Identifiants de l'identité fédérée

Les informations d'identification d'identité fédérées permettent aux applications OAuth externes de s'authentifier auprès d'UiPath à l'aide d'un jeton Web JSON (JWT) émis par un fournisseur d'identité externe, au lieu d'une clé secrète de client. Cela élimine le besoin de stocker, d'effectuer une rotation et de sécuriser les clés secrètes du client pour l'authentification de machine à machine.

Les organisations adoptant un modèle de sécurité Zéro Trust peuvent utiliser des informations d'identification fédérées pour authentifier les applications OAuth via des fournisseurs d'identité approuvés tels que Microsoft Entra ID, AWS ou Google Cloud, sans gérer les clés secrètes à long terme.

Fonctionnement des informations d'identification de l'identité fédérée

1. L’application externe demande un JWT au fournisseur d’identité configuré.
2. Le fournisseur d’identité émet un JWT signé contenant les revendications de l’émetteur, du public et de l’objet configurées.
3. L’application envoie une demande de jeton au point de terminaison du jeton UiPath, présentant le JWT comme paramètre client_assertion .
4. UiPath récupère les clés de signature publiques du fournisseur d'identité à partir de son point de terminaison JWKS et valide la signature JWT, l'émetteur, le public, l'objet et l'expiration.
5. Lorsque la validation a réussi, UiPath émet un jeton d’accès avec les mêmes étendues et la même durée de vie que le flux d’informations d’identification client.

Champs d’informations d’identification

Chaque information d'identification fédérée définit trois paramètres de validation de jeton :

Champ	Description
Émetteur	L’URI HTTPS du fournisseur d’identité externe. Doit correspondre exactement à la revendication JWT iss . UiPath vérifie que le point de terminaison JWKS de l'émetteur est accessible lorsque vous créez ou mettez à jour les informations d'identification.
Audience	Une seule valeur de chaîne qui doit apparaître dans la revendication JWT aud .
Subject	Une valeur qui doit correspondre exactement à la revendication JWT sub .

Contraintes

• Les JWT doivent utiliser l’algorithme de signature RS256 .
• Les JWT dépassant 8 Ko sont rejetés avant validation.
• Chaque application OAuth prend en charge un maximum de 20 informations d'identification fédérées.
• Les jetons d'accès émis via des informations d'identification fédérées ont une durée de vie d'une heure.
• Pour vous authentifier auprès de plusieurs personnes ou émetteurs, enregistrez des informations d’identification fédérées distinctes pour chaque combinaison.

Limitations

Les éléments suivants ne sont pas pris en charge dans cette version :

• Algorithmes JWT autres que RS256.
• Correspondance de caractères génériques pour les valeurs de l'émetteur, du public ou du sujet.
• Plusieurs valeurs d’audience dans une seule information d’identification fédérée.

Sujets connexes

• Gestion des informations d’identification de l’identité fédérée
• Applications OAuth
• Client externe — API d'informations d'identification fédérées