エンドユーザーの AD グループを追加する

はじめに

大事な： エンドユーザーに対してシングル サインオンを有効化するには、最新版のディスパッチャーのビルドを使用する必要があります。 (v2021.4 以上)

[Server Settings] で ExternalAuthenticationProviders を設定すると、[ End-user administration ] ウィンドウが [ Groups ] タブで利用できるようになります。このパネルで、新しい AD ユーザー グループを追加できます。 [ Groups ] タブで定義されたグループのメンバーであるエンドユーザーは、シングル サインオンを使用して、Microsoft アカウントで UiPath Process Mining にログインできます。 シングル サインオンに使用する認証プロバイダーに応じて、[ Microsoft でのサインイン ] ボタンまたは [ Windows ドメインでのサインイン ] ボタンが [ログイン ] ダイアログに表示されます。 以下の画像で例をご確認ください。

Azure AD グループを追加する

注: End-user Administration で新しい Azure AD グループを作成する場合、Azure AD グループの識別子を指定する必要があります。この Azure AD グループ識別子は、Microsoft Azure Portal のグループ設定で確認できます。

Active Directory グループを追加するには、以下の手順に従います。

手順	操作
1	管理者権限を持つユーザーとしてアプリケーションにログインします。
2	[ User Settings]をクリックします。 右上隅の小さな下矢印アイコンをクリックし、ドロップダウン メニューから [管理 ] を選択します。 メモ： Superadmin ユーザーの場合は、エンドユーザーの管理者を偽装して、エンドユーザーのアクセス権を設定することもできます。 「 エンドユーザーの管理」をご覧ください。
3	[ユーザー管理] ページの [ Groups ] タブに移動し、[ NEW GROUP] をクリックします。
4	[ 新しい Active Directory グループ ] ダイアログの [名前] をクリックし、新しいユーザー グループのわかりやすい名前を入力します。
5	[ 識別子 ] をクリックして、Azure AD グループ識別子を入力します。
6	[ グループを追加]をクリックします。

以下の画像で例をご確認ください。

新しいグループが作成され、グループ リストに表示されます。 以下の画像でご確認ください。

[ Groups ] タブで定義されたグループのメンバーであるエンドユーザーが、[ログイン] ダイアログの [Microsoft でサインイン ] ボタンを使用して、Microsoft アカウントでアプリケーションに ログイン できるようになりました。

統合 Windows 認証用の Active Directory グループを追加する

Active Directory グループを追加するには、以下の手順に従います。

手順	操作
1	管理者権限を持つユーザーとしてアプリケーションにログインします。
2	[ User Settings]をクリックします。 右上隅の小さな下矢印アイコンをクリックし、ドロップダウン メニューから [管理 ] を選択します。 メモ： Superadmin ユーザーの場合は、エンドユーザーの管理者を偽装して、エンドユーザーのアクセス権を設定することもできます。 「 エンドユーザーの管理」をご覧ください。
3	[ユーザー管理] ページの [ Groups ] タブに移動し、[ NEW GROUP] をクリックします。
4	[ 新しい Active Directory グループ ] ダイアログの [名前] をクリックし、新しいユーザー グループのわかりやすい名前を入力します。
5	[ ID ] をクリックして、ログインを許可されているユーザーの IWA グループの フル ネーム を入力します。 注: CN=All Users,OU=Distribution Groups,DC=Company,DC=com形式を使用する必要があります。
6	[ グループを追加]をクリックします。

大事な： Active Directory グループでは、大文字と小文字が区別されます。

以下の画像で例をご確認ください。

新しいグループが作成され、グループ リストに表示されます。 以下の画像でご確認ください。

[ Groups ] タブで定義されたグループのメンバーであるエンドユーザーが、[ログイン] ダイアログの [ Windows ドメインでサインイン ] ボタンを使用して、Microsoft アカウントでアプリケーションに ログイン できるようになりました。

エンドユーザーのログイン

エンドユーザーがシングル サインオンを使用してログインすると、新しいユーザーが [Users] タブに自動的に作成されます。以下の画像で例をご確認ください。

メモ： シングル サインオン アクセスは、自動プロビジョニングされたユーザー エントリからではなく、Active Directory グループを通じて提供されます。 これは、[お気に入り] などの個々の設定を保持する場合にのみ使用されます。 このエントリは読み取り専用であるため、ユーザー設定は変更できません。

アカウントのアクティベーションを管理する

Active Directory グループを非アクティブ化すると、エンドユーザー アカウントを無効化できます。 Active Directory グループが非アクティブ化されると、そのグループに割り当てられているアカウントはログインできなくなります。

Active Directory グループのすべてのエンドユーザー アカウントに対する承認を無効化するには、以下の手順に従います。

手順	操作
1	Active Directory グループの [ Active ] 列のチェック ボックスをクリックします。

これはトグル式のチェック ボックスです。つまり、ユーザーはチェック ボックスがオンの場合にログインでき、オフの場合にはログインできません。

ライセンス

ユーザーは Active Directory グループを介して認証されますが、 UiPath Process Miningにログインする各ユーザーにライセンスが割り当てられます。 グループが非アクティブ化または削除されると、ユーザーはログインできなくなりますが、ユーザーが実際にディアクティベーションまたは削除されるまで、ライセンス スロットが割り当てられます。

エンドユーザーの管理者権限を管理する

Active Directory グループのエンドユーザー アカウントに管理者権限を割り当てることができます。 そうすれば、エンドユーザーがユーザー管理ページにアクセスできるようになります。

Active Directory グループのすべてのメンバーに管理者権限を割り当てるには、以下の手順に従います。

手順	操作
1	Active Directory グループの [管理者 ] 列のチェック ボックスをクリックします。

これはトグル式のチェック ボックスです。 つまり、ユーザーはチェック ボックスがオンの場合に管理者権限を持つことになります。オフの場合には持てなくなります。

注:

• ユーザーが、管理者権限が割り当てられているグループの 1 つ以上のメンバーである場合、ユーザーは管理者権限を持ちます。
• ユーザーのエントリは、ログイン時にのみ更新されます。 つまり、たとえば、グループ エントリで [管理] オプションが切り替えられる場合、ユーザーは次のログイン後に管理者権限を持ちます。

Active Directory グループを削除する

既存の Active Directory グループを削除できます。 削除されたユーザーが別の Active Directory グループのメンバーでない限り、ログインできなくなります。

Active Directory グループを削除するには、以下の手順に従います。

手順	操作
1	削除する Active Directory グループの列の [ 削除 ] ボタンをクリックします。
2	[YES] をクリックします。

削除された Active Directory グループがリストに表示されなくなります。

メモ： グループを削除しても、ユーザーは自動的に削除されません。 ユーザーはログインできなくなりますが、ユーザー エントリも削除されるまで、引き続きライセンス スロットを利用します。

Active Directory グループのエンドユーザー アプリ アクセスを管理する

ユーザーが開くことができるのは、ユーザーがアクセス権を持つアプリだけです。 この方法では、特定のアプリにアクセスできないようにエンドユーザー アカウントを制限することもできます。 Active Directory グループのすべてのユーザーに、特定のアプリを開く権限を割り当てることができます。

特定のアプリへの権限をエンドユーザーに割り当てるには、以下の手順に従います。

手順	操作
1	ユーザー管理ページ の [Applications ] タブに移動します。 グループは [グループ] アイコンで認識できます。
2	Active Directory グループの [アプリ名] 列のチェック ボックスをクリックします。 以下の画像で例をご確認ください。

これはトグル式のチェック ボックスです。つまり、ユーザーはチェック ボックスがオンの場合にこの特定のアプリにアクセスでき、オフの場合にはアクセスが無効になります。

アクセス権を組み合わせる

シングル サインオンを使用してログインするユーザーには、そのユーザーが所属する各グループに付与されている権限がすべて付与されます。 たとえば、グループ O2C Users に O2C アプリへのアクセス権が付与され、グループ P2P Users に P2P アプリへのアクセス権が付与されている場合、両方のグループのメンバーであるユーザーに O2C アプリと P2P アプリの両方へのアクセス権が付与されます。 P2P Users グループのみのメンバーであるユーザーは、 P2P アプリにのみアクセスできます。以下の画像で例をご確認ください。

メモ： これは管理者権限にも適用されます。 [ 管理者] プロパティが選択されているグループの 1 つ以上のメンバーであるユーザーには、管理者権限が付与されます。

sync-endusers スクリプト

sync-endusers スクリプトです。これは、接続文字列の driver パラメーターを {mvscript} に、 script パラメーターを sync-endusersに設定すると使用できます。

また、グループを同期することもできます。

グループを同期するには、 login フィールドと email フィールドを省略する必要があります。 代わりに、[ externalLogin ] フィールドを

グループについて説明します。 必要な書式設定については以下をご覧ください。

認証方法	形式
Azure AD	"aadgroup:{[guid]}"
統合 Windows 認証	"iwagroup:{[Distinguished Name]}"

メモ： "isAdmin" フラグを同期して、Active Directory グループの管理者権限からエンドユーザー アカウントを付与することもできます。

詳細については、 mvscript: sync-endusers の表のヘルプをご覧ください。