SSO を構成する: Azure Active Directory

このページでは、ホストレベルで Azure Active Directory (Azure AD) 連携を有効化し、Orchestrator のすべてのユーザーが SSO のメリットを得られるようにする方法を説明します。

注:

ホストレベル連携と組織レベル連携

このページで説明しているように、Azure AD 連携をホストレベルで有効化した場合、組織/テナントレベルでは有効化できなくなります。

ホストレベルの連携では、SSO のみが有効化されます。これに対し、連携が組織/テナントレベルで有効化されている場合は、SSO だけでなくディレクトリ検索やユーザーの自動プロビジョニングも可能になります。

前提条件

Azure AD との連携を設定するには、以下が必要です。

Orchestrator と Azure AD の両方の管理者権限 (Azure での管理者権限がない場合は、Azure の管理者と協力してセットアッププロセスを完了してください)。
UiPath の組織管理者には、UiPath アカウントと同じメールアドレスを持つ Azure AD アカウントが必要です。Azure AD アカウントは Azure での管理者権限は不要です。
ユーザーは UiPath Studio および Assistant バージョン 2020.10.3 以降を使用する必要があります。
UiPath Studio と Assistant が推奨されるデプロイを使用するように設定されている必要があります。
以前にローカルユーザーアカウントを使用した場合は、すべての Azure AD ユーザーのメールアドレスが [メール] フィールドにあることを確認してください。メールアドレスが [User Principle Name (UPN)] フィールドに入力されているだけでは不十分です。Azure AD との連携では、メールアドレスが一致する場合、ディレクトリユーザーアカウントをローカルユーザーアカウントにリンクします。これにより、ユーザーはローカルユーザーアカウントでのサインインから Azure AD ディレクトリユーザーアカウントに移行するときに、権限を保持できます。

手順 1: Azure AD のアプリ登録を作成する

注: 次に示す手順は、設定の一例のおおまかな説明です。Azure AD を認証プロバイダーとして設定するための詳しい手順は、Microsoft のドキュメントをご覧ください。

Azure ポータルに管理者としてログインします。
[アプリの登録] に移動し、[新規登録] をクリックします。
[アプリケーションの登録] ページの [名前] フィールドに、Orchestrator インスタンスの名前を入力します。
[サポートされているアカウントの種類] セクションで [この組織ディレクトリ内のアカウントのみ] を選択します。
[リダイレクト URI] を設定します。ドロップダウンリストから [Web] を選択して、Orchestrator インスタンスの URL とサフィックス /identity/azure-signin-oidc を入力してください。例: https://baseURL/identity/azure-signin-oidc
下部の [ID トークン] チェックボックスを選択します。
[登録] をクリックして、Orchestrator のアプリ登録を作成します。
後で使用するためにアプリケーション (クライアント) ID を保存します。

手順 2: Azure AD の SSO を設定する

管理ポータルにシステム管理者としてログインします。
[セキュリティ] をクリックします。
[Azure AD SSO] の [設定] をクリックします。
- Orchestrator に Azure AD によってのみログインできるようにする場合は、[このプロバイダーを使用した自動ログインを強制] チェックボックスをオンにします。
- [表示名] フィールドに、ログインページで Azure AD ボタンに使用するラベルを入力します。
- [クライアント ID] フィールドに、Azure ポータルから取得した [アプリケーション (クライアント) ID] の値を貼り付けます。
- (任意) [クライアントシークレット] フィールドに、Azure ポータルから取得した値を貼り付けます。
- [機関] パラメーターに、以下のいずれかの値を設定します。
  - https://login.microsoftonline.com/<tenant>: <tenant> は、Azure AD テナントのテナント ID または Azure AD テナントに関連付けられたドメインです。特定の組織のユーザーのサインインにのみ使用します。
  - https://login.microsoftonline.com/common 職場または学校のアカウント、または個人の Microsoft アカウントを持つユーザーのサインインに使用します。
- (任意) [ログアウト URL] に、Azure ポータルから取得した値を貼り付けます。
[保存] をクリックして、外部 ID プロバイダーの設定に加えた変更を保存します。

ページが閉じ、[セキュリティ設定] ページに戻ります。
[SAML SSO] の左側にあるトグルをクリックし、連携を有効化します。
IIS サイトを再起動します。外部プロバイダーに変更を加えたら必ず再起動する必要があります。

手順 3: 組織に対して Azure AD の SSO を許可する

以上で Orchestrator と Azure AD サインインの連携が設定されました。有効な Azure AD メールアドレスが指定されたユーザーアカウントは、[ログイン] ページで [Azure AD] の SSO オプションを使用して Orchestrator にサインインできます。

Azure AD SSO によるログインを許可するには、各管理者が以上の設定を自分の組織/テナントに対して実行する必要があります。