autorisation d’administrateur uip

Syntaxe et options pour `uip admin permission`, qui gère les rôles de service d'autorisation, les attributions de rôle, le catalogue d'autorisations et les recherches d'accès efficace.

uip admin authorization gère les primitives du service d'autorisation UiPath: définitions de rôles personnalisées sur le point d'administration de la stratégie, qui a quel rôle (attributions de rôles), un catalogue de définitions d'autorisations en lecture seule et des recherches d'accès efficace par rapport au point de décision de la stratégie . (PDP). Il est fourni sous la forme du package @uipath/authz-commands , l'un des sept sous-packages assemblages dans le même outil uip admin — voir uip admin pour le répertoire complet des sous-ressources d'administration.

Remarque :

Politique de rôle/autorisation CRUD pour les zones de produits intégrées fonctionne sur une commande différente — uip gov access-policy — qui cible le même Swagger authz-sdk mais appartient à l'outil de gouvernance. Cette page concerne les rôles personnalisés, qui les attribuent et le calcul de l'accès efficace.

Cette ressource s’étend sur une page

Chaque verbe ci-dessous est invoqué comme uip admin authorization <verb> — il n'y a pas de page frères distincte pour cette sous-ressource.

Concepts

• Format de rôle — le --scope d'un rôle plus --service facultatif déterminent ensemble où il s'applique: Organization (à l'échelle de l'organisation), TenantGlobal (un modèle appliqué à chaque locataire), Tenant (un locataire) ou Project (étendue à un service qui enregistre les autorisations au niveau du projet, par exemple Document Understanding, Reinfer). --service seul infère l'étendue à partir du registre de service — un service au niveau de l'organisation (par exemple apps) infère Organization; un service au niveau du locataire (par exemple, documentunderstanding) infère Tenant. Combinez --scope et --service pour remplacer l'inférence.
• La création est bloquée pour les services qui possèdent leur propre catalogue de rôles — orchestrator, dataservice, insights, taskmining, testmanager, automationops, casemanagement, processmining — et pour les services au niveau de la plate-forme — authz, oms, platform, identity, licensing. roles create/update/delete et roles assignments create rejettent toutes les valeurs --service de cette liste; la liste des rôles/autorisations/affectations pour ces services fonctionne toujours.
• La création d'un rôle est une insertion de style PUT — roles create crée toujours un nouveau rôle (l'identifiant est généré par le serveur); roles update <id> renvoie le corps du rôle complet avec le même ID. update sans --description préserve la description actuelle en récupérant d'abord le rôle — il ne l'efface pas.
• Composition de l'étendue de l'affectation — roles assignments list/create créer un chemin scope à partir de --scope/--service/--scope-id/--tenant-id en utilisant la même matrice d'inférence que la création de rôle, avec une passerelle d'échappement: --scope-path <path> envoie un élément textuel de chemin exact, remplaçant tous les autres indicateurs d'étendue. TenantGlobal n'est pas une étendue d'affectation valide (uniquement une étendue de création de rôle), sauf en tant qu'alias au moment de la création pour Tenant.
• Mode par lots - roles assignments create --file <path> et roles assignments delete --file <path>/<id> acceptent les tableaux JSON pour les opérations en bloc, mutuellement exclusives avec les indicateurs/arguments à un seul élément en ligne. Le point de terminaison sous-jacent de la mise à jour groupée est terminé au mieux et ne s’interrompt pas pour les identifiants d’affectation inconnus/déjà supprimés — delete ne vérifie pas que les identifiants existaient auparavant.
• --login-validity <minutes> est disponible sur chaque verbe ici (remplace la durée de vie du jeton de connexion interactive pour cet appel — rarement nécessaire).

Synthèse

uip admin authorization roles list [--limit <n>] [--offset <n>] [--filter <fragment>] [--service <service>] [--scope <type>] [--role-type BuiltIn|Custom] [--tenant-id <guid>]
uip admin authorization roles get <id>
uip admin authorization roles create --name <name> --file <path> [--description <text>] [--service <service>] [--scope <type>] [--tenant-id <guid>]
uip admin authorization roles update <id> --name <name> --file <path> [--description <text>] [--service <service>] [--scope <type>] [--tenant-id <guid>]
uip admin authorization roles delete <id>

uip admin authorization roles assignments list [--limit <n>] [--offset <n>] [--service <service>] [--identity-id <id>] [--scope <type>] [--scope-id <id>] [--scope-path <path>] [--tenant-id <guid>] [--include-inherited]
uip admin authorization roles assignments create (--role-id <guid> --identity-id <guid> --identity-type <type> [--service <service>] [--scope <type>] [--scope-id <id>] [--scope-path <path>] [--tenant-id <guid>]) | --file <path>
uip admin authorization roles assignments delete [<id>] | --file <path>

uip admin authorization permissions list [--service <service>] [--scope <type>]

uip admin authorization check-access [<identity>] [--scope Tenant|Folder] [--tenant-id <guid>] [--folder-id <guid>] [--service <service>] | --file <path>

rôles d’autorisation d’administrateur UiP

Gérez les définitions de rôles personnalisées sur le PAT.

liste des rôles d’autorisation d’administrateur UiP

Répertorier les rôles pour l'organisation de l'appelant - intégrés et personnalisés par défaut.

Options

Long	Valeur (Value)	Default	Description
--limit <n>	Integer	20	Taille de la page.
--offset <n>	Integer	0	Enregistrements à ignorer (zéro de base).
--filter <fragment>	string	—	Correspondance de sous-chaîne sur le nom du rôle.
--service <service>	string	—	Propriétaire du service (par exemple apps, documentunderstanding). Se combine avec --scope, ou infère seul l'étendue à partir du registre du service.
--scope <type>	Organization|TenantGlobal|Tenant|Project|Folder	—	Filtrez par forme de rôle. Facultatif lorsque --service est indiqué.
--role-type <type>	BuiltIn|Custom	—	Filtrez par type de rôle.
--tenant-id <guid>	UUID	—	Limitez-vous aux rôles attribués à un locataire spécifique. Recherchez un UUID avec uip admin tenants list --filter <name>.

La liste fonctionne pour chaque service, y compris ceux dont le catalogue de rôles ne peut pas être créé via cette CLI (voir Concepts) — seule création est bloquée.

Exemples

uip admin authorization roles list
uip admin authorization roles list --scope Organization
uip admin authorization roles list --service apps --filter Admin

Format des données (--sortie json)

{
  "Code": "AuthzRolesList",
  "Data": {
    "totalCount": 1,
    "results": [
      {
        "id": "11111111-2222-3333-4444-555555555555",
        "name": "Folder Admin",
        "description": "Folder admin role",
        "type": "BuiltIn",
        "scopeType": "Folder",
        "ownerServiceName": "orchestrator",
        "ownerServiceId": "<service-guid>",
        "tenantId": "<tenant-guid>",
        "createdBy": "<user-guid>",
        "createdOn": "<iso-date>",
        "actionDetails": []
      }
    ]
  }
}

rôles d’autorisation d’administrateur uip - obtention

Récupérez un rôle unique par ID.

Arguments

Nom	Requis	Objectif
<id>	oui	UUID du rôle. Obtenir auprès de roles list.

Exemple

uip admin authorization roles get 11111111-2222-3333-4444-555555555555

Format des données (--sortie json)

{
  "Code": "AuthzRoleGet",
  "Data": {
    "id": "11111111-2222-3333-4444-555555555555",
    "name": "Folder Admin",
    "description": "Folder admin role",
    "type": "BuiltIn",
    "scopeType": "Folder",
    "ownerServiceName": "orchestrator",
    "actionDetails": [
      { "id": "<action-guid>", "name": "OR.FOLDERS.READ", "namespace": "ORCHESTRATOR", "resourceAction": "Read" }
    ]
  }
}

création de rôles d’autorisation d’administrateur uip

Créez un rôle personnalisé. Crée toujours — l'ID de rôle est généré par le serveur; utilisez roles update <id> pour modifier un rôle existant.

Options

Long	Valeur (Value)	Requis	Description
--name <name>	string	oui	Nom complet du rôle.
--file <path>	Chemin d'accès	oui	Fichier JSON avec les actions accordées du rôle sous la forme d'un tableau de chaînes, par exemple ["STUDIO.X.Y", "STUDIO.A.B"].
--description <text>	string	non	Description du rôle.
--service <service>	string	non	Service propriétaire — infère l'étendue ou se combine avec --scope. Rejete la liste des services bloqués en création.
--scope <type>	Organization|TenantGlobal|Tenant|Project	non*	Format de rôle. Au moins une des propriétés --scope/--service est requise.
--tenant-id <guid>	UUID	non	Locataire pour l'étendue Tenant/Project. Non autorisé avec Organization/TenantGlobal. La valeur par défaut est le locataire de connexion.

Exemples

uip admin authorization roles create --scope Organization --name "Org Reader" \
  --description "Read-only org admin" --file ./actions.json

uip admin authorization roles create --service documentunderstanding --name "DU Tenant Editor" --file ./actions.json

uip admin authorization roles create --scope Project --service documentunderstanding \
  --name "DU Project Editor" --file ./actions.json

Format des données (--sortie json)

{ "Code": "AuthzRoleCreated", "Data": { "createdRoleId": "<new-role-guid>" } }

mise à jour des rôles d’autorisation d’administrateur uip

Mettez à jour un rôle personnalisé existant par ID — le même style PUT que create, avec l'ID envoyé sur le corps.

Arguments

Nom	Requis	Objectif
<id>	oui	UUID du rôle.

Options

Identique à create (--name requis, --file requis, --description, --service, --scope, --tenant-id). L'absence de --description préserve la valeur actuelle du rôle (récupérée en premier) plutôt que de l'effacer. Même liste de services bloquée en création que create.

Exemple

uip admin authorization roles update 11111111-2222-3333-4444-555555555555 \
  --scope Tenant --name "Tenant Reader" --file ./actions.json

Format des données (--sortie json)

{ "Code": "AuthzRoleUpdated", "Data": { "createdRoleId": "11111111-2222-3333-4444-555555555555" } }

suppression des rôles d’autorisation d’administrateur uip

Supprimez un rôle personnalisé par ID. Les rôles intégrés, les rôles d’organisation hôte et les rôles appartenant à un service bloqué en création (voir Concepts) ne peuvent pas être supprimés — la CLI récupère le rôle et refuse.

Arguments

Nom	Requis	Objectif
<id>	oui	UUID du rôle.

Exemple

uip admin authorization roles delete 11111111-2222-3333-4444-555555555555

Format des données (--sortie json)

{ "Code": "AuthzRoleDeleted", "Data": {} }

attributions de rôles d’autorisation d’administrateur UiP

Gérez qui a quel rôle (imbriqué sous roles).

Liste des attributions de rôles d’autorisation d’administrateur UIP

Répertoriez les attributions de rôle, regroupées par identité. La valeur par défaut est le locataire de connexion lorsqu'aucun indicateur d'étendue n'est donné et uniquement pour les affectations directes (non héritées).

Options

Long	Valeur (Value)	Default	Description
--limit <n>	Integer	10	Taille de la page (limite du serveur à 10 groupes d’affectation).
--offset <n>	Integer	0	Enregistrements à ignorer.
--service <service>	string	—	Service de propriété. Se combine avec --scope ou définit uniquement l'étendue à partir du registre de service.
--identity-id <id>	UUID	—	Limitez-vous à une seule identité (utilisateur/groupe/application externe).
--scope <type>	Organization|Tenant|Project|Folder|App	se connecter au locataire	TenantGlobal n'est pas valide ici. Project/Folder/App nécessitent --service et --scope-id.
--scope-id <id>	string	—	ID de projet / nom-ou-id de dossier / ID d'application, associé à --service pour l'étendue Project/Folder/App.
--scope-path <path>	string	—	Avancé: chemin d'étendue exact envoyé textuellement, remplaçant --scope/--service/--scope-id/--tenant-id.
--tenant-id <guid>	UUID	se connecter au locataire	Locataire pour les étendues Tenant/Project/Folder/App.
--include-inherited	Drapeau	désactivé	Inclure les affectations héritées des étendues parentes, et pas uniquement des étendues directes.

La liste fonctionne pour chaque service, y compris les services dont les affectations ne peuvent pas être créées via cette CLI; seule la création est bloquée.

Exemples

uip admin authorization roles assignments list
uip admin authorization roles assignments list --scope Folder --service orchestrator --scope-id Insights
uip admin authorization roles assignments list --scope-path /tenant/11111111-2222-3333-4444-555555555555/reinfer

Format des données (--sortie json)

{
  "Code": "AuthzAssignmentsList",
  "Data": {
    "totalCount": 1,
    "results": [
      {
        "securityPrincipalId": "<user-guid>",
        "displayName": "Jane Doe",
        "email": "[e-mail]",
        "type": "User",
        "roleAssignmentDtos": [
          {
            "id": "<assignment-guid>",
            "type": "Direct",
            "scope": "/tenant/<tenant-guid>",
            "roleId": "<role-guid>",
            "roleName": "Tenant Administrator",
            "inherited": false,
            "mutable": true
          }
        ]
      }
    ]
  }
}

Création d’attributions de rôles d’autorisation d’administrateur UIP

Créez une attribution de rôle (en ligne) ou plusieurs (regrouper via --file): les deux modes s'excluent mutuellement.

Options - mode en ligne

Long	Valeur (Value)	Requis	Description
--role-id <guid>	UUID	oui (en ligne)	Rôle à attribuer.
--identity-id <guid>	UUID	oui (en ligne)	Principal de sécurité auquel attribuer le rôle.
--identity-type <type>	User|Group|Robot|ExternalApplication	oui (en ligne)	Type principal.
--service <service>	string	non	Mêmes sémantiques de composition d'étendue que assignments list. Rejete la liste des services bloqués en création.
--scope <type>	Organization|TenantGlobal|Tenant|Project|Folder|App	non	TenantGlobal est accepté ici en tant qu’alias pour Tenant.
--scope-id <id>	string	non	Associé à --service pour Project/Folder/App.
--scope-path <path>	string	non	Avancé: chemin textuel, remplace d'autres indicateurs d'étendue.
--tenant-id <guid>	UUID	non	La valeur par défaut est le locataire de connexion.

Options — mode par lots

Long	Valeur (Value)	Requis	Description
--file <path>	Chemin d'accès	oui (lot)	Tableau JSON de AddRoleAssignmentRequest objets, chacun avec son propre scope: {roleId, securityPrincipalId, securityPrincipalType, scope?, tenantId?}. Envoyé automatiquement.

La transmission de --file avec un indicateur en ligne est une erreur; le fait de ne pas passer en revue est également une erreur.

Exemples

uip admin authorization roles assignments create \
  --role-id 98dc776b-835c-407f-9d58-6676318ac968 \
  --identity-id b44fc962-d544-4c99-b520-71121070ec17 --identity-type User

uip admin authorization roles assignments create --file ./assignments.json

Format des données (--sortie json)

{ "Code": "AuthzAssignmentCreated", "Data": {} }

attributions de rôles d’autorisation d’administrateur uip - suppression

Supprimez une affectation (identifiant de position) ou plusieurs (lots via --file) — mutuellement exclusifs.

Arguments

Nom	Requis	Objectif
[id]	Conditionnel	UUID à affectation unique. Capture mutuellement exclusive avec --file.

Options

Long	Valeur (Value)	Description
--file <path>	Chemin d'accès	Tableau JSON de chaînes d’ID d’affectation, par exemple ["0fae98e1-...", "1aab33cf-..."]. Envoyé automatiquement.

Remarque :

Le point de terminaison de la mise à jour groupée n’effectue aucune opération silencieuse sur les ID inconnus ou déjà supprimés et signale toujours la réussite — cette commande ne vérifie pas que les ID existaient au préalable. Listez avant/après si vous devez confirmer que la suppression a eu lieu.

Exemples

uip admin authorization roles assignments delete 0fae98e1-0f2e-4f8d-bdab-7ce1cf475676
uip admin authorization roles assignments delete --file ./assignment-ids.json

Format des données (--sortie json)

{ "Code": "AuthzAssignmentDeleted", "Data": {} }

autorisations d’autorisation d’administrateur UiP

Catalogue en lecture seule de définitions d'autorisations pour tous les services.

liste des autorisations d’autorisation d’administrateur UiP

Options

Long	Valeur (Value)	Description
--service <service>	string	Service de propriété. Se combine avec --scope ou infère seul l'étendue à partir du registre du service.
--scope <type>	Organization|TenantGlobal|Tenant|Project	Filtrez sur les autorisations utilisables dans un rôle de cette forme. Mise en miroir roles create --scope.

Exemples

uip admin authorization permissions list
uip admin authorization permissions list --scope Project --service documentunderstanding

Format des données (--sortie json)

{
  "Code": "AuthzPermissionsList",
  "Data": [
    {
      "id": "<action-guid>",
      "name": "OR.FOLDERS.READ",
      "namespace": "ORCHESTRATOR",
      "serviceDisplayName": "Orchestrator",
      "resourceType": "Folders",
      "resourceAction": "Read",
      "resourceGroup": "Folder",
      "description": "View folders",
      "scopeType": "Folder"
    }
  ]
}

uip administrateur vérification-accès aux autorisations

Calculez les autorisations effectives d'un principal de sécurité au sein d'une étendue de locataire ou de dossier, via le Point de décision de politique.

Arguments

Nom	Requis	Objectif
[identity]	Conditionnel	UUID de l’utilisateur, ou une sous-chaîne de nom/d’e-mail résolu via la recherche d’identité. Obligatoire si --file n'est pas utilisé.

Options

Long	Valeur (Value)	Default	Description
--scope <type>	Tenant|Folder	Tenant	Étendue de l’évaluation.
--tenant-id <guid>	UUID	se connecter au locataire	Pour l'étendue Tenant, utilisé à la fois comme ID d'étendue et IDParent; pour l'étendue Folder, l'IDParent.
--folder-id <guid>	UUID	—	Requis avec --scope Folder. Utilisé comme ID d'étendue.
--service <service>	string	—	Limitez le résultat à un seul service.
--file <path>	Chemin d'accès	—	Corps de la demande complet (avancé, par exemple un filtre RoleNameStartsWith). Exclusif avec l'indicateur positionnel et chaque indicateur d'étendue.

Un <identity> non GUID est résolu via une correspondance de sous-chaîne de recherche d'utilisateur: 0 correspondance échoue avec un indice de découverte, 1 correspondance est utilisée, plus de 1 essaie une correspondance exacte d'e-mail/nom d'utilisateur avant d'échouer avec une liste de candidats.

Exemples

uip admin authorization check-access [e-mail]
uip admin authorization check-access <user-guid> --scope Folder --folder-id <folder-guid>
uip admin authorization check-access --file ./check-access.json

Format des données (--sortie json)

{
  "Code": "AuthzCheckAccess",
  "Data": {
    "roleAssignments": { "totalCount": 0, "results": [] },
    "grantedServicesMetadata": [],
    "grantedRolesMetadata": []
  }
}

Associé

• uip admin — le répertoire complet des sous-ressources uip admin .
• uip gov access-policy — politique CRUD pour les zones de produits intégrées, même swagger authz-sdk.

Voir également

• Outils (extensions)
• Options globales
• Codes de sortie