Automation Cloud および Automation Cloud (公共部門向け) の Microsoft Entra ID 連携

この手順は、Automation Cloud および Automation Cloud (公共部門向け) にのみ適用されます。

基本情報

メリット

Microsoft Entra ID を UiPath と連携させると、次のようなメリットがあります。

• シングル サインオン (SSO): ユーザーが Microsoft Entra ID の資格情報を使用して組織にアクセスできるようにします。
• ユーザー管理の簡素化: Microsoft Entra ID の既存のユーザーとグループを使用してアクセス権を管理できます。
• セキュリティの強化: Microsoft Entra ID の多要素認証、条件付きアクセス、特権 ID 管理などの機能を適用できます。
• シームレスな移行: メール アドレスが一致する限り、中断なしにローカル アカウントから移行できます。

制限事項と考慮事項

Microsoft Entra ID 連携を使用する場合は、以下の制限事項に注意してください。

• UiPath では、Microsoft Azure 商用クラウドの Microsoft Entra ID サービスとの連携のみがサポートされます。Microsoft Azure Government クラウドの Microsoft Entra ID はサポートされません。

• 連携でアクセス スコープとして委任されたアクセスのみを使用する場合、Microsoft Entra ID でディレクトリを評価する際にユーザーが存在する必要があります。無人オートメーションと個人用アクセス トークンはユーザーが存在しなくても実行されるため、以下の制限が適用されます。

  • Microsoft Entra ID ディレクトリ ユーザーは、無人オートメーションの実行時や個人用アクセス トークンの使用時に、グループベースの権限を継承できません。
  • 組織へのアクセスが Microsoft Entra ID グループを介して制限されている場合、Unattended ロボットはユーザーの代わりに組織にアクセスすることはできません。

  アプリ専用の権限を付与せずにこれらの制限を回避するには、Microsoft Entra ID の設定で [ グループ メンバーシップの確認にキャッシュされたユーザー トークンを使用 ] を有効化します。この機能を利用できるかどうかは、使用しているクラウド プラットフォームによって異なります。詳しくは、「 利用可能な機能」 のページ、「 キャッシュされたユーザー トークンをグループ メンバーシップのチェックに使用する 」の行をご覧ください。

• ユーザー アカウント管理: ディレクトリ ユーザーとグループは Microsoft Entra ID でのみ管理できます。これらのアカウントは、検索時または権限を割り当てたときにのみ組織に表示されます。

• アプリケーションのカスタム キー: Microsoft Entra ID との連携では OIDC プロトコルが使用されますが、 appid クエリ パラメーターを介して渡されるアプリケーションのカスタム キーはサポートされていません。詳しくは、 こちらで Microsoft のアクセス トークンに関するドキュメントをご覧ください。

• ローカルの UiPath グループに、Microsoft Entra ID ディレクトリ グループと同じ名前を付けてはなりません。これを行うと、権限の評価とグループベースのアクセスの割り当てで競合が発生する可能性があります。

はじめる前に

Microsoft Entra ID 連携を設定する前に、以下があることを確認してください。

• Enterprise ライセンス (Standard ティアまたは Enterprise ティアのいずれか) を持つ組織
• 以下のライセンス要件のいずれかを満たす組織:
  • ユニファイド プライシング: Enterprise プランまたは Standard プランが必要です。
  • フレックス: Enterprise プラン (Standard ティアまたは Enterprise ティアのいずれか) が必要です。
• 組織の管理者権限
• 以下のいずれかのロールを持つ Microsoft Entra ID 管理者との連携。
  • クラウド アプリケーション管理者
  • アプリケーション管理者
  • Microsoft Entra ID アプリケーションに対して管理者の同意を付与できる任意のロール
• UiPath の管理者アカウントと同じメール アドレスを使用する Microsoft Entra ID アカウント (テスト用)
• プロダクト ライフサイクルのドキュメントに規定されている UiPath Studio および Assistant のサポート対象バージョン。

手順 1: アカウントのリンクのために組織を準備する

Microsoft Entra ID との連携を有効化すると、UiPath はメール アドレスが一致するアカウントを自動的にリンクします。ユーザーが Microsoft Entra ID を使用して初めてサインインすると、UiPath によってディレクトリ ユーザー アカウントが作成され、対応するローカル アカウントと同じ権限が割り当てられます。

重要:

Microsoft Entra ID との連携を有効化する前に、非アクティブなユーザーを組織から削除してください。これにより、これらのメール アドレスが組織内の別のユーザーに再割り当てされた場合に、権限がエスカレーションされるのを防ぐことができます。

手順 2: Microsoft Entra ID 連携を設定する

注:

利用可能な機能は、使用するクラウド プラットフォームによって異なります。詳しくは、「 機能の提供状況」をご覧ください。

この Microsoft Entra ID との連携では、OAuth 2.0 認可コード付与フローと OAuth 2.0 クライアント資格情報フローを組み合わせて使用して、委任されたアクセスとアプリ専用アクセスの両方のモデルがサポートされています。

Microsoft Entra との連携を設定すると、UiPath で以下の操作が可能になります。

• Microsoft Entra ID の資格情報を使用してユーザーをサインインさせます。
• Microsoft Entra ID ディレクトリからユーザー プロファイルとグループ メンバーシップを読み取ります。
• Microsoft Entra ID グループの割り当てに基づいてアクセス制御を適用します。

Microsoft Entra ID と連携するには、Microsoft Entra ID テナント内の組織を表す Microsoft Entra ID アプリケーションをセットアップする必要があります。

設定方法

Microsoft Entra ID と連携するには、Microsoft Entra ID テナント内の組織を表す Microsoft Entra ID アプリケーションを構成する必要があります。

以下のいずれかの設定方法を選択できます。

• (推奨) 自動セットアップ: UiPath で管理される Microsoft Entra ID アプリケーション (マルチテナント モデル) を使用すると、次のようなメリットがあります。
  • 管理すべきシークレットや証明書はありません。
  • 迅速かつ確実にセットアップできます。
  • UiPath が Microsoft Entra ID アプリケーションを管理します。
• カスタム Microsoft Entra ID アプリケーションの登録による手動セットアップ: 独自の Microsoft Entra ID アプリケーションを使用し、その構成を手動で管理します。以下の点にご注意ください。
  • アプリケーションの資格情報を作成および管理する必要があります。
  • 資格情報には有効期限があるため、定期的な更新が必要です。
  • 有効期限が切れる前に資格情報が更新されない場合、ユーザーはサインインできません。

以下のアクセス スコープのいずれかを選択できます。

• 委任されたアプリ専用アクセス (推奨): ユーザーが存在するときと、無人オートメーションやサービス間 (S2S) のシナリオなどのオフラインのシナリオの両方で、UiPath サービスがグループ メンバーシップを評価できるようにします。
• 委任されたアクセス: グループの評価を対話型セッションに限定します。権限は、ユーザーがアクティブにサインインしている場合にのみ検証できます。

UiPath で管理される Microsoft Entra ID アプリケーションについて

UiPath は、事前登録されたマルチテナントの Microsoft Entra ID アプリケーションを使用します。これにより、独自のアプリケーション登録と資格情報を作成および維持する必要がなくなります。このアプリケーションの詳細は次のとおりです。

• 名前: UiPath Entra ID 連携
• クライアント ID: 4ca9aa42-b0ea-4ceb-b2b1-17fa40827280
• アプリケーション スコープ:
  • Entra ID: email、openid、profile、GroupMember.Read.All、User.Read、User.ReadBasic.All、User.Read.All (任意)
  • CMK Entra ID 連携: email、openid、profile、offline access
• リダイレクト URI:
  • https://cloud.uipath.com/portal/grant-consent
  • https://govcloud.uipath.us/portal/grant-consent
• 同意 URL (管理者の承認用): 「 管理者の承認が必要です」 というメッセージが表示された場合、Microsoft Entra ID 管理者は、次のいずれかの URL に移動して、テナント全体の同意を付与できます。
  • 委任されたアクセスとアプリ専用アクセス (マルチテナント): https://login.microsoftonline.com/organizations/v2.0/adminconsent?client_id=4ca9aa42-b0ea-4ceb-b2b1-17fa40827280&redirect_uri=https%3A%2F%2Fcloud.uipath.com%2Fportal_%2Fgrant-consent&state=1234&scope=https://graph.microsoft.com/.default
  • 委任されたアクセスとアプリ専用アクセス (シングルテナント): https://login.microsoftonline.com/{TENANT_ID}/v2.0/adminconsent?client_id={APPLICATION_ID}&redirect_uri=https%3A%2F%2Fcloud.uipath.com%2Fportal_%2Fgrant-consent&state=1234&scope=https://graph.microsoft.com/.default
  • Delegated access (マルチテナント): https://login.microsoftonline.com/common/oauth2/v2.0/authorize?scope=email+GroupMember.Read.All+openid+profile+User.Read+User.ReadBasic.All&prompt=select_account&response_type=code&redirect_uri=https%3A%2F%2Fcloud.uipath.com%2Fportal_%2Fgrant-consent&client_id=4ca9aa42-b0ea-4ceb-b2b1-17fa40827280&state=1234
  • 委任されたアクセス (単一テナント): https://login.microsoftonline.com/{TENANT_ID}/oauth2/v2.0/authorize?scope=email+GroupMember.Read.All+openid+profile+User.Read+User.ReadBasic.All&prompt=select_account&response_type=code&redirect_uri=https%3A%2F%2Fcloud.uipath.com%2Fportal_%2Ftestconnection&state=1234&client_id={APPLICATION_ID}
  注:

  単一テナント構成の場合は、 {TENANT_ID} をディレクトリ (テナント) ID に、 {APPLICATION_ID} をアプリケーション (クライアント) ID に置き換えます。

キャッシュされたユーザー トークンをグループ メンバーシップのチェックに使用する

注:

この機能を利用できるかどうかは、使用しているクラウド プラットフォームによって異なります。詳しくは、「 利用可能な機能」 のページ、「 キャッシュされたユーザー トークンをグループ メンバーシップのチェックに使用する 」の行をご覧ください。

[Delegated access] スコープを選択した場合、Microsoft Entra ID を使用するには、ディレクトリの評価時にユーザーが存在する必要があります。このため、無人オートメーションやサービス間 (S2S) のシナリオなど、ユーザーがサインインしていないときは、グループ メンバーシップを解決できません。

アプリ専用の権限を付与せずにこれらのシナリオをサポートするには、[無人 オートメーションでのグループ メンバーシップの確認にキャッシュされたユーザー トークンを使用] を選択します。このオプションを有効化すると、無人オートメーションや、ユーザーがアクティブにサインインしていない S2S シナリオにおいて、UiPath はユーザーの最新の Microsoft Entra ID アクセス トークンと更新トークンを再利用してグループ メンバーシップを評価します。その結果、アプリ専用の権限を必要とせずに、[ 委任されたアプリのみのアクセス スコープ] と同等のカバレッジが得られます。

このオプションは、[ Delegated access scope] が選択されている場合にのみ表示されます。委任されたアプリ専用アクセス スコープでは不要です。無人および S2S のシナリオにおけるグループ メンバーシップの解決は、既にアプリケーションの権限によって処理されています。

既定の動作

このオプションの既定のステートは、ディレクトリ接続が新規か既存かによって異なります。

• 新しいディレクトリ接続: 既定で選択されています。オプトアウトするには、チェックボックスをオフにします。
• 既存のディレクトリ接続: 既定でクリアされています。設定ページを開き、チェックボックスをオンにしてオプトインします。

トークンの有効期限

UiPath は、キャッシュされたアクセス トークンを有効期限まで使用し、キャッシュされた更新トークンを使用して新しいアクセス トークンを取得します。アクセス トークンと更新トークンの両方の有効期限が切れると、UiPath はユーザーに代わって Microsoft Entra ID を照会できなくなり、そのユーザーのグループ メンバーシップの結果が不完全になる可能性があります。完全な結果を復元するには、メイン ログイン ページで [ Enterprise SSO で続行 ] を選択するか、組織固有の URL に移動して、再度サインインする必要があります。次回のサインインではキャッシュされたトークンが更新され、その後のグループ メンバーシップ チェックでは完全な結果が返されます。

条件付きアクセス ポリシーに関する考慮事項

キャッシュされたユーザー トークン機能では、Microsoft Entra ID の条件付きアクセスはバイパスされません。UiPath は、ユーザーが対話型サインインによって既に取得したトークンのみを再利用できます。条件付きアクセス ポリシーによってキャッシュされたトークンを更新できない場合、ユーザーが [Enterprise SSO で続行 ] を使用して再度サインインし、該当するすべての条件付きアクセス ポリシーを満たすまで、そのユーザーのグループ メンバーシップの結果が不完全になる可能性があります。

キャッシュされたトークンに最も影響を与える可能性が高いポリシーのカテゴリは次のとおりです。

• サインインの頻度: ポリシーでユーザーが短い間隔で再認証する必要がある場合、その間隔を超えると、キャッシュされた更新トークンは拒否されます。
• トークン更新時の多要素認証: 更新要求は非対話型であり、ユーザーに MFA の入力を求めることはできません。トークンを更新するたびに MFA を要求するポリシーは、このフローで失敗します。
• リスクベースのポリシーと継続的アクセス評価(CAE):ユーザー、デバイス、またはセッションのリスクの変化に基づいて、アクティブなトークンをいつでも取り消すことができます。

セキュリティ体制を弱めることなく干渉を最小限に抑えるには、以下を行います。

• 無人オートメーションを実行するユーザーの場合は、サインインの頻度の要件と、頻繁な再認証による運用への影響のバランスを取ります。
• MFA 要件は、トークンの更新時ではなく、対話型サインイン時に適用します。
• Clear Cached Entra ID User Token 監査イベントを監視します。同じユーザーが頻繁に発生する場合は、通常、条件付きアクセス ポリシーによってトークンの更新が妨げられていることを示します。詳しくは、「 監査イベント」をご覧ください。

監査イベント

UiPath は、キャッシュされたユーザー トークンに関連する 2 つの監査イベントを出力します。これらを使用して、グループ メンバーシップの結果が不完全になる可能性がある場合や、アクセスが復元された場合を追跡します。

イベント	放出されるとき
Entra ID のユーザー トークンのキャッシュ	Microsoft Entra ID トークンは、以前はトークンを持っていなかったユーザーに対してキャッシュされます。これは通常、ユーザーが以前にキャッシュされたトークンがクリアされた後に 、[Enterprise SSO で続行 ] を使用してサインインしたときに発生します。このイベントは、ユーザーの後続のグループ メンバーシップ チェックで完全な結果が返されることを確認します。
キャッシュされた Entra ID のユーザー トークンのクリア	Microsoft Entra ID によってトークンの更新が拒否され、キャッシュされたトークンを使用できなくなるため、ユーザーのキャッシュされた Microsoft Entra ID トークンは削除されます。これは通常、両方のトークンの有効期限が切れた場合、更新トークンが取り消された場合、または条件付きアクセス ポリシーによって更新が禁止された場合に発生します。このイベントの後、ユーザーが [Enterprise SSO で続行] を使用して再度サインインするまで、ユーザーのグループ メンバーシップの結果が不完全な場合があります。

UiPath で管理される Microsoft Entra ID アプリケーションを使用した自動セットアップ (推奨)

UiPath で管理されるアプリケーションを使用して Microsoft ID との連携を設定するには、組織での設定を完了する前に、Microsoft Entra ID 管理者の同意を得る必要があります。

設定を簡素化し、シークレットや証明書の管理を避けたい場合は、この方法を使用します。UiPath では、ほとんどの組織にこのアプローチを推奨しています。

1. Microsoft Entra ID の同意を付与する

以下のいずれかの URL に移動してサインインし、Microsoft Entra ID 管理者に同意を付与してもらいます。サインインの際に、管理者は [組織の代理として同意する] を選択してから [承諾] を選択する必要があります。

組織で構成する予定のアクセス スコープに対応する URL を使用します。

注:

お使いの Microsoft Entra ID テナントで同意要求が許可されている場合、組織管理者はこれらの URL を使用して同意要求をトリガーできます。この場合、設定を続行するには、Microsoft Entra ID 管理者がリクエストを承認する必要があります。

• 委任されたアクセスとアプリ専用アクセス (推奨)
  • マルチテナント: https://login.microsoftonline.com/organizations/v2.0/adminconsent?client_id=4ca9aa42-b0ea-4ceb-b2b1-17fa40827280&redirect_uri=https%3A%2F%2Fcloud.uipath.com%2Fportal_%2Fgrant-consent&state=1234&scope=https://graph.microsoft.com/.default
  • 単一テナント: https://login.microsoftonline.com/{TENANT_ID}/v2.0/adminconsent?client_id={APPLICATION_ID}&redirect_uri=https%3A%2F%2Fcloud.uipath.com%2Fportal_%2Fgrant-consent&state=1234&scope=https://graph.microsoft.com/.default
• 委任されたアクセスのみ
  • マルチテナント: https://login.microsoftonline.com/common/oauth2/v2.0/authorize?scope=email+GroupMember.Read.All+openid+profile+User.Read+User.ReadBasic.All&prompt=select_account&response_type=code&redirect_uri=https%3A%2F%2Fcloud.uipath.com%2Fportal_%2Fgrant-consent&client_id=4ca9aa42-b0ea-4ceb-b2b1-17fa40827280&state=1234
  • 単一テナント: https://login.microsoftonline.com/{TENANT_ID}/oauth2/v2.0/authorize?scope=email+GroupMember.Read.All+openid+profile+User.Read+User.ReadBasic.All&prompt=select_account&response_type=code&redirect_uri=https%3A%2F%2Fcloud.uipath.com%2Fportal_%2Ftestconnection&state=1234&client_id={APPLICATION_ID}

単一テナント構成の場合は、 {TENANT_ID} をディレクトリ (テナント) ID に、 {APPLICATION_ID} をアプリケーション (クライアント) ID に置き換えます。

委任されたアクセスとアプリ専用アクセスに同意した後、Microsoft Entra ID 管理者は、ディレクトリ (テナント) ID の値を共有する必要があります。この値は、設定を完了するために必要です。

2. 組織内で連携を設定する

組織管理者として、以下の手順で設定を完了します。

1. 組織で、[ 管理] > [セキュリティ] > [認証設定] > [ディレクトリ連携とシングル サインオン (SSO)] に移動します。
2. [Microsoft Entra ID] を選択します。
3. [UiPath で管理されるマルチテナント アプリケーション (推奨)] を選択します。
4. 同意が付与されたアクセス範囲を選択します。
   • 委任されたアプリ専用アクセス (推奨): 無人オートメーションやサービス間 (S2S) のシナリオを含む、グループを完全に評価できます。
   • 委任されたアクセス: 評価を、ユーザーが存在するセッションに限定します。
   注:

   委任されたアクセスとアプリ専用アクセスは、Automation Cloud でのみ利用可能です。機能の可用性について詳しくは、「機能の可用性」をご覧ください。

5. [Delegated access] を選択した場合は、[無人オートメーションのグループ メンバーシップのチェックにキャッシュされたユーザー トークンを使用します。] オプションが表示されます。グループ メンバーシップの評価を、キャッシュされた Microsoft Entra ID トークンを使用する 無人オートメーションや S2S シナリオにまで拡大するには、このタブを選択します。このオプションを有効化すると、 委任アクセス は、アプリ専用の権限を必要とせずに、 委任されたアクセスやアプリのみのアクセス と同等のカバレッジを提供します。詳細については、「 グループ メンバーシップのチェックにキャッシュされたユーザー トークンを使用する」を参照してください。
6. [委任されたアクセスとアプリ専用アクセス] を選択した場合は、[ディレクトリ (テナント) ID] に、Microsoft Entra ID 管理者から提供された ID を入力します。
7. [既存のユーザーと Microsoft Entra ID ユーザーのメール アドレスが一致する場合は、それぞれのアカウントがリンクされることを理解し、それに同意します。] をオンにします。
8. [保存] を選択して連携をアクティブ化します。

アクティベーションに成功すれば、連携は正しく設定されています。アクティブ化に失敗した場合は、同意が正しく付与されたことを確認してから、もう一度やり直してください。

注:

Automation Hub を使用していて、Microsoft Entra ID の [市区町村]、[ 役職]、[ 部署 ] フィールドにデータを入力する場合は、追加の権限をリクエストしてください。必要なスコープを含む 管理者特権の管理者同意 URL を使用して、管理者の同意を付与するよう Microsoft Entra ID 管理者に依頼してください。

カスタム Microsoft Entra ID アプリケーションの登録による手動セットアップ

UiPath で管理されるマルチテナント アプリケーションを使用する代わりに、独自の Microsoft Entra ID アプリケーションを設定する場合は、次の手順を実行します。このオプションでは、自身の資格情報を管理し、長期にわたって保持する必要があります。

重要:

手動設定で作成された資格情報は、定期的に期限切れになります。サービスの中断を避けるため、期限切れになる前に資格情報を更新する必要があります。この運用オーバーヘッドを削減するには、UiPath で管理される Entra ID アプリケーションを使用した自動セットアップの使用を検討してください。

Microsoft Entra ID を設定する

Microsoft Entra ID 管理者は、PowerShell スクリプトまたは Microsoft Entra 管理センターを使用してアプリケーションを設定できます。

オプション A: PowerShell スクリプトを使用する

手動設定を最小限に抑えてセットアップ プロセスを自動化するには、次の手順を実行します。

1. Microsoft Entra ID の構成スクリプトをダウンロードします。

2. configAzureADconnection.ps1 を実行して Entra テナントを自動的にセットアップします。

3. testAzureADappRegistration.ps1 を実行して設定を確認します。

   オプション B: Microsoft Entra 管理センターを使用する

   ユーザー インターフェイスを使用して手動でアプリケーションの登録を設定する場合は、以下の手順を実行します。

4. アプリの登録を作成します。

   1. Microsoft Entra 管理センター > [アプリの登録] > [新規登録] に移動します。
   2. 使用する名前を設定します。
   3. [この組織ディレクトリのみに含まれるアカウント] を選択します。
   4. [リダイレクト URI] でプラットフォームのリダイレクト URI を設定します。
      • https://cloud.uipath.com/identity_/signin-oidc
      • https://govcloud.uipath.us/identity_/signin-oidc

5. 認証を設定します。

   1. [認証] に移動します。
   2. 使用しているプラットフォームの次のリダイレクト URI を追加します。
      • https://cloud.uipath.com/portal_/testconnection
      • https://govcloud.uipath.us/portal_/testconnection
   3. [ 暗黙的な許可フローとハイブリッド フロー] で [ ID トークン] を選択します。この連携では、 Microsoft ハイブリッド フローを活用します。
   4. 変更を保存します。

6. トークン要求を追加します。

   1. [トークン構成] > [省略可能な要求を追加] に移動します。
   2. トークンの種類として [ID] を選択します。
   3. [family_name]、[given_name]、[upn] の各要求を選択します。

   これらの要求は、サインイン時にユーザー情報を更新するために使用されます。

   4. 変更を保存します。

7. API のアクセス許可を設定します。

   1. [API のアクセス許可] > [権限を追加] に移動します。
   2. [Microsoft Graph] を選択します。
   3. [アプリケーションに必要なアクセス許可の種類] の下で、設定する UiPath のアクセス スコープに基づくアクセス許可の種類を選択します。アクセス許可を選択する前に、以下のことを考慮に入れておいてください。

      • 設定できるのは委任されたアクセス許可のみですが、委任されたアクセス許可とアプリケーションのアクセス許可を組み合わせて使用することをお勧めします。

      • 以下の表に、設定する各アクセス スコープに必要なアクセス許可のリストを示します。一部のアクセス許可は両方のリストに表示されていますが、アクセス許可の種類が異なるため、別々に追加する必要があります。

        注:

        Automation Hub で City、Job Title、Department などのプロパティを使用するには、User.Read.All 権限が必要です。

        • Automation Cloud の場合: 設定するアクセス範囲に関係なく、[ 委任された 権限] メニューから以下の権限を追加する必要があります。

          Microsoft Entra ID のアクセス許可	権限の種類	目的
          email、openid、profile、offline_access、User.Read	委任されたアクセス許可	ユーザーが Microsoft Entra ID でサインインできるようにし、Automation Cloud が認可要求でクレームを取得できるようにします。
          User.ReadBasic.All または User.Read.All	委任されたアクセス許可	Automation Cloud が Microsoft Entra ID 内のユーザーを検索し、権限を割り当てて、ユーザー属性を最新の状態に保つことを許可します。
          GroupMember.Read.All	委任されたアクセス許可	Automation Cloud がグループ メンバーシップを評価し、ディレクトリ グループベースのアクセス制御を適用できるようにします。

      • [委任されたアクセスとアプリ専用アクセス] のスコープを設定する場合は、[アプリケーション] のアクセス許可メニューから以下のアクセス許可も追加する必要があります。

        Microsoft Entra ID のアクセス許可	権限の種類	目的
        User.ReadBasic.All または User.Read.All	アプリケーション	Automation Cloud が Microsoft Entra ID 内のユーザーを検索し、権限を割り当てて、無人オートメーションでユーザー属性を最新の状態に保つことを許可します。
        GroupMember.Read.All	アプリケーション	Automation Cloud がグループ メンバーシップを評価し、無人オートメーションにディレクトリ グループベースのアクセス制御を適用できるようにします。

      • Automation Cloud (公共部門向け) の場合は、以下の権限を使用します。

        • OpenID 権限: email、openid、offline_access、profile
        • ユーザー権限: User.Read、User.ReadBasic.All、User.Read.All
        • グループ権限: GroupMember.Read.All
   4. [(組織) に管理者の同意を与えます] を選択します。この手順により、アプリケーションはすべてのユーザーのデータにアクセスでき、個別の同意プロンプトは必要ありません。詳しくは、Microsoft のドキュメントをご覧ください。

8. 認証情報を作成します。クライアント シークレットまたは証明書を使用できます。

   • クライアント シークレットを作成するには、以下の手順を実行します。
     1. [証明書とシークレット] に移動します。
     2. [新しいクライアント シークレット] を選択して、シークレット値を保存します。
   • 証明書を作成するには、以下の手順を実行します。
     1. 新しいタブを開き、[Azure Key Vault] に移動します。
     2. 証明書を作成します。
        • サブジェクト: CN=uipath.com
        • コンテンツの種類: PEM
        • 最大サイズ: 10 KB 未満
     3. Download the certificate in .pem format. The downloaded file contains two sections: a BEGIN PRIVATE KEY/END PRIVATE KEY section containing the private key, and a BEGIN CERTIFICATE/END CERTIFICATE section containing the public certificate.
     4. Open the .pem file in a text editor and copy only the section between BEGIN CERTIFICATE and END CERTIFICATE, including those header and footer lines.
     5. Create a new .pem file that contains only the certificate section copied in the previous step.
     6. In the Microsoft Entra admin center, go to Certificates & secrets, and upload the certificate-only .pem file created in step 5. Microsoft Entra ID requires only the public certificate for this upload — do not upload the complete .pem file that includes the private key.
     7. Keep the original .pem file downloaded in step 3. The Automation Cloud configuration requires the complete PEM content, including both the BEGIN PRIVATE KEY/END PRIVATE KEY and BEGIN CERTIFICATE/END CERTIFICATE sections. Do not use the certificate-only file created in step 5 for this purpose.
     警告:

     Using the certificate-only file (from step 5) when configuring Automation Cloud causes authentication failures. The connection test fails with no error message indicating a certificate format issue. Use the original .pem file downloaded from Azure Key Vault, which contains both the private key and the certificate.

     注:

     ほとんどの資格情報の種類は最終的に期限切れになります。ユーザー サインインの問題を回避するには、資格情報の有効期限が切れる前に設定を更新してください。このオーバーヘッドを回避するには、 UiPath で管理される Microsoft Entra ID アプリケーションによる自動セットアップを使用します。

9. 連携に関する以下の詳細情報を収集し、組織管理者と共有します。

   • アプリケーション (クライアント) ID
   • ディレクトリ (テナント) ID
   • クライアント シークレットまたは証明書

組織で連携をアクティブ化する

組織管理者は、Microsoft Entra ID 管理者から提供された値を使用し、以下の手順を実行して組織での設定を完了します。

1. [管理] > [セキュリティ] > [認証設定] > [ディレクトリ連携とシングル サインオン (SSO)] に移動します。
2. [Microsoft Entra ID] を選択します。
3. [カスタム アプリケーション登録 ID とシークレット] を選択します。
4. 目的のアクセス スコープを選択します。
   • Delegated and app-only access (Recommended ): 無人オートメーションやサービス間 (S2S) のシナリオなど、グループを完全に評価できます。
   • 委任されたアクセス: 評価を、ユーザーが存在するセッションに限定します。
5. [Delegated access] を選択した場合は、[無人オートメーションのグループ メンバーシップのチェックにキャッシュされたユーザー トークンを使用します。] オプションが表示されます。グループ メンバーシップの評価を、キャッシュされた Microsoft Entra ID トークンを使用する 無人オートメーションや S2S シナリオにまで拡大するには、このタブを選択します。このオプションを有効化すると、 委任アクセス は、アプリ専用の権限を必要とせずに、 委任されたアクセスやアプリのみのアクセス と同等のカバレッジを提供します。詳細については、「 グループ メンバーシップのチェックにキャッシュされたユーザー トークンを使用する」を参照してください。
6. Entra ID 管理者から提供された次の値を入力します。
   • ディレクトリ (テナント) ID
   • アプリケーション (クライアント) ID
   • Client secret or certificate:
     • If using a client secret: paste the secret value.
     • If using a certificate: paste the complete content of the original .pem file downloaded from Azure Key Vault. The file must include both the BEGIN PRIVATE KEY/END PRIVATE KEY and BEGIN CERTIFICATE/END CERTIFICATE sections. Do not use the certificate-only file that was uploaded to the Microsoft Entra admin center.
7. [既存のユーザーと Microsoft Entra ID ユーザーのメール アドレスが一致する場合は、それぞれのアカウントがリンクされることを理解し、それに同意します。] をオンにします。
8. [テスト接続] を選択して、Microsoft Entra ID アカウントでサインインします。
   • サインインに成功すれば、連携は正しく設定されています。
   • サインインに失敗した場合は、Microsoft Entra ID 管理者に設定を確認してもらってから、もう一度試してください。
9. [保存] を選択して連携をアクティブ化します。

手順 3: 連携を使用および検証する

Microsoft Entra ID 連携をアクティブ化したら、ディレクトリ ユーザー アカウントでサインインし、Microsoft Entra ID のユーザーとグループへのアクセスを確認して、連携が機能することを確認します。このためには、以下の手順に従います。

1. ローカル アカウントからサインアウトします。

2. 次のいずれかの方法を使用して、ディレクトリ ユーザー アカウントでサインインします。

   • プラットフォーム用の組織固有の URL に移動します。
     • https://cloud.uipath.com/{organizationName}/
     • https://govcloud.uipath.us/{organizationName}/
   • または、メイン ログイン ページに移動し、[ Enterprise SSO で続行] を選択します。
   注:

   ディレクトリ アカウントでサインインしていることを確認するには、以下のホーム ページに移動します。

   • https://cloud.uipath.com/{organizationName}/portal_/home
   • https://govcloud.uipath.us/{organizationName}/portal_/home

   ローカル ユーザー アカウントでサインインしていることを示す警告が表示されない場合は、ディレクトリ ユーザー アカウントでサインインしています。

3. [アカウントとローカル グループ] に移動し、Microsoft Entra ID からローカル グループにディレクトリ ユーザーまたはグループを追加してみます。Microsoft Entra ID のユーザーとグループには、ローカル アカウントと区別するために明確なアイコンが表示されます。

   注:

   Microsoft Entra ID のユーザーとグループは、既定では [ ユーザー アカウント ] ページまたは [ ローカル グループ ] ページに表示されません。検索機能を使用してのみ見つけることができます。

手順 4: 移行を完了する

手順 4.1: グループ権限を設定する

ディレクトリ ユーザーがグループ メンバーシップに基づいて権限を継承できるようにするには、関連する Microsoft Entra ID グループを組織のローカル グループに追加します。

たとえば、 UiPath Admins Entra ID グループを組織の Administrators グループに追加します。

組織の規模に応じて、個々のユーザー権限を削除し、ディレクトリ グループのメンバーシップを利用して権限の管理を簡素化することをお勧めします。

手順 4.2: 既存のユーザーを移行する

組織、Studio、Assistant の Microsoft Entra ID グループ メンバーシップを通じて割り当てられた権限をユーザーが確実に継承できるようにするには、次の手順を実行します。

組織の場合

次のいずれかの方法で、サインアウトしてからディレクトリ アカウントでサインインするよう、ユーザーに依頼します。

• プラットフォーム用の組織固有の URL に移動します。
  • https://cloud.uipath.com/{organizationName}/
  • https://govcloud.uipath.us/{organizationName}/
• または、メイン ログイン ページで [Enterprise SSO で続行] を選択します。

Studio および Assistant の場合

1. UiPath Assistant を開きます。
2. [設定] > [Orchestrator への接続] に移動します。
3. 現在のセッションからサインアウトします。
4. 接続の種類を [サービス URL] に設定します。
5. プラットフォームの組織の URL を入力します。
   • https://cloud.uipath.com/{organizationName}/
   • https://govcloud.uipath.us/{organizationName}/
6. Microsoft Entra ID アカウントでサインインします。

手順 4.3: ローカル アカウントを段階的に廃止する

警告:

ローカル アカウントを削除する前に、すべてのユーザーに Microsoft Entra ID アカウントで少なくとも 1 回はサインインさせてください。アカウントのリンクは、最初のディレクトリ サインイン時にのみ行われます。ユーザーがディレクトリ アカウントでサインインする前にローカル アカウントを削除すると、代わりに新しいディレクトリ ID が作成され、ユーザーはプロジェクトやソリューションなどの以前の作業にアクセスできなくなります。これは元に戻せません。

一貫性を確保し、ユーザー エクスペリエンスを簡素化するために、ローカル ユーザー アカウントを削除することをお勧めします。

ディレクトリ アカウントではなくローカル アカウントでのサインインを継続するユーザーには、次の制限があります。

• ディレクトリ グループの権限は継承されません。
• Microsoft Entra ID ディレクトリからユーザーまたはグループを検索したり割り当てたりすることはできません。

次の表は、リンクされたローカル アカウントとディレクトリ アカウントで期待される動作をまとめたものです。

機能	リンクされたローカル ユーザー アカウント	リンクされたディレクトリ ユーザー アカウント
ユーザーに直接割り当てられた権限を継承する	はい	はい
ディレクトリ グループに割り当てられた権限を継承する	いいえ	はい
組織内のディレクトリ ユーザーやグループ、権限、リソースを検索して割り当てる	いいえ	はい

重要:

Microsoft Entra ID 連携の手動設定を使用する場合、連携を管理するには、管理者権限を持つローカル ユーザー アカウントを少なくとも 1 つ維持する必要があります。

高度な設定

特定のユーザーのみにアクセスを制限する

既定では、Microsoft Entra ID テナント内のすべてのユーザーが Automation Cloud 組織にアクセスできます。アクセスを特定のユーザーまたはグループに制限するには、次の手順を実行します。

1. Microsoft Entra 管理センターで、「手順 2: Microsoft Entra ID 連携を設定する」で連携用に作成したアプリケーションに移動します。
2. [エンタープライズ アプリケーション] > [プロパティ] に移動します。
3. Set User assignment required?を「はい」に変更します。
4. [ユーザーとグループ] で、アクセス権を必要とするユーザーまたはグループを割り当てます。

テナントのすべてのユーザーとグループは Automation Cloud で引き続き検索できますが、サインインできるのはアプリケーションに割り当てられているユーザーのみです。詳細については、ユーザーの割り当てに関する Microsoft のドキュメントをご覧ください。

ネットワーク制限を実装する

Microsoft Entra ID の条件付きアクセス ポリシーを使用して、次の基準に基づいてアクセスを制限します。

• ネットワークの場所 (例: 社内ネットワークのみ)
• デバイスのコンプライアンス
• リスク レベル

これらのポリシーの設定方法について詳しくは、条件付きアクセスに関する Microsoft のドキュメントをご覧ください。

特権アクセスを管理する

UiPath 管理者アクセスの管理に使用する Microsoft Entra ID グループに対しては、次のアクセス管理方法を実装します。

• Microsoft Entra ID で Privileged Identity Management (PIM) を有効化します。
• Just-In-Time アクセスと承認ワークフローを設定します。
• 定期的なアクセス レビューを設定して、メンバーシップと権限を検証します。

設定のガイダンスについては、Privileged Identity Management に関する Microsoft のドキュメントをご覧ください。

よくある質問

連携後、ユーザーにどのような変化がありますか?

連携後、ユーザーは Microsoft Entra ID アカウントでサインインして、既存の権限を保持できます。ローカル ユーザー アカウントがまだアクティブな場合は、両方のサインイン方法を引き続き使用できます。

ディレクトリ アカウントでサインインするために、ユーザーは次のいずれかの操作を行います。

• プラットフォームの組織固有の URL に移動します。
  • https://cloud.uipath.com/{organizationName}/
  • https://govcloud.uipath.us/{organizationName}/
• メイン ログイン ページで、[Enterprise SSO で続行] を選択します。

連携の設定後にユーザーやグループを検索できないのはなぜですか?

ディレクトリ アカウントではなくローカル ユーザー アカウントを使用してサインインした場合、組織内のユーザーやグループは検索できません。

ローカル アカウントとディレクトリ アカウントの違いを理解するには、「ローカル アカウントを段階的に廃止する」をご覧ください。

この問題を解決するには、Microsoft Entra ID アカウントでサインインしていることを確認してください。

権限を再割り当てする必要がありますか?

いいえ、権限を再割り当てする必要はありません。アカウントがリンクされると、組織は既存の権限を対応する Microsoft Entra ID アカウントに自動的に適用されます。ディレクトリ ユーザー アカウントは、直接割り当てとディレクトリ グループ メンバーシップの両方からアクセス許可を受け取ります。

UiPath ディレクトリ ユーザー アカウントにマッピングされる Microsoft Entra ID の属性とその更新時期を教えてください。

UiPath は、Microsoft Entra ID 属性の限られたセットのみをディレクトリ ユーザー アカウントにマップします。次の表は、利用可能な属性をまとめたものです。

すべてのユーザー属性は、サインイン中、および UiPath 組織内のユーザーが検索されるかリソースへのアクセス権が割り当てられたときに更新されます。

UiPath の組織の属性	Microsoft Entra ID の属性	目的
ユーザー名	user.userPrincipalName	一意の識別子。このプロパティは、ユーザーの作成時に必要であり、更新時にクリアすることはできません。
表示名	user.displayName	ユーザーのフルネーム (通常は、姓と名の組み合わせ)。このプロパティは、ユーザーの作成時に必要であり、更新時にクリアすることはできません。
名	user.givenName	ユーザーの名。
姓	user.surName	ユーザーの姓。
メール	user.Mail	ユーザーのメール アドレス。このプロパティは、ユーザーの作成時に必要であり、更新時にクリアすることはできません。
役職1	user.JobTitle	ユーザーの役職です。
Department1	user.Department	ユーザーの部署。
市町村1	user.City	ユーザーの市区町村。
会社名1	user.CompanyName	ユーザーの会社名。

¹ Automation Hub は、Microsoft Entra ID の市区町村、役職、部署、および会社名の値を活用する唯一のサービスです。これらの属性が必要な場合は、「Microsoft Entra ID 連携を設定する」の説明に従って、より高い特権の権限をリクエストする必要があります。

注:

Microsoft Entra ID の属性の説明については、 Microsoft のドキュメントをご覧ください。

Microsoft Entra ID グループ メンバーシップの変更が適用されるまでにどのくらいかかりますか?

Microsoft Entra ID グループ メンバーシップの変更は、次回のサインイン時、またはすでにサインインしているユーザーの場合は 1 時間以内に有効になります。

連携後にローカル アカウントに戻すことはできますか?

はい、Microsoft Entra ID と連携した後にローカル アカウントに戻すことができます。組織管理者は、次の手順を完了する必要があります。

1. ローカル ユーザー アカウントを再度招待します。
2. ディレクトリ グループに基づくすべての権限を、対応するローカル アカウントへの直接割り当てに移行します。
3. サインアウトしてからローカル ユーザー アカウントでサインインするよう、ユーザーに依頼します。

Microsoft Entra ID 連携から SAML 連携に移行できますか?

はい、Microsoft Entra ID 連携から SAML 連携に移行できます。組織管理者は、両方の ID システムで各ユーザーに同じメール アドレスを使用していることを確認する必要があります。また、管理者は、Microsoft Entra ID グループを使用して割り当てられたすべての権限を SAML プロビジョニング ルールに移行する必要があります。

連携で Microsoft Entra ID のハイブリッド OAuth 2.0 認証コード付与フローが使用されるのはなぜですか?

UiPath では、 Microsoft Entra ID のドキュメントに記載されているように、ハイブリッド フローを使用して認可エンドポイントから ID トークンを取得し、認証の待機時間を短縮します。