Automation Cloud - Automation Cloud と Automation Cloud (公共部門向け) の Microsoft Entra ID 連携

automation-cloud

latest

false

Automation Cloud 管理ガイド

重要 :

このコンテンツの一部は機械翻訳によって処理されており、完全な翻訳を保証するものではありません。新しいコンテンツの翻訳は、およそ 1 ～ 2 週間で公開されます。

Automation Cloud および Automation Cloud (公共部門向け) の Microsoft Entra ID 連携

Automation Cloud と Automation Cloud (公共部門向け) 用の Microsoft Entra ID 連携を設定して、SSO と自動ユーザープロビジョニングを有効化します。

この手順は、Automation Cloud および Automation Cloud (公共部門向け) にのみ適用されます。

スタートアップガイド

メリット

Microsoft Entra ID を UiPath と連携させると、次のようなメリットがあります。

シングルサインオン (SSO): ユーザーが Microsoft Entra ID の資格情報を使用して組織にアクセスできるようにします。
ユーザー管理の簡素化: Microsoft Entra ID の既存のユーザーとグループを使用してアクセス権を管理できます。
セキュリティの強化: Microsoft Entra ID の多要素認証、条件付きアクセス、特権 ID 管理などの機能を適用できます。
シームレスな移行: メールアドレスが一致する限り、中断なしにローカルアカウントから移行できます。

制限事項と考慮事項

Microsoft Entra ID 連携を使用する場合は、以下の制限事項に注意してください。

UiPath では、 login.microsoftonline.com エンドポイントを使用する Microsoft Azure 商用クラウドの Microsoft Entra ID サービスとの連携のみがサポートされます。これは Automation Cloud と Automation Cloud (公共部門向け) の両方に当てはまり、政府機関のテナントに以下のような影響があります。
- GCC は Microsoft Entra ID の Microsoft Azure 商用エンドポイントを使用するため、Microsoft 365 Government Community Cloud (GCC) テナントがサポートされます。
- GCC High は Microsoft Azure Government クラウドエンドポイント (login.microsoftonline.us) を使用するため、GCC High テナントはサポートされていません。
連携でアクセススコープとして委任されたアクセスのみを使用する場合、Microsoft Entra ID でディレクトリを評価する際にユーザーが存在する必要があります。無人オートメーションと個人用アクセストークンはユーザーが存在しなくても実行されるため、以下の制限が適用されます。
- Microsoft Entra ID ディレクトリユーザーは、無人オートメーションの実行時や個人用アクセストークンの使用時に、グループベースの権限を継承できません。
- 組織へのアクセスが Microsoft Entra ID グループを介して制限されている場合、Unattended ロボットはユーザーの代わりに組織にアクセスすることはできません。Studio Web でデバッグする場合、この制限はエラー Could not obtain the user token from Orchestratorとして表面化する可能性があります。
次のいずれかの方法で、アプリ専用の権限を付与せずにこの制限を回避できます。
- Microsoft Entra ID の構成で、[キャッシュされたユーザートークンをグループメンバーシップの確認に使用 ] を有効化します。この機能を利用できるかどうかは、使用しているクラウドプラットフォームによって異なります。詳しくは、「機能の可用性」のページの「 キャッシュされたユーザートークンを使用してグループメンバーシップチェックを行う」 行をご覧ください。
- アクセス制限は、UiPath ではなく Microsoft Entra ID で直接管理します。「アクセスを特定のユーザーに制限する」に従って、「一連のユーザーにアクセスを制限する」で設定した同等のポリシーを削除します。
- UiPath のアクセス制限ポリシーでは、入れ子になった Microsoft Entra ID グループの割り当てに依存するのではなく、許可されたすべてのユーザーを個別に追加します。手順については、「一連のユーザーのみにアクセスを制限する」をご覧ください。
ユーザーアカウント管理: ディレクトリユーザーとグループは Microsoft Entra ID でのみ管理できます。これらのアカウントは、検索時または権限を割り当てたときにのみ組織に表示されます。
アプリケーションのカスタムキー: Microsoft Entra ID との連携では OIDC プロトコルが使用されますが、 appid クエリパラメーターを介して渡されるアプリケーションのカスタムキーはサポートされていません。詳しくは、こちらで Microsoft のアクセストークンに関するドキュメントをご覧ください。
ローカルの UiPath グループに、Microsoft Entra ID ディレクトリグループと同じ名前を付けてはなりません。これを行うと、権限の評価とグループベースのアクセスの割り当てで競合が発生する可能性があります。

はじめる前に

Microsoft Entra ID 連携を設定する前に、以下があることを確認してください。

Enterprise ライセンス (Standard ティアまたは Enterprise ティアのいずれか) を持つ組織
以下のライセンス要件のいずれかを満たす組織:
- ユニファイドプライシング: Enterprise プランまたは Standard プランが必要です。
- フレックス: Enterprise プラン (Standard ティアまたは Enterprise ティアのいずれか) が必要です。
組織の管理者権限
以下のいずれかのロールを持つ Microsoft Entra ID 管理者との連携。
- クラウドアプリケーション管理者
- アプリケーション管理者
- Microsoft Entra ID アプリケーションに対して管理者の同意を付与できる任意のロール
UiPath の管理者アカウントと同じメールアドレスを使用する Microsoft Entra ID アカウント (テスト用)
プロダクトライフサイクルのドキュメントに規定されている UiPath Studio および Assistant のサポート対象バージョン。

手順 1: アカウントのリンクのために組織を準備する

Microsoft Entra ID との連携を有効化すると、UiPath はメールアドレスが一致するアカウントを自動的にリンクします。ユーザーが Microsoft Entra ID を使用して初めてサインインすると、UiPath によってディレクトリユーザーアカウントが作成され、対応するローカルアカウントと同じ権限が割り当てられます。

重要:

Microsoft Entra ID との連携を有効化する前に、非アクティブなユーザーを組織から削除してください。これにより、これらのメールアドレスが組織内の別のユーザーに再割り当てされた場合に、権限がエスカレーションされるのを防ぐことができます。

手順 2: Microsoft Entra ID 連携を設定する

注:

利用可能な機能は、使用するクラウドプラットフォームによって異なります。詳しくは、「機能の提供状況」をご覧ください。

この Microsoft Entra ID との連携では、OAuth 2.0 認可コード付与フローと OAuth 2.0 クライアント資格情報フローを組み合わせて使用して、委任されたアクセスとアプリ専用アクセスの両方のモデルがサポートされています。

Microsoft Entra との連携を設定すると、UiPath で以下の操作が可能になります。

Microsoft Entra ID の資格情報を使用してユーザーをサインインさせます。
Microsoft Entra ID ディレクトリからユーザープロファイルとグループメンバーシップを読み取ります。
Microsoft Entra ID グループの割り当てに基づいてアクセス制御を適用します。

Microsoft Entra ID と連携するには、Microsoft Entra ID テナント内の組織を表す Microsoft Entra ID アプリケーションをセットアップする必要があります。

設定方法

Microsoft Entra ID と連携するには、Microsoft Entra ID テナント内の組織を表す Microsoft Entra ID アプリケーションを構成する必要があります。

以下のいずれかの設定方法を選択できます。

(推奨) 自動セットアップ: UiPath で管理される Microsoft Entra ID アプリケーション (マルチテナントモデル) を使用すると、次のようなメリットがあります。
- 管理すべきシークレットや証明書はありません。
- 迅速かつ確実にセットアップできます。
- UiPath が Microsoft Entra ID アプリケーションを管理します。
カスタム Microsoft Entra ID アプリケーションの登録による手動セットアップ: 独自の Microsoft Entra ID アプリケーションを使用し、その構成を手動で管理します。以下の点にご注意ください。
- アプリケーションの資格情報を作成および管理する必要があります。
- 資格情報には有効期限があるため、定期的な更新が必要です。
- 有効期限が切れる前に資格情報が更新されない場合、ユーザーはサインインできません。

以下のアクセススコープのいずれかを選択できます。

委任されたアプリ専用アクセス (推奨): ユーザーが存在するときと、無人オートメーションやサービス間 (S2S) のシナリオなどのオフラインのシナリオの両方で、UiPath サービスがグループメンバーシップを評価できるようにします。
委任されたアクセス: グループの評価を対話型セッションに限定します。権限は、ユーザーがアクティブにサインインしている場合にのみ検証できます。

UiPath で管理される Microsoft Entra ID アプリケーションについて

UiPath は、事前登録されたマルチテナントの Microsoft Entra ID アプリケーションを使用します。これにより、独自のアプリケーション登録と資格情報を作成および維持する必要がなくなります。このアプリケーションの詳細は次のとおりです。

名前: UiPath Entra ID 連携
クライアント ID: 4ca9aa42-b0ea-4ceb-b2b1-17fa40827280
アプリケーションスコープ:
- Entra ID: email、openid、profile、GroupMember.Read.All、User.Read、User.ReadBasic.All、User.Read.All (任意)
- CMK Entra ID 連携: email、openid、profile、offline access
リダイレクト URI:
- https://cloud.uipath.com/portal/grant-consent
- https://govcloud.uipath.us/portal/grant-consent
同意 URL (管理者の承認用): 「 管理者の承認が必要です」 というメッセージが表示された場合、Microsoft Entra ID 管理者は、次のいずれかの URL に移動して、テナント全体の同意を付与できます。
- 委任されたアクセスとアプリ専用アクセス (マルチテナント): https://login.microsoftonline.com/organizations/v2.0/adminconsent?client_id=4ca9aa42-b0ea-4ceb-b2b1-17fa40827280&redirect_uri=https%3A%2F%2Fcloud.uipath.com%2Fportal_%2Fgrant-consent&state=1234&scope=https://graph.microsoft.com/.default
- 委任されたアクセスとアプリ専用アクセス (シングルテナント): https://login.microsoftonline.com/{TENANT_ID}/v2.0/adminconsent?client_id={APPLICATION_ID}&redirect_uri=https%3A%2F%2Fcloud.uipath.com%2Fportal_%2Fgrant-consent&state=1234&scope=https://graph.microsoft.com/.default
- Delegated access (マルチテナント): https://login.microsoftonline.com/common/oauth2/v2.0/authorize?scope=email+GroupMember.Read.All+openid+profile+User.Read+User.ReadBasic.All&prompt=select_account&response_type=code&redirect_uri=https%3A%2F%2Fcloud.uipath.com%2Fportal_%2Fgrant-consent&client_id=4ca9aa42-b0ea-4ceb-b2b1-17fa40827280&state=1234
- 委任されたアクセス (単一テナント): https://login.microsoftonline.com/{TENANT_ID}/oauth2/v2.0/authorize?scope=email+GroupMember.Read.All+openid+profile+User.Read+User.ReadBasic.All&prompt=select_account&response_type=code&redirect_uri=https%3A%2F%2Fcloud.uipath.com%2Fportal_%2Ftestconnection&state=1234&client_id={APPLICATION_ID}
注:
単一テナント構成の場合は、 {TENANT_ID} をディレクトリ (テナント) ID に、 {APPLICATION_ID} をアプリケーション (クライアント) ID に置き換えます。

キャッシュされたユーザートークンをグループメンバーシップのチェックに使用する

注:

この機能を利用できるかどうかは、使用しているクラウドプラットフォームによって異なります。詳しくは、「利用可能な機能」のページ、「 キャッシュされたユーザートークンをグループメンバーシップのチェックに使用する 」の行をご覧ください。

[Delegated access] スコープを選択した場合、Microsoft Entra ID を使用するには、ディレクトリの評価時にユーザーが存在する必要があります。このため、無人オートメーションやサービス間 (S2S) のシナリオなど、ユーザーがサインインしていないときは、グループメンバーシップを解決できません。

アプリ専用の権限を付与せずにこれらのシナリオをサポートするには、[無人 オートメーションでのグループメンバーシップの確認にキャッシュされたユーザートークンを使用] を選択します。このオプションを有効化すると、無人オートメーションや、ユーザーがアクティブにサインインしていない S2S シナリオにおいて、UiPath はユーザーの最新の Microsoft Entra ID アクセストークンと更新トークンを再利用してグループメンバーシップを評価します。その結果、アプリ専用の権限を必要とせずに、[ 委任されたアプリのみのアクセス スコープ] と同等のカバレッジが得られます。

このオプションは、[ Delegated access scope] が選択されている場合にのみ表示されます。委任されたアプリ専用アクセス スコープでは不要です。無人および S2S のシナリオにおけるグループメンバーシップの解決は、既にアプリケーションの権限によって処理されています。

既定の動作

このオプションの既定のステートは、ディレクトリ接続が新規か既存かによって異なります。

新しいディレクトリ接続: 既定で選択されています。オプトアウトするには、チェックボックスをオフにします。
既存のディレクトリ接続: 既定でクリアされています。設定ページを開き、チェックボックスをオンにしてオプトインします。

トークンの有効期限

UiPath は、キャッシュされたアクセストークンを有効期限まで使用し、キャッシュされた更新トークンを使用して新しいアクセストークンを取得します。アクセストークンと更新トークンの両方の有効期限が切れると、UiPath はユーザーに代わって Microsoft Entra ID を照会できなくなり、そのユーザーのグループメンバーシップの結果が不完全になる可能性があります。完全な結果を復元するには、メインログインページで [ Enterprise SSO で続行 ] を選択するか、組織固有の URL に移動して、再度サインインする必要があります。次回のサインインではキャッシュされたトークンが更新され、その後のグループメンバーシップチェックでは完全な結果が返されます。

条件付きアクセスポリシーに関する考慮事項

キャッシュされたユーザートークン機能では、Microsoft Entra ID の条件付きアクセスはバイパスされません。UiPath は、ユーザーが対話型サインインによって既に取得したトークンのみを再利用できます。条件付きアクセスポリシーによってキャッシュされたトークンを更新できない場合、ユーザーが [Enterprise SSO で続行 ] を使用して再度サインインし、該当するすべての条件付きアクセスポリシーを満たすまで、そのユーザーのグループメンバーシップの結果が不完全になる可能性があります。

キャッシュされたトークンに最も影響を与える可能性が高いポリシーのカテゴリは次のとおりです。

サインインの頻度: ポリシーでユーザーが短い間隔で再認証する必要がある場合、その間隔を超えると、キャッシュされた更新トークンは拒否されます。
トークン更新時の多要素認証: 更新要求は非対話型であり、ユーザーに MFA の入力を求めることはできません。トークンを更新するたびに MFA を要求するポリシーは、このフローで失敗します。
リスクベースのポリシーと継続的アクセス評価(CAE):ユーザー、デバイス、またはセッションのリスクの変化に基づいて、アクティブなトークンをいつでも取り消すことができます。

セキュリティ体制を弱めることなく干渉を最小限に抑えるには、以下を行います。

無人オートメーションを実行するユーザーの場合は、サインインの頻度の要件と、頻繁な再認証による運用への影響のバランスを取ります。
MFA 要件は、トークンの更新時ではなく、対話型サインイン時に適用します。
Clear Cached Entra ID User Token 監査イベントを監視します。同じユーザーが頻繁に発生する場合は、通常、条件付きアクセスポリシーによってトークンの更新が妨げられていることを示します。詳しくは、「監査イベント」をご覧ください。

監査イベント

UiPath は、キャッシュされたユーザートークンに関連する 2 つの監査イベントを出力します。これらを使用して、グループメンバーシップの結果が不完全になる可能性がある場合や、アクセスが復元された場合を追跡します。

イベント	放出されるとき
Entra ID のユーザートークンのキャッシュ	Microsoft Entra ID トークンは、以前はトークンを持っていなかったユーザーに対してキャッシュされます。これは通常、ユーザーが以前にキャッシュされたトークンがクリアされた後に、[Enterprise SSO で続行 ] を使用してサインインしたときに発生します。このイベントは、ユーザーの後続のグループメンバーシップチェックで完全な結果が返されることを確認します。
キャッシュされた Entra ID のユーザートークンのクリア	Microsoft Entra ID によってトークンの更新が拒否され、キャッシュされたトークンを使用できなくなるため、ユーザーのキャッシュされた Microsoft Entra ID トークンは削除されます。これは通常、両方のトークンの有効期限が切れた場合、更新トークンが取り消された場合、または条件付きアクセスポリシーによって更新が禁止された場合に発生します。このイベントの後、ユーザーが [Enterprise SSO で続行] を使用して再度サインインするまで、ユーザーのグループメンバーシップの結果が不完全な場合があります。

イベント

放出されるとき

Entra ID のユーザートークンのキャッシュ

Microsoft Entra ID トークンは、以前はトークンを持っていなかったユーザーに対してキャッシュされます。これは通常、ユーザーが以前にキャッシュされたトークンがクリアされた後に 、[Enterprise SSO で続行 ] を使用してサインインしたときに発生します。このイベントは、ユーザーの後続のグループメンバーシップチェックで完全な結果が返されることを確認します。

キャッシュされた Entra ID のユーザートークンのクリア

Microsoft Entra ID によってトークンの更新が拒否され、キャッシュされたトークンを使用できなくなるため、ユーザーのキャッシュされた Microsoft Entra ID トークンは削除されます。これは通常、両方のトークンの有効期限が切れた場合、更新トークンが取り消された場合、または条件付きアクセスポリシーによって更新が禁止された場合に発生します。このイベントの後、ユーザーが [Enterprise SSO で続行] を使用して再度サインインするまで、ユーザーのグループメンバーシップの結果が不完全な場合があります。

UiPath で管理される Microsoft Entra ID アプリケーションを使用した自動セットアップ (推奨)

UiPath で管理されるアプリケーションを使用して Microsoft ID との連携を設定するには、組織での設定を完了する前に、Microsoft Entra ID 管理者の同意を得る必要があります。

設定を簡素化し、シークレットや証明書の管理を避けたい場合は、この方法を使用します。UiPath では、ほとんどの組織にこのアプローチを推奨しています。

以下のいずれかの URL に移動してサインインし、Microsoft Entra ID 管理者に同意を付与してもらいます。サインインの際に、管理者は [組織の代理として同意する] を選択してから [承諾] を選択する必要があります。

組織で構成する予定のアクセススコープに対応する URL を使用します。

注:

お使いの Microsoft Entra ID テナントで同意要求が許可されている場合、組織管理者はこれらの URL を使用して同意要求をトリガーできます。この場合、設定を続行するには、Microsoft Entra ID 管理者がリクエストを承認する必要があります。

委任されたアクセスとアプリ専用アクセス (推奨)
- マルチテナント: https://login.microsoftonline.com/organizations/v2.0/adminconsent?client_id=4ca9aa42-b0ea-4ceb-b2b1-17fa40827280&redirect_uri=https%3A%2F%2Fcloud.uipath.com%2Fportal_%2Fgrant-consent&state=1234&scope=https://graph.microsoft.com/.default
- 単一テナント: https://login.microsoftonline.com/{TENANT_ID}/v2.0/adminconsent?client_id={APPLICATION_ID}&redirect_uri=https%3A%2F%2Fcloud.uipath.com%2Fportal_%2Fgrant-consent&state=1234&scope=https://graph.microsoft.com/.default
委任されたアクセスのみ
- マルチテナント: https://login.microsoftonline.com/common/oauth2/v2.0/authorize?scope=email+GroupMember.Read.All+openid+profile+User.Read+User.ReadBasic.All&prompt=select_account&response_type=code&redirect_uri=https%3A%2F%2Fcloud.uipath.com%2Fportal_%2Fgrant-consent&client_id=4ca9aa42-b0ea-4ceb-b2b1-17fa40827280&state=1234
- 単一テナント: https://login.microsoftonline.com/{TENANT_ID}/oauth2/v2.0/authorize?scope=email+GroupMember.Read.All+openid+profile+User.Read+User.ReadBasic.All&prompt=select_account&response_type=code&redirect_uri=https%3A%2F%2Fcloud.uipath.com%2Fportal_%2Ftestconnection&state=1234&client_id={APPLICATION_ID}

単一テナント構成の場合は、 {TENANT_ID} をディレクトリ (テナント) ID に、 {APPLICATION_ID} をアプリケーション (クライアント) ID に置き換えます。

委任されたアクセスとアプリ専用アクセスに同意した後、Microsoft Entra ID 管理者は、ディレクトリ (テナント) ID の値を共有する必要があります。この値は、設定を完了するために必要です。

2. 組織内で連携を設定する

組織管理者として、以下の手順で設定を完了します。

組織で、[ 管理] > [セキュリティ] > [認証設定] > [ディレクトリ連携とシングルサインオン (SSO)] に移動します。
[Microsoft Entra ID] を選択します。
[UiPath で管理されるマルチテナントアプリケーション (推奨)] を選択します。
同意が付与されたアクセス範囲を選択します。
- 委任されたアプリ専用アクセス (推奨): 無人オートメーションやサービス間 (S2S) のシナリオを含む、グループを完全に評価できます。
- 委任されたアクセス: 評価を、ユーザーが存在するセッションに限定します。
[Delegated access] を選択した場合は、[無人オートメーションのグループメンバーシップのチェックにキャッシュされたユーザートークンを使用します。] オプションが表示されます。グループメンバーシップの評価を、キャッシュされた Microsoft Entra ID トークンを使用する無人オートメーションや S2S シナリオにまで拡大するには、このタブを選択します。このオプションを有効化すると、 委任アクセス は、アプリ専用の権限を必要とせずに、 委任されたアクセスやアプリのみのアクセス と同等のカバレッジを提供します。詳細については、「グループメンバーシップのチェックにキャッシュされたユーザートークンを使用する」を参照してください。
[委任されたアクセスとアプリ専用アクセス] を選択した場合は、[ディレクトリ (テナント) ID] に、Microsoft Entra ID 管理者から提供された ID を入力します。
[既存のユーザーと Microsoft Entra ID ユーザーのメールアドレスが一致する場合は、それぞれのアカウントがリンクされることを理解し、それに同意します。] をオンにします。
[保存] を選択して連携をアクティブ化します。

アクティベーションに成功すれば、連携は正しく設定されています。アクティブ化に失敗した場合は、同意が正しく付与されたことを確認してから、もう一度やり直してください。

注:

Automation Hub を使用していて、Microsoft Entra ID の [市区町村]、[ 役職]、[ 部署 ] フィールドにデータを入力する場合は、追加の権限をリクエストしてください。必要なスコープを含む管理者特権の管理者同意 URL を使用して、管理者の同意を付与するよう Microsoft Entra ID 管理者に依頼してください。

カスタム Microsoft Entra ID アプリケーションの登録による手動セットアップ

UiPath で管理されるマルチテナントアプリケーションを使用する代わりに、独自の Microsoft Entra ID アプリケーションを設定する場合は、次の手順を実行します。このオプションでは、自身の資格情報を管理し、長期にわたって保持する必要があります。

重要:

手動設定で作成された資格情報は、定期的に期限切れになります。サービスの中断を避けるため、期限切れになる前に資格情報を更新する必要があります。この運用オーバーヘッドを削減するには、UiPath で管理される Entra ID アプリケーションを使用した自動セットアップの使用を検討してください。

Microsoft Entra ID を設定する

Microsoft Entra ID 管理者は、PowerShell スクリプトまたは Microsoft Entra 管理センターを使用してアプリケーションを設定できます。

オプション A: PowerShell スクリプトを使用する

手動設定を最小限に抑えてセットアッププロセスを自動化するには、次の手順を実行します。

Microsoft Entra ID の構成スクリプトをダウンロードします。
configAzureADconnection.ps1 を実行して Entra テナントを自動的にセットアップします。
testAzureADappRegistration.ps1 を実行して設定を確認します。

オプション B: Microsoft Entra 管理センターを使用する

ユーザーインターフェイスを使用して手動でアプリケーションの登録を設定する場合は、以下の手順を実行します。

アプリの登録を作成します。
1. Microsoft Entra 管理センター > [アプリの登録] > [新規登録] に移動します。
2. 使用する名前を設定します。
3. [この組織ディレクトリのみに含まれるアカウント] を選択します。
4. [リダイレクト URI] でプラットフォームのリダイレクト URI を設定します。
  - https://cloud.uipath.com/identity_/signin-oidc
  - https://govcloud.uipath.us/identity_/signin-oidc
認証を設定します。
1. [認証] に移動します。
2. 使用しているプラットフォームの次のリダイレクト URI を追加します。
  - https://cloud.uipath.com/portal_/testconnection
  - https://govcloud.uipath.us/portal_/testconnection
3. [ 暗黙的な許可フローとハイブリッドフロー] で [ ID トークン] を選択します。この連携では、 Microsoft ハイブリッドフローを活用します。
4. 変更を保存します。
トークン要求を追加します。
1. [トークン構成] > [省略可能な要求を追加] に移動します。
2. トークンの種類として [ID] を選択します。
3. [family_name]、[given_name]、[upn] の各要求を選択します。
これらの要求は、サインイン時にユーザー情報を更新するために使用されます。
1. 変更を保存します。

API のアクセス許可を設定します。

[API のアクセス許可] > [権限を追加] に移動します。
[Microsoft Graph] を選択します。

[アプリケーションに必要なアクセス許可の種類] の下で、設定する UiPath のアクセススコープに基づくアクセス許可の種類を選択します。アクセス許可を選択する前に、以下のことを考慮に入れておいてください。

設定できるのは委任されたアクセス許可のみですが、委任されたアクセス許可とアプリケーションのアクセス許可を組み合わせて使用することをお勧めします。

以下の表に、設定する各アクセススコープに必要なアクセス許可のリストを示します。一部のアクセス許可は両方のリストに表示されていますが、アクセス許可の種類が異なるため、別々に追加する必要があります。

注:

Automation Hub で City、Job Title、Department などのプロパティを使用するには、User.Read.All 権限が必要です。

Automation Cloud の場合: 設定するアクセス範囲に関係なく、[ 委任された 権限] メニューから以下の権限を追加する必要があります。

Microsoft Entra ID のアクセス許可	権限の種類	目的
`email`、`openid`、`profile`、`offline_access`、`User.Read`	委任されたアクセス許可	ユーザーが Microsoft Entra ID でサインインできるようにし、Automation Cloud が認可要求でクレームを取得できるようにします。
`User.ReadBasic.All` または `User.Read.All`	委任されたアクセス許可	Automation Cloud が Microsoft Entra ID 内のユーザーを検索し、権限を割り当てて、ユーザー属性を最新の状態に保つことを許可します。
`GroupMember.Read.All`	委任されたアクセス許可	Automation Cloud がグループメンバーシップを評価し、ディレクトリグループベースのアクセス制御を適用できるようにします。

[委任されたアクセスとアプリ専用アクセス] のスコープを設定する場合は、[アプリケーション] のアクセス許可メニューから以下のアクセス許可も追加する必要があります。

Microsoft Entra ID のアクセス許可	権限の種類	目的
`User.ReadBasic.All` または `User.Read.All`	アプリケーション	Automation Cloud が Microsoft Entra ID 内のユーザーを検索し、権限を割り当てて、無人オートメーションでユーザー属性を最新の状態に保つことを許可します。
`GroupMember.Read.All`	アプリケーション	Automation Cloud がグループメンバーシップを評価し、無人オートメーションにディレクトリグループベースのアクセス制御を適用できるようにします。

Automation Cloud (公共部門向け) の場合は、以下の権限を使用します。
- OpenID 権限: email、openid、offline_access、profile
- ユーザー権限: User.Read、User.ReadBasic.All、User.Read.All
- グループ権限: GroupMember.Read.All

[(組織) に管理者の同意を与えます] を選択します。この手順により、アプリケーションはすべてのユーザーのデータにアクセスでき、個別の同意プロンプトは必要ありません。詳しくは、Microsoft のドキュメントをご覧ください。

認証情報を作成します。クライアントシークレットまたは証明書を使用できます。
- クライアントシークレットを作成するには、以下の手順を実行します。
  1. [証明書とシークレット] に移動します。
  2. [新しいクライアントシークレット] を選択して、シークレット値を保存します。
- 証明書を作成するには、以下の手順を実行します。
  1. 新しいタブを開き、[Azure Key Vault] に移動します。
  2. 証明書を作成します。
    - サブジェクト: CN=uipath.com
    - コンテンツの種類: PEM
    - 最大サイズ: 10 KB 未満
  3. 証明書を .pem 形式でダウンロードします。ダウンロードしたファイルには、秘密キーを含む BEGIN PRIVATE KEY/END PRIVATE KEY セクションと、公開証明書を含む BEGIN CERTIFICATE/END CERTIFICATE セクションの 2 つのセクションが含まれます。
  4. テキストエディタで .pem ファイルを開き、 BEGIN CERTIFICATE と END CERTIFICATEの間のセクション(ヘッダー行とフッター行を含む)のみをコピーします。
  5. 前の手順でコピーした証明書セクションのみを含む新しい .pem ファイルを作成します。
  6. Microsoft Entra 管理センターで [証明書とシークレット] に移動し、手順 5 で作成した証明書のみの .pem ファイルをアップロードします。Microsoft Entra ID では、このアップロードに必要なのは公開証明書のみです。秘密キーを含む完全な .pem ファイルはアップロードしないでください。
  7. 手順 3 でダウンロードした元の .pem ファイルしたままにしておきます。Automation Cloudの設定には、 BEGIN PRIVATE KEY/END PRIVATE KEY セクションと BEGIN CERTIFICATE/END CERTIFICATE セクションの両方を含む完全なPEMコンテンツが必要です。手順 5 で作成した証明書のみのファイルは、この目的で使用しないでください。
  警告:
  Automation Cloud の構成時に証明書専用ファイル (手順 5 の証明書のみ) を使用すると、認証に失敗します。接続テストは失敗し、証明書形式の問題を示すエラーメッセージは表示されません。Azure Key Vault からダウンロードした、秘密キーと証明書の両方を含む元の .pem ファイルを使用します。
  
  注:
  ほとんどの資格情報の種類は最終的に期限切れになります。ユーザーサインインの問題を回避するには、資格情報の有効期限が切れる前に設定を更新してください。このオーバーヘッドを回避するには、 UiPath で管理される Microsoft Entra ID アプリケーションによる自動セットアップを使用します。
連携に関する以下の詳細情報を収集し、組織管理者と共有します。
- アプリケーション (クライアント) ID
- ディレクトリ (テナント) ID
- クライアントシークレットまたは証明書

組織で連携をアクティブ化する

組織管理者は、Microsoft Entra ID 管理者から提供された値を使用し、以下の手順を実行して組織での設定を完了します。

[管理] > [セキュリティ] > [認証設定] > [ディレクトリ連携とシングルサインオン (SSO)] に移動します。
[Microsoft Entra ID] を選択します。
[カスタムアプリケーション登録 ID とシークレット] を選択します。
目的のアクセススコープを選択します。
- Delegated and app-only access (Recommended ): 無人オートメーションやサービス間 (S2S) のシナリオなど、グループを完全に評価できます。
- 委任されたアクセス: 評価を、ユーザーが存在するセッションに限定します。
[Delegated access] を選択した場合は、[無人オートメーションのグループメンバーシップのチェックにキャッシュされたユーザートークンを使用します。] オプションが表示されます。グループメンバーシップの評価を、キャッシュされた Microsoft Entra ID トークンを使用する無人オートメーションや S2S シナリオにまで拡大するには、このタブを選択します。このオプションを有効化すると、 委任アクセス は、アプリ専用の権限を必要とせずに、 委任されたアクセスやアプリのみのアクセス と同等のカバレッジを提供します。詳細については、「グループメンバーシップのチェックにキャッシュされたユーザートークンを使用する」を参照してください。
Entra ID 管理者から提供された次の値を入力します。
- ディレクトリ (テナント) ID
- アプリケーション (クライアント) ID
- クライアントシークレットまたは証明書:
  - クライアントシークレットを使用する場合: シークレットの値を貼り付けます。
  - 証明書を使用する場合: Azure Key Vault からダウンロードした元の .pem ファイルの内容をすべて貼り付けます。ファイルには、 BEGIN PRIVATE KEY/END PRIVATE KEY セクションと BEGIN CERTIFICATE/END CERTIFICATE セクションの両方を含める必要があります。Microsoft Entra 管理センターにアップロードされた証明書のみのファイルは使用しないでください。
[既存のユーザーと Microsoft Entra ID ユーザーのメールアドレスが一致する場合は、それぞれのアカウントがリンクされることを理解し、それに同意します。] をオンにします。
[テスト接続] を選択して、Microsoft Entra ID アカウントでサインインします。
- サインインに成功すれば、連携は正しく設定されています。
- サインインに失敗した場合は、Microsoft Entra ID 管理者に設定を確認してもらってから、もう一度試してください。
[保存] を選択して連携をアクティブ化します。

手順 3: 連携を使用および検証する

Microsoft Entra ID 連携をアクティブ化したら、ディレクトリユーザーアカウントでサインインし、Microsoft Entra ID のユーザーとグループへのアクセスを確認して、連携が機能することを確認します。このためには、以下の手順に従います。

ローカルアカウントからサインアウトします。
次のいずれかの方法を使用して、ディレクトリユーザーアカウントでサインインします。
- プラットフォーム用の組織固有の URL に移動します。
  - https://cloud.uipath.com/{organizationName}/
  - https://govcloud.uipath.us/{organizationName}/
- または、メインログインページに移動し、[ Enterprise SSO で続行] を選択します。
注:
ディレクトリアカウントでサインインしていることを確認するには、以下のホームページに移動します。
- https://cloud.uipath.com/{organizationName}/portal_/home
- https://govcloud.uipath.us/{organizationName}/portal_/home
ローカルユーザーアカウントでサインインしていることを示す警告が表示されない場合は、ディレクトリユーザーアカウントでサインインしています。
[アカウントとローカルグループ] に移動し、Microsoft Entra ID からローカルグループにディレクトリユーザーまたはグループを追加してみます。Microsoft Entra ID のユーザーとグループには、ローカルアカウントと区別するために明確なアイコンが表示されます。

注:
Microsoft Entra ID のユーザーとグループは、既定では [ ユーザーアカウント ] ページまたは [ ローカルグループ ] ページに表示されません。検索機能を使用してのみ見つけることができます。

手順 4: 移行を完了する

手順 4.1: グループ権限を設定する

ディレクトリユーザーがグループメンバーシップに基づいて権限を継承できるようにするには、関連する Microsoft Entra ID グループを組織のローカルグループに追加します。

たとえば、 UiPath Admins Entra ID グループを組織の Administrators グループに追加します。

組織の規模に応じて、個々のユーザー権限を削除し、ディレクトリグループのメンバーシップを利用して権限の管理を簡素化することをお勧めします。

手順 4.2: 既存のユーザーを移行する

組織、Studio、Assistant の Microsoft Entra ID グループメンバーシップを通じて割り当てられた権限をユーザーが確実に継承できるようにするには、次の手順を実行します。

組織の場合

次のいずれかの方法で、サインアウトしてからディレクトリアカウントでサインインするよう、ユーザーに依頼します。

プラットフォーム用の組織固有の URL に移動します。
- https://cloud.uipath.com/{organizationName}/
- https://govcloud.uipath.us/{organizationName}/
または、メインログインページで [Enterprise SSO で続行] を選択します。

Studio および Assistant の場合

UiPath Assistant を開きます。
[設定] > [Orchestrator への接続] に移動します。
現在のセッションからサインアウトします。
接続の種類を [サービス URL] に設定します。
プラットフォームの組織の URL を入力します。
- https://cloud.uipath.com/{organizationName}/
- https://govcloud.uipath.us/{organizationName}/
Microsoft Entra ID アカウントでサインインします。

手順 4.3: ローカルアカウントを段階的に廃止する

警告:

ローカルアカウントを削除する前に、すべてのユーザーに Microsoft Entra ID アカウントで少なくとも 1 回はサインインさせてください。アカウントのリンクは、最初のディレクトリサインイン時にのみ行われます。ユーザーがディレクトリアカウントでサインインする前にローカルアカウントを削除すると、代わりに新しいディレクトリ ID が作成され、ユーザーはプロジェクトやソリューションなどの以前の作業にアクセスできなくなります。これは元に戻せません。

一貫性を確保し、ユーザーエクスペリエンスを簡素化するために、ローカルユーザーアカウントを削除することをお勧めします。

ディレクトリアカウントではなくローカルアカウントでのサインインを継続するユーザーには、次の制限があります。

ディレクトリグループの権限は継承されません。
Microsoft Entra ID ディレクトリからユーザーまたはグループを検索したり割り当てたりすることはできません。

次の表は、リンクされたローカルアカウントとディレクトリアカウントで期待される動作をまとめたものです。

機能	リンクされたローカルユーザーアカウント	リンクされたディレクトリユーザーアカウント
ユーザーに直接割り当てられた権限を継承する	はい	はい
ディレクトリグループに割り当てられた権限を継承する	いいえ	はい
組織内のディレクトリユーザーやグループ、権限、リソースを検索して割り当てる	いいえ	はい

重要:

Microsoft Entra ID 連携の手動設定を使用する場合、連携を管理するには、管理者権限を持つローカルユーザーアカウントを少なくとも 1 つ維持する必要があります。

高度な設定

特定のユーザーのみにアクセスを制限する

既定では、Microsoft Entra ID テナント内のすべてのユーザーが Automation Cloud 組織にアクセスできます。アクセスを特定のユーザーまたはグループに制限するには、次の手順を実行します。

Microsoft Entra 管理センターで、「手順 2: Microsoft Entra ID 連携を設定する」で連携用に作成したアプリケーションに移動します。
[エンタープライズアプリケーション] > [プロパティ] に移動します。
Set User assignment required?を「はい」に変更します。
[ユーザーとグループ] で、アクセス権を必要とするユーザーまたはグループを割り当てます。

テナントのすべてのユーザーとグループは Automation Cloud で引き続き検索できますが、サインインできるのはアプリケーションに割り当てられているユーザーのみです。詳細については、ユーザーの割り当てに関する Microsoft のドキュメントをご覧ください。

ネットワーク制限を実装する

Microsoft Entra ID の条件付きアクセスポリシーを使用して、次の基準に基づいてアクセスを制限します。

ネットワークの場所 (例: 社内ネットワークのみ)
デバイスのコンプライアンス
リスクレベル

これらのポリシーの設定方法について詳しくは、条件付きアクセスに関する Microsoft のドキュメントをご覧ください。

特権アクセスを管理する

UiPath 管理者アクセスの管理に使用する Microsoft Entra ID グループに対しては、次のアクセス管理方法を実装します。

Microsoft Entra ID で Privileged Identity Management (PIM) を有効化します。
Just-In-Time アクセスと承認ワークフローを設定します。
定期的なアクセスレビューを設定して、メンバーシップと権限を検証します。

設定のガイダンスについては、Privileged Identity Management に関する Microsoft のドキュメントをご覧ください。

よくある質問

連携後、ユーザーにどのような変化がありますか?

連携後、ユーザーは Microsoft Entra ID アカウントでサインインして、既存の権限を保持できます。ローカルユーザーアカウントがまだアクティブな場合は、両方のサインイン方法を引き続き使用できます。

ディレクトリアカウントでサインインするために、ユーザーは次のいずれかの操作を行います。

プラットフォームの組織固有の URL に移動します。
- https://cloud.uipath.com/{organizationName}/
- https://govcloud.uipath.us/{organizationName}/
メインログインページで、[Enterprise SSO で続行] を選択します。

連携の設定後にユーザーやグループを検索できないのはなぜですか?

ディレクトリアカウントではなくローカルユーザーアカウントを使用してサインインした場合、組織内のユーザーやグループは検索できません。

ローカルアカウントとディレクトリアカウントの違いを理解するには、「ローカルアカウントを段階的に廃止する」をご覧ください。

この問題を解決するには、Microsoft Entra ID アカウントでサインインしていることを確認してください。

権限を再割り当てする必要がありますか?

いいえ、権限を再割り当てする必要はありません。アカウントがリンクされると、組織は既存の権限を対応する Microsoft Entra ID アカウントに自動的に適用されます。ディレクトリユーザーアカウントは、直接割り当てとディレクトリグループメンバーシップの両方からアクセス許可を受け取ります。

UiPath ディレクトリユーザーアカウントにマッピングされる Microsoft Entra ID の属性とその更新時期を教えてください。

UiPath は、Microsoft Entra ID 属性の限られたセットのみをディレクトリユーザーアカウントにマップします。次の表は、利用可能な属性をまとめたものです。

すべてのユーザー属性は、サインイン中、および UiPath 組織内のユーザーが検索されるかリソースへのアクセス権が割り当てられたときに更新されます。

UiPath の組織の属性	Microsoft Entra ID の属性	目的
ユーザー名	`user.userPrincipalName`	一意の識別子。このプロパティは、ユーザーの作成時に必要であり、更新時にクリアすることはできません。
表示名	`user.displayName`	ユーザーのフルネーム (通常は、姓と名の組み合わせ)。このプロパティは、ユーザーの作成時に必要であり、更新時にクリアすることはできません。
名	`user.givenName`	ユーザーの名。
姓	`user.surName`	ユーザーの姓。
メール	`user.Mail`	ユーザーのメールアドレス。このプロパティは、ユーザーの作成時に必要であり、更新時にクリアすることはできません。
役職¹	`user.JobTitle`	ユーザーの役職です。
Department¹	`user.Department`	ユーザーの部署。
市町村¹	`user.City`	ユーザーの市区町村。
会社名¹	`user.CompanyName`	ユーザーの会社名。

¹ Automation Hub は、Microsoft Entra ID の市区町村、役職、部署、および会社名の値を活用する唯一のサービスです。これらの属性が必要な場合は、「Microsoft Entra ID 連携を設定する」の説明に従って、より高い特権の権限をリクエストする必要があります。

注:

Microsoft Entra ID の属性の説明については、 Microsoft のドキュメントをご覧ください。

Microsoft Entra ID グループメンバーシップの変更が適用されるまでにどのくらいかかりますか?

Microsoft Entra ID グループメンバーシップの変更は、次回のサインイン時、またはすでにサインインしているユーザーの場合は 1 時間以内に有効になります。

連携後にローカルアカウントに戻すことはできますか?

はい、Microsoft Entra ID と連携した後にローカルアカウントに戻すことができます。組織管理者は、次の手順を完了する必要があります。

ローカルユーザーアカウントを再度招待します。
ディレクトリグループに基づくすべての権限を、対応するローカルアカウントへの直接割り当てに移行します。
サインアウトしてからローカルユーザーアカウントでサインインするよう、ユーザーに依頼します。

Microsoft Entra ID 連携から SAML 連携に移行できますか?

はい、Microsoft Entra ID 連携から SAML 連携に移行できます。組織管理者は、両方の ID システムで各ユーザーに同じメールアドレスを使用していることを確認する必要があります。また、管理者は、Microsoft Entra ID グループを使用して割り当てられたすべての権限を SAML プロビジョニングルールに移行する必要があります。

連携で Microsoft Entra ID のハイブリッド OAuth 2.0 認証コード付与フローが使用されるのはなぜですか?

UiPath では、 Microsoft Entra ID のドキュメントに記載されているように、ハイブリッドフローを使用して認可エンドポイントから ID トークンを取得し、認証の待機時間を短縮します。

Unattended ロボットが Studio Web でデバッグする際に「Orchestrator からユーザートークンを取得できませんでした」で失敗するのはなぜですか?

このエラーは、組織へのアクセスが Microsoft Entra ID グループを介して制限されていて、連携で委任されたアクセスのみを使用する場合に発生します。Unattended ロボットはサインインしているユーザーなしで実行されるため、Microsoft Entra ID はグループメンバーシップを評価できません。回避策については、「制限事項と考慮事項」をご覧ください。

スタートアップガイド
メリット
制限事項と考慮事項
はじめる前に
手順 1: アカウントのリンクのために組織を準備する
手順 2: Microsoft Entra ID 連携を設定する
設定方法
UiPath で管理される Microsoft Entra ID アプリケーションについて
キャッシュされたユーザートークンをグループメンバーシップのチェックに使用する
UiPath で管理される Microsoft Entra ID アプリケーションを使用した自動セットアップ (推奨)
カスタム Microsoft Entra ID アプリケーションの登録による手動セットアップ
手順 3: 連携を使用および検証する
手順 4: 移行を完了する
手順 4.1: グループ権限を設定する
手順 4.2: 既存のユーザーを移行する
手順 4.3: ローカルアカウントを段階的に廃止する
高度な設定
特定のユーザーのみにアクセスを制限する
ネットワーク制限を実装する
特権アクセスを管理する
よくある質問
連携後、ユーザーにどのような変化がありますか?
連携の設定後にユーザーやグループを検索できないのはなぜですか?
権限を再割り当てする必要がありますか?
UiPath ディレクトリユーザーアカウントにマッピングされる Microsoft Entra ID の属性とその更新時期を教えてください。
Microsoft Entra ID グループメンバーシップの変更が適用されるまでにどのくらいかかりますか?
連携後にローカルアカウントに戻すことはできますか?
Microsoft Entra ID 連携から SAML 連携に移行できますか?
連携で Microsoft Entra ID のハイブリッド OAuth 2.0 認証コード付与フローが使用されるのはなぜですか?
Unattended ロボットが Studio Web でデバッグする際に「Orchestrator からユーザートークンを取得できませんでした」で失敗するのはなぜですか?

このページは役に立ちましたか?

前へMicrosoft Entra ID との連携

次へAutomation Cloud (専有型) の Microsoft Entra ID 連携

スタート アップ ガイド​

メリット​

制限事項と考慮事項​

はじめる前に​

手順 1: アカウントのリンクのために組織を準備する​

手順 2: Microsoft Entra ID 連携を設定する​

設定方法​

UiPath で管理される Microsoft Entra ID アプリケーションについて​

キャッシュされたユーザー トークンをグループ メンバーシップのチェックに使用する​

既定の動作​

トークンの有効期限​

条件付きアクセス ポリシーに関する考慮事項​

監査イベント​

UiPath で管理される Microsoft Entra ID アプリケーションを使用した自動セットアップ (推奨)​

1. Microsoft Entra ID の同意を付与する​

2. 組織内で連携を設定する​

カスタム Microsoft Entra ID アプリケーションの登録による手動セットアップ​

Microsoft Entra ID を設定する​

オプション A: PowerShell スクリプトを使用する​

組織で連携をアクティブ化する​

手順 3: 連携を使用および検証する​

手順 4: 移行を完了する​

手順 4.1: グループ権限を設定する​

手順 4.2: 既存のユーザーを移行する​

手順 4.3: ローカル アカウントを段階的に廃止する​

高度な設定​

特定のユーザーのみにアクセスを制限する​

ネットワーク制限を実装する​

特権アクセスを管理する​

よくある質問​

連携後、ユーザーにどのような変化がありますか?​

連携の設定後にユーザーやグループを検索できないのはなぜですか?​

権限を再割り当てする必要がありますか?​

UiPath ディレクトリ ユーザー アカウントにマッピングされる Microsoft Entra ID の属性とその更新時期を教えてください。​

Microsoft Entra ID グループ メンバーシップの変更が適用されるまでにどのくらいかかりますか?​

連携後にローカル アカウントに戻すことはできますか?​

Microsoft Entra ID 連携から SAML 連携に移行できますか?​

連携で Microsoft Entra ID のハイブリッド OAuth 2.0 認証コード付与フローが使用されるのはなぜですか?​

Unattended ロボットが Studio Web でデバッグする際に「Orchestrator からユーザー トークンを取得できませんでした」で失敗するのはなぜですか?​