エンドユーザーの AD グループを追加する

はじめに

重要:

エンド ユーザーに対してシングル サインオンを有効化するには、最新版のディスパッチャーのビルドを使用する必要があります。(v2021.4 以降)

[サーバー設定] の [ExternalAuthenticationProviders] 設定を行うと、[エンドユーザー管理] ウィンドウに [グループ] タブが表示されます。ここで新しい Active Directory ユーザー グループを追加できます。[ グループ ] タブで定義したグループのメンバーであるエンド ユーザーは、シングル サインオンを使用して、Microsoft アカウントで UiPath Process Mining にログインできます。シングル サインオンに使用する認証プロバイダーに応じて、[ Microsoft でサインイン ] ボタンまたは [Windows ドメインでサインイン ] ボタンが ログイン ダイアログに表示されます。以下の画像で例をご確認ください。

Azure AD グループを追加する

注:

End-user Administration で新しい Azure AD グループを作成する場合、Azure AD グループの識別子を指定する必要があります。この Azure AD グループ識別子は、 Microsoft Azure Portal の グループ 設定で確認できます。

Active Directory グループを追加するには、以下の手順に従います。

手順	操作
1	管理者権限を持つユーザーとしてアプリケーションにログインします。
2	[ ユーザー設定 ] をクリックします。右上隅にある小さい下矢印アイコンをクリックし、ドロップダウンメニューから[ 管理 ]を選択します。 注: Superadmin ユーザーは、エンド ユーザー管理者になりすましてエンド ユーザーのアクセス権を設定することもできます。 「エンドユーザー管理 」を参照してください。
3	ユーザー管理ページで、[ グループ ] タブに移動し、[ 新しいグループ ] をクリックします。
4	[新しい Active Directory グループ] ダイアログで [名前] をクリックし、新しいユーザー グループのわかりやすい名前を入力します。
5	[ 識別子 ] をクリックし、Azure AD グループ識別子を入力します。
6	[グループを追加] をクリックします。

以下の画像で例をご確認ください。

新しいグループが作成され、グループ リストに表示されます。 以下の画像でご確認ください。

[グループ] タブで定義されたグループのメンバーであるエンド ユーザーは、[ログイン] ダイアログの [Microsoft でサインイン] ボタンを使用して、Microsoft アカウントでアプリケーションにログインできるようになりました。

統合 Windows 認証用の Active Directory グループを追加する

Active Directory グループを追加するには、以下の手順に従います。

手順	操作
1	管理者権限を持つユーザーとしてアプリケーションにログインします。
2	[ ユーザー設定 ] をクリックします。右上隅にある小さい下矢印アイコンをクリックし、ドロップダウンメニューから[ 管理 ]を選択します。 注: Superadmin ユーザーは、エンド ユーザー管理者になりすましてエンド ユーザーのアクセス権を設定することもできます。 「エンドユーザー管理 」を参照してください。
3	ユーザー管理ページで、[ グループ ] タブに移動し、[ 新しいグループ ] をクリックします。
4	[新しい Active Directory グループ] ダイアログで [名前] をクリックし、新しいユーザー グループのわかりやすい名前を入力します。
5	[ 識別子 ] をクリックし、ログインを許可するユーザーの IWA グループ の完全な名前 を入力します。 注: 形式は [ CN=All Users,OU=Distribution Groups,DC=Company,DC=com にする必要があります。
6	[グループを追加] をクリックします。

重要:

Active Directory グループでは大文字と小文字が区別されます。

以下の画像で例をご確認ください。

新しいグループが作成され、グループ リストに表示されます。 以下の画像でご確認ください。

[グループ] タブで定義されたグループのメンバーであるエンド ユーザーは、[ログイン] ダイアログの [Windows ドメインでサインイン] ボタンを使用して、Microsoft アカウントでアプリケーションにログインできるようになりました。

エンドユーザーのログイン

エンドユーザーがシングル サインオンを使用してログインすると、新しいユーザーが [Users] タブに自動的に作成されます。以下の画像で例をご確認ください。

注:

シングル サインオン アクセスは、自動プロビジョニングされたユーザー エントリではなく、Active Directory グループを介して提供されます。これは、[お気に入り] などの個々の設定を保持するためにのみ使用されます。このエントリは読み取り専用であるため、ユーザー設定を変更することはできません。

アカウントのアクティベーションを管理する

Active Directory グループを非アクティブ化すると、エンドユーザー アカウントを無効化できます。 Active Directory グループが非アクティブ化されると、そのグループに割り当てられているアカウントはログインできなくなります。

Active Directory グループのすべてのエンドユーザー アカウントに対する承認を無効化するには、以下の手順に従います。

手順	操作
1	Active Directory グループの [ アクティブ ] 列のチェック ボックスをオンにします。

これはトグル式のチェック ボックスです。つまり、ユーザーはチェック ボックスがオンの場合にログインでき、オフの場合にはログインできません。

ライセンス

ユーザーは Active Directory グループを介して認証されますが、 UiPath Process Mining にログインする個々のユーザーにライセンスが割り当てられます。グループが非アクティブ化または削除されると、ユーザーはログインできなくなりますが、ユーザーが実際に非アクティブ化または削除されるまで、ライセンス スロットは引き続き割り当てられます。

エンドユーザーの管理者権限を管理する

Active Directory グループのエンドユーザー アカウントに管理者権限を割り当てることができます。 そうすれば、エンドユーザーがユーザー管理ページにアクセスできるようになります。

Active Directory グループのすべてのメンバーに管理者権限を割り当てるには、以下の手順に従います。

手順	操作
1	Active Directory グループの [管理 ] 列でチェック ボックスをオンにします。

これはトグル式のチェック ボックスです。 つまり、ユーザーはチェック ボックスがオンの場合に管理者権限を持つことになります。オフの場合には持てなくなります。

注:

• ユーザーが、管理者権限が割り当てられているグループの 1 つ以上のメンバーである場合、ユーザーは管理者権限を持ちます。
• ユーザーのエントリはログイン時にのみ更新されます。つまり、たとえばグループ エントリで [管理 ] オプションが切り替えられている場合、そのユーザーは次回のログイン後に管理者権限を持つことになります。

Active Directory グループを削除する

既存の Active Directory グループを削除できます。 削除されたユーザーが別の Active Directory グループのメンバーでない限り、ログインできなくなります。

Active Directory グループを削除するには、以下の手順に従います。

手順	操作
1	削除する Active Directory グループの列で [ 削除 ] ボタンをクリックします。
2	[YES] をクリックします。

削除された Active Directory グループがリストに表示されなくなります。

注:

グループを削除しても、ユーザーは自動的に削除されません。ユーザーはログインできなくなりますが、ユーザー エントリも削除されるまでライセンス スロットを占有し続けます。

Active Directory グループのエンドユーザー アプリ アクセスを管理する

ユーザーが開くことができるのは、ユーザーがアクセス権を持つアプリだけです。 この方法では、特定のアプリにアクセスできないようにエンドユーザー アカウントを制限することもできます。 Active Directory グループのすべてのユーザーに、特定のアプリを開く権限を割り当てることができます。

特定のアプリへの権限をエンドユーザーに割り当てるには、以下の手順に従います。

手順	操作
1	ユーザー管理ページの [ アプリケーション ] タブに移動します。グループは [グループ] アイコンで認識できます。
2	Active Directory グループの [アプリ名] 列のチェック ボックスをオンにします。以下の画像で例をご確認ください。

これはトグル式のチェック ボックスです。つまり、ユーザーはチェック ボックスがオンの場合にこの特定のアプリにアクセスでき、オフの場合にはアクセスが無効になります。

アクセス権を組み合わせる

シングルサインオンを使用してログインするユーザーのアクセス権は、ユーザーが属するグループごとに付与されたすべての権限を組み合わせて決定されます。たとえば、グループ O2C Users に O2C アプリへのアクセス権が付与され、グループ P2P Users に P2P アプリへのアクセス権が付与された場合、両方のグループのメンバーであるユーザーには、 O2C アプリと P2P アプリの両方へのアクセス権が付与されます。P2P Users グループのメンバーのみであるユーザーは、P2P アプリにのみアクセスできます。以下の画像で例をご確認ください。

注:

これは管理者権限にも適用されます。ユーザーは、[ 管理 ] プロパティが選択された 1 つ以上のグループのメンバーである場合、管理者権限を持ちます。

sync-endusers スクリプト

接続文字列の driver パラメーターを {mvscript} に、script パラメーターを sync-endusers に設定するときに接続文字列で使用できるsync-endusersスクリプトです

また、グループを同期することもできます。

グループを同期するには、 login フィールドと email フィールドを省略する必要があります。 代わりに、[ externalLogin ] フィールドを

グループについて説明します。 必要な書式設定については以下をご覧ください。

認証方法	形式
Azure AD	"aadgroup:{[guid]}"
統合 Windows 認証	"iwagroup:{[Distinguished Name]}"

注:

また、 "isAdmin" フラグを同期して、ADグループのエンドユーザーアカウントに管理者権限を付与することもできます。

詳細については、 mvscript: sync-endusers の表のヘルプをご覧ください。