les droits d'accès comme vous le souhaitez. Cette entrée dans Orchestrator sert de référence au groupe disponible dans AD.
• Lors de la connexion, Orchestrator vérifie l'appartenance à votre groupe. Si elle est confirmée, il enregistre automatiquement votre compte utilisateur, puis l'associe aux droits d'accès hérités du groupe. Les droits hérités ne sont conservés que pour la durée de la session de l'utilisateur.
• L'enregistrement automatique a lieu la première fois que vous vous connectez. Un compte d'utilisateur enregistré automatiquement n'est pas supprimé lors de la déconnexion, car vous pourriez avoir besoin de l'entrée à des fins d'audit.

• L'appartenance d'un compte à un groupe est vérifiée par Orchestrator lors de la connexion, ou une fois par heure pendant les sessions actives. Si l'appartenance d'un compte à des groupes change, ces modifications s'appliqueront au compte la prochaine fois qu'il se connectera ou, s'il est actuellement connecté, dans l'heure qui suit.

  Cet intervalle d’une heure pour vérifier l’appartenance à un groupe peut être modifié en définissant la valeur de IdentityServer.GroupMembershipCacheExpireHours

• Les groupes dans AD se synchronisent avec Orchestrator, mais les modifications apportées à Orchestrator n'affectent pas la configuration de l'utilisateur dans AD.
• Les utilisateurs AD dont les droits d'accès hérités (à partir d'appartenances à des groupes) ne peuvent pas être déterminés se comportent comme des utilisateurs locaux, ce qui signifie qu'ils s'appuient uniquement sur les rôles attribués au compte utilisateur.
• La seule façon pour vous de configurer des droits d'accès qui persistent entre les sessions, quelle que soit la façon dont l'appartenance au groupe change, consiste à attribuer directement le rôle au compte utilisateur dans Orchestrator, au lieu d'utiliser des groupes pour affecter des rôles.

Problèmes connus

• En raison de divers problèmes de mise en réseau ou de configuration, il est possible que tous les domaines affichés dans la liste déroulante Nom de domaine (Domain Name) ne soient pas accessibles.
• Les modifications apportées aux noms d'utilisateur ou de groupe dans AD ne sont pas propagées dans Orchestrator.
• La mise à jour de la liste de domaines peut prendre une heure avec des domaines approuvés bidirectionnels récemment ajoutés.
• Les requêtes GetOrganizationUnits(Id) et GetRoles(Id) ne renvoient que les dossiers et les rôles explicitement définis pour un utilisateur enregistré automatiquement. Ceux hérités de la configuration du groupe peuvent être récupérés via le point de terminaison /api/DirectoryService/GetDirectoryPermissions?userId={userId}.
• Il en va de même pour l'interface utilisateur, où seuls les dossiers et les rôles explicitement définis s'affichent sur la page Utilisateurs (Users). À l'inverse, ceux hérités ont un nouvel emplacement dédié : la fenêtre Autorisations des utilisateurs (User Permissions) (Utilisateurs (Users) > Autres actions (More actions) > Vérifier les autorisations (Check Permissions)).
• Les utilisateurs n’héritent pas des paramètres d’abonnement aux alertes du groupe parent et ne reçoivent aucune alerte par défaut. Pour avoir accès aux alertes, vous devez accorder explicitement les autorisations correspondantes à l’utilisateur.
• La suppression d’un groupe d’annuaire ne supprime pas la licence d’un utilisateur d’annuaire associé, même si la suppression du groupe annule l’affectation de l’utilisateur aux dossiers. La seule façon de publier la licence est de fermer le panneau du robot.
• Sur certains navigateurs, la connexion à Orchestrator effectuée à l’aide de vos informations d’identification AD ne nécessite que votre nom d’utilisateur. Il n’est pas nécessaire de spécifier le domaine. Par conséquent, si la syntaxe Domaine/Nom d'utilisateur ne fonctionne pas, essayez de n'entrer que le nom d’utilisateur.

Considérations relatives à l'audit

• Appartenance à l'utilisateur : l'utilisateur [nom d'utilisateur] a été affecté aux groupes de l'annuaire suivants [groupes de l'annuaire à partir desquels l'utilisateur hérite des droits d'accès dans la session en cours].
• Enregistrement automatique : l'utilisateur [nom d'utilisateur] a été automatiquement enregistré à partir des groupes de répertoire suivants [groupes de répertoire à partir desquels l'utilisateur hérite des droits d'accès dans la session en cours].

Types d'utilisateurs

Groupe

Les groupes vous permettent de gérer plusieurs utilisateurs à la fois, en leur appliquant les mêmes rôles et la même configuration via le groupe.

L'adhésion d'un utilisateur est définie dans Admin > Comptes et groupes (Accounts & Groups).

Les groupes d’utilisateurs permettent un accès automatique avec les autorisations de groupe, en fonction des utilisateurs ajoutés ou supprimés du groupe sans devoir gérer les autorisations utilisateur individuellement.

There are 6 default local groups: Administrators, Automation Users, Automation Developers, Citizen Developers, Automation Express, and Everyone. All groups come with a default set of permissions in each new service you create. The out-of-the-box roles can be customized later on for each Orchestrator service.

Si vous avez besoin de plus que les 4 groupes par défaut fournis par UiPath, vous pouvez créer des groupes locaux personnalisés. Contrairement aux groupes d'utilisateurs par défaut, les groupes personnalisés doivent être ajoutés manuellement dans Orchestrator pour garantir le mappage correct entre l'adhésion au groupe d'un utilisateur et le rôle correspondant dans Orchestrator.

Les rôles d'un groupe sont transmis à tous les utilisateurs qui appartiennent à ce groupe, qu'ils aient été enregistrés automatiquement ou ajoutés manuellement. Nous les appelons « rôles hérités », par opposition aux « rôles directement attribués », qui ne peuvent être définis que par compte.

Remarque :

• Un utilisateur qui appartient à plusieurs groupes hérite de tous les droits d'accès associés.
• Un utilisateur qui appartient à plusieurs groupes et qui s'est également vu attribuer directement des rôles, a l'union de tous les rôles hérités des groupes et rôles directement attribués.
• Vous n'avez pas besoin d'un compte utilisateur explicite pour vous connecter à Orchestrator si vous appartenez à un groupe qui a été ajouté à Orchestrator.
• Les rôles hérités dépendent du groupe d'utilisateurs associé. Si le groupe est supprimé du service, les rôles hérités de ce compte le sont également.
• Les rôles attribués directement ne sont pas influencés par les groupes auxquels appartient le compte. Ils sont conservés quel que soit l'état du groupe.

Exemple

Imaginons que j’aie ajouté John Smith aux groupes d’utilisateurs Automation Users et Administrators dans mon organisation Automation Cloud.

• Le groupe Automation User existe dans le service Finances (Finance) d'Orchestrator
• Le groupe Administrator existe dans le service RH (HR) d'Orchestrator
• Les rôles directement attribués au compte de John dans les deux services également.

John a l'union des droits hérités et explicites pour chaque service :

Service/Rôles	Groupes d'utilisateurs	Rôles hérités	Rôles explicites	Global
Locatairefinancier	Utilisateur d'automatisation
Rôles au niveau du locataire	Autoriser à être un utilisateur d’automatisation (Allow to be Automation User)	Autoriser à être un utilisateur d’automatisation (Allow to be Automation User)	Autoriser à être administrateur de dossiers (Allow to be Folder Administrator)	Autoriser à être un utilisateur d’automatisation (Allow to be Automation User) Autoriser à être administrateur de dossiers (Allow to be Folder Administrator)
Rôles au niveau du dossier	Automation User au niveau du dossier A Automation User au niveau du dossier B	Automation User au niveau du dossier A Automation User au niveau du dossier B	Folder Administrator au niveau du dossier A	Automation User au niveau du dossier A Automation User au niveau du dossier B Folder Administrator au niveau du dossier A
LocataireRH	Administrators
Rôles au niveau du locataire	Autoriser à être administrateur de dossiers (Allow to be Folder Administrator)	Autoriser à être administrateur de dossiers (Allow to be Folder Administrator)		Autoriser à être administrateur de dossiers (Allow to be Folder Administrator)
Rôles au niveau du dossier	Folder Administrator au niveau du dossier D Folder Administrator au niveau du dossier E	Folder Administrator au niveau du dossier D Folder Administrator au niveau du dossier E	Folder Administrator au niveau du dossier F	Folder Administrator au niveau du dossier D Folder Administrator au niveau du dossier E Folder Administrator au niveau du dossier F

Utilisateur (User)

Selon le mécanisme utilisé pour ajouter des comptes utilisateur à Orchestrator, ceux-ci peuvent être classés en deux catégories :

Utilisateurs ajoutés manuellement

Les utilisateurs qui ont été ajoutés manuellement dans Orchestrator et auxquels des autorisations ont été explicitement accordées au niveau du locataire ou au niveau du dossier. Les comptes utilisateur ajoutés manuellement héritent des droits d'accès du groupe s'ils appartiennent à un groupe qui a également été ajouté à ce service Orchestrator.

Utilisateurs enregistrés automatiquement

Les utilisateurs qui ont été ajoutés à un groupe local et qui se connectent à Orchestrator. Ils peuvent accéder à Orchestrator en fonction des autorisations héritées du groupe. Une fois qu'ils se connectent à Orchestrator pour la première fois, ils sont automatiquement enregistrés.

Important : Sur la page Utilisateurs (Users), dans la colonne Rôles (Roles), vous pouvez voir les rôles explicitement attribués à un utilisateur, qu'ils soient ajoutés manuellement ou enregistrés automatiquement. Les rôles hérités ne s'affichent pas dans cette colonne.

Vous pouvez vérifier l’ensemble des autorisations d’un utilisateur, héritées incluses, en accédant à Autres actions (More Actions) > Vérifier les autorisations (Check Permissions) > fenêtre Autorisations des utilisateurs (User Permissions) pour cet utilisateur spécifique.

	Utilisateur ajouté manuellement	Utilisateur enregistré automatiquement
Hérite des droits d'accès	Oui (Yes)	Oui (Yes)
Peut disposer de droits d'accès explicites	Oui (Yes)	Oui (Yes)
Le portail Cloud est le noyau central des informations utilisateur	Oui (Yes)	Oui (Yes)
Peut utiliser l'authentification unique	Oui (Yes)	Oui (Yes)

Robot

L'utilisateur de Robot est automatiquement créé lorsque vous déployez manuellement un Robot dans Orchestrator. Les utilisateurs Robot ont le rôle Robot par défaut. Ce rôle accorde à votre Robot l'accès à plusieurs pages, ce qui lui permet d'effectuer diverses actions.

Icônes de compte et de groupe

Sur les pages de gestion des comptes, des groupes ou des rôles, des icônes spécifiques s'affichent pour chaque type pour vous aider à reconnaître le type de compte ou le type de groupe.

Icônes de compte

- Compte utilisateur UiPath : compte utilisateur associé à un compte UiPath et connecté en utilisant l'authentification de base

- Compte utilisateur SSO : compte utilisateur associé à un compte UiPath connecté via SSO ; s'applique également aux comptes utilisateur ayant un compte utilisateur UiPath et un compte annuaire

- Compte utilisateur d'annuaire : le compte provient d'un annuaire et est connecté avec Enterprise SSO

- Compte Robot

Icônes de groupe

- Groupe local (ou simplement, groupe) : le groupe a été créé par un administrateur hôte.

- Groupe d'annuaires : le groupe provient d'un annuaire associé.

À propos des rôles

Orchestrator utilise un mécanisme de contrôle d’accès basé sur les rôles et les autorisations. Les rôles sont des collections d’autorisations, ce qui signifie que les autorisations nécessaires à l’utilisation de certaines entités Orchestrator sont affectées à des rôles.

Les relations rôles-autorisations et utilisateurs-rôles permettent un certain niveau d'accès à Orchestrator. Un utilisateur obtient les autorisations requises pour effectuer certaines opérations particulières grâce à un ou plusieurs rôles. Étant donné que les autorisations ne sont pas directement affectées aux utilisateurs, mais qu'ils les acquièrent par le biais de rôles, la gestion des droits d’accès implique l’affectation de rôles appropriés à l’utilisateur.

Voir Gestion des rôles pour plus d'informations.

Autorisations pour la gestion des utilisateurs

Pour pouvoir effectuer différentes opérations sur les pages Utilisateurs (Users) et Rôles (Roles), les autorisations suivantes doivent vous être accordées :

• Utilisateurs - Consultation (Users - View) : affichage des pages Utilisateurs (Users) et Profil (Profile).
• Utilisateurs - Modification (Users - Edit) : modification des détails et les paramètres sur la page Profil (Profile), et activation/désactivation des utilisateurs sur la page Utilisateurs (Users).
• Utilisateurs - Consultation(Users - View) et Rôles - Consultation (Roles - View ) : affichage des autorisations utilisateur dans la fenêtre Autorisations utilisateur (User Permissions ).
• Utilisateurs - Modification (Users - Edit) et Rôles - Consultation (Roles - View) : modification des attributions de rôle sur la page Gérer l'accès (Manage Access) > Attribuer des rôles (Assign Roles).
• Utilisateurs - Création (Users - Create) et Rôles - Consultation (Roles - View) : création d'un utilisateur.
• Utilisateurs - Consultation (Users - View) et Rôles - Modification (Roles - Edit) : gestion des rôles dans la fenêtre Gérer les utilisateurs (Manage Users), ouverte à partir de la page Gérer l'accès (Manage Access) > Rôles (Roles).
• Utilisateurs - Suppression (Users - Delete) : suppression d'un utilisateur d'Orchestrator.

Types de comptes

Compte local

Un compte créé et pouvant être géré à partir d'Orchestrator, via le portail de gestion, est considéré comme local pour l'écosystème UiPath.

Pour les comptes locaux, tous les attributs de compte tels que le nom et l'adresse e-mail sont stockés dans Identity Server.

Compte d'annuaire

Les comptes d'utilisateurs qui proviennent d'un annuaire en dehors de l'écosystème UiPath (par exemple, d'Azure Active Directory) sont des utilisateurs d'annuaire. Ces comptes peuvent accéder à Orchestrator et recevoir des rôles si vous effectuez l'intégration à l'annuaire.

Pour les utilisateurs d'annuaire, seules les attributions de rôles et les paramètres spécifiques à Orchestrator sont gérés dans l'écosystème UiPath, Identity Server et Orchestrator. L'administrateur de l'annuaire externe gère les attributs spécifiques au compte (nom, e-mail, appartenance à un groupe d'annuaire).

Un utilisateur d'annuaire peut accéder à Orchestrator de deux manières :

1. Un Administrator attribue des rôles à son compte d'annuaire dans Orchestrator ; il s'agit alors d'un compte ajouté individuellement.
2. Un Administrator ajoute le compte d'annuaire à un groupe et l'utilisateur se connecte avec son compte d'annuaire.
3. Un Administrator Orchestrator ajoute un groupe d'annuaire à un groupe local, puis un Administrator d'annuaire ajoute le compte d'utilisateur au groupe d'annuaire ; il s'agit alors d'un compte enregistré automatiquement.

Quel que soit leur type, les comptes d'annuaire héritent toujours des rôles des groupes auxquels ils appartiennent, s'ils existent dans Orchestrator.

Groupe local

Les groupes locaux sont des entités provenant d'Identity Server qui représentent une collection de comptes utilisateur et Robot. Vous pouvez attribuer des rôles et des licences à des groupes au lieu de les attribuer à des utilisateurs individuels. Tout ce qui est attribué au groupe est automatiquement attribué à tous les membres du groupe.

Groupe de l’annuaire

Entité créée en référençant un groupe à partir d'un annuaire lié dans votre instance Orchestrator. Tous les membres du groupe sont des utilisateurs potentiels d’Orchestrator. Tous les rôles attribués à un groupe sont hérités par les utilisateurs qui appartiennent à ce groupe, enregistrés automatiquement ou ajoutés individuellement.

• Un utilisateur qui appartient à plusieurs groupes hérite des rôles de chacun d'eux.
• Un utilisateur qui appartient à plusieurs groupes et auquel des rôles ont également été explicitement attribués dispose de tous les rôles hérités et explicitement attribués.

L'utilisation de groupes d'annuaires permet un accès automatique avec les autorisations de groupe, en fonction des utilisateurs ajoutés ou supprimés du groupe d'annuaires (lors du changement de service, par exemple) sans qu'il soit nécessaire de gérer les autorisations des utilisateurs individuellement.

Exemple

Groupes de l'annuaire	Droits hérités	Droits explicites
Ajout du groupe X avec X ensemble de droits d'accès et du groupe Y avec Y ensemble de droits d'accès.	John Smith appartient aux groupes X et Y. Il se connecte à Orchestrator. Son utilisateur est enregistré automatiquement avec les droits suivants : X, Y.	En plus des ensembles X et Y, John reçoit également explicitement l'accès à l'ensemble Z. John dispose désormais des droits suivants : X, Y, Z. La suppression des groupes X et Y laisse John avec Z.

• Vous n'avez pas besoin d'une entrée utilisateur explicite pour vous connecter à Orchestrator si vous appartenez à un groupe qui a été ajouté à Orchestrator.
• Les droits d'accès hérités dépendent du groupe d'annuaires associé. Si le répertoire est supprimé, les droits d'accès hérités le sont également.
• Les droits d'accès explicitement définis sont indépendants du groupe d'annuaires. Ils persistent entre les sessions, quel que soit l'état du groupe.

Robot

Comptes Robot

Les comptes robot sont utiles lorsque vous devez exécuter des processus back-office unattended qui ne devraient pas dépendre de la responsabilité d'un utilisateur en particulier. Il s'agit de notre équivalent RPA spécifique aux comptes de service. Ils sont similaires aux comptes que les services Windows exécutent comme identités d'application dans le modèle OAuth. Ils constituent une identité non-utilisateur à utiliser pour exécuter des processus unattended.

Travailler avec des comptes robot

Les comptes Robot se comportent comme des comptes utilisateur en termes d'autorisations. Dans UiPath Orchestrator, vous pouvez ajouter des comptes Robot et leur configurer des autorisations de la même manière que pour tout autre compte.

Les seules différences par rapport aux comptes utilisateur sont :

• les comptes Robot n'ont aucune autorisation de configuration de processus liée à l'interactivité
• aucune adresse e-mail n'est requise pour créer un compte Robot.

Vous pouvez rechercher et utiliser des comptes Robot presque de la même manière qu'avec des comptes utilisateur :

• Les administrateurs de l'organisation peuvent créer et gérer des comptes Robot dans Automation Cloud, à partir de la page Admin > Comptes et groupes (Accounts and Groups), sauf à partir de l'onglet Utilisateurs (Users), mais à partir de l'onglet Comptes Robot (Robot accounts) dédié.

  Les comptes Robot peuvent également être inclus dans des groupes et gérés comme partie du groupe.

• Lors de l'attribution de rôles dans Orchestrator, la recherche de comptes affiche les utilisateurs, les groupes et aussi les comptes Robot à sélectionner.

Compte de service

Un compte de service est un compte non humain utilisé pour fournir un contexte de sécurité pour l'exécution de charges de travail qui n'impliquent pas l'existence d'un compte humain, telles que les authentifications de serveur à serveur. Dans ces cas, Orchestrator assume l'identité du compte de service.

Un seul compte de service est créé par instance d'Orchestrator. Il n'est pas visible dans l'interface utilisateur et ne peut être identifié que dans les tables de la base de données.

Aucune information d'authentification n'est associée à ce type de compte et, en tant que tel, il ne peut pas se connecter de manière interactive via des navigateurs ou des cookies.

Nous vous recommandons de ne pas désactiver ou supprimer le compte de service, car cela aurait un impact direct sur les charges de travail en cours d'exécution.