統合 Windows 認証を介したシングル サインオンを設定する

はじめに

このページでは、Microsoft 統合 Windows 認証を介したシングル サインオンを設定する方法について説明します。

大事な： Microsoft 統合 Windows 認証を使用した UiPath Process Mining のシングル サインオン認証では、ユーザーのログイン環境と IIS サーバーの両方が同じドメイン上にある必要があります。 異なるドメインからログインするユーザーが設定される場合は、 SAML や Azure Active Directoryなどの他の認証方法のいずれかを検討してください。

Microsoft 統合 Windows 認証が有効であり、正しく設定されている場合は、[ログイン] ページにボタンが表示されます。 以下の画像に例を示します。

手順 1: UiPath Process Mining を実行するサーバーを設定します。

注: 次の手順に進む前に、UiPath Process Mining サーバーを実行している IIS サーバーを正しく構成する必要があります。インターネット インフォメーション サービス (IIS) マネージャーで統合 Windows 認証を設定する方法の詳細については、Microsoft 公式ドキュメントをご覧ください。

手順 2: シングル サインオン用に UiPath Process Mining を設定する

サーバー設定を構成する

1. インストール済みの UiPath Process Mining の、[Superadmin] ページの [Settings] タブに移動します。以下の画像でご確認ください。

   
   

   

   
   
2. [ServerSettings] の ExternalAuthenticationProviders 設定に、必要な統合 Windows 認証の設定を追加します。以下で、 integratedWindowsAuthentication オブジェクトの JSON キーについて説明します。

   キー	説明
   url	使用するドメイン内の LDAP URL ドメイン コントローラー。 この URL には、 UiPath Process Mining サーバーからアクセスできる必要があります。 次の形式を使用します: ldap://dc.company.domain.com。
   base	ユーザーを認証するためのベースの識別名です。 次の形式を使用します。 DC=Company,DC=com. 正確な名前は Active Directory の設定によって異なります。
   bindDN	ユーザー グループの取得に使用する Active Directory ユーザーのユーザー名です。 このユーザーには、ログインが許可されているユーザーのユーザー グループに対してクエリを実行する権限が必要です。 メモ： このユーザーにはドメイン名のプレフィックスが必要になる場合があります (例: DOMAINNAME\)\)\)\)username)。 ダブルバックスラッシュは、エスケープ文字として機能させるために必要です。 または、たとえば、dc を後付けとして使用できます(例: [e-mail])。
   bindCredentials	bindDN で指定したユーザーのパスワードです。 「 資格情報ストアを使用する」もご覧ください。
   search_query	ユーザーが userPrincipalNameとは異なる属性を使用してログインできるようにするかどうかを指定できます。
   tlsOptions	LDAPS で使用する追加のオプションを指定できます。 ca: 使用する証明書を指定するために使用します。 rejectUnauthorized : これを trueに設定します。 詳細については、「 セキュリティで保護された LDAP を設定する」をご覧ください。

   以下の画像は、 integratedWindowsAuthentication オブジェクトの ExternalAuthenticationProviders 設定を含むサーバー設定の例を示しています。

   , "ExternalAuthenticationProviders": {
                         "integratedWindowsAuthentication": {
                           "url":             "ldap://server1:389",
                           "base":            "DC=Company,DC=com",
                           "bindDN":          "username",
                           "bindCredentials": "password"
                             }
       }

3. [ SAVE ] をクリックして 、サーバーの設定を保存します。
4. F5 キーを押して、 Superadmin ページを更新します。 これにより、新しい設定が読み込まれるので、これらの設定に基づいてユーザー グループを作成できます。

自動ログイン

大事な： 自動ログインを有効化する前に、シングル サインオンが正しく機能していることを確認してください。 SSO が正しく設定されていない場合に自動ログインを有効化すると、自動ログインの設定の影響を受けるユーザーがログインできなくなる可能性があります。

[ AutoLogin サーバーの設定] を使用すると、ユーザーは現在アクティブな SSO メソッドを使用して自動的にログインします。

既定では、 AutoLogin は noneに設定されています。 エンドユーザーおよび/または Superadmin ユーザーに自動ログインを有効化する場合は、[ Superadmin Settings] タブの [ AutoLogin で指定できます。「 設定タブ」をご覧ください。

メモ： localhost経由でログインする場合、Superadmin ユーザーの自動ログインは常に無効化されます。

その他の手順

統合 Windows 認証を使用するには、メンバーのログインを許可する Active Directory グループを 1 つ以上作成する必要があります。 Superadmin ユーザーまたはアプリ開発者の場合は、[ Superadmin users ] タブで Active Directory グループを作成できます。 「 Superadmin AD グループを追加する」をご覧ください。

エンドユーザー認証の場合、Active Directory グループは [ エンドユーザーの管理 ] ページで作成できます。 「 エンドユーザーの AD グループを追加する」をご覧ください。

トラブルシューティング

Process-mining サーバーが LDAP サーバーに接続できることを確認する

• Microsoft 公式ドキュメントに従って、グラフィカル LDP クライアントをインストールします。
• [サーバ設定]の integratedWindowsAuthentication オブジェクトの設定と同じ設定で、LDPC から正常に接続可能であることを確認します。

ログ ファイルを検査する

[PLATFORMDIR]/logs/iisnode フォルダーに、LDAP connection error 行を含むファイルがないか調べます。以下の例は、エラー メッセージを含むログ ファイルを示します。data フィールドには、該当するエラー コードが表示されています。エラーの説明については、LDAP wiki をご覧ください。以下の例では、エラーは 52e、ERROR_LOGON_FAILURE です。

[2000-01-01T00:00:00.000Z] LDAP connection error:
[2000-01-01T00:00:00.000Z] json: {"lde_message":"80090308: LdapErr: DSID-0C090447, comment: AcceptSecurityContext error, data 52e, v3839\)\)u0000","lde_dn":null}