- 基本情報
- ホストの管理
- 組織
- 認証とセキュリティ
- ライセンス
- テナントとサービス
- アカウントとロール
- 外部アプリケーション
- 組織でのテスト
- 通知
- ログ
- トラブルシューティング
UiPath Automation Suite 管理ガイド
組織で Microsoft Entra ID または Office 365 を使用している場合は、 Automation Suite の組織を Microsoft Entra ID のテナントに直接接続して、 Automation Suite 環境の既存のアカウントとグループを表示できます。
Microsoft Entra ID との連携を使用すると、ローカル アカウント モデルを活用し続けながら、Microsoft Entra ID モデルの使用によるメリットも活かして組織の能力を高めることができます。Microsoft Entra ID との連携では、既存ユーザーの運用環境が中断されないように、アクティブ化とロール アウトを段階的に進めることができます。
組織で Microsoft Entra ID モデルの使用を決定している場合は、このページの手順に従って連携を設定します。
Microsoft Entra ID 連携を設定するには、以下が必要です。
- Automation Suiteと Microsoft Entra ID の両方の管理者権限 (それぞれ別のユーザーであってもよい)。
- 連携を実行する組織管理者の UiPath ローカル アカウントと同じメール アドレスを持つ Microsoft Entra ID アカウント。この Microsoft Entra ID アカウントは連携のテスト専用であり、Azure での管理者権限は不要です
- UiPath Studio および UiPath Assistant のバージョン 2020.10.3 以降
- UiPath Studio と UiPath Assistant が推奨されるデプロイを使用している
-
以前にローカル ユーザー アカウントを使用した場合は、すべての Microsoft Entra ID ユーザーのメール アドレスが Mail フィールドにあることを確認してください。メール アドレスが User Principle Name (UPN) フィールドに入力されているだけでは不十分です。Microsoft Entra ID との連携では、メール アドレスが一致する場合、ディレクトリ ユーザー アカウントをローカル ユーザー アカウントにリンクします。これにより、ユーザーはローカル ユーザー アカウントでのサインインから Microsoft Entra ID ディレクトリ ユーザー アカウントに移行するときに、権限を保持できます。
appid クエリ パラメーターを専用の URL で要求することによってアプリケーションのカスタム キーを使用することはできません。詳しくは、 こちらで Microsoft のアクセス トークン に関するドキュメントをご覧ください。
組織では、AD メンバーを参照してアカウント ID を確立できるようにするために、Microsoft Entra ID のテナントでのアプリケーションの登録と、いくつかの設定を必要とします。後で組織を Microsoft Entra ID テナントに接続するために、アプリケーションの登録に関する詳細情報も必要になります。
権限: このセクションの作業を実行するには、Azure の管理者である必要があります。次の Azure 管理者ロールには、必要な権限が付与されています: 全体管理者、クラウド アプリケーション管理者、アプリケーション管理者
連携のために Azure テナントを設定する方法は 2 通りあります。
- 以下の手順を実行して、連携のためにアプリケーションの登録を手動で設定します。
- この作業のために UiPath が作成した UiPath Microsoft Entra ID スクリプト (GitHub から入手可能) を使用します。この
configAzureADconnection.ps1スクリプトは、このセクションで説明するすべての操作を実行して、アプリケーションの登録に必要な詳細情報を返します。その後、testAzureADappRegistration.ps1スクリプトを実行して、アプリの登録が成功したことを確認できます。
Azure テナントを手動で設定するには、Azure Portal で以下の手順を実行します。
- アプリケーションの [認証] ページに移動します。
- [リダイレクト URI] 下部の [URI の追加] を選択して、新しいエントリを追加します。
- [リダイレクト URI] のリストに
https://{yourDomain}/portal_/testconnectionを追加します。 - 下部の [ID トークン] チェック ボックスを選択します。
- [保存] を選択します。
Azure の設定が完了したら、連携の準備を行い、アクティブ化してから、古いアカウントをクリーンアップすることができます。 ユーザーの作業が中断することのないよう、プロセスはいくつかの段階に分けて実行されます。
このセクションのタスクを実行するには、 Automation Suite の組織管理者である必要があります。
非アクティブ ユーザーをクリーンアップする
連携をアクティブ化して Automation Suite を Microsoft Entra ID に接続すると、メール アドレスが一致するアカウントがリンクされ、Microsoft Entra ID のアカウントに、対応する UiPath ローカル アカウントと同じ権限が付与されます。
組織でメール アドレスを再利用する習慣がある場合、つまり、過去に使用されていたメール アドレスが将来新しいユーザーに割り当てられる可能性がある場合、アクセス権が昇格される危険性があります。
john.doe@example.com である従業員がいたとします。この従業員はローカル アカウントを所有していて、組織管理者の権限を持っていましたが、その後退社したため、このメール アドレスは非アクティブ化されました。しかし、Orchestrator からはユーザーが削除されませんでした。
john.doe@example.com メール アドレスが割り当てられます。このような場合、アカウントが Microsoft Entra ID との連携の一部としてリンクされると、ジョン・ドウは Organization Administrator の権限を継承してしまいます。
このような状況を防ぐには、次の手順に進む前に、アクティブでなくなったすべてのユーザーを Automation Suite 組織から削除してください。非アクティブなメール アドレスを組織で再利用しない場合は、以下の手順を省略できます。
Microsoft Entra ID 連携をアクティブ化する
- Azure の設定が完了していることを確認します。
- Azure の管理者から、 Automation Suite アプリケーションの登録に必要な、Azure の ディレクトリ (テナント) ID 、 アプリケーション (クライアント) ID 、 クライアント シークレット の値を入手します。
これで、リンク先のテナントの Microsoft Entra ID 内のユーザーとグループを操作できます。ディレクトリ アカウントとグループは[管理] & [ アカウントとグループ] の [ ユーザー] ページまたは[グループ] ページに表示されず、検索を通じてのみ確認できます。
Microsoft Entra ID 連携をテストする
連携が機能していることを確認するには、Microsoft Entra ID アカウントで組織管理者としてサインインし、 Automation Suite の[グループを編集] パネル ([管理] > [ アカウントとグループ] > [ グループを編集] >) などの関連するページで Microsoft Entra ID のユーザーやグループ を検索し てみてください。
Microsoft Entra ID で作成されたユーザーやグループを検索できれば、連携が正しく機能しています。ユーザーまたはグループの種類は、アイコンによって見分けられます。
ユーザーの検索を試して、下の図の例のようなエラーが発生した場合は、Azure での設定に何らかの問題があります。Azure の管理者に連絡して、「連携が可能になるよう Azure を設定する」のドキュメントで前述されているとおりに Azure が設定されているかどうかの確認を依頼してください。
統合がアクティブ化されたら、このセクションの手順に従って、ユーザーの作成とグループの割り当てが Microsoft Entra ID に確実に引き渡されるようにすることをお勧めします。これにより、既存の ID およびアクセス管理インフラストラクチャを基盤として構築し、 Automation Suite 内の UiPath リソースに対するガバナンスとアクセス管理の制御を容易にできます。
権限とロボット用にグループを設定する (オプション)
グループを設定すると、Azure の管理者も、連携前に設定済みだったものと同じ権限とロボットの設定を使用して、新規ユーザーのオンボーディングを確実に行えるようになります。Microsoft Entra ID グループに必要なロールを割り当て済みであれば、このグループに新規ユーザーを追加するだけでオンボーディングを完了できます。
Automation Suite の既存のユーザー グループを Microsoft Entra ID の新規または既存のグループにマッピングできます。これは、Microsoft Entra ID でのグループの使用方法に応じて、いくつかの方法で行うことができます。
- Automation Suite で同じロールを持つユーザーがすでに Microsoft Entra ID の同じグループに属している場合、組織管理者はこれらの Microsoft Entra ID グループを、これらのユーザーが属していたユーザー グループに追加できます。これにより、ユーザーは同じ権限とロボットの設定を維持できます。
- それ以外の場合、Azure 管理者は Automation Suite のグループと一致する新しいグループを Microsoft Entra ID 内に作成し、UiPath ユーザー グループと同じユーザーを追加できます。その後、組織管理者は新しい Microsoft Entra ID グループを既存のユーザー グループに追加して、同じユーザーが同じロールを持つようにすることができます。
すべての場合において、ユーザーに具体的に割り当てられているロールを確認してください。 可能な場合は、これらのロールの直接割り当てを削除し、これらのロールが既に割り当てられているグループにこれらのユーザーを追加します。
たとえば、 Automation Suite の Administrators グループに、Anna、Tom、John というユーザーが属しているとします。これらのユーザーは admins という名前の Microsoft Entra ID のグループにも属 しています。組織管理者は、Azure グループ admins を Automation Suite の Administrators グループに追加できます。これにより、Anna、Tom、John は、Microsoft Entra ID グループ admins のメンバーとして、 Automation Suite の Administrators グループのロールのメリットを享受できます。
admins が Administrators グループに含まれるようになったため、新しい管理者をオンボードする必要がある場合、Azure 管理者は新しいユーザーを Azure の admins グループに追加できます。これにより、 Automation Suite で変更を加える必要なく、 Automation Suite での管理者権限を付与できます。
Microsoft Entra ID のグループ割り当ての変更は、ユーザーが Microsoft Entra ID のアカウントでログインしたときに Automation Suite に適用されます。すでにログイン済みだった場合は、1 時間以内に適用されます。
既存のユーザーを移行する
Microsoft Entra ID のユーザーやグループに割り当てられた権限を適用するには、ユーザーが少なくとも 1 回はサインインする必要があります。連携が開始された後に、ローカル アカウントからサインアウトして Microsoft Entra ID アカウントでサインインし直すよう、すべてのユーザーに指示することをお勧めします。Microsoft Entra ID のアカウントでのサインインは、次の手順で実行できます。
-
Automation Suite 組織固有の URL に移動します。その場合、サインインの種類はあらかじめ選択されています。URL は組織 ID を含み、スラッシュで終る必要があります (例:
https://{yourDomain}/orgID/)。 -
メイン ログイン ページで [ Enterprise SSO ] を選択します。必ず Automation Suite 用の組織固有の URL をすべてのユーザーに提供してください。
移行したユーザーは、Microsoft Entra ID グループの権限とともに 、Automation Suite で直接割り当てられた結合された権限を受け取ります。
Studio と Assistant が Microsoft Entra ID アカウントに接続するように設定するには、以下の手順を実行します。
- Assistant で [設定] を開き、[Orchestrator への接続] タブを選択します。
- [ サインアウト] を選択します。
- 接続の種類として [サービス URL] を選択します。
-
[ サービス URL ] フィールドに組織固有の URL を追加します。URL は組織 ID を含み、スラッシュで終る必要があります (例:
https://{yourDomain}/orgID/)。 そうでないと、ユーザーが組織に属していないというメッセージが表示され、接続が失敗します。 - Microsoft Entra ID アカウントでサインインし直します。
UiPath のローカル アカウントの使用を中止する (任意)
Automation Suite と Microsoft Entra ID 間の完全な連携がもたらすコア コンプライアンスと効率のメリットを最大限に活かすために、ローカル アカウントの使用は中止することをお勧めします。
すべてのユーザーの移行が完了したら、[ ユーザー ] タブより、非管理者ユーザーを削除し、今後ローカル アカウントではサインインできないようにします。 そのようなアカウントには、ユーザー アイコンが表示されています。
Orchestrator サービスなどの UiPath サービス内の権限を個別にクリーンアップしたり、グループからユーザーを個別に削除したりして、権限が Microsoft Entra ID のグループ メンバーシップだけに基づいて付与されるようにすることもできます。
これで Microsoft Entra ID 連携が設定されました。以下のセクションでは、活用できる高度な機能について役に立つヒントをいくつか説明します。
組織へのアクセスを制限する
Microsoft Entra ID との連携は Azure テナントのレベルで実行されるため、既定ではすべての Microsoft Entra ID ユーザーが Automation Suite にアクセスできます。Microsoft Entra ID ユーザーが UiPath 組織に初めてサインインすると、そのユーザーは UiPath グループ Everyone に自動的に属し、UiPath エコシステム内で基本レベルのアクセス権を提供する組織のユーザー ロールが付与されます。
特定のユーザーにのみ組織へのアクセスを許可する場合、Azure での UiPath アプリの登録時のユーザーの割り当てをアクティブ化できます。これによって、ユーザーはアプリに明示的に割り当てられないと、そのアプリにアクセスできなくなります。手順については、こちらで、 アプリを一連のユーザーに制限 する方法に関する Microsoft の Microsoft Entra ID のドキュメントをご覧ください。
アクセスを信頼できるネットワークまたはデバイスのみに制限する
ユーザーが、信頼できるネットワークまたは信頼できるデバイスからのみ Automation Suite にアクセスできるようにする場合は、 Microsoft Entra ID の条件付きアクセス 機能を使用できます。
Microsoft Entra ID のグループのガバナンス
「 権限とロボット用にグループを設定する」で前述したように、Microsoft Entra ID にグループを作成して、Microsoft Entra ID から直接簡単に UiPath のオンボードを行えるようにした場合、これらのグループに対する Privileged Identity Management (PIM) の高度なセキュリティ オプションを使用して、UiPath グループへのアクセス要求を制御できます。詳細については、 こちらで PIM に関する Microsoft のドキュメントをご覧ください。
連携をアクティブ化したことで、ユーザーにどのような変化がありますか。
ユーザーは既存の Microsoft Entra ID アカウントを使用してすぐにサインインでき、ローカル アカウントと同じ権限を活用できます。
ローカル アカウントをまだ削除していなければ、引き続きローカル アカウントによるサインインも可能です。どちらの方法も使用できます。
https://{yourDomain}/orgID/の形式) に移動するか、メイン ログイン ページで [ Enterprise SSO ] を選択する必要があります。
もう 1 つの変更点として、別のアプリケーションを使用して Microsoft Entra ID アカウントに既にサインインしている場合、この URL に移動すると自動的にサインインされます。
各アカウントには何のロールが割り当てられているか?
Microsoft Entra ID アカウント: ユーザーが Microsoft Entra ID アカウントでサインインすると、ローカル アカウントで持っていたすべてのロールに加えて、UiPath 内で Microsoft Entra ID アカウント、またはユーザーが属する Microsoft Entra ID グループに割り当てられたロールのメリットがすぐに得られます。これらのロールは、グループに含まれている Microsoft Entra ID ユーザーまたは Microsoft Entra ID グループ、または Microsoft Entra ID ユーザーまたは Microsoft Entra ID グループにロールが割り当てられている他のサービスから取得できます。
ローカル アカウント: Microsoft Entra ID との連携がアクティブな場合、ローカル アカウントの場合は、以下の場合によって異なります。
- ユーザーが Microsoft Entra ID アカウントで一度もサインインしていない場合は、ローカル アカウントのロールのみが付与されます。
- ユーザーが Microsoft Entra ID のアカウントを使用してログインする場合、ローカル アカウントには、Microsoft Entra ID のユーザーが UiPath 内で持つすべてのロールが付与されます。明示的に割り当てられたロールか、グループ メンバーシップから継承したロールは問いません。
Microsoft Entra ID アカウントの権限を再適用する必要がありますか?
いいえ。一致するアカウントは自動的にリンクされるため、Microsoft Entra ID アカウントでログインした場合にも既存の権限が適用されます。ただし、ローカル アカウントの使用を中止する場合は、事前に Microsoft Entra ID からユーザーとグループに適切な権限が設定されていることを確認してください。
ユーザーがログインできない - 承認が必要です
ユーザーがログインできない - ユーザー割り当てが必要です (AADSTS50105)
形容： ユーザーは、アプリケーションへのアクセス権を持つグループに割り当てられておらず、明示的にアクセス権を付与されていないため、ログインできません。 AADSTS50105エラーがスローされ、次の状態になります: "Your administrator has configured the application {appName} ('{appId}') は、アプリケーションへのアクセス権が明示的に許可されていない限り、ユーザーをブロックします。 サインインしているユーザー「{user}」は、アクセス権を持つグループの直接のメンバーではなく、管理者によって直接アクセス権が割り当てられていないため、ブロックされます。 管理者に連絡して、このアプリケーションへのアクセスを割り当ててください。
解決： Azure アプリケーション、またはアプリケーションへのアクセス権を持つグループにグループを割り当てます。 Microsoft の公式ドキュメントの「 ユーザーの割り当てを管理する 」をご覧ください。
Microsoft Entra ID シークレットの有効期限が切れている (#230)
形容： ユーザーがログインできません。「Microsoft Entra ID シークレットの有効期限が切れているか無効です。Please to your Microsoft Entra ID admin to create new secret in the Azure Portal and update the secret in the UiPath admin portal (#230)". (Microsoft Entra ID 管理者に Azure Portal で新しいシークレットを作成していただき、UiPath 管理ポータル (#230)) でそのシークレットを更新してください。
解決： Azure で新しいクライアント シークレットを作成し、[管理] セクションでシークレットを更新します。 資格情報の追加については、Microsoft の公式ドキュメントの「 資格情報の追加 」をご覧ください。
