Aplicativos OAuth

Os aplicativos OAuth externos existem fora da plataforma UiPath® e se integram a ela para estender seus recursos. Apps externos podem acessar com segurança seus recursos da UiPath sem exigir que você compartilhe suas credenciais, por meio da estrutura do OAuth que permite a delegação de autorização a essas entidades externas.

Ao registrar aplicativos externos com a UiPath, eles ganham a capacidade de fazer chamadas de API para acessar recursos da UiPath.

Tipos de aplicativos

A UiPath classifica os aplicativos externos OAuth em duas categorias principais - confidenciais e não confidenciais. O tipo de aplicativo determina seu fluxo de autenticação, o nível de acesso aos recursos e a maneira como ele se comunica com o Identity Server do UiPath.

Apps confidenciais com escopos de aplicativos: os apps confidenciais com escopos de aplicativos devem ser usados em casos em que o aplicativo pode armazenar credenciais com segurança. Por exemplo, um programa que armazena a senha em um cofre.
Apps confidenciais com escopos de usuário: os apps confidenciais com escopos de usuário devem ser usados nos casos em que o aplicativo pode armazenar credenciais com segurança e agir em nome de um usuário. Por exemplo, um aplicativo de CRM que cria itens de fila no Orchestrator. Ele faz isso em nome do usuário, mas também armazena as credenciais que utiliza em um banco de dados.
Aplicativos não confidenciais com escopos de usuário: os aplicativos não confidenciais não dependem de credenciais armazenadas com segurança. Em vez disso, eles dependem do usuário se autenticar em um aplicativo e delegar acesso ao aplicativo por meio de credenciais temporárias. As credenciais são de curta duração e o usuário pode ter que reautenticar o aplicativo periodicamente. Esses são os melhores para automações assistidas ou automações em que um usuário está disponível para autenticar novamente o aplicativo. Por exemplo, um usuário tem uma automação assistida que executa uma automação usando atividades O365 para acessar o SharePoint. Na primeira vez em que é executada, solicita que o usuário autorize o aplicativo (a automação). Regularmente, o usuário pode ter que autorizar novamente o aplicativo após a expiração das credenciais.

Escopos

Quando um aplicativo externo é configurado para integrar-se ao UiPath, ele recebe permissões e acesso específicos, chamados de "escopos". Essencialmente, os escopos definem o que um aplicativo pode e não pode fazer ou acessar dentro da UiPath.

Observação:

Ao conceder acesso a aplicativos externos, sempre forneça as permissões mínimas necessárias para o aplicativo funcionar. Essa medida ajuda a limitar os danos potenciais, tornando menos provável o acesso não autorizado.

No nível da organização, um escopo é definido no formato Service.Resource.Accesslevel ou Service.Resource. Por exemplo, com o OR.Machines.Read, o aplicativo externo tem acesso de leitura às máquinas no Orchestrator em todas as pastas e tenants na organização, com o OR.Machines, o aplicativo externo tem acesso de leitura e gravação em todas as pastas e tenants na organização.

Para aplicativos confidenciais, a UiPath permite a atribuição de escopos refinados que se aplicam especificamente aos recursos do Orchestrator. Essas permissões específicas permitem que um administrador controle e personalize o acesso até o nível da pasta do tenant.

A atribuição refinada ocorre quando o administrador de uma organização atribui o aplicativo confidencial externo a um tenant específico ou a uma pasta no Orchestrator e o associa a uma função específica.

Os escopos são voltados para um usuário (escopo do usuário) ou para o próprio aplicativo (escopo do aplicativo).

Os escopos do aplicativo concedem ao aplicativo uma identidade própria, na qual ele executa funções como uma entidade autônoma.
Em escopos do usuário, o aplicativo executa funções em nome de um usuário autenticado e, portanto, as ações são limitadas pelas permissões do usuário. Por exemplo, o aplicativo só pode acessar os ativos que o usuário tem permissão para acessar.

Implementação

O processo de uso dos aplicativos externos da UiPath abrange diferentes etapas, desde a criação e configuração por um administrador até sua integração e utilização por um desenvolvedor.

A. Criação e configuração pelo administrador

Registro de aplicativo externo: a primeira etapa envolve adicionar um aplicativo externo à organização. O administrador define detalhes como nome, URL de redirecionamento e seleciona o tipo de aplicativo adequado. Assim que o aplicativo com seus escopos for criado no nível do administrador, ele obterá tais permissões no nível da organização. O administrador podeconfigurar permissões refinadas para apps confidenciais , atribuindo a eles uma função nos níveis de tenant e de pasta no Orchestrator.
Atribuição de usuário: no caso de aplicativos não confidenciais ou confidenciais com escopos de usuário, o administrador deve garantir que os usuários que precisam usar o aplicativo tenham acesso ao sistema, atribuindo ao usuário uma função nos níveis de organização, tenant ou pasta .
Armazenamento de detalhes do aplicativo: após concluir a configuração, o administrador recupera os detalhes do aplicativo, como o ID do aplicativo. Para aplicativos confidenciais, um segredo do aplicativo também é gerado. O administrador armazena com segurança esses detalhes, posteriormente compartilhando-os com os desenvolvedores.

B. Integração e uso pelo desenvolvedor

Autenticação e autorização: o desenvolvedor usa o ID do aplicativo (e o segredo para aplicativos confidenciais) fornecido pelo administrador para iniciar uma solicitação do token de acesso do OAuth 2.0 para o UiPath Identity Server. Ao fazer isso, o desenvolvedor inclui os escopos necessários na solicitação. O fluxo do OAuth 2.0 é bem-sucedido quando o servidor valida o ID do aplicativo, seu segredo (para aplicativos confidenciais) e aprova os escopos especificados.

Observação:
Para aplicativos externos com escopos de usuário, a validação de identidade do usuário também ocorre. Essa é uma camada adicional de segurança que garante que as solicitações venham validamente de usuários autenticados e autorizados.
Geração de token de acesso: depois que o servidor autenticar com sucesso o aplicativo e os escopos, ele retorna um token de acesso para o desenvolvedor. Este token de acesso representa a autorização do aplicativo para acessar os escopos especificados.
Integração do aplicativo externo: o desenvolvedor usa o token de acesso recebido no cabeçalho das chamadas de API feitas para a UiPath. Isso concede o nível especificado de acesso aos recursos solicitados, integrando, assim, o aplicativo externo aos recursos da UiPath.