Compreensão dos modelos de autenticação

O modelo de contas locais

As contas de usuários locais representam a conta de cada usuário e são internas à UiPath Platform. Neste modelo, um administrador da organização adiciona novos usuários à organização. É adequado para cenários em que você deseja ter controle completo sobre o gerenciamento de usuários dentro da UiPath Platform.

No UiPath, as configurações de SSO são provisões que podem ser implementadas tanto no nível do host quanto no nível da organização.

As configurações de SSO no nível do host são usadas em todas as organizações vinculadas ao host. Isso significa que quaisquer configurações de SSO que você ajustar nesse nível serão aplicadas a cada organização sob o guarda-chuva do host. As configurações de SSO que podem ser gerenciadas no nível do host incluem login básico, Google SSO, Azure AD SSO, Active Directory e SAML SSO. Configurações específicas, como o login básico, podem ser substituídas no nível da organização.

Observação:

Esse modelo é compatível com o modelo de contas de diretório.

O modelo de contas de diretórios

O modelo de contas de diretórios depende de um diretório de terceiros que você integra à plataforma da UiPath. Isso permite que você reutilize o esquema de identidade estabelecido da sua empresa. As contas de diretórios são criadas e mantidas em um diretório externo à UiPath Platform; eles são apenas referenciados na plataforma da UiPath e usados como identidades.

No UiPath, os modelos de integração de diretórios podem ser configurados nos níveis do host e da organização.

• No nível do host, as opções de integração de diretório incluem o Active Directory. As configurações aqui são aplicadas de forma consistente a todas as organizações no host.

• No nível da organização, o UiPath permite que os administradores da organização substituam as configurações de nível do host usando a integração do Azure Active Directory (AAD).

O Active Directory é essencial para coordenar as políticas de autenticação e gerenciamento de acesso para a maioria das empresas. Ao estabelecer a integração de diretórios, seu provedor de identidade serve como a única fonte de verdade para as identidades dos usuários.

Ao permitir configurações nos níveis de host e organização, o modelo de diretório da UiPath fornece efetivamente um equilíbrio entre consistência e flexibilidade. Ele permite o uso de serviços de integração de diretórios unificados em todo o host, além de fornecer configurações personalizadas no nível da organização, quando necessário.

Níveis de autenticação e herança

A escolha do provedor de identidade para sua organização afeta a forma como os usuários fazem login e como as contas de usuários e grupos são criadas e gerenciadas. Na UiPath Platform, os administradores podem escolher as configurações de autenticação e de segurança relacionadas, seja globalmente (nível de host) para todas as organizações de uma só vez ou para cada organização:

• Configurações de autenticação globais (nível de host): como administrador do sistema, você pode escolher a autenticação e as configurações de segurança padrão relacionadas para sua instalação no nível do host. Chamamos isso de configurações de autenticação e segurança do host, e elas são herdadas por todas as organizações como padrão. Aprenda a definir as configurações de autenticação e segurança do host.

• Configurações de autenticação no nível da organização: como administrador da organização, você pode escolher a autenticação e as configurações de segurança relacionadas para sua organização. Algumas configurações são herdadas do nível do host, mas você pode substituí-las se configurações diferentes forem aplicadas à sua organização. Aprenda a definir as configurações de autenticação e segurança no nível da organização.

	Nível de host do Azure AD	Nível de organização do Azure AD	Nível do host do SAML	Nível de organização SAML
Integração do diretório	Não	Sim	Não	Sim
Provisionamento automático	Sim	Sim	Não	Sim
Provisionamento automático de grupo	Não	Não	Não	Sim

Sobre provedores externos

O Automation Suite permite que você configure um provedor de identidade externo para controlar como seus usuários fazem login. A tabela a seguir fornece uma visão geral dos diferentes provedores externos de nível de host disponíveis:

Integração com provedor externo	Autenticação	Pesquisa de diretório	Provisionamento de administradores
Active Directory e Autenticação do Windows	Os administradores podem usar o SSO com autenticação do Windows usando o protocolo Kerberos	Os Administradores podem pesquisar usuários a partir do Active Directory	Para um usuário poder fazer login, o usuário ou um grupo no qual o usuário é um membro já deve ter sido adicionado ao Automation Suite. Os usuários e grupos do Active Directory estão disponíveis no Automation Suite através da pesquisa de diretórios.
Azure Active Directory	Os administradores podem usar o SSO com o Azure AD usando o protocolo OpenID Connect	Não Compatível	Os usuários devem ser provisionados manualmente no Automation Suite. com um endereço de e-mail correspondente ao de sua conta do Azure AD.
Google	Os usuários podem usar o SSO com o Google usando o protocolo OpenID Connect	Não Compatível	Os usuários devem ser provisionados manualmente na organização do Automation Suite com um endereço de e-mail correspondente ao de sua conta Google.
SAML 2.0	Os usuários podem usar o SSO com qualquer provedor de identidade compatível com SAML	Não Compatível	Os usuários devem ser provisionados manualmente na organização do Automation Suite com um nome de usuário/e-mail/provedor externo de chave (conforme definido em sua configuração de provedor de identidade externo) correspondentes aos de sua conta SAML.

Observação:

Diferenças entre a integração do Azure AD no nível do host e no nível da organização

O provedor externo de identidade do Azure AD no nível do host habilita apenas a funcionalidade SSO. Isso significa que o usuário deve ser provisionado manualmente na organização do Automation Suite com um endereço de e-mail correspondente ao de sua conta do Azure AD para que ele faça login na organização.

Quando o nível de organização estiver configurado, os usuários que fazem login na organização usando o Azure AD (SSO) serão provisionados automaticamente no Automation Suite. Além disso, os usuários do diretório conectados podem pesquisar outros usuários no Azure AD.

Autenticação da organização

Modelo do Azure Active Directory

A integração com o Azure Active Directory (Azure AD) pode oferecer gerenciamento de usuários e de acesso escalável para sua organização, permitindo a conformidade em todos os aplicativos internos usados por seus funcionários. Se sua organização estiver usando o Azure AD ou Office 365, você pode conectar sua organização do Orchestrator diretamente ao seu tenant do Azure AD para obter os seguintes benefícios:

Integração automática de usuários com migração ininterrupta

• Todos os usuários e grupos do Azure AD estão prontamente disponíveis para receber permissões de qualquer serviço do Orchestrator, sem a necessidade de convidar e gerenciar os usuários do Azure AD no diretório da organização do Orchestrator.
• Você pode fornecer o Logon único para usuários cujo nome de usuário empresarial é diferente do seu endereço de e-mail, o que não é possível com o modelo por convite.
• Todos os usuários existentes com contas de usuário UiPath® têm suas permissões migradas automaticamente para sua conta conectada do Azure AD.

Experiência de login simplificada

• Os usuários não têm que aceitar um convite ou criar uma conta de usuário da UiPath para acessar a organização do Orchestrator como no modelo padrão. Eles entram com sua conta do Azure AD, selecionando a opção SSO do Enterprise ou usando o URL específico da sua organização.

  Se o usuário já estiver conectado no Azure AD ou no Office 365, eles serão automaticamente conectados.

• As versões 20.10.3 e posteriores do UiPath Assistant e do Studio podem ser pré-configuradas para usar uma URL personalizada do Orchestrator, o que leva à mesma experiência perfeita de conexão.

Governança escalável e gerenciamento de acesso com grupos existentes do Azure AD

• Os grupos de segurança do Azure AD ou grupos do Office 365, também conhecido como grupos de diretório, permitem que você aproveite a estrutura organizacional existente para gerenciar as permissões de escala. Você não precisa mais configurar permissões em serviços do Orchestrator para cada usuário.
• É possível combinar vários grupos de diretórios em um grupo do Orchestrator se você precisar gerenciá-los juntos.

• Auditar o acesso do Orchestrator é simples. Após configurar as permissões em todos os serviços do Orchestrator usando os grupos do Azure AD, você pode utilizar seus processos de validação associados às associações de grupo do Azure AD.

  Observação: No modelo Azure AD, você pode continuar usando todos os recursos do modelo padrão. Mas, para maximizar os benefícios, recomendamos confiar exclusivamente no gerenciamento de contas centralizado do Azure AD.

  Se você quiser usar o Azure Active Directory como o provedor de identidade para sua organização, siga as instruções em Configuração da integração do Azure AD.

Modelo SAML

Esse modelo permite que você conecte o Orchestrator ao seu provedor de identidade (IdP) escolhido para que:

• seus usuários podem se beneficiar do login único (SSO) e
• você possa gerenciar contas existentes do seu diretório no Orchestrator, sem precisar criar ou recriar identidades.

O Orchestrator pode conectar-se a qualquer provedor de identidade externo que use o padrão SAML 2.0 para obter os seguintes benefícios:

Integração automática de usuários

Todos os usuários do seu provedor de identidade externo são autorizados a fazer login com direitos básicos quando a integração SAML estiver ativa. Isso significa que:

• Os usuários podem fazer login na sua organização por meio do SSO usando sua conta da empresa existente, conforme definido no IdP.
• Sem qualquer outra configuração, elas podem acessar a organização por padrão. Para poder trabalhar na organização, os usuários precisam de funções e licenças, conforme apropriado para sua função.

Gerenciamento do usuário

Você pode adicionar usuários atribuindo-os diretamente a grupos. Para fazer isso, basta inserir o endereço de email do usuário ao adicionar usuários ao grupo.

Normalmente, os administradores gerenciam as contas locais a partir da guia Admin > Organização > Contas e grupos > Usuários. Mas os usuários SAML são contas de diretórios, portanto, não são visíveis nesta página.

Depois que um usuário é adicionado a um grupo ou faz login pelo menos uma vez (o que o adiciona automaticamente ao grupo Everyone), ele fica disponível na pesquisa em todos os serviços para atribuição direta de função ou licença.

Mapeamento de Atributos

Se você usa o UiPath Automation Hub, pode definir o mapeamento de atributo personalizado para propagar atributos de seu provedor de identidade para o Orchestrator. Por exemplo, quando uma conta é adicionada pela primeira vez ao Automation Hub, o nome, sobrenome, endereço de e-mail, cargo e departamento do usuário já são preenchidos.

Configuração

os administradores possam configurar e habilitar a integração SAML para toda a sua organização em Administrador > Configurações de segurança > Configurações de autenticação.

Para obter instruções, consulte .

Transição da integração do Azure AD para a integração do SAML

Depois de transicionar para a integração SAML, a integração do Azure AD é desabilitada. As atribuições de grupo do Azure AD não valerão mais, portanto, a associação de grupo do Orchestrator e as permissões herdadas do Azure AD não serão mais respeitadas.