- 基本情報
- ベスト プラクティス
- テナント
- リソース カタログ サービス
- フォルダー コンテキスト
- 自動化
- プロセス
- ジョブ
- トリガー
- ログ
- 監視
- キュー
- アセット
- ストレージ バケット
- Orchestrator のテスト
- その他の構成
- Integrations
- ホストの管理
- 組織管理者
- トラブルシューティング
Orchestrator ユーザー ガイド
Identity Server について
UiPath® Identity Server は、スタンドアロンの Orchestrator の認証サービスです。Orchestrator とその管理ポータルに対し、セキュリティで保護された認証とトークン発行機能を提供します。Identity Server は OAuth 2.0 標準と OpenID Connect 標準を実装しており、Active Directory などのエンタープライズ ID システムと連携します。Identity Server がスタンドアロンの Orchestrator でどのように動作するかについては、以下の図をご覧ください。
図 1.Identity Server の図
Orchestrator 内のロール
Identity Server は以下を行います。
- Orchestrator にアクセスするユーザーとアプリケーションを認証する
- アクセス トークンと ID トークンを発行する
- OAuth 2.0 および OpenID Connect フローをサポートする
- 外部 ID プロバイダー (Active Directory、SAML プロバイダーなど) と連携する
- シングル サインオン (SSO) を有効化する
- Orchestrator と ID 管理ポータル間の通信をセキュリティで保護する
Orchestrator とその管理ポータルでは、認証を Identity Server に依存します。
Orchestrator 内の認証フロー
- ユーザー認証
ユーザーが Orchestrator または ID 管理ポータルにアクセスすると、以下の処理が実行されます。
- 要求が Identity Server にリダイレクトされます。
- Identity Server が以下に照らしてユーザーを検証します。
- ローカル アカウント、または
- 外部 ID プロバイダー (Active Directory、SAML など)
- 認証に成功すると、Identity Server はセキュリティ トークンを発行します。
- トークンベースのアクセス
認証後、以下の処理が行われます。
- OAuth アクセス トークンが発行されます。
- Orchestrator に対する以降の要求にはこのトークンが付随します。
- Orchestrator がトークンを検証します。
- ロールと権限に基づいて認可が決定されます。Identity Server が認証を処理します。Orchestrator が認可を適用します。
Active Directory と Kerberos の連携
ドメインに参加している環境では、スタンドアロンの Orchestrator は Kerberos ベースの認証をサポートします。
- クライアントが DNS を使用して Orchestrator のホスト名を解決します。
- クライアントが Active Directory から Kerberos のチケット付与チケット (TGT) を取得します。
- クライアントが、設定されているサービス プリンシパル名 (SPN) のサービス チケットを要求します。
- IIS Web サーバーが Kerberos チケットを検証します。
- Identity Server が、認証された ID を処理し、プラットフォーム トークンを発行します。
これにより、エンタープライズの Windows 環境でのシームレスなシングル サインオンが可能になります。
高可用性に関する考慮事項
マルチノード デプロイの場合、以下のような動作になります。
- Identity Server は、ロード バランサーの背後にある複数のノードで実行されます。
- クライアントは、共有ロード バランサーのホスト名を介して Orchestrator と Identity Server にアクセスします。
- Redis を使用して、OAuth クライアント データとセッション状態をノード間でキャッシュし、クラスター全体で一貫した認証を保証します。
- Kerberos を使用している場合、サービス プリンシパル名 (SPN) がロード バランサーのホスト名と一致している必要があります。
- シングルノード設定からマルチノード設定に変更する場合は、データベースと UiPath.Orchestrator.dll.config ファイルで Identity Server のパブリック URL を更新する必要があります。
外部アプリケーションの認証
Orchestrator は、セキュリティで保護されたアクセスを以下に対してサポートします。
- 外部アプリケーション
- API 連携
- ロボットと Orchestrator 間の通信
アプリケーションは、サポートされている OAuth フロー (ROPC など) を使用して認証し、Identity Server からトークンを受け取ります。
セキュリティ モデル
スタンドアロンの Orchestrator は、以下の一元的な認証モデルを使用します。
- Identity Server が認証を実行します。
- Orchestrator が認可を適用します。
- トークンベースのアクセスにより、API と Orchestrator の UI がセキュリティを保護します。
- 外部 ID プロバイダー (Active Directory、SAML) との連携により、エンタープライズのセキュリティ要件をサポートします。