Adding End-user AD Groups

简介

注意：要为最终用户启用单点登录，必须使用最新的 Dispatcher 版本。（至少为 v2021.4）

设置“ 服务器设置” 的ExternalAuthenticationProviders设置时，“ 最终用户” 管理 窗口中的“组” 选项卡将变为可用。 您可以在此处添加新的 AD 用户组。 作为“组” 选项卡中定义的 组 成员的最终用户可以使用其 Microsoft 帐户使用单点登录登录 UiPath Process Mining 。 根据用于单点登录的身份验证提供程序，“登录” 对话框上将显示“ 使用 Microsoft 登录” 按钮或 “使用 Windows 域 登录” 按钮。 有关示例，请参见下图。

添加 Azure AD 组

注意：在“最终用户管理”中创建新的 Azure AD 组时，您必须提供 Azure AD 组的标识符。 您可以在 Microsoft Azure 门户 的“ 组 ”设置中找到此 Azure AD 组标识符。

请按照以下步骤添加 AD 组。

步骤	操作
1	以具有管理员权限的用户身份登录应用程序。
2	单击“ 用户设置”。 单击右上角的向下箭头小图标，然后从下拉菜单中选择“ 管理 ”。 注意： 如果您是超级管理员用户，则还可以通过模拟最终用户管理员来配置最终用户访问权限。 请参阅 最终用户管理。
3	在“用户管理” 页面中，转到“ 组 ” 选项卡，然后单击“ 新建组”。
4	在“ 新建 AD 组” 对话框中，单击“ 名称” ，然后输入新用户组的描述性名称。
5	单击“ 标识符 ”，然后输入 Azure AD 组标识符。
6	单击“ 添加组”。

有关示例，请参见下图。

系统将创建新组，并将其显示在组列表中。 请参见下图。

作为“组”选项卡中定义的 组 成员的最终用户现在可以使用“ 登录 ”对话框上的“使用 Microsoft登录”按钮使用其 Microsoft 帐户登录应用程序。

为集成 Windows 身份验证添加 AD 组

请按照以下步骤添加 AD 组。

步骤	操作
1	以具有管理员权限的用户身份登录应用程序。
2	单击“ 用户设置”。 单击右上角的向下箭头小图标，然后从下拉菜单中选择“ 管理 ”。 注意： 如果您是超级管理员用户，则还可以通过模拟最终用户管理员来配置最终用户访问权限。 请参阅 最终用户管理。
3	在“用户管理” 页面中，转到“ 组 ” 选项卡，然后单击“ 新建组”。
4	在“ 新建 AD 组” 对话框中，单击“ 名称” ，然后输入新用户组的描述性名称。
5	单击“ 标识符 ”，然后输入允许登录的 IWA 用户组的 全名 。 注意： 您必须使用CN=All Users,OU=Distribution Groups,DC=Company,DC=com格式。
6	单击“ 添加组”。

重要提示： AD 组区分大小写。

有关示例，请参见下图。

系统将创建新组，并将其显示在组列表中。 请参见下图。

作为“组”选项卡中定义的组成员的最终用户现在可以使用“登录”对话框上的“使用Windows 域登录”按钮，使用其 Microsoft 帐户登录应用程序。

最终用户登录

当最终用户使用单点登录登录时，系统会在“ 用户 ” 选项卡中自动创建一个新用户。 有关示例，请参见下图。

注意： 通过 AD 组提供单点登录访问权限，而不是通过自动配置的用户条目。 这仅用于保留单个设置，例如“收藏夹”。 该条目为只读条目，因此您无法更改用户设置。

管理帐户激活

可以通过停用 AD 组来禁用最终用户帐户。停用 AD 组后，分配给该组的帐户将无法再登录。

请按照此步骤禁用 AD 组的所有最终用户帐户的授权。

步骤	操作
1	单击 AD 组的“ 活动 ”列中的复选框。

这是一个可切换复选框。这意味着用户可以在复选框处于选中状态时登录，或者在复选框处于未选中状态时被限制登录。

许可证

虽然用户通过 AD 组进行身份验证，但每个登录 UiPath Process Mining的用户都会分配一个许可证。 请注意，停用或删除组后，用户将无法再登录，但仍会分配一个许可证插槽，直到实际停用或删除用户为止。

管理最终用户管理员权限

可以为 AD 组中的最终用户帐户分配管理员权限。这样一来，他们将能够访问用户管理页面。

请按照以下步骤为 AD 组的所有成员分配管理员权限。

步骤	操作
1	单击 AD 组的“管理员”列中的复选框。

这是一个可切换复选框。这意味着，如果选中该复选框，则用户将具有管理员权限；如果未选中该复选框，则用户不再是管理员。

备注：

• 如果用户是至少一个分配有管理员访问权限的组的成员，则该用户将具有管理员权限。
• 仅在登录时更新用户条目。 这意味着，例如，如果在组条目上切换了“ 管理员 ” 选项，则用户将在下次登录后拥有管理员权限。

删除 AD 组

可以删除现有 AD 组。 已删除用户的用户将无法再登录，除非他们是其他 AD 组的成员。

请按照以下步骤删除 AD 组。

步骤	操作
1	单击要删除的 AD 组列中的“删除”按钮。
2	单击“是”。

已删除的 AD 组不再位于列表中。

注意： 删除组时，不会自动删除用户。 用户将无法再登录，但会继续占用许可证插槽，直到用户条目也被删除。

管理 AD 组的最终用户应用程序访问权限

用户只能查看用户有权打开的应用程序。通过这种方式，也可以限制最终用户帐户访问某些应用程序。可以为 AD 组的所有用户分配打开特定应用程序的权限。

请按照以下步骤为特定应用程序分配最终用户权限。

步骤	操作
1	转到“用户管理”页面中的“应用程序”选项卡。 可以通过“组”图标识别组。
2	单击 AD 组的 [应用程序名称] 列中的复选框。有关示例，请参见下图。

这是一个可切换复选框。这意味着如果选中复选框，用户可以访问此特定应用程序；如果不再选中该复选框，则用户将被撤销访问权限。

组合访问权限

使用单点登录的用户的访问权限是通过合并为该用户所属的每个组授予的所有权限来确定的。 例如，如果向 O2C 用户 组授予对 O2C 应用程序的访问权限，并且向 P2P 用户 组授予对 P2P 应用程序的访问权限，则同时向这两个组的成员授予对 O2C 应用程序和 P2P 应用程序的访问权限. 仅属于“ P2P 用户 ”组成员的用户只能访问 P2P 应用程序。 有关示例，请参见下图。

注意： 这也适用于管理员权限。 如果用户是至少一个选择了“ 管理员 ”属性的组的成员，则该用户将具有管理员权限。

同步最终用户脚本

将连接字符串的 驱动程序 参数设置为{mvscript}并将 脚本 参数设置为sync-endusers时，可在连接字符串中使用的sync-endusers脚本

还允许同步组。

要同步组，应省略login和email字段。 请改用externalLogin字段

描述组。 有关所需格式的信息，请参见下文。

身份验证方法	格式
Azure AD	"aadgroup:{[guid]}"
Windows 集成身份验证	"iwagroup:{[Distinguished Name]}"

注意： 也可以同步"isAdmin"标志，以向 AD 组中的最终用户帐户授予管理员权限。

有关更多信息，请参阅mvscript: sync-endusers上的表格帮助。