Automation Cloud

SAML 連携を設定する

この機能は、Enterprise ライセンスプランでのみ利用できます。

Automation Cloud™ は、SAML 2.0 標準を使用する任意の ID プロバイダー (IdP) に接続できます。ここでは、SAML 連携の設定例をいくつか示して、全体的なプロセスについて説明します。

設定プロセスの概要

SAML 連携は、既存のユーザーの混乱を招くことなく、段階的に導入することができます。

プロセスの主なフェーズは、これからこのページで詳しく説明しますが、次のとおりです。

非アクティブなユーザーアカウントをクリーンアップする
SAML 連携を設定する
SAML SSO でサインインするように既存のユーザーを移行する
新しいユーザーに権限とロボットを設定する
ローカルアカウントの使用を中止する (任意)

既知の制限事項

ID プロバイダーからアカウントを検索できない

SAML 連携では、ID プロバイダーからすべてのユーザーとグループを検索することはできません。検索できるのは、プロビジョニングされたディレクトリユーザーのみです。

組織レベルでディレクトリユーザーが表示されない

組織レベルで表示されるのはローカルユーザーのみです。ディレクトリユーザーは Just-In-Time プロビジョニングでは追加されるため、[アカウントとグループ] の管理ページには表示されません。

API アクセス情報が表示できない

SAML 連携を使用してサインインするディレクトリユーザーは、ユーザーキーを使用して API 要求を認可できる API アクセス情報を表示できません。

前提条件

SAML 連携を設定するには、以下が必要です。

Enterprise ライセンスプランを持つ Automation Cloud の組織。
Automation Cloud とサードパーティ ID プロバイダーの、両方の管理者権限。

ID プロバイダーの管理者権限がない場合は、管理者とともに設定プロセスを完了できます。
UiPath® Studio および UiPath Assistant のバージョン 2020.10.3 以降 (推奨されるデプロイを使用するよう設定できるようにするため)。

注:

Azure Active Directory との連携から切り替える

現在、認証に Azure Active Directory との連携を使用している場合は、より豊富な機能を使用できる AAD との連携をそのまま維持することをお勧めします。

AAD との連携から切り替える場合は、アクセススキーマを完全に再作成しなくても済むように、ディレクトリグループを使用して行われたロール割り当てを、ディレクトリアカウントへのロールの直接割り当てに、手動で置き換える必要があります。

手順 1: 非アクティブなユーザーアカウントをクリーンアップする

組織でメールアドレスを再利用している場合は、SAML 連携を設定する前に、非アクティブなユーザーアカウントをすべて削除することが重要です。

連携を有効化すると、Automation Cloud に存在するローカルアカウントを、同じメールアドレスを使用する外部 ID プロバイダーのディレクトリアカウントにリンクできます。このアカウントのリンクは、そのメールアドレスのディレクトリアカウントユーザーが初めてサインインしたときに作成されます。移行がシームレスに行われるように、ID プロバイダーの ID は、ローカルアカウントのすべてのロールを継承します。

そのため、Automation Cloud に非アクティブなローカルアカウントが存在する場合、ローカルアカウントとディレクトリアカウントが一致せず、意図せずに権限が昇格される可能性があります。

非アクティブなユーザーアカウントを削除するには、以下の手順を実行します。

Automation Cloud に組織管理者としてログインします。
[管理] に移動し、組織を選択して [アカウントとグループ] を選択します。

組織の [アカウントとグループ ] ページが [ユーザー] タブに表示されます。
[最終操作日] 列の列ヘッダーをクリックして、最終ログインの日付が最も古いユーザーが一番上に表示されるように、ユーザーを並べ替えます。

[最終操作日] 列には、ユーザーが最後に Automation Cloud にログインした日付が表示されます。上の例のように、この列に [保留中] と表示された場合、ユーザーがログインしたことがないことを示します。この情報を使用して、非アクティブなユーザーを識別することができます。
行の端にある削除アイコンをクリックして、そのユーザーのローカルアカウントを削除します。
確認ダイアログの [削除] をクリックして、Automation Cloud からアカウントを削除します。

ページからユーザーアカウントが削除されます。
操作を続行して、組織の非アクティブなユーザーアカウントをすべて削除します。

手順 2: SAML 連携を設定する

続いて、Automation Cloud と ID プロバイダー (IdP) の両方を設定して連携する必要があります。

手順 2.1: SAML サービスプロバイダーの詳細情報を取得する

Automation Cloud に組織管理者としてログインします。
[管理] に移動し、組織を選択して [セキュリティ] を選択します。

組織の [セキュリティ設定] ページが開き、[認証設定] タブが表示されます。
[ユーザーは、SAML SSO を使用してサインインできます] を選択して、[設定] をクリックします。

情報ダイアログが開きます。
ダイアログで、[続行] をクリックします。

次のページで、連携の概要が示されます。
右下の [次へ] をクリックして設定に進みます。

[全般設定] 手順の [IdP で構成するデータ] で、ID プロバイダーを Automation Cloud に接続するよう設定するために必要な情報が示されます。
[メタデータ URL]、[エンティティ ID]、[アサーションコンシューマーサービス URL] の値をコピーして保存します。これらは、次の手順で必要になります。

このブラウザータブは、後で使用するために開いたままにします。

手順 2.2: ID プロバイダーを設定する

Automation Cloud は、SAML 2.0 標準を使用する任意のサードパーティの ID プロバイダー (IdP) に接続できます。

設定は選択した IdP によって異なることがありますが、Okta または PingOnes を使用する場合の設定は検証済みです。連携を設定する際の参考にしてください。

他の ID プロバイダーについては、それぞれの連携に関するドキュメントに従ってください。

A. Okta の設定例

注: このセクションの手順は、設定例を示すためのものです。このページに記載されていない IdP の設定について詳しくは、Okta のドキュメントをご覧ください。

別のブラウザータブで、Okta の管理コンソールにログインします。
[アプリケーション] > [アプリケーション] に移動します。[アプリ統合を作成] をクリックし、サインオン方法として [SAML 2.0] を選択します。
[全般設定] ページで、連携しているアプリの名前として Automation Cloud を指定します。
[Configure SAML] ページの [General] セクションに、次のように入力します。
1. シングル・サインオンURL: Automation Cloud から取得したアサーションコンシューマーサービス URL の値を入力します。
2. [Use this for Recipient URL and Destination URL] チェックボックスをオンにします。
3. 対象URI: Automation Cloud から取得したエンティティ ID の値を入力します。
4. 名前 ID のフォーマット: [EmailAddress] を選択します。
5. アプリケーションのユーザー名: [Email] を選択します。
[属性ステートメント] に以下を追加します。
1. 名前: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
2. [名前のフォーマット] は [指定なし] のままにします。
3. [値] を user.email に設定するか、ユーザーの一意のメールアドレスを含むユーザー属性に設定します。
4. 必要に応じて、他の属性マッピングを追加します。Automation Cloud では、姓、名、役職、部門の各ユーザー属性もサポートしています。その後、この情報は Automation Cloud に反映され、Automation Hub など他のサービスで利用できるようになります。
[フィードバック] ページで、好みのオプションを選択します。
[Finish (完了)] をクリックします。
[サインオン] タブの [設定] セクションの [セットアップ方法を表示] で、[Identity Provider metadata URL] の値をコピーし、後で使用するために保存します。
Automation Cloud 用の [アプリケーション] ページで、新たに作成したアプリケーションを選択します。
[割り当て] タブで、[割り当て] > [ユーザーに割り当てる] を選択し、Automation Cloud での SAML 認証の使用を許可するユーザーを選択します。

新たに追加されたユーザーが [People] タブに表示されます。

B. PingOne の設定例

注: このセクションの手順は、設定例を示すためのものです。このページに記載されていない IdP の設定について詳しくは、PingOne のドキュメントをご覧ください。

別のブラウザータブで、PingOne の管理コンソールにログインします。
[Connections] > [Applications] に移動し、プラス記号のアイコン + をクリックします。
[Web App] をクリックし、[SAML] に対して [Configure] をクリックします。
[Create App Profile] ページで Automation Cloud アプリの名前を指定します。
[Configure SAML Connection] ページで [Manually Enter] を選択し、以下の詳細情報を入力します。
- ACS URLs: Automation Cloud から取得したアサーションコンシューマーサービス URL の値を入力します。
- Entity ID: Automation Cloud から取得したエンティティ ID の値を入力します。
- SLO binding: HTTP Redirect
- Assertion Validity Duration: 有効期間の秒数を入力します。
[Save and Continue] をクリックします。
[Map Attributes] ページで、メールアドレスを入力します。
1. [+ Add Attribute] を選択します。
2. [Application Attribute] に http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress と入力します。
3. [Outgoing Value] を [Email Address] のアドレスに設定するか、ユーザーの一意のメールアドレスを含むユーザー属性に設定します。
4. [Required] チェックボックスをオンにします。
5. 必要に応じて、他の属性マッピングを追加します。Automation Cloud では、姓、名、役職、部門の各ユーザー属性もサポートしています。この属性では大文字と小文字が区別されます。その後、この情報は Automation Cloud に反映され、Automation Hub など他のサービスで利用できるようになります。
[Save and Close] をクリックします。
Automation Cloud アプリのトグルをクリックし、アプリケーションを有効化して、ユーザーがアクセスできるようにします。
[Configuration] タブで、後で使用するために [IdP Metadata URL] の値をコピーして保存します。

手順 2.3.Automation Cloud を設定する

ID プロバイダーを認識するサービスプロバイダーとして Automation Cloud を有効化するには、次の手順に従います。

Automation Cloud の [SAML 設定] タブに戻ります。
[全般設定] で以下の手順を行います。
1. [IdP からのデータ] 下の [メタデータ URL] フィールドに、設定時に取得したメタデータ URL を入力します。
2. [データを取得] をクリックします。完了すると、[サインオン URL]、[ID プロバイダーのエンティティ ID]、および [署名証明書] フィールドに IdP の情報が入力されます。
3. 右下の [次へ] をクリックして、次の手順に進みます。
[プロビジョニングの設定] で以下の手順を実行します。
1. [許可されているドメイン] セクションに、ユーザーのサインインを許可するドメインを入力します。設定済みの ID プロバイダーによってサポートされるすべてのドメインを入力します。複数のドメインはコンマで区切ります。
2. メールアドレスが一致するアカウントがリンクされることに同意するチェックボックスをオンにします。
3. [属性マッピング] の下の [表示名] フィールドに、ユーザーの名前として Automation Cloud に表示する IdP の属性を入力します。ここで、姓と名の属性を使用できます。
4. 必要に応じて、残りのフィールドにIdP の属性を入力します。
5. 詳細情報も設定する場合は、右下の [次へ] をクリックして、最後の手順に進みます。
  
  それ以外の場合は、[テストして保存] をクリックして連携の設定を終了し、このセクションの残りの手順はスキップします。
[詳細設定] ページで、必要に応じてオプションを設定します。
- 未承諾の認証応答を許可: IdP ダッシュボードから Automation Cloud に移動できるようにする場合は有効化します。
- SAML バインドの種類: HTTP ユーザーエージェントを介した SAML 構成の通信方法を選択します。URL パラメーターを使用する場合は [HTTP リダイレクト] を選択し、Base64 で内容がエンコードされた HTML フォームを使用する場合は [HTTP post] を使用します。
[テストして保存] をクリックして、連携の設定を終了します。

手順 2.4: 連携が実行中であることを確認する

SAML SSO 連携が正しく機能していることを確認するには、以下の手順を実行します。

シークレットブラウザーウィンドウを開きます。
Automation Cloud の URL に移動します。
以下を確認します。
1. SAML ID プロバイダーでサインインを求められるか。
2. 正常にサインインできるか。
3. 既存のユーザーアカウントと一致するメールアドレスでサインインしている場合、適切な権限を持っているか。

手順 2.5.プロビジョニングルールを設定する (任意)

IdP でクレームを使用すると、クレームをプロビジョニングルールの条件として活用し、ユーザーが Automation Cloud にサインインするときに、適切なライセンスとロールを持つ状態で自動的にプロビジョニングされるようにできます。

プロビジョニングルールは、ユーザーがサインインしたときに評価されます。ユーザーアカウントがルールの条件を満たしている場合、そのユーザーアカウントはルールに関連付けられたグループに自動的に追加されます。

フェーズ 1. プロビジョニンググループを設定する

Automation Cloud でアカウントをグループに追加すると、そのアカウントは、グループに対して定義されたライセンス、ロール、ロボットの設定がある場合はそれらを継承します。

そのため、特定の種類のユーザーを念頭に置いてグループを設定した場合 (たとえば、オートメーションを作成する従業員やオートメーションをテストする従業員など)、IdP でそれらのアカウントを他の類似のアカウントと同じ方法で設定することで、その特定の種類に該当する新しい従業員を Automation Cloud にオンボーディングできます。

つまりグループを一度設定すれば、必要に応じてそのグループにアカウントを追加することで設定を複製できます。また、特定のユーザーグループの設定を変更する必要がある場合でも、グループを 1 回更新するだけでグループ内のすべてのアカウントに変更が適用されます。

プロビジョニングルール用にグループを設定する方法

Automation Cloud に新しいローカルグループを作成します。

新しいグループを作成する代わりに、既存のグループのいずれかを使用することもできます。
(任意かつユーザーライセンス管理が必要) グループのユーザーがユーザーライセンスを必要とする場合は、グループにライセンスの割り当てルールを設定します。

既存のグループを使用している場合は、グループのライセンス割り当てを確認し、適切なライセンスが割り当てられていることを確認します。割り当てが適切でない場合は、割り当てを変更するか、新しいグループを作成します。
テナントロールを割り当て、必要に応じてグループのロボットの設定を完了します。手順については、「ロールをグループに割り当てる」をご覧ください。

既存のグループを使用している場合は、グループに現在割り当てられているロールを確認して、グループに追加するユーザーの種類に適切なロールが割り当てられていることを確認します。適切なロールが割り当てられていない場合は、グループに割り当てられたロールを編集するか、新しいグループを作成します。
必要に応じて、グループをフォルダーに追加し、フォルダーロールを割り当てます。手順については、「フォルダーへのアクセス権を管理する」をご覧ください。

これで、このグループをプロビジョニングルールで使用できます。

フェーズ 2. グループのプロビジョニングルールを作成する

注:

SAML プロビジョニングルールに関連付けられた要求を SAML アプリケーションで設定し、SAML ペイロードに送信されるようにします。

SAML 連携の設定後かつグループの設定後に以下の手順を実行します。

[管理] に移動し、組織を選択して [セキュリティ] を選択します。

組織の [セキュリティ設定] ページが開き、[認証設定] タブが表示されます。
[SAML SSO] オプション下の [プロビジョニングルールを表示] をクリックします。

[SAML SSO プロビジョニングルール] ページが開き、既存のルールが表示されます。
ページの右上隅にある [ルールを追加] をクリックします。

[新しいルールを追加] ページが開きます。
[基本情報] の下の [ルール名] フィールドに入力します。必要に応じて [説明] フィールドにも入力します。
[条件] の下の [ルールを追加] をクリックします。

新しい条件のフィールド行が追加されます。これらのフィールドの組み合わせで、アカウントがグループに追加されるためにサインイン時に満たす必要がある条件を定義します (グループは後で選択)。
[クレーム] フィールドに、IdP に表示されるとおりにクレームの名前を入力します。 ★削除★
フィールドでは大文字と小文字が区別されます。

[リレーションシップ] リストから、クレームと値がどのような条件の組み合わせになるか選択します。次のオプションが利用できます。

Relationship	条件の要件	例
次の値に等しい	完全一致、大文字と小文字が区別される	`Department is RPA` (部署次に等しい RPA) の場合、 `Department` (部署) クレームの値が `RPA` である必要があります。たとえば、値が `RPADev` である場合は条件は満たされません。このリレーションシップは複数の値を持つクレームに対して機能します。たとえば、`administrator` 値と `developer` 値が `Group` クレームの下で送信される場合、`Group is administrator` は有効なリレーションシップです。
次の値に等しくない	指定された値以外、大文字と小文字が区別される	`Department is not ctr` (部署次の値に等しくない ctr) では、`Department` (部署) に値 `ctr` が含まれていない、すべてのアカウントがグループに追加されます。部署が `Ctr` または `electr` である場合は条件が満たされます。
次の値を含む	値を含む、完全一致を必要としない、大文字と小文字が区別される	`Department contains RPA` (部署次の値を含む RPA) は、 `Department` (部署( クレームの値が `RPA` を含む必要があります。たとえば、値が `RPADev`、 `xRPAx`、または`NewRPA` の場合は条件が満たされます。
次の値を含まない	値を含まない、完全一致を必要としない、大文字と小文字が区別される	`Department not contains ctr` (部署次の値を含まない ctr) の場合、`Department` (部署) の値に `ctr` が含まれていない場合は、すべてのアカウントがグループに追加されます。たとえば、部署が `ctr` または `electr` であるアカウントは、グループに追加されません。
次の値に等しい (大文字と小文字を区別しない)	完全一致、大文字と小文字が区別されない	`Department is case insensitive RPA` (部署次の値に等しい (大文字と小文字を区別しない) RPA) は、 `Department` (部署) クレームの値が `rpa` である必要があります。大文字と小文字は区別されません。たとえば、値が `rpa` の場合は条件が満たされます。値が `crpa` である場合は条件は満たされません。
次の値を含む (大文字と小文字を区別しない)	値を含む、完全一致を必要としない、大文字と小文字が区別されない	`Department contains case insensitive RPA` (部署次の値を含む (大文字と小文字を区別しない) RPA) は、 `Department` (部署) クレームの値が `RPA` を含む必要があります。大文字と小文字は区別されません。たとえば、値が `rpa`、 `cRPA`、または`rpA` の場合は条件が満たされます。

[値] フィールドに、条件を満たすために必要な値を入力します。
別の条件を追加する場合は、[ルールを追加] をクリックして新しい条件の行を追加します。

複数の条件を追加した場合、プロビジョニングルールが適用されるには、すべての条件が満たされる必要があります。たとえば、Department is RPA (部署、次の値に等しい、RPA) と Title is Engineer (役職、次の値に等しい、エンジニア) というルールを定義すると、RPA 部に所属し、かつ役職がエンジニアであるユーザーのみが指定したグループに追加されます。部署が RPA で、タイトルが QA であるアカウントは、グループに追加されません。
[グループに割り当て] の下の [グループを追加] ボックスにグループ名を入力し、結果のリストからグループを選択します。必要に応じて、手順を繰り返してさらにグループを追加します。

条件が満たされると、ログイン時にこれらのグループにアカウントが自動的に追加されます。
右下の [保存] をクリックしてルールを追加します。

ルールが設定されている状態で、ユーザーが Automation Cloud にログインした際にそのアカウントがルールで指定した条件を満たしていると、そのアカウントがルールにアタッチされたプロビジョニンググループに追加され、Automation Cloud で使用できるようなります。

サンプル SAML ペイロードフラグメント

<Attribute 
   Name="groups"> 
<AttributeValue 
          xmlns:xs="http://www.w3.org/2001/XMLSchema"
          xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
          xsi:type="xs:string">ProcessAutomation-Developer</AttributeValue><Attribute 
   Name="groups"> 
<AttributeValue 
          xmlns:xs="http://www.w3.org/2001/XMLSchema"
          xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
          xsi:type="xs:string">ProcessAutomation-Developer</AttributeValue>

SAML 属性マッピング

SAML ディレクトリ統合を設定する場合、組織管理者は IdP のどの属性をシステムユーザー属性にマッピングするかを定義できます。その後、ユーザーが SAML ディレクトリ統合を介してログインすると、システムは ACS ペイロードに渡された要求を読み取り、その値を対応するシステム属性にマップします。

たとえば、これが IdP のユーザー構造である場合、組織管理者はこの情報がシステムユーザーオブジェクトに入力されるように属性マッピング設定を次のように設定できます。

{  
    "displayname": "John Doe",  
    "fname": "John",  
    "lname": "Doe",  
    "jobtitle": "Hardware Engineer",  
    "dpt": "Engineering",  
    "city": "Phoenix" 
}{  
    "displayname": "John Doe",  
    "fname": "John",  
    "lname": "Doe",  
    "jobtitle": "Hardware Engineer",  
    "dpt": "Engineering",  
    "city": "Phoenix" 
}

この組織のユーザーが SAML ディレクトリ統合を介してログインすると、ユーザーオブジェクトが更新され、この設定が反映されます。

{  
    "Display Name": "John Doe",  
    "First Name": "John",  
    "Last Name": "Doe",  
    "Job Title": "Hardware Engineer",  
    "Department": "Engineering",  
    "City": "Phoenix" 
}{  
    "Display Name": "John Doe",  
    "First Name": "John",  
    "Last Name": "Doe",  
    "Job Title": "Hardware Engineer",  
    "Department": "Engineering",  
    "City": "Phoenix" 
}

注:

IdP は、ACS ペイロードでこれらの要求を渡すように構成する必要があります。

IdP で設定された属性名が、組織管理者ポータルの属性マッピング設定と一致していることを確認します。

手順 3: ユーザーを SAML SSO に移行する

必ず Automation Cloud の組織固有の URL をすべてのユーザーに送り、以下の手順に従ってください。 [組織設定] で組織 URL を確認できるのは組織管理者のみです。

SAML SSO を使用して Automation Cloud にサインインするには、以下の手順を実行します。

組織固有の URL に移動します。URL は組織 ID を含み、スラッシュで終る必要があります (例: https://cloud.uipath.com/orgID/)。
https://cloud.uipath.com に移動します。ログインページで [SSO で続行] を選択し、組織固有の URL を指定します。

注:

SAML 連携に切り替えると、Azure AD 連携は無効化されます。Azure AD グループの割り当ては適用されなくなるため、Azure AD から継承された Automation Cloud グループメンバーシップと権限は考慮されなくなります。

SAML SSO を使用して UiPath Studio と UiPath Assistant にサインインするには、Assistant を以下のように設定する必要があります。

Assistant で [設定] を開き、[Orchestrator への接続] タブを選択します。
[サインアウト] をクリックします。
接続の種類として [サービス URL] を選択します。
[サービス URL] フィールドに組織固有の URL を入力します。

URL は組織 ID を含んでいて、スラッシュで終わっている必要があります (例: https://cloud.uipath.com/orgID/)。そうでないと、ユーザーが組織に属していないというメッセージが表示され、接続が失敗します。
SAML SSO でサインインし直します。

ステップ4.権限とロボットを設定する

この手順は、連携を有効化したときに、これまで Automation Cloud を使用したことがないため Automation Cloud でローカルアカウントが設定されていない新しいユーザーにのみ必要となります。

新しいユーザーは、外部 IdP で使用されたメールアドレスによって Automation Cloud グループに追加できます。ユーザーがグループに割り当てられるか、ユーザーがサインインすると、Automation Cloud のすべてのサービスでユーザーを検索してロールを割り当てられるようになります。

ステップ5.ローカルアカウントの使用を中止する (任意)

すべてのユーザーが SAML SSO に移行し、新しいユーザーが設定されたら、管理者アカウント以外のすべてのローカルユーザーアカウントを削除することをお勧めします。これにより、そのユーザーはローカルアカウントの資格情報でサインインできなくなり、SAML SSO でサインインしなければならなくなります。

ローカルユーザーアカウントは、ユーザーアイコンに基づいて識別できます。

ローカルアカウントの使用中止に関する考慮事項

Automation Cloud で認証設定を管理する

SAML 連携に問題がある場合 (期限切れの証明書の更新など)、または別の認証設定に切り替える場合は、Oganization Administrator ロールを持つローカルユーザーアカウントの使用をお勧めします。

API アクセス

サービスへの API 呼び出しを行うときに [API アクセス] ([管理] > [テナント] ページ) をクリックして取得した情報を使用するプロセスがある場合は、UiPath アカウントが必要です。SAML SSO アカウントでログインした場合はこのボタンを使用できないからです。代替策として、OAuth による認可に切り替えれば、API アクセスによる情報は不要になります。

トラブルシューティング

[ユーザーのログインに失敗しました。(#216)] というエラーが発生する場合、SAML ID プロバイダーの設定にメールアドレスのマッピングが含まれていない可能性があります。

SAML クレームは http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress のように指定されている必要があり、値には有効なメールアドレスが必要です。

Azure AD で SAML SSO を設定する

Azure portal を使用して、Azure AD テナントに追加したエンタープライズアプリケーションの SSO を有効にすることができます。

SSO を構成すると、ユーザーは Azure AD 資格情報を使用してサインインできます。

重要:

If your users are in Azure AD but cannot use the Azure AD integration instructions to configure AAD to your UiPath® organization, configuring AAD as a SAML-based IdP may be an option.

これは、すべての UiPath アプリケーションユーザーに対して、ユーザーの詳細とグループメンバーシップを読み取る権限の付与に関する制限があるためです。

アプリケーションに対して SAML SSO を有効化する

前提条件に記載されているロールのいずれかを使用して Azure Portal にログインします。
Azure AD に移動し、[ Enterprise applications] を選択します。

[ すべてのアプリケーション ] ページが開き、Azure AD テナント内のアプリケーションの一覧が表示されます。

使用するアプリケーションを検索して選択します。 ( 例: UiPath)。

注:
SSO 用のアプリケーションを作成するには、このセクションの手順に従います。
[ 管理 ] セクションの左側のサイドバーから [ シングルサインオン ] を選択して、 SSO 編集 ページを開きます。
[SAML] を選択して SSO 構成 ページを開きます。

アプリケーションの構成が完了すると、ユーザーは Azure AD テナントの資格情報を使用してアプリケーションにサインインできます。
[ 基本的な SAML 構成 ] セクションの [ 編集] をクリックします。
UiPath ポータルの SAML 構成設定で入力した値に基づいて、[ エンティティ ID ] フィールドと [ アサーションコンシューマーサービス (ACS) URL] フィールドに入力します。
[保存] をクリックします。
注:
UiPath では、SAML ID プロバイダーによって送信されるクレームとして、http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress または http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn のいずれかが必要です。

両方の要求が ACS ペイロードで送信されると、UiPath 側では http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress クレームが優先されます。

既定では、Azure AD のアプリケーションは http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress クレームを送信するように設定されており、値としてユーザーのメールアドレスが使用されます。

Azure AD のディレクトリ連携からの切り替え、または Azure AD ディレクトリ連携への切り替えを予定している場合は、次の点に注意してください。
- 優先順位付けされた要求で渡される値は、UiPath によって一意の識別子として使用され、既存のローカルユーザーを (ローカルユーザーのメールアドレスを使用して) Azure AD のこのディレクトリユーザーにリンクするために使用されます。
- Azure AD と SAML ディレクトリの連携をスムーズに切り替えられるよう、適切なユーザー値を使用して、これら両方の要求を渡すことをお勧めします。
  
  設定例を次に示します。
[アプリのフェデレーションメタデータ URL] をコピーします。
UiPath Administration ポータルに移動し、[SAML 構成] ページに移動します。
[ メタデータ URL ] フィールドに [ アプリのフェデレーションメタデータ URL ] を貼り付けます。
[ データの取得 ] をクリックして、システムがユーザー関連の情報を ID プロバイダーに要求するようにします。

UiPath への自動プロビジョニングの要求を設定する

前提条件に記載されているロールのいずれかを使用して Azure Portal にログインします。
Azure AD に移動し、[ Enterprise applications] を選択します。

[ すべてのアプリケーション ] ページが開き、Azure AD テナント内のアプリケーションの一覧が表示されます。

使用するアプリケーションを検索して選択します。 ( 例: UiPath)。

注:
SSO 用のアプリケーションを作成するには、このセクションの手順に従います。
[ 管理 ] セクションの左側のサイドバーから [ シングルサインオン ] を選択して、 SSO 編集 ページを開きます。
SSO 編集 ページの [ Attributes & Claims ] セクションで [ Edit ] をクリックします。
[ グループ要求を追加 ] をクリックして、UiPath に送信するグループを構成します。

注:
高度な構成を設定するには、[ 詳細設定 ] ドロップダウンから選択します。
[保存] をクリックします。
設定を完了するには、公開ドキュメントの「手順 2.5 プロビジョニングルールを設定する (任意)」の手順に従います。

注:

顧客が UPN の使用を希望する場合は、[ Attributes & Claims ] セクションに移動して、 emailaddress 属性の値を変更できます。

SSO 用のアプリケーションを作成する

前提条件に記載されているロールのいずれかを使用して Azure Portal にログインします。
Azure AD に移動し、[Enterprise アプリケーション] を選択します。[すべてのアプリケーション] ページが開き、Azure AD テナント内のアプリケーションの一覧が表示されます。
[新しいアプリケーション] > [独自のアプリケーションの作成] をクリックします。
アプリケーションに名前を付けます (例: UiPath)。
[Integrate any other application that you don't find in the gallery (Non-gallery)] を選択します。
[作成] をクリックします。