- 基本情報
- データのセキュリティとコンプライアンス
- 組織
- 認証とセキュリティ
- ライセンス
- テナントとサービス
- アカウントとロール
- 組織でのテスト
- AI Trust Layer
- 外部アプリケーション
- 通知
- ログ
- トラブルシューティング
- Automation Cloud に移行する
Automation Cloud 管理ガイド
このページでは、次の操作に関するガイドラインを示します。
- 連携用に Microsoft Entra ID を設定する方法
- 連携後にユーザーと権限を管理する方法
メリット
- シングル サインオン (SSO): ユーザーが Microsoft Entra ID の資格情報を使用して Automation CloudTM にアクセスできるようになります。
- ユーザー管理の簡素化: Microsoft Entra ID の既存のユーザーとグループを使用してアクセス権を管理できます。
- セキュリティの強化: Microsoft Entra ID の多要素認証、条件付きアクセス、特権 ID 管理などの機能を適用できます。
- シームレスな移行: メール アドレスが一致する限り、中断なしにローカル アカウントから移行できます。
制限事項と考慮事項
Microsoft Entra ID 連携を使用する場合は、以下の制限事項に注意してください。
- Unattended ロボットと個人用アクセス トークン: Microsoft Entra ID では、ディレクトリ アクセス中にユーザーが存在する必要があります。その結果、以下の制限が適用されます。
- Microsoft Entra ID のディレクトリ ユーザー アカウントは、無人オートメーションの実行時や個人用アクセス トークンの使用時にグループ権限を継承できません。
- Microsoft Entra ID グループにアクセス制限を適用した場合、Unattended ロボットがユーザーの代わりに組織にアクセスすることはできません。
- ユーザー アカウント管理: ディレクトリ ユーザーとディレクトリ グループは Microsoft Entra ID でのみ管理できます。これらのアカウントは、検索時または権限の割り当て時にのみ Automation CloudTM に表示されます。
- アプリケーションのカスタム キー: Microsoft Entra ID 連携では OIDC プロトコルが使用されますが、
appidクエリ パラメーターを介して渡されるアプリケーションのカスタム キーはサポートされていません。詳しくは、Microsoft のアクセス トークンに関するドキュメントをご覧ください。
はじめる前に
Microsoft Entra ID 連携を設定する前に、以下があることを確認してください。
- 以下のライセンス要件のいずれかを満たす Automation CloudTM 組織。
- ユニファイド プライシング: Enterprise プランまたは Standard プランが必要です。
- フレックス: Enterprise プラン (Standard ティアまたは Enterprise ティアのいずれか) が必要です。
- Automation CloudTM の管理者権限
-
次の Microsoft Entra ID ロールのいずれか。
-
Microsoft Entra ID アプリケーションに対して管理者の同意を付与できる任意のロール
- Automation CloudTM の管理者アカウントと同じメール アドレスを使用する Microsoft Entra ID アカウント (テスト用)
- プロダクト ライフサイクルのドキュメントに規定されている UiPath Studio および Assistant のサポート対象バージョン。
Microsoft Entra ID 連携を有効化すると、Automation CloudTM は一致するメール アドレスを持つアカウントを自動的にリンクします。ユーザーが Microsoft Entra ID を使用して初めてサインインすると、Automation CloudTM はディレクトリ ユーザー アカウントを作成し、一致するローカル アカウントと同じ権限を割り当てます。
この Microsoft Entra ID 連携では、Microsoft の ID プラットフォームと、ハイブリッド OAuth 2.0 認証コード付与フローに基づく委任アクセス モデルを使用します。
Microsoft Entra 連携を設定すると、Automation CloudTM で以下の操作を実行できます。
- Microsoft Entra ID の資格情報を使用してユーザーをサインインさせます。
- Microsoft Entra ID ディレクトリからユーザー プロファイルとグループ メンバーシップを読み取ります。
- Microsoft Entra ID グループの割り当てに基づいてアクセス制御を適用します。
Microsoft Entra ID 連携を設定するには、以下の権限が必要です。
|
Microsoft Entra ID のアクセス許可 |
目的 |
|---|---|
email、openid、profile、offline_access、および User.Read | これにより、ユーザーは Microsoft Entra ID でサインインできます。また、Automation CloudTM で認可要求内のメール アドレス要求やプロファイル要求を取得できます。 |
User.ReadBasic.All または User.Read.All |
これにより、Automation CloudTM の Microsoft Entra ID ディレクトリでユーザーを検索して、リソースの共有や権限の割り当てを行うことができます。また、Automation CloudTM でユーザー属性を最新の状態に保つことができます。 Automation Hub で
City、Job Title、Department などのプロパティを使用するには、User.Read.All 権限が必要です。
|
GroupMember.Read.All | これにより、Automation CloudTM でグループ メンバーシップを評価し、ディレクトリ グループベースのアクセス制御を適用できます。 |
設定方法
Microsoft Entra ID と連携するには、Microsoft Entra ID テナントで Automation CloudTM を表す Microsoft Entra ID アプリケーションを設定する必要があります。
以下のいずれかの設定方法を選択できます。
- (推奨) 自動セットアップ: UiPath で管理される Microsoft Entra ID アプリケーション (マルチテナント モデル) を使用すると、次のようなメリットがあります。
- 管理すべきシークレットや証明書はありません。
- 迅速かつ確実にセットアップできます。
- UiPath が Microsoft Entra ID アプリケーションを管理します。
- カスタム Microsoft Entra ID アプリケーションの登録による手動セットアップ: 独自の Microsoft Entra ID アプリケーションを使用し、その構成を手動で管理します。以下の点にご注意ください。
- アプリケーションの資格情報を作成および管理する必要があります。
- 資格情報には有効期限があるため、定期的な更新が必要です。
- 有効期限が切れる前に資格情報が更新されない場合、ユーザーはサインインできません。
UiPath で管理される Microsoft Entra ID アプリケーションを使用した自動セットアップ (推奨)
設定を簡素化し、シークレットや証明書の管理を避けたい場合は、この方法を使用します。UiPath では、ほとんどの組織にこのアプローチを推奨しています。
Microsoft Entra ID 管理者と Automation CloudTM 管理者を兼任している場合
Microsoft Entra ID 管理者と Automation CloudTM 管理者を兼任している場合は、以下の手順に従って、UiPath で管理されるマルチテナント アプリケーションを使用して連携を設定します。- Automation CloudTM で、[管理] > [セキュリティ] > [認証設定] > [ディレクトリ連携とシングル サインオン (SSO)] に移動します。
- [Microsoft Entra ID] を選択します。
- [UiPath で管理されるマルチテナント アプリケーション (推奨)] を選択します。
- [既存のユーザーと Microsoft Entra ID ユーザーのメール アドレスが一致する場合は、それぞれのアカウントがリンクされることを理解し、それに同意します。] をオンにします。
- [同意する] を選択し、Microsoft Entra ID アカウントでサインインします。
- Microsoft Entra ID の同意プロンプトで、[組織の代表として同意] を選択してから [承諾] を選択します。
- [保存] を選択して連携をアクティブ化します。
専任の Automation CloudTM 管理者の場合
Microsoft Entra ID の管理者権限はないが、Automation CloudTM 管理者である場合は、以下の手順を実行して管理者の同意をリクエストし、連携を完了します。- Automation CloudTM で、[管理] > [セキュリティ] > [認証設定] > [ディレクトリ連携とシングル サインオン (SSO)] に移動します。
- [Microsoft Entra ID] を選択します。
- [UiPath で管理されるマルチテナント アプリケーション (推奨)] を選択します。
- [既存のユーザーと Microsoft Entra ID ユーザーのメール アドレスが一致する場合は、それぞれのアカウントがリンクされることを理解し、それに同意します。] をオンにします。
-
[同意する] を選択し、Microsoft Entra ID アカウントでサインインします。
Microsoft Entra ID の管理者権限がないため、次のいずれかのプロンプトが表示されます。
- [承認をリクエスト] (Microsoft のドキュメント「管理者の承認を要求する」を参照)。Microsoft Entra ID 管理者がリクエストを承認したら、次の手順に進みます。
- Microsoft のドキュメントに記載されているように、管理者の承認が必要です。次の手順を実行するよう、Microsoft Entra ID 管理者に依頼してください。
- この URL に移動して、Microsoft Entra ID の同意プロンプトを開きます。
- [組織の代表として同意] を選択してから [承諾] を選択します。
- 管理者の同意が付与されたことを確認する通知を受け取ったら、Automation CloudTM に戻って手順 1 から 5 を繰り返します。
- サインインに成功すれば、連携は正しく設定されています。
- サインインに失敗した場合は、Microsoft Entra ID 管理者に問い合わせて、同意が正しく付与されたことを確認してもらってください。
- [保存] を選択して連携をアクティブ化します。
カスタム Microsoft Entra ID アプリケーションの登録による手動セットアップ
UiPath で管理されるマルチテナント アプリケーションを使用する代わりに、独自の Microsoft Entra ID アプリケーションを設定する場合は、次の手順を実行します。このオプションでは、自身の資格情報を管理し、長期にわたって保持する必要があります。
Microsoft Entra ID を設定する
Microsoft Entra ID 管理者は、PowerShell スクリプトまたは Microsoft Entra 管理センターを使用してアプリケーションを設定できます。
オプション A: PowerShell スクリプトを使用する
手動設定を最小限に抑えてセットアップ プロセスを自動化するには、次の手順を実行します。
- Microsoft Entra ID の構成スクリプトをダウンロードします。
configAzureADconnection.ps1を実行して Entra テナントを自動的にセットアップします。testAzureADappRegistration.ps1を実行して設定を確認します。
オプション B: Microsoft Entra 管理センターを使用する
ユーザー インターフェイスを使用して手動でアプリケーションの登録を設定する場合は、以下の手順を実行します。
- アプリの登録を作成します。
- Microsoft Entra 管理センター > [アプリの登録] > [新規登録] に移動します。
- 名前を「Automation Cloud」または好きな名前に設定します。
- [この組織ディレクトリのみに含まれるアカウント] を選択します。
- [リダイレクト URI] を「
https://cloud.uipath.com/identity_/signin-oidc」に設定します。
- 認証を設定します。
- [認証] に移動します。
- 次のリダイレクト URI を追加します。
https://cloud.uipath.com/portal_/testconnection - [Implicit grant and hybrid flows] で [ID トークン] を選択します。この連携では、Microsoft ハイブリッド フローを活用します。
- 変更を保存します。
- トークン要求を追加します。
- [トークン構成] > [省略可能な要求を追加] に移動します。
- トークンの種類として [ID] を選択します。
-
[
family_name]、[given_name]、[upn] の各要求を選択します。これらの要求は、サインイン時にユーザー情報を更新するために使用されます。
- 変更を保存します。
- API のアクセス許可を設定します。
- [API のアクセス許可] > [権限を追加] に移動します。
- [Microsoft Graph] を選択して、以下を追加します。
- OpenID 権限:
email、openid、offline_access、profile - ユーザー権限:
User.Read、User.ReadBasic.All、User.Read.All - グループ権限:
GroupMember.Read.All
- OpenID 権限:
- [(組織) に管理者の同意を与えます] を選択します。この手順によって、アプリケーションは個別の同意プロンプトなしですべてのユーザーのデータにアクセスできるようになります。詳しくは、Microsoft のドキュメントをご覧ください。
-
認証情報を作成する:
クライアント シークレットまたは証明書を使用できます。
- クライアント シークレットを作成するには、以下の手順を実行します。
- [証明書とシークレット] に移動します。
- [新しいクライアント シークレット] を選択して、シークレット値を保存します。
- 証明書を作成するには、以下の手順を実行します。
- 新しいタブを開き、[Azure Key Vault] に移動します。
- 証明書を作成します。
- サブジェクト:
CN=uipath.com - コンテンツの種類:
PEM - 最大サイズ: 10 KB 未満
- サブジェクト:
- 証明書を
.pem形式でダウンロードします。 - テキスト エディターで
.pemファイルを開き、BEGIN CERTIFICATE と END CERTIFICATE の間にあるセクションを見つけます。 - この証明書セクションのみを含む新しい
.pemファイルを作成します。 - Microsoft Entra 管理センターで [証明書とシークレット] に移動して、新しい
.pemファイルをアップロードします。 .pemファイルを保管します。Automation CloudTM での連携を完了するには、このファイルが必要です。
注:ほとんどの資格情報の種類は最終的に期限切れになります。ユーザー サインインの問題を回避するには、資格情報の有効期限が切れる前に設定を更新してください。
このオーバーヘッドを回避するには、 UiPath で管理される Microsoft Entra ID アプリケーションによる自動セットアップを使用します。
- クライアント シークレットを作成するには、以下の手順を実行します。
- 連携に関する以下の詳細情報を収集し、Automation CloudTM 管理者と共有します。
- アプリケーション (クライアント) ID
- ディレクトリ (テナント) ID
- クライアント シークレットまたは証明書
Automation CloudTM で連携をアクティブ化する
Automation CloudTM 管理者は、Microsoft Entra ID 管理者から提供された値を使用して以下の手順を実行し、Automation CloudTM での設定を完了します。- [管理] > [セキュリティ] > [認証設定] > [ディレクトリ連携とシングル サインオン (SSO)] に移動します。
- [Microsoft Entra ID] を選択します。
- [カスタム アプリケーション登録 ID とシークレット] を選択します。
- Entra ID 管理者から提供された次の値を入力します。
- ディレクトリ (テナント) ID
- アプリケーション (クライアント) ID
- クライアント シークレットまたは証明書
- [既存のユーザーと Microsoft Entra ID ユーザーのメール アドレスが一致する場合は、それぞれのアカウントがリンクされることを理解し、それに同意します。] をオンにします。
- [テスト接続] を選択して、Microsoft Entra ID アカウントでサインインします。
- サインインに成功すれば、連携は正しく設定されています。
- サインインに失敗した場合は、Microsoft Entra ID 管理者に設定を確認してもらってから、もう一度試してください。
- [保存] を選択して連携をアクティブ化します。
手順 4.1: グループ権限を設定する
ディレクトリ ユーザーがグループ メンバーシップに基づいて権限を継承できるようにするには、関連する Microsoft Entra ID グループを Automation CloudTM のローカル グループに追加します。
たとえば、UiPath Admins Entra ID グループを Automation CloudTM の Administrators グループに追加します。
組織の規模に応じて、個々のユーザー権限を削除し、ディレクトリ グループのメンバーシップを利用して権限の管理を簡素化することをお勧めします。
手順 4.2: 既存のユーザーを移行する
Automation CloudTM、Studio、Assistant の Microsoft Entra ID グループ メンバーシップを通じて割り当てられた権限をユーザーが確実に継承できるようにするには、次の手順を実行します。
Automation CloudTM の場合
次のいずれかの方法で、サインアウトしてからディレクトリ アカウントでサインインするよう、ユーザーに依頼します。
- 組織固有の URL (https://cloud.uipath.com
/{organizationName}/) に移動します。 - または、メイン ログイン ページで [Enterprise SSO で続行] を選択します。
Studio および Assistant の場合
- UiPath Assistant を開きます。
- [設定] > [Orchestrator への接続] に移動します。
- 現在のセッションからサインアウトします。
- 接続の種類を [サービス URL] に設定します。
- 組織の URL (https://cloud.uipath.com
/{organizationName}/) を入力します。 - Microsoft Entra ID アカウントでサインインします。
手順 4.3: ローカル アカウントを段階的に廃止する
一貫性を確保し、ユーザー エクスペリエンスを簡素化するために、ローカル ユーザー アカウントを削除することをお勧めします。
ディレクトリ アカウントではなくローカル アカウントでのサインインを継続するユーザーには、次の制限があります。
- ディレクトリ グループの権限は継承されません。
- Microsoft Entra ID ディレクトリからユーザーまたはグループを検索したり割り当てたりすることはできません。
次の表は、リンクされたローカル アカウントとディレクトリ アカウントで期待される動作をまとめたものです。
| 機能 | リンクされたローカル ユーザー アカウント | リンクされたディレクトリ ユーザー アカウント |
|---|---|---|
| ユーザーに直接割り当てられた権限を継承する | はい | はい |
| ディレクトリ グループに割り当てられた権限を継承する | いいえ | はい |
| Automation CloudTM でディレクトリ ユーザーおよびグループ、権限、またはリソースを検索して割り当てる | いいえ | はい |
特定のユーザーのみにアクセスを制限する
既定では、Microsoft Entra ID テナント内のすべてのユーザーが Automation CloudTM 組織にアクセスできます。アクセスを特定のユーザーまたはグループに制限するには、次の手順を実行します。
- Microsoft Entra 管理センターで、「 手順 2: Microsoft Entra ID 連携を設定する」で連携用に作成したアプリケーションに移動します。
- [エンタープライズ アプリケーション] > [プロパティ] に移動します。
- [User assignment required?] を [はい] に設定します。
- [ユーザーとグループ] で、アクセス権を必要とするユーザーまたはグループを割り当てます。
ネットワーク制限を実装する
Microsoft Entra ID の条件付きアクセス ポリシーを使用して、次の基準に基づいてアクセスを制限します。
- ネットワークの場所 (例: 社内ネットワークのみ)
- デバイスのコンプライアンス
- リスク レベル
これらのポリシーの設定方法について詳しくは、条件付きアクセスに関する Microsoft のドキュメントをご覧ください。
特権アクセスを管理する
UiPath 管理者アクセスの管理に使用する Microsoft Entra ID グループに対しては、次のアクセス管理方法を実装します。
- Microsoft Entra ID で Privileged Identity Management (PIM) を有効化します。
- Just-In-Time アクセスと承認ワークフローを設定します。
- 定期的なアクセス レビューを設定して、メンバーシップと権限を検証します。
設定のガイダンスについては、Privileged Identity Management に関する Microsoft のドキュメントをご覧ください。
連携後、ユーザーにどのような変化がありますか?
連携後、ユーザーは Microsoft Entra ID アカウントでサインインして、既存の権限を保持できます。ローカル ユーザー アカウントがまだアクティブな場合は、両方のサインイン方法を引き続き使用できます。
ディレクトリ アカウントでサインインするために、ユーザーは次のいずれかの操作を行います。
- 組織固有の URL (
https://cloud.uipath.com{organizationName}/) に移動します。 - メイン ログイン ページで、[Enterprise SSO で続行] を選択します。
連携の設定後にユーザーやグループを検索できないのはなぜですか?
ディレクトリ アカウントではなくローカル ユーザー アカウントを使用してサインインした場合は、Automation CloudTM でユーザーやグループを検索できません。
ローカル アカウントとディレクトリ アカウントの違いを理解するには、「 ローカル アカウントを段階的に廃止する」をご覧ください。
この問題を解決するには、Microsoft Entra ID アカウントでサインインしていることを確認してください。
権限を再割り当てする必要がありますか?
いいえ、権限を再割り当てする必要はありません。アカウントがリンクされると、Automation CloudTM によって自動的に既存の権限が対応する Microsoft Entra ID アカウントに適用されます。ディレクトリ ユーザー アカウントは、直接割り当てとディレクトリ グループ メンバーシップの両方から権限を受け取ります。Microsoft Entra ID のどの属性が Automation Cloud のディレクトリ ユーザー アカウントにマッピングされ、いつ更新されますか?
Automation Cloud™ は、限られた Microsoft Entra ID 属性のセットのみをディレクトリ ユーザー アカウントにマッピングします。次の表は、利用可能な属性をまとめたものです。
すべてのユーザー属性は、サインイン中、および Automation CloudTM でユーザーが検索されるか、ユーザーにリソースへのアクセス権が割り当てられたときに更新されます。
|
Automation Cloud の属性 |
Microsoft Entra ID の属性 |
目的 |
|---|---|---|
| ユーザー名 | user.userPrincipalName | 一意の識別子。このプロパティは、ユーザーの作成時に必要であり、更新時にクリアすることはできません。 |
| 表示名 | user.displayName | ユーザーのフルネーム (通常は、姓と名の組み合わせ)。このプロパティは、ユーザーの作成時に必要であり、更新時にクリアすることはできません。 |
| 名 | user.givenName | ユーザーの名。 |
| 姓 | user.surName | ユーザーの姓。 |
| メール | user.Mail | ユーザーのメール アドレス。このプロパティは、ユーザーの作成時に必要であり、更新時にクリアすることはできません。 |
| 役職1 | user.JobTitle | ユーザーの役職です。 |
| Department1 | user.Department | ユーザーの部署。 |
| 市町村1 | user.City | ユーザーの市区町村。 |
| 会社名1 | user.CompanyName | ユーザーの会社名。 |
1Automation Hub は、Microsoft Entra ID の 市区町村、 役職、 部署、 会社名 の値を活用する唯一のサービスです。これらの属性が必要な場合は、「 Microsoft Entra ID 連携を設定する」に記載されているように、より高い特権の権限を要求する必要があります。
Microsoft Entra ID グループ メンバーシップの変更が適用されるまでにどのくらいかかりますか?
Microsoft Entra ID グループ メンバーシップの変更は、次回のサインイン時、またはすでにサインインしているユーザーの場合は 1 時間以内に有効になります。連携後にローカル アカウントに戻すことはできますか?
はい、Microsoft Entra ID との連携後、ローカル アカウントに戻すことができます。Automation CloudTM の組織管理者が次の手順を完了する必要があります。- ローカル ユーザー アカウントを再度招待します。
- ディレクトリ グループに基づくすべての権限を、対応するローカル アカウントへの直接割り当てに移行します。
- サインアウトしてからローカル ユーザー アカウントでサインインするよう、ユーザーに依頼します。
Microsoft Entra ID 連携から SAML 連携に移行できますか?
はい、Microsoft Entra ID 連携から SAML 連携に移行できます。Automation CloudTM の組織管理者は、両方の ID システムで各ユーザーに対して同じメール アドレスが使用されていることを確認する必要があります。また、管理者は、Microsoft Entra ID グループを通じて割り当てられたすべての権限を SAML プロビジョニング ルールに移行する必要があります。連携で Microsoft Entra ID のハイブリッド OAuth 2.0 認証コード付与フローが使用されるのはなぜですか?
Automation CloudTM は、Microsoft Entra ID のドキュメントに記載されているように、ハイブリッド フローを使用して認可エンドポイントから ID トークンを取得し、認証のレイテンシを短縮します。- 基本情報
- メリット
- 制限事項と考慮事項
- はじめる前に
- 手順 1: アカウントのリンクのために組織を準備する
- 手順 2: Microsoft Entra ID 連携を設定する
- 設定方法
- UiPath で管理される Microsoft Entra ID アプリケーションを使用した自動セットアップ (推奨)
- カスタム Microsoft Entra ID アプリケーションの登録による手動セットアップ
- 手順 3: 連携を使用および検証する
- 手順 4: 移行を完了する
- 手順 4.1: グループ権限を設定する
- 手順 4.2: 既存のユーザーを移行する
- 手順 4.3: ローカル アカウントを段階的に廃止する
- 高度な設定
- 特定のユーザーのみにアクセスを制限する
- ネットワーク制限を実装する
- 特権アクセスを管理する
- よくある質問
- 連携後、ユーザーにどのような変化がありますか?
- 連携の設定後にユーザーやグループを検索できないのはなぜですか?
- 権限を再割り当てする必要がありますか?
- Microsoft Entra ID のどの属性が Automation Cloud のディレクトリ ユーザー アカウントにマッピングされ、いつ更新されますか?
- Microsoft Entra ID グループ メンバーシップの変更が適用されるまでにどのくらいかかりますか?
- 連携後にローカル アカウントに戻すことはできますか?
- Microsoft Entra ID 連携から SAML 連携に移行できますか?
- 連携で Microsoft Entra ID のハイブリッド OAuth 2.0 認証コード付与フローが使用されるのはなぜですか?
