Compreensão dos modelos de autenticação

O modelo de contas locais (baseado em convite)

As contas de usuários locais representam a conta de cada usuário e são internas à UiPath Platform.

O modelo de contas locais fornece uma abordagem independente para a autenticação. Requer um convite de um administrador da organização para que novos usuários participem. É adequado para cenários em que você deseja controle completo sobre o gerenciamento de usuários dentro de sua plataforma.

Observação: este modelo é compatível com o modelo de contas de diretório. Se você optar por usar o modelo de diretório, poderá continuar a criar usuários por convite.

Nas configurações da organização, você tem controle total sobre os métodos de autenticação disponíveis para os usuários:

Para permitir o uso de todos os métodos disponíveis (Google, Microsoft, Autenticação básica) para máxima flexibilidade, escolha a opção Todos os métodos disponíveis.
Para restringir a autenticação apenas ao Google, escolha a opção Login do Google .
Para restringir a autenticação apenas à Microsoft, escolha a opção Login da Microsoft .

Autenticação com e-mails do Google, Microsoft, Linkedin ou pessoais

Esse modelo se aplica a qualquer nova organização por padrão. É fácil de usar, rápido para configurar e conveniente para seus usuários.

O processo para criar um usuário é o seguinte:

Os administradores da organização devem obter os endereços de e-mail dos usuários e usá-los para convidar cada usuário a aderir à sua organização. Eles podem fazer isso em massa.
Cada funcionário convidado aceita o convite navegando até o link fornecido no e-mail de convite e cria uma conta de usuário UiPath. Eles podem:
- Use o e-mail convidado como um nome de usuário e crie uma senha.
- Use uma conta existente que eles tem com a Microsoft (conta pessoal, vinculada ao Azure Ad, ou conta do Office 365), Google (conta pessoal ou do Google Workspace), ou sua conta pessoal do LinkedIn para entrar na (ou federar-se à) sua conta de usuário da UiPath.
  
  A capacidade de usar um dos provedores mencionados acima é conveniente para usuários que não precisam lembrar de senhas adicionais. E usar as contas de propriedade da organização no Azure AD ou no Google Workspace permite que você aplique as políticas de login da organização.

Autenticação apenas com Google ou Microsoft

Nesse modelo, você cria usuários da mesma forma que no modelo baseado em convite: você emite um convite para o endereço de e-mail deles e seus usuários devem criar uma conta UiPath. A diferença é que você pode optar por impor o login usando:

Google ou
Microsoft

Portanto, em vez de ver todas as opções de login, seus usuários vêem apenas aquela que você selecionou.

Por exemplo, aqui está o que seus usuários veriam se você escolhesse impor o login com a Microsoft:

Eles ainda usam sua conta UiPath para fazer login. A conta deve usar o endereço de e-mail para o qual o convite foi enviado.

Observação: se você tem aplicativos externos autorizados para sua organização, os tokens gerados ao usar outros provedores permanecem válidos, mas quaisquer novos tokens seguem a política de login imposta.

O modelo de contas de diretórios

O modelo de contas de diretórios depende de um diretório de terceiros que você integra à UiPath Platform. Isso permite que você reutilize o esquema de identidade estabelecido da sua empresa no UiPath.

Azure Active Directory: se você tiver uma assinatura do Microsoft Azure ou Office 365, poderá integrar o Azure com a plataforma da UiPath para usar seus usuários e grupos existentes do Azure Active Directory dentro da UiPath.
SAML 2.0: permite integrar a plataforma UiPath com seu provedor de identidade (IdP) escolhido. Isso permite que seus usuários se conectem à UiPath> com login único (SSO) usando as contas que já estão registradas com seu IdP.

As contas de usuário de diretórios são criadas e mantidas em um diretório externo à UiPath. As contas de diretórios são referenciadas apenas na UiPath Platform e usadas como identidades para seus usuários.

Observação:

Compatibilidade com o modelo baseado em convites

Você pode continuar usando todas as funcionalidades do modelo baseado em convite em conjunto com um modelo de diretório. Porém, para maximizar os benefícios, recomendamos confiar exclusivamente no gerenciamento centralizado de contas do seu diretório integrado.

Azure Active Directory

Important: Essa funcionalidade só estará disponível se você estiver no plano de licenciamento Enterprise.

A integração com o Azure Active Directory (Azure AD) pode oferecer gerenciamento de usuários e de acesso escalável para sua organização, permitindo a conformidade em todos os aplicativos internos usados por seus funcionários. Se sua organização estiver usando o Azure AD ou Office 365, você pode conectar sua organização diretamente ao seu tenant do Azure AD para obter os seguintes benefícios:

Integração automática de usuários com migração ininterrupta
- Todos os usuários e grupos do Azure AD estão disponíveis para qualquer serviço da plataforma UiPath para atribuir permissões, sem a necessidade de convidar e gerenciar usuários do Azure AD no diretório da organização.
- Você pode fornecer o Login Único para usuários cujo nome de usuário empresarial é diferente do seu endereço de e-mail, o que não é possível com o modelo baseado em convite.
- Todos os usuários existentes com contas locais da UiPath têm suas permissões migradas automaticamente para a sua conta conectada do Azure AD.
Experiência de login simplificada
- Os usuários não precisam aceitar um convite ou criar uma conta de usuário da UiPath para acessar a organização. Eles entram com sua conta do Azure AD, selecionando a opção SSO do Enterprise ou usando a URL específica da sua organização. Se o usuário já estiver conectado no Azure AD ou no Office 365, eles serão automaticamente conectados.
- As versões 20.10.3 e posteriores do UiPath Assistant e do Studio podem ser pré-configuradas para usar uma URL personalizada do Orchestrator, o que leva à mesma experiência perfeita de conexão.
Governança escalável e gerenciamento de acesso com grupos existentes do Azure AD
- Os grupos de segurança do Azure AD ou grupos do Office 365, também conhecido como grupos de diretório, permitem que você aproveite a estrutura organizacional existente para gerenciar as permissões de escala. Você não precisa mais configurar permissões em serviços para cada usuário.
- Você pode combinar vários grupos de diretórios em um só grupo se precisar gerencia-los em conjunto.
- A auditoria de acesso é simples. Após ter configurado permissões em todos os serviços da plataforma UiPath usando grupos do Azure AD, você utiliza seus processos de validação associados às associações de grupo do Azure AD.

Observação:

A opção Acesso de API (Administrador > tenants) não está disponível ao usar o modelo do Azure AD.

Se você tiver processos em vigor que usam as informações da janela Acesso à API para autenticar solicitações de API para serviços UiPath, você deve alternar para o uso de OAuth para autorização; nesse caso, as informações do Acesso à API não são mais necessárias.

Para usar o OAuth, você deve registrar aplicativos externos na UiPath Platform.

SAML 2.0

Important: Essa funcionalidade só estará disponível se você estiver no plano de licenciamento Enterprise.

Esse modelo permite que você conecte a plataforma da UiPath ao seu provedor de identidade (IdP) escolhido para que:

seus usuários podem se beneficiar do login único (SSO) e
você possa gerenciar contas existentes a partir do seu diretório na UiPath Platform, sem precisar criar ou recriar identidades.

O UiPath Platform possa se conectar a qualquer provedor de identidade externo que utilize o padrão SAML 2.0.

Benefícios

Integração automática de usuários na UiPath Platform: todos os usuários do seu provedor de identidade externo estão autorizados a fazer login na organização da UiPath com direitos básicos quando a integração com o SAML estiver ativa. Isso significa que:
- Os usuários podem fazer login em sua organização da UiPath via SSO usando a conta da empresa existente, conforme definido no IdP.
- Sem qualquer configuração adicional, eles se tornam membros do grupo de usuários Everyone , que lhes concede a função de organização Usuário por padrão. Para poder trabalhar na UiPath Platform, os usuários precisam de funções e licenças, conforme apropriado para sua função.
- Se você precisar restringir o acesso a apenas alguns de seus usuários, poderá definir o conjunto de usuários que têm permissão para acessar a UiPath Platform em seu provedor de identidade.
Gerenciamento do usuário: Você pode adicionar usuários atribuindo-os diretamente aos grupos, para fazer isso, tudo o que você precisa fazer é inserir o endereço de e-mai l deles ao adicionar usuários ao grupo.

Normalmente, os administradores da organização gerenciam contas locais na guia Administrador > Contas e grupos > Usuários . Mas os usuários SAML são contas de diretório no ecossistema da UiPath, portanto, não são visíveis nesta página.

Depois que um usuário é adicionado a um grupo ou entra pelo menos uma vez (o que o adiciona automaticamente ao grupo Everyone), ele fica disponível na pesquisa em todos os serviços da UiPath para atribuição direta de função ou licença.
Mapeamento de atributos: Se você usar o UiPath Automation Hub, por exemplo, poderá definir o mapeamento de atributo personalizado para propagar atributos de seu provedor de identidade para a UiPath Platform. Por exemplo, quando uma conta é adicionada pela primeira vez ao Automation Hub, o nome, sobrenome, endereço de e-mail, cargo e departamento do usuário já são preenchidos.

Como a autenticação funciona

A identidade dos seus usuários é verificada com base no diretório da sua organização. A partir daqui, com base nas permissões de usuários atribuídas pelas funções e grupos, eles podem acessar todos os seus serviços de nuvem da UiPath com apenas um conjunto de credenciais.O diagrama abaixo descreve os dois modelos de identidade, como eles funcionam com as várias identidades de usuário e como a federação pode serão alcançados.No modelo baseado em convite, o gerenciamento de identidade é realizado em uma referência de usuário no diretório da organização, mantendo os usuários no controle de suas contas. Mas se ele estiver integrado com o Azure Active Directory (Azure AD), é tão simples quanto olhar o conteúdo do diretório do seu tenant no Azure AD, representado abaixo com uma seta laranja.

Comparação dos modelos

Aqui estão alguns fatores a serem considerados ao escolher a configuração de autenticação para sua organização:

Fator	Baseado em convite	Baseado em convite com opção obrigatória	Azure Active Directory	SAML
Licença Community	Disponível	Disponível	Não disponível	Não disponível
Licença Empresarial	Disponível	Disponível	Disponível	Disponível
Suporte para contas locais Conta do UiPath	Disponível	Disponível	Disponível	Disponível
Suporte para contas de diretório	Não disponível	Não disponível	Disponível	Disponível
Gerenciamento de conta de usuário	Administrador da organização da Automation Cloud	Administrador da organização da Automation Cloud	Administrador do Azure AD	Administrador do seu provedor de identidade
Gerenciamento de acesso de usuários	Administrador da organização da Automation Cloud	Administrador da organização da Automation Cloud	O gerenciamento de usuários do Automation Cloud pode ser delegado totalmente ao Azure AD	Administrador da organização da Automation Cloud
Logon Único	Disponível (com o Google, Microsoft ou LinkedIn)	Disponível (com o Google ou Microsoft)	Disponível (com a conta do Azure AD)	Disponível (com a conta do IdP)
Implantar uma política de senha complexa	Não disponível	Disponível (se for imposto pelo IdP)	Disponível (se obrigatório a partir do IdP)	Disponível (se for imposto pelo IdP)
Autenticação Multi-factor	Não disponível	Disponível (se for imposto pelo IdP)	Disponível (se obrigatório a partir do IdP)	Disponível (se for imposto pelo IdP)
Reutilize as identidades existentes da sua empresa	Não disponível	Não disponível	Disponível	Disponível
Integração de usuários em larga escala	Não disponível (todos os usuários devem ser convidados)	Não disponível (todos os usuários devem ser convidados)	Disponível (provisionamento de conta just-in-time)	Disponível (provisionamento de conta just-in-time)
Acesso para colaboradores de fora de sua empresa	Disponível (por meio do convite)	Disponível (através de convite conta no IdP obrigatório)	Disponível	Disponível (se for permitido pelo IdP)
Restringir o acesso de dentro do corpnet	Não disponível	Não disponível	Disponível	Disponível (se for imposto pelo IdP)
Restringir acesso a dispositivos confiáveis	Não disponível	Não disponível	Disponível	Disponível (se for imposto pelo IdP)

Com reutilizar seu diretório de identidade

Se sua empresa já usa um diretório para gerenciar as contas dos funcionários, a tabela a seguir poderá ajudá-lo a localizar a opção de autenticação mais vantajosa para você.

Fator	Baseado em convite	Baseado em convite com opção obrigatória	Azure Active Directory	SAML
Já usa o Google Workspace como seu provedor de identidade?	os usuários precisam de uma conta UiPath, mas SSO também é possível	os usuários precisam de uma conta da UiPath, mas o SSO aplicado com o Google é possível	N/A	N/A
Já usa o Office 365 com seu provedor de identidade?	os usuários precisam de uma conta da UiPath	os usuários precisam de uma conta da UiPath	você pode conceder acesso ao Automation Cloud para as contas de usuários existentes	você pode conceder acesso ao Automation Cloud para as contas de usuários existentes
Já usa o Azure AD como seu provedor de identidade?	os usuários precisam de uma conta da UiPath	os usuários precisam de uma conta da UiPath	você pode conceder acesso ao Automation Cloud para as contas de usuários existentes	recomendamos usar a integração AAD em vez da integração SAML
Já usa outro provedor de identidade?	os usuários precisam de uma conta da UiPath	os usuários precisam de uma conta da UiPath	você pode conceder acesso ao Automation Cloud para as contas de usuários existentes	você pode conceder acesso ao Automation Cloud para as contas de usuários existentes