Configuration de l'intégration SAML

Cette fonctionnalité est disponible avec le plan de licence Entreprise.

En utilisant la configuration SAML dans UiPath, nous améliorons à la fois la sécurité et l'efficacité de l'authentification. Notre système utilise SAML pour activer l’authentification unique via des jetons d’accès sécurisés, permettant à la plate-forme UiPath de se connecter à n’importe quel fournisseur d’identité (IdP) qui utilise la norme SAML 2.0.

De plus, notre configuration SAML inclut des fonctionnalités de déconnexion unique (SLO), qui permettent des déconnexions simultanées sur toutes vos applications unifiées sous votre IdP.

L'intégration SAML est conçue de manière à pouvoir être mise en œuvre progressivement, sans perturber les utilisateurs existants.

Remarque :

Passer de l'intégration native Microsoft Entra ID à l'intégration SAML Si vous utilisez Microsoft Entra ID pour l'authentification, nous vous recommandons d'utiliser notre intégration native Microsoft Entra ID, car elle est plus riche en fonctionnalités. Si vous décidez d'opter pour l'intégration SAML, vous devez remplacer manuellement l'attribution de rôle effectuée via des groupes d'annuaires par une attribution directe de rôles aux comptes d'annuaire afin de ne pas avoir à recréer complètement votre schéma d'accès.

Limites connues

• Les assertions SAML chiffrées de votre fournisseur d'identité ne sont pas prises en charge.
• Vous ne pouvez pas rechercher des utilisateurs et des groupes à partir de votre fournisseur d'identité. Seuls les utilisateurs de répertoire enregistrés sont disponibles pour la recherche.
• Vous ne pouvez pas afficher les utilisateurs de l'annuaire au niveau de l'organisation. Seuls les utilisateurs locaux s'affichent au niveau de l'organisation. L'enregistrement « juste à temps » ajoute des utilisateurs à l'annuaire, de sorte qu'ils n'apparaissent pas sur la page Comptes et groupes dans UiPath.

Prérequis

Pour configurer l'intégration SAML, vous avez besoin des éléments suivants :

• Un plan de licence de type Enterprise. Pour de plus amples informations sur les régimes de licence, consultez la section Structure des régimes de licence Unified Pricing.
• Autorisations d'Administrator dans l'organisation UiPath et votre fournisseur d'identité tiers. Si vous ne disposez pas d'autorisations d'administrateur dans votre fournisseur d'identité, faites appel à un administrateur pour terminer le processus de configuration.
• UiPath® Studio et l’Assistant UiPath version 2020.10.3 ou ultérieure, afin que vous puissiez les configurer pour utiliser le déploiement recommandé.

Étape 1. Nettoyer les comptes d'utilisateurs inactifs

Si votre organisation recycle les adresses e-mail, il est important de supprimer tous les comptes utilisateur inactifs avant de configurer l'intégration SAML.

Lorsque vous activez l'intégration, les comptes locaux présents dans UiPath peuvent être liés au compte d'annuaire du fournisseur d'identité externe qui utilise la même adresse e-mail. Cette liaison de compte se produit lorsque l'utilisateur du compte d'annuaire avec l'adresse e-mail se connecte pour la première fois. L'identité de votre fournisseur d'identité hérite de tous les rôles du compte local, de sorte que la transition soit transparente. Pour cette raison, avec des comptes locaux inactifs présents dans UiPath, il existe un risque que les comptes locaux et les comptes d'annuaire ne correspondent pas, ce qui peut entraîner une élévation involontaire des autorisations.

Pour supprimer les comptes utilisateur inactifs :

1. Connectez-vous à UiPath en tant qu’administrateur d’organisation.

2. Accédez à Admin, sélectionnez votre organisation, puis sélectionnez Comptes et groupes (Accounts & Groups). La page Comptes et groupes (Accounts & Groups) de l'organisation s'ouvre sur l'onglet Utilisateurs (Users).

3. Sélectionnez l'en-tête de colonne de la colonne Dernière active pour réorganiser les utilisateurs afin que ceux dont la date de dernière connexion est la plus ancienne s'affichent en haut. La colonne Dernière activité affiche la date de dernière connexion de l'utilisateur. Le fait d'être en attente dans cette colonne signifie que l'utilisateur ne s'est jamais connecté.

4. Sélectionnez l'icône Supprimer à la fin de la ligne pour supprimer le compte local de cet utilisateur.

   

5. Dans la boîte de dialogue de confirmation, sélectionnez Supprimer pour confirmer la suppression du compte d’UiPath. Le compte utilisateur est supprimé de la page.

6. Continuez à supprimer tous les comptes d'utilisateurs inactifs de votre organisation.

Étape 2. Configuration de l'intégration SAML

Vous devez maintenant configurer UiPath et votre fournisseur d’identité (IdP) pour l’intégration.

Étape 2.1. Obtenir les détails du fournisseur de services SAML

1. Connectez-vous à UiPath en tant qu'administrateur d'organisation.

2. Accédez à Admin, sélectionnez votre organisation, puis sélectionnez Sécurité (Security). La page Paramètres de sécurité (Security Settings) de l'organisation s'affiche dans l'onglet Paramètres d'authentification (Authentication Settings).

3. Sous Configuration du répertoire pour l’authentification unique, sélectionnez Configurer l’authentification unique. La fenêtre de configuration SSO s’ouvre, décrivant les avantages et les prérequis de l’intégration.

4. Parmi les deux options d'authentification unique, sélectionnez SAML 2.0. La page de configuration SAML SSO s'ouvre dans l'onglet Configurer le fournisseur d'identité .

5. Dans la section supérieure de la page, vous trouverez les informations UiPath nécessaires pour configurer votre fournisseur d'identité : URL de métadonnées, URL du service client relatif aux assertions, ID de l'entité. Copiez-les et enregistrez-les pour configurer le fournisseur d’identité.

   Important :

   Nous vous recommandons fortement d’utiliser l’ URL de métadonnées UiPath dans le cadre du processus de configuration de votre fournisseur d’identité. Cela permet des mises à jour automatiques chaque fois que nous initions des rotations pour nos certificats de signature, garantissant un fonctionnement ininterrompu de la plateforme.

   

6. L'ID de l'entité contient l'ID de l'organisation par défaut. Vous pouvez modifier le format afin d'utiliser l'identifiant global en utilisant l'option Modifier le format de l'ID de l'entité . Ensuite, dans la fenêtre Modifier le format de l’ID de l’entité , dans le menu déroulant Format de l’ID de l’entité , sélectionnez Identifiant spécifique à l’organisation pour utiliser le format contenant l’ID de l’organisation, ou Identificateur global pour utiliser le format qui ne contient pas l’ID de l’organisation. Nous recommandons d’utiliser l’identifiant spécifique à l’organisation, car il vous permet d’inscrire plusieurs organisations UiPath dans votre fournisseur d’identité, si vous le souhaitez.

Gardez cet onglet de navigateur ouvert pour une utilisation ultérieure.

Étape 2.2. Configurez votre fournisseur d'identité

Vous pouvez vous connecter à n'importe quel fournisseur d'identité (IdP) tiers qui utilise la norme SAML 2.0. Bien que la configuration puisse varier en fonction de l'IdP choisi, nous avons validé la configuration pour les Okta suivants, que vous pouvez utiliser comme référence pour configurer l'intégration :

Configurez Okta comme fournisseur d'identité.

Configurer PingOne comme fournisseur d'identité.

Pour les autres fournisseurs d'identité, nous vous recommandons de suivre leur documentation d'intégration.

Étape 2.3. Configurer la plate-forme cloud UiPath

Pour activer votre plate-forme cloud UiPath en tant que fournisseur de services qui reconnaît votre fournisseur d'identité, procédez comme suit :

1. Revenir à l’onglet de configuration SSO SAML dans l’organisation

2. Dans la deuxième section de la page Configurer le fournisseur d'identité , vous pouvez afficher les champs nécessaires à la configuration du fournisseur d'identité. Dans le champ URL des métadonnées , saisissez l’URL des métadonnées de votre fournisseur d’identité. Cela permet à UiPath de récupérer et de mettre à jour régulièrement les données de votre fournisseur d'identité, rationalisant ainsi le processus de configuration SAML sur le long terme.

   Important :

   Nous vous recommandons fortement d’utiliser l’ URL de métadonnées lors de la configuration SAML. Cela permet à UiPath de récupérer et de mettre à jour régulièrement les données de votre fournisseur d'identité, vous évitant d'avoir à mettre à jour manuellement le certificat de signature du fournisseur d'identité dans UiPath lors de la rotation.

   

3. Sélectionnez Récupérer les données. Une fois l'opération terminée, les champs URL de connexion, Identifiant de l'entité du fournisseur d'identité et Certificat de signature sont renseignés avec les informations de l'IdP.

4. Bien que ce ne soit pas la méthode recommandée, vous pouvez choisir de saisir manuellement les détails SAML de votre fournisseur d’identité dans les champs URL de connexion, Identifiant de l’entité du fournisseur d’identité et Certificats de signature .

5. Pour saisir manuellement plusieurs certificats, collez-les dans le champ Certificat de signature en codage base64, suivi des indicateurs de certificat de début et de fin et séparés par un caractère de nouvelle ligne. Par exemple, si vous avez deux certificats, vous devez utiliser le format suivant :

   -----BEGIN CERTIFICATE-----
   <base64 encoded certificate retrieved from SAML metadata URL or SAML admin>
   -----END CERTIFICATE-----
   -----BEGIN CERTIFICATE-----
   <base64 encoded certificate retrieved from SAML metadata URL or SAML admin>
   -----END CERTIFICATE-----
   

   

6. Sélectionnez Suivant dans le coin inférieur droit pour passer à l'étape suivante. Vous êtes redirigé vers l'onglet Mapper les attributs et terminer . Les attributs de mappage, appelés « reclamations », lient les détails de l'utilisateur entre votre fournisseur d'identité et UiPath. Cela garantit que les données utilisateur, comme un e-mail ou un nom d'utilisateur, correspondent dans les deux systèmes.

7. Par défaut, l'adresse e-mail est utilisée comme identifiant des utilisateurs. Si vous souhaitez configurer un identifiant unique qui n'est pas une adresse e-mail, contactez l'assistance UiPath. Sinon, procédez comme suit :

   1. Le champ E-mail devient obligatoire et vous ne pouvez pas le modifier.
   2. Renseignez la section Domaines autorisés (Allowed Domains) avec les domaines à partir desquels vous souhaitez autoriser les utilisateurs à se connecter. Saisissez tous les domaines pris en charge par le fournisseur d'identité configuré. Séparez les différents domaines par des virgules.
      Remarque :

      Vous pouvez saisir un nombre maximum de 100 domaines.

   3. Sous Mappage des attributs, renseignez le champ Nom complet en y spécifiant l'attribut de votre IdP que vous souhaitez afficher dans votre organisation comme nom pour les utilisateurs. Vous pouvez utiliser les attributs Prénom et Nom .
   4. Vous pouvez également ajouter de nouveaux mappages en spécifiant la revendication respective du fournisseur d'identité et l'attribut correspondant dans votre organisation.

8. Si vous contactez le support UiPath pour configurer un identifiant unique pour un utilisateur, l'option Activer l'identifiant unique personnalisé s'affiche. Les étapes suivantes s'appliquent uniquement si vous utilisez Test Cloud et Test Cloud pour le secteur public. Pour Test Cloud Dedicated, l’équipe d’assistance gère l’activation de l’identifiant unique personnalisé.

   Avertissement :

   Avant d’activer un identifiant unique qui n’est pas une adresse e-mail, passez en revue les implications connues suivantes :

   • Orchestrator nécessite une adresse e-mail unique pour attribuer des rôles. Les utilisateurs avec des identificateurs uniques différents mais qui ont la même adresse e-mail ne peuvent pas se voir attribuer des rôles dans Orchestrator. Alternativement, si l’utilisateur dispose d’un identificateur unique mais sans adresse e-mail, des autorisations peuvent lui être attribuées dans Orchestrator.
   • Vous ne pouvez pas lier des comptes en fonction d’e-mails si l’utilisateur dispose d’un identifiant unique.
   • Les utilisateurs ne recevront pas d'e-mails de la plate-forme UiPath si leur champ de adresse e-mail est laissé vide.
   • Une fois que vous avez défini un nom de revendication Identificateur unique , sa modification peut entraîner la perte d'utilisateurs précédemment reconnus, car le système peut ne plus être en mesure de les identifier. En tant que tel, l’interface utilisateur restreint la modification de la revendication d’identificateur unique une fois qu’elle a été définie. Pour le modifier, vous devez supprimer et recréer l'intégralité de votre configuration.
   1. Sélectionnez Activer l’identifiant unique personnalisé pour configurer un identifiant unique qui n’est pas un e-mail. Cela peut être utile si, par exemple, vos utilisateurs n’ont pas tous des comptes de messagerie ou si leur adresse e-mail n’est pas unique.
   2. Vous devez obligatoirement saisir l'identifiant unique de vos utilisateurs dans le champ Identifiant unique . Il s'agit de la revendication qu'UiPath utilise pour identifier les utilisateurs lorsqu'ils se connectent.
   3. Dans le champ Nom complet , saisissez la revendication par laquelle vos utilisateurs peuvent être reconnus lors de la connexion.
   4. Il devient facultatif de saisir le champ E-mail pour vos utilisateurs.
   5. Le champ Domaines d'adresse e-mail autorisés est grisé et ne peut pas être saisi. En effet, le système n’utilise plus l’e-mail comme identificateur unique, ce qui rend ce champ non pertinent.
   6. Vous pouvez également ajouter de nouveaux mappages en spécifiant la revendication respective du fournisseur d'identité et l'attribut correspondant dans UiPath.

9. Une fois que vous avez configuré les attributs, configurez les champs Autoriser la réponse d'authentification non sollicitée et le type de liaison SAML .

   1. Autoriser la réponse d'authentification non sollicitée: Activez si vous souhaitez pouvoir accéder à la plate-forme UiPath à partir du tableau de bord de l'IdP.
   2. Type de liaison SAML : sélectionnez le mode de communication de la configuration SAML via l'agent utilisateur HTTP. Sélectionnez Redirection HTTP (HTTP redirect) pour utiliser les paramètres d'URL, ou HTTP post pour utiliser un formulaire HTML avec un contenu encodé en base64.

10. Si votre fournisseur d'identité exige qu'UiPath signe toutes les demandes d'authentification SAML, sélectionnez l'option Signer la demande d'authentification . Vérifiez auprès de votre fournisseur d'identité pour déterminer si cette fonctionnalité doit être activée. UiPath met généralement à jour ses clés de signature. Par exemple, UiPath effectue une rotation du certificat de signature toutes les deux semaines. Si vous avez activé la fonctionnalité Sign Authentication Request , assurez-vous que votre IdP se synchronise régulièrement avec UiPath en téléchargeant en permanence les clés mises à jour à partir de l’URL des métadonnées d’UiPath.

11. Sélectionnez Tester et enregistrer pour terminer la configuration de l'intégration.

Étape 2.4. Vérifiez que l'intégration est en cours d'exécution

Pour vérifier que l'intégration avec authentification unique (SSO) SAML fonctionne correctement :

1. Ouvrez une fenêtre privée dans le navigateur.
2. Accédez à l'URL de votre organisation cloud.
3. Vérifiez les points suivants :
   1. Êtes-vous invité à vous connecter avec votre fournisseur d'identité SAML ?
   2. Parvenez-vous à vous connecter ?
   3. Si vous vous connectez avec une adresse e-mail qui correspond à un compte utilisateur existant, disposez-vous des autorisations appropriées ?

Étape 2.5. Configurer les règles d'enregistrement (facultatif)

Si vous utilisez des revendications dans votre IdP, vous pouvez les utiliser comme conditions dans une règle d'enregistrement afin que les utilisateurs reçoivent automatiquement les licences et les rôles appropriés lorsqu'ils se connectent à une organisation. Les règles d'enregistrement sont évaluées lorsqu'un utilisateur se connecte. Si le compte utilisateur remplit les conditions d'une règle, il est automatiquement ajouté au groupe UiPath local associé à la règle. Par exemple, un administrateur peut configurer une règle pour enregistrer les utilisateurs directement dans le groupe Automation Users à l'aide de ces paramètres : Revendication=groupe, Relation=est, Valeur=Automation User.

2.5.1 Configurer des groupes d'enregistrement

Dans UiPath, l'ajout d'un compte à un groupe signifie que le compte hérite des licences, des rôles et de la configuration du robot défini pour le groupe, le cas échéant.

En regroupant des types de comptes similaires, vous pouvez simplifier le processus d’intégration des utilisateurs dans l’organisation. Assurez-vous que dans l’IdP vous avez configuré des comptes similaires de la même manière.

De cette façon, vous configurez le groupe une fois, puis répliquez la configuration en ajoutant des comptes au groupe si nécessaire. Si la configuration d'un groupe de comptes en particulier doit être modifiée, il vous suffit de mettre à jour le groupe une seule fois et les modifications s'appliquent à tous les comptes du groupe.

Pour configurer un groupe pour une règle d'enregistrement :

1. Créez un nouveau groupe local dans votre organisation. Si vous le souhaitez, vous pouvez utiliser un de vos groupes existants au lieu d'en créer un nouveau.
2. (Facultatif et nécessite que la gestion des licences utilisateur soit activée) Si les comptes de ce groupe ont besoin de licences utilisateur, configurez des règles d'attribution de licence pour le groupe. Si vous utilisez un groupe existant, vérifiez l'attribution des licences pour le groupe afin de vous assurer que les bonnes licences sont attribuées. Si ce n'est pas le cas, modifiez les attributions ou créez un nouveau groupe.
3. Attribuez les rôles des locataires et complétez éventuellement la configuration du robot pour le groupe. Pour obtenir des instructions, consultez la section Attribuer des rôles à un groupe . Si vous utilisez un groupe existant, vérifiez les rôles actuellement attribués au groupe pour vous assurer qu'ils sont adaptés au type de compte que vous ajouterez au groupe. Si ce n'est pas le cas, modifiez les rôles attribués à ce groupe ou créez un nouveau groupe.
4. Ajoutez le groupe aux dossiers et attribuez des rôles de dossier, si nécessaire. Pour obtenir des instructions, consultez la section Gérer l'accès aux dossiers.

Vous pouvez maintenant utiliser ce groupe dans une règle d'enregistrement.

2.5.2 Créer une règle d'enregistrement pour un groupe

Remarque :

Assurez-vous que la revendication associée à la règle d'enregistrement SAML est envoyée à la charge utile SAML en la configurant dans l'application SAML.

Une fois l'intégration SAML configurée et après avoir configuré un groupe :

1. Accédez à Admin, sélectionnez votre organisation, puis sélectionnez Sécurité (Security). La page Paramètres de sécurité (Security Settings) de l'organisation s'affiche dans l'onglet Paramètres d'authentification (Authentication Settings).

2. Sous l’option SAML SSO , sélectionnez Afficher les règles d’enregistrement. La page Règles d'enregistrement SAML SSO s'ouvre, où vos règles existantes sont répertoriées.

3. Dans l'angle supérieur droit de la page, sélectionnez Ajouter une règle. La page Ajouter une nouvelle règle s'ouvre.

4. Sous Détails de base (Basic details), renseignez le champ Nom de la règle (Rule Name) et éventuellement le champ Description.

5. Sous Conditions, sélectionnez Ajouter une règle. Une ligne de champs pour une nouvelle condition est ajoutée. Ensemble, ils définissent les critères qu'un compte doit remplir lors de la connexion pour être ajouté à un groupe (choisi ultérieurement).

   

6. Dans le champ Revendication , saisissez le nom de la revendication, tel qu'il apparaît dans l'IdP. Le champ est sensible à la casse.

7. Dans la liste Relation , sélectionnez la relation entre la revendication et la valeur. Les options suivantes sont disponibles, comme décrit dans le tableau :

   Relation	Conditions requises	Exemple
   est	correspondance exacte, sensible à la casse	Department is RPA exige que la valeur de la revendication Department soit RPA. Par exemple, la condition n'est pas remplie si la valeur est RPADev. Cette relation fonctionne pour les réclamations à plusieurs valeurs. Par exemple, si les valeurs administrator et developer sont envoyées dans la revendication Group , alors Group is administrator serait une relation valide.
   n'est pas	tout sauf la valeur spécifiée, sensible à la casse	Pour Department is not ctr, tout compte est ajouté au groupe sauf si Department a la valeur ctr. La condition est remplie si le service est Ctr ou electr.
   contient	inclut, ne nécessite pas de correspondance exacte, sensible à la casse	Department contains RPA exige que la valeur de la revendication Department inclue RPA. La condition est remplie si par exemple la valeur est RPADev, xRPAx ou NewRPA.
   ne contient pas	exclut, ne nécessite pas de correspondance exacte, sensible à la casse	Pour Department not contains ctr, tout compte est ajouté au groupe sauf si la valeur Department inclut ctr. Les comptes dont le service est par exemple ctr ou electr, ne sont pas ajoutés au groupe.
   insensible à la casse	correspondance exacte, non sensible à la casse	Department is case insensitive RPA exige que la valeur de la revendication Department inclue rpa, dans n'importe quelle casse. Par exemple, la condition est remplie si la valeur est rpa. Par exemple, la condition n'est pas remplie si la valeur est crpa.
   contient insensible à la casse	inclut, ne nécessite pas de correspondance exacte, non sensible à la casse	Department contains case insensitive RPA exige que la valeur de la revendication Department inclue RPA, dans n'importe quelle casse. La condition est remplie si par exemple la valeur est rpa, cRPA ou rpA.

8. Dans le champ Valeur (Value), saisissez la valeur nécessaire pour remplir la condition.

9. Si vous souhaitez ajouter une autre condition, sélectionnez Ajouter une règle pour ajouter une nouvelle ligne de condition.

   Lorsque vous ajoutez plusieurs conditions, toutes les conditions doivent être remplies pour que la règle d'enregistrement s'applique. Par exemple, si vous définissez les règles Department is RPA et Title is Engineer, seuls les utilisateurs appartenant à la fois au service RPA et portant l'intitulé Ingénieur sont ajoutés aux groupes spécifiés. Un compte dont le service est RPA, mais dont l'intitulé est AQ n'est pas ajouté aux groupes.

10. Sous Attribuer à des groupes (Assign to groups), dans la case Ajouter des groupes (Add Groups), commencez à saisir le nom d'un groupe, puis sélectionnez un groupe dans la liste des résultats. Répétez l'opération pour ajouter d'autres groupes, si nécessaire. Lorsque les conditions sont remplies, les comptes sont automatiquement ajoutés à ces groupes lorsqu'ils se connectent.

11. Sélectionnez Enregistrer dans le coin inférieur droit pour ajouter la règle.

Lorsqu'une règle est en place, chaque fois qu'un utilisateur se connecte et que son compte remplit les conditions spécifiées pour une règle, son compte est ajouté aux groupes d'enregistrement attachés à la règle et son compte est configuré pour fonctionner dans UiPath.

Exemple de fragment de charge utile SAML

<Attribute
   Name="groups">
<AttributeValue
          xmlns:xs="http://www.w3.org/2001/XMLSchema"
          xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
          xsi:type="xs:string">ProcessAutomation-Developer</AttributeValue>

Mappage des attributs SAML

Lors de la configuration de l’intégration du répertoire SAML, les administrateurs de l’organisation peuvent définir les attributs de leur IdP qui doivent être mappés aux attributs de l’utilisateur système. Ensuite, lorsqu’un utilisateur se connecte via l’intégration du répertoire SAML, le système lit les réclamations qui sont transmises dans la charge utile ACS et mappe la valeur à leurs attributs système correspondants.

Remarque :

• Votre IdP doit être configuré pour transmettre ces revendications dans la charge utile ACS.
• Assurez-vous que les noms d’attribut configurés dans l’IdP correspondent aux paramètres de mappage d’attributs dans le portail de l’administrateur de l’organisation.

Par exemple, s’il s’agit de la structure des utilisateurs de votre IdP, un administrateur de l’organisation peut configurer les paramètres de mappage des attributs suivants pour que ces informations soient renseignées dans l’objet utilisateur système.

{
    "displayname": "John Doe",
    "fname": "John",
    "lname": "Doe",
    "jobtitle": "Hardware Engineer",
    "dpt": "Engineering",
    "city": "Phoenix"
}

Lorsqu’un utilisateur de cette organisation se connecte via l’intégration du répertoire SAML, son objet utilisateur est mis à jour pour refléter ce paramètre.

{
    "Display Name": "John Doe",
    "First Name": "John",
    "Last Name": "Doe",
    "Job Title": "Hardware Engineer",
    "Department": "Engineering",
    "City": "Phoenix"
}

Étape 3. Transition des utilisateurs vers le SSO SAML

Assurez-vous de fournir l'URL spécifique à votre organisation pour l'organisation UiPath à tous vos utilisateurs.

Remarque :

Après le passage à l'intégration SAML, l'intégration Microsoft Entra ID est désactivée. Les attributions de groupe Microsoft Entra ID ne s’appliquent plus, l’appartenance au groupe UiPath et les autorisations héritées de Microsoft Entra ID ne sont donc plus respectées.

Pour se connecter à UiPath avec SAML SSO, les utilisateurs peuvent :

• accéder à l'URL spécifique à votre organisation. L'URL doit inclure l'ID de l'organisation et se terminer par une barre oblique, par exemple <AccessURL>/orgID.
• accéder à <AccessURL>, sélectionner Continuer avec SSO sur la page de connexion, puis fournir l'URL spécifique à leur organisation.

Pour se connecter à UiPath Studio et UiPath Assistant via l'authentification unique (SSO) SAML, les utilisateurs doivent configurer l'Assistant comme suit :

1. Dans l'Assistant, ouvrez Préférences (Preferences) et sélectionnez l'onglet Connexion Orchestrator (Orchestrator Connection).

2. Sélectionnez Se déconnecter.

3. Pour le type de connexion, sélectionnez URL du service (Service URL).

4. Dans le champ URL du service (Service URL), ajoutez l'URL spécifique à l'organisation.

   L'URL doit inclure l'ID de l'organisation et se terminer par une barre oblique, comme par exemple <AccessURL>/orgID. Sinon, la connexion échoue en disant que l'utilisateur n'appartient à aucune organisation.

5. Reconnectez-vous via le SSO SAML.

Étape. 4. Configuration des autorisations et des robots

Ceci n'est requis que pour les nouveaux utilisateurs qui n'ont jamais utilisé une certaine offre UiPath auparavant et qui n'avaient donc pas de compte local configuré pour eux dans l'offre UiPath spécifique lorsque l'intégration a été activée.

Vous pouvez ajouter de nouveaux utilisateurs aux groupes UiPath par leur adresse e-mail (telle qu'utilisée dans l'IdP externe). Une fois qu'un utilisateur a été affecté à un groupe ou qu'il s'est connecté, il sera disponible via la recherche d'attribution de rôle dans tous les services UiPath.

Étape 5. Abandon de l'utilisation des comptes locaux (facultatif)

Avertissement :

Assurez-vous que tous les utilisateurs se sont connectés avec leur compte SSO au moins une fois avant de supprimer leurs comptes locaux. La liaison du compte ne se produit que lors de la première connexion SSO. Si un compte local est supprimé avant que l'utilisateur ne se connecte via SSO, une nouvelle identité d'annuaire est créée à la place – l'utilisateur perd l'accès à son travail précédent, y compris les projets et les solutions. Cette action ne peut être annulée.

une fois que tous les utilisateurs sont passés à l'authentification unique (SSO) SAML et que les nouveaux utilisateurs sont configurés, nous vous recommandons de supprimer tous les comptes d'utilisateurs locaux qui ne sont pas des comptes d'administrateur. Cela garantit que les utilisateurs ne peuvent plus se connecter avec leurs informations d'identification de compte local et qu'ils doivent se connecter via l'authentification unique (SSO) SAML.

Vous pouvez identifier les comptes d'utilisateurs locaux en fonction de leurs icônes.

Un compte local peut être utile :

• Pour gérer les problèmes d'intégration SAML (par exemple, la mise à jour d'un certificat expiré) ou si les paramètres d'authentification changent, un compte avec le rôle d'administrateur de l'organisation est recommandé.