Azure AD で SAML SSO を設定する

Azure portal を使用して、Azure AD テナントに追加したエンタープライズ アプリケーションの SSO を有効にすることができます。

SSO を構成すると、ユーザーは Azure AD 資格情報を使用してサインインできます。

重要:

ユーザーが Azure AD を使用しているが、Azure AD との連携手順を使用して AAD を UiPath® 組織に構成できない場合は、AAD を SAML ベースの ID プロバイダーとして構成することもできます。

これは、すべての Orchestrator ユーザーのユーザーの詳細およびグループ メンバーシップの読み取り権限の付与に関する制限によるものです。

高度な機能を備えているため、推奨されます。ただし、SAML に切り替える場合は、ロール割り当てを最初から再作成しなくても済むように、ディレクトリ グループを使用して行われたロール割り当てを、ディレクトリ アカウントへのロールの直接割り当てに手動で置き換える必要があります。

クレームを管理する

UiPath 側では、http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress クレームまたは http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn クレームのいずれかが SAML ID プロバイダーによって送信される必要があります。http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress クレームでは大文字と小文字が区別されます。

両方のクレームが ACS ペイロードで送信されると、Orchestrator 側では http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress クレームが優先されます。

既定では、Azure AD のアプリケーションは http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress クレームを送信するように設定されており、値としてユーザーのメール アドレスが使用されます。

Azure AD ディレクトリ統合から切り替える、または Azure AD ディレクトリ統合に切り替える予定の場合は、次の点に注意してください。

• 優先順位付けされたクレームで渡された値は、Orchestrator で一意の識別子として使用され、既存のローカル ユーザーを (ローカル ユーザーのメール アドレスを使用して) Azure AD のこのディレクトリ ユーザーにリンクするために使用されます。

• Azure AD と SAML ディレクトリの連携をスムーズに切り替えられるよう、適切なユーザー値を使用して、これら両方の要求を渡すことをお勧めします。

  設定例を次に示します。

  

アプリケーションに対して SAML SSO を有効化する

1. 前提条件に記載されているロールのいずれかを使用して Azure ポータル にログインします。

2. Azure AD に移動し、[ Enterprise applications] を選択します。

   [ すべてのアプリケーション ] ページが開き、Azure AD テナント内のアプリケーションの一覧が表示されます。

   使用するアプリケーションを検索して選択します。 ( 例: UiPath)。

   注:

   SSO 用のアプリケーションを作成するには、このセクションの手順に従います。

3. [ 管理 ] セクションの左側のサイドバーから [ シングル サインオン ] を選択して、 SSO 編集 ページを開きます。

4. [SAML] を選択して SSO 構成 ページを開きます。

   アプリケーションの構成が完了すると、ユーザーは Azure AD テナントの資格情報を使用してアプリケーションにサインインできます。

5. [ 基本的な SAML 構成 ] セクションの [ 編集] をクリックします。

6. Orchestrator ポータルの SAML 構成の設定で指定した値に基づいて、[エンティティ ID] フィールドと [アサーション コンシューマー サービス (ACS) URL] フィールドに入力します。

   

   

7. [保存] をクリックします。

8. [アプリのフェデレーション メタデータ URL] をコピーします。

9. UiPath Administration ポータルに移動し、[SAML 構成] ページに移動します。

10. [ メタデータ URL ] フィールドに [ アプリのフェデレーション メタデータ URL ] を貼り付けます。

11. [ データの取得 ] をクリックして、システムがユーザー関連の情報を ID プロバイダーに要求するようにします。

Orchestrator への自動プロビジョニングのクレームを設定する

1. 前提条件に記載されているロールのいずれかを使用して Azure ポータル にログインします。

2. Azure AD に移動し、[ Enterprise applications] を選択します。

   [ すべてのアプリケーション ] ページが開き、Azure AD テナント内のアプリケーションの一覧が表示されます。

   使用するアプリケーションを検索して選択します。 ( 例: UiPath)。

   注:

   SSO 用のアプリケーションを作成するには、このセクションの手順に従います。

3. [ 管理 ] セクションの左側のサイドバーから [ シングル サインオン ] を選択して、 SSO 編集 ページを開きます。

4. SSO 編集 ページの [ Attributes & Claims ] セクションで [ Edit ] をクリックします。

   

5. [Add a group claim] をクリックして、Orchestrator に送信するグループを設定します。

   注:

   高度な構成を設定するには、[ 詳細設定 ] ドロップダウンから選択します。

6. [保存] をクリックします。

7. 設定を完了するには、公開ドキュメントの 「手順 2.5 プロビジョニング ルールを設定する (任意)」 の手順に従います。

注:

顧客が UPN の使用を希望する場合は、[ Attributes & Claims ] セクションに移動して、 emailaddress 属性の値を変更できます。

SSO 用のアプリケーションを作成する

1. 前提条件に記載されているロールのいずれかを使用して Azure ポータル にログインします。
2. Azure AD に移動し、[Enterprise アプリケーション] を選択します。[すべてのアプリケーション] ページが開き、Azure AD テナント内のアプリケーションの一覧が表示されます。
3. [新しいアプリケーション] > [独自のアプリケーションの作成] をクリックします。
4. アプリケーションに名前を付けます (例: UiPath)。
5. [Integrate any other application that you don't find in the gallery (Non-gallery)] を選択します。
6. [作成] をクリックします。