Active Directory アダプターを切り替える

UiPath Identity Server は、ad および ldapad の 2 つの Active Directory アダプターをサポートしています。

• ad アダプター: スタンドアロン デプロイでのみ動作するレガシー アダプターです。ad アダプターは Windows でのみ動作します。外部の信頼ドメインと NTLM をサポートし、ドメインに参加していないクライアントの認証をサポートします。
• ldapad アダプター: 2021.10 で導入されたアダプターです。ldapad アダプターは、スタンドアロン デプロイと Automation Suite のデプロイの両方で動作します。外部の信頼ドメインと NTLM をサポートしておらず、ドメインに参加していないクライアントは認証できません。

次の表では、各展開モデルの 2 つの Active Directory アダプターについて説明します。

デプロイ	ad アダプター	ldapad アダプター
スタンドアロン	サポート対象 注: 外部の信頼ドメインと NTLM をサポート - ドメインに参加していないクライアントの認証をサポートします。	サポート対象

注:

Active Directory との連携が有効化された 2021.10 より前のすべてのデプロイでは、アップグレード後も ad アダプターが保持されます。他のすべてのデプロイでは、Active Directory との連携が有効化されている場合、既定で ldapad アダプターが取得されます。

Active Directory アダプターの種類を確認する

アダプターの種類を判断するには、[identity].[DirectoryConnections] テーブルでアダプターの種類を確認する SQL クエリを実行できます。

SELECT dc.* from [identity].[DirectoryConnections] dc
JOIN [identity].[Partitions] p ON p.[Id]=dc.[PartitionId]
WHERE p.[GlobalId]='FEB0DD79-85B6-483B-B297-0E49A1AA5B7D' AND dc.[IsDeleted]=0

[Type]=ad の場合、ad アダプターを使用中です。[Type]='ldapad' の場合、ldapad アダプターを使用中です。

ldapad から ad に切り替える

注:

これはスタンドアロン デプロイでのみサポートされます。

ldapad から adに切り替えるには、次の手順に従います。

1. 次のクエリ ldapad 1 行を返すことを確かめて、アダプターが有効化されていることを確認します。

   SELECT dc.* from [identity].[DirectoryConnections] dc JOIN [identity].[Partitions] p ON p.[Id]=dc.[PartitionId] WHERE p.[GlobalId]='FEB0DD79-85B6-483B-B297-0E49A1AA5B7D' AND dc.[Type]='ldapad' AND dc.[IsDeleted]=0

2. Orchestrator/Identity データベースに接続し、次のスクリプトを実行します。 FQDN-OF-DOMAIN は既定/メインのドメインの完全修飾名に置き換えてください。 UiPath ホスト ポータルで Active Directory との連携を有効化すると、 次の SQL スクリプトは、Active Directory ユーザーとグループの DirectoryId を更新し、 ldapad ディレクトリ接続を論理的に削除して、 ad ディレクトリ接続を作成します。

   -- convert users
   
   IF OBJECT_ID('tempdb..#tmp_ldap_users') IS NOT NULL
   DROP TABLE #tmp_ldap_users
   
   SELECT [Id], [MasterPartitionId], CONCAT('ad', SUBSTRING([DirectoryId], 7, 256)) AS [DirectoryId] INTO #tmp_ldap_users
   FROM [identity].[AspNetUsers]
   WHERE [DirectoryId] LIKE 'ldapad|%' AND [IsDeleted]=0
   
   --SELECT * FROM #tmp_ldap_users
   
   DELETE tmp
   FROM #tmp_ldap_users tmp
   JOIN [identity].[AspNetUsers] u ON u.[MasterPartitionId]=tmp.[MasterPartitionId] AND u.[DirectoryId]=tmp.[DirectoryId]
   
   --SELECT * FROM #tmp_ldap_users
   
   UPDATE u
   SET u.[DirectoryId]=tmp.[DirectoryId]
   FROM [identity].[AspNetUsers] u
   JOIN #tmp_ldap_users tmp on tmp.[Id]=u.[Id]
   
   -- create 'ad' directory connection
   
   DECLARE @HostPartitionId int		-- host partition id
   SELECT @HostPartitionId = [Id] FROM [identity].[Partitions] WHERE [GlobalId]='FEB0DD79-85B6-483B-B297-0E49A1AA5B7D'
   
   UPDATE [identity].[DirectoryConnections] SET [IsDeleted]=1, [DeletionTime]=GETUTCDATE() WHERE [PartitionId]=@HostPartitionId AND [Type]='ldapad' and [IsDeleted]=0
   
   SELECT * FROM [identity].[DirectoryConnections] WHERE [PartitionId]=@HostPartitionId AND [Type]='ad' and [IsDeleted]=0
   IF @@ROWCOUNT=0
       INSERT INTO [identity].[DirectoryConnections] ([PartitionId], [Type], [CreationTime], [Configuration], [IsDeleted])
   	VALUES (@HostPartitionId, 'ad', GETUTCDATE(), '{ "Domain": "<FQDN-OF-DOMAIN>" }', 0)
   
   
   SELECT * FROM [identity].[DirectoryConnections] WHERE [PartitionId]=@HostPartitionId AND [IsDeleted]=0

3. 管理者権限のプロンプトから iisreset を実行して、ID アプリケーション プールを再起動します。

ad から ldapad に切り替える

ディレクトリ連携を ad から ldapadに切り替えるには、次の手順を実行します。

1. 次のクエリが 1 行を返すことを確かめて、 ad アダプターが有効化されていることを確認します。

   SELECT dc.* from [identity].[DirectoryConnections] dc
   JOIN [identity].[Partitions] p ON p.[Id]=dc.[PartitionId]
   WHERE p.[GlobalId]='FEB0DD79-85B6-483B-B297-0E49A1AA5B7D' AND dc.[Type]='ad' AND dc.[IsDeleted]=0

2. ホスト ポータルで、既存の Active Directory との連携を削除します。

3. ディレクトリ連携を再構成し、[ ディレクトリ連携 ] で [ 設定] を選択します。

   手記：ad から ldapad に切り替えると、削除および再構成の手順中であっても、すべてのユーザー設定と権限が保持されます。
4. IIS サービスを再起動します。
   たとえば、コマンド プロンプトで iisreset コマンドを使用して IIS サービスをリセットできます。