Configurer l'Authentification unique grâce à l’authentification intégrée de Windows

Introduction

Cette page explique comment configurer l'authentification unique via l'authentification Windows intégrée de Microsoft.

Attention : L'authentification unique pour UiPath Process Mining via l'authentification intégrée de Microsoft (Microsoft Integrated Windows Authentication) nécessite que l'utilisateur se connecte et que le serveur IIS se trouve sur le même domaine. Si votre configuration implique que des utilisateurs se connectent à partir de domaines différents, envisagez l'une des autres méthodes d'authentification telles que SAML ou Azure Active Directory.

Si l'authentification Windows intégrée de Microsoft est activée et correctement configurée, un bouton s'affiche en bas de la page de connexion. Voir l'illustration ci-dessous.

Étape 1 : Configurez le serveur exécutant UiPath Process Mining.

Remarque : Avant de passer aux étapes suivantes, le serveur IIS exécutant le serveur UiPath Process Mining doit être configuré correctement. Pour obtenir une description détaillée de la configuration de l'authentification Windows intégrée dans le gestionnaire des services Internet Information Services (IIS), consultez la documentation de Microsoft officielle.

Étape 2 : configurer UiPath Process Mining pour l'authentification unique

Configurer les paramètres du serveur

1. Accédez à l'onglet Paramètres de la page Superadmin de votre installation UiPath Process Mining. Voir illustration ci-dessous.

   
   

   

   
   
2. Ajoutez les paramètres d' authentification Windows intégrée requis dans le paramètre ExternalAuthenticationProviders des paramètres du serveur. Vous trouverez ci-dessous une description des clés JSON de l'objet integratedWindowsAuthentication.

   Clé (Key)	Description
   url	Le contrôleur de domaine d'URL LDAP dans le domaine que vous souhaitez utiliser. Cette URL doit être accessible depuis le serveur UiPath Process Mining . Utilisez le format : ldap://dc.entreprise.domaine.com.
   base	Le nom distinctif de base sous lequel authentifier les utilisateurs. Utilisez le format DC=Company,DC=com Le nom exact dépend de la configuration de l'AD.
   bindDN	Le nom d'utilisateur de l'utilisateur AD utilisé pour récupérer les groupes d'utilisateurs. Cet utilisateur doit avoir les droits d'interroger les groupes d'utilisateurs pour les utilisateurs autorisés à se connecter. Remarque : il peut être nécessaire de préfixer cet utilisateur avec le nom de domaine, par exemple : DOMAINNAME\)\)\)\)username . Les doubles barres obliques inverses sont nécessaires pour servir de caractère d’échappement. Vous pouvez également utiliser votre DC comme suffixe, par exemple : [e-mail] .
   bindCredentials	Le mot de passe de l'utilisateur spécifié dans bindDN. Voir aussi Utiliser un magasin d'informations d'identification.
   search_query	Permet de spécifier si les utilisateurs peuvent se connecter avec un attribut différent de userPrincipalName .
   tlsOptions	Permet de spécifier des options supplémentaires à utiliser avec LDAPS. ca : utilisé pour spécifier le certificat à utiliser. rejectUnauthorized : définissez-le sur true . Voir aussi Configurer un LDAP sécurisé ( Set up Secure LDAP).

   Voir l'illustration ci-dessous pour un exemple des paramètres du serveur avec le paramètre ExternalAuthenticationProviders avec l'objet integratedWindowsAuthentication .

   , "ExternalAuthenticationProviders": {
                         "integratedWindowsAuthentication": {
                           "url":             "ldap://server1:389",
                           "base":            "DC=Company,DC=com",
                           "bindDN":          "username",
                           "bindCredentials": "password"
                             }
       }

3. Cliquez sur ENREGISTRER pour enregistrer les paramètres du serveur.
4. Appuyez sur F5 pour actualiser la page Superadmin. Cela charge les nouveaux paramètres et permet de créer des groupes SAML en fonction de ces paramètres.

Connexion automatique

Important : assurez-vous que l'authentification unique fonctionne correctement avant d'activer la connexion automatique. L'activation de la connexion automatique lorsque l'authentification unique n'est pas configurée correctement peut empêcher les utilisateurs concernés par le paramètre de connexion automatique de se connecter.

Avec le paramètre de serveur AutoLogin , l'utilisateur sera automatiquement connecté à l'aide de la méthode SSO actuellement active.

Par défaut, AutoLogin est défini sur none. Si vous souhaitez activer la connexion automatique pour les utilisateurs finaux et/ou les utilisateurs Superadmin, vous pouvez le spécifier dans le AutoLogin dans l'onglet Paramètres Superadmin (Superadmin Settings) . Voir L' onglet Paramètres (Settings).

Remarque : lors de la connexion via localhost, la connexion automatique sera toujours désactivée pour les utilisateurs Superadmin.

Étapes supplémentaires

Pour utiliser l'authentification par authentification Windows intégrée, vous devez créer un ou plusieurs groupes AD pour permettre aux membres de se connecter. Pour les utilisateurs Superadmin ou les développeurs d'applications, vous pouvez créer des groupes AD dans l'onglet Utilisateurs Superadmin . Voir Ajout de groupes AD Superadmin.

Pour l'authentification de l'utilisateur final, des groupes AD peuvent être créés sur la page Administration de l'utilisateur final ( End user administration) . Voir Ajout de groupes AD d'utilisateurs finaux ( Adding End-user AD Groups).

Résolution des problèmes

Vérification que le serveur de Process-mining peut se connecter au serveur LDAP

• Installez le client LDP graphique selon la documentation officielle de Microsoft.
• Vérifiez qu'une connexion réussie est possible à partir de LDP avec les mêmes paramètres que ceux configurés dans l'objet integratedWindowsAuthentication dans les paramètres du serveur.

Inspection des fichiers journaux

Inspectez le dossier [PLATFORMDIR]/logs/iisnode pour les fichiers contenant des lignes LDAP connection error . L'exemple ci-dessous affiche un fichier journal avec un message d'erreur. Le champ data contient le code d'erreur pertinent. Reportez-vous au wiki LDAP pour obtenir une explication sur l'erreur. Dans l'exemple ci-dessous, l'erreur est 52e, ERROR_LOGON_FAILURE.

[2000-01-01T00:00:00.000Z] LDAP connection error:
[2000-01-01T00:00:00.000Z] json: {"lde_message":"80090308: LdapErr: DSID-0C090447, comment: AcceptSecurityContext error, data 52e, v3839\)\)u0000","lde_dn":null}