Automation Suite
2023.10
falso
Setting up the Azure AD Integration - Automation Suite 2023.10
Imagem de fundo do banner
Logotipo
Guia do administrador do Automation Suite
Última atualização 19 de dez de 2023

Configuração da integração do Azure AD

Visão geral

Se sua organização estiver usando o Azure Active Directory (Azure AD) ou Office 365, você pode conectar sua organização do Automation Suite diretamente ao seu tenant do Azure AD para ver as contas de usuário existentes em seu ambiente da UiPath.

A integração do Azure AD permite que você continue usando o modelo de usuário local, se você quiser, enquanto reinicia sua organização com os benefícios adicionais da utilização do Azure AD. Para mais informações sobre as diferenças, consulte Autoridade sobre contas e grupos.

Se você decidiu usar o Azure AD para sua organização, siga as instruções nesta página para configurar a integração.

Conselho: A integração do Azure AD é projetada de tal forma que ativá-la e implementá-la pode acontecer gradualmente, sem nenhuma interrupção na produção para seus usuários existentes.

Pré-requisitos

Para configurar a integração do Azure AD, você precisa que:

  • permissões de administrador no Automation Suite e no Azure AD (se você não tiver permissões de administrador no Azure, colabore com um administrador do Azure para concluir o processo de configuração);
  • uma conta de administrador da organização da UiPath que usa o mesmo endereço de e-mail que um usuário do Azure AD; o usuário do Azure AD não precisa de permissões de administrador no Azure;
  • UiPath Studio e Assistant com versão 202.10.3 ou posterior;
  • O UiPath Studio e o Assistant usem a implantação recomendada.
  • se você usou anteriormente as contas de usuário locais, certifique-se de que todos os usuários do Azure AD tenham o endereço de e-mail no campo E-mail; ter o endereço de e-mail somente no campo Nome principal do usuário (UPN) não é suficiente. A integração do Azure AD vincula as contas de usuário do diretório com as contas de usuário locais se os endereços de e-mail forem correspondentes. Isso permite que os usuários retenham as permissões quando fizerem a transição de entrar com sua conta de usuário local para a conta de usuário do diretório do Azure AD.

Configuração do Azure para a Integração

Sua organização requer um cadastro de aplicativo no seu tenant do Azure AD e algumas configurações para que possa visualizar seus membros do Active Directory para estabelecer a identidade do usuário. Os detalhes de registro do aplicativo também são necessários para conectar posteriormente sua organização a seu tenant do Azure AD.

Permissões: você tem que ser um administrador no Azure para executar as tarefas nesta seção. As seguintes funções de administrador têm os privilégios necessários: Administrador Global, Administrador de Aplicativo de Nuvem ou Administrador de Aplicativos.

Há duas maneiras de configurar seu tenant do Azure para a integração:

  • Siga as instruções abaixo para configurar manualmente um registro de aplicativo para a integração.
  • Use os scripts do Azure AD da UiPath que criamos para essa tarefa, os quais estão disponíveis no GitHub: o script configAzureADconnection.ps1 realiza todas as ações descritas nesta seção e retorna os detalhes de registro do aplicativo. Assim, você pode executar o script testAzureADappRegistration.ps1 para garantir que o registro do aplicativo foi bem-sucedido.

Para configurar manualmente seu tenant do Azure, faça o seguinte no Azure Portal:

  1. Criação de um registro de aplicativo para sua organização.
    Durante o cadastramento, selecione Apenas contas neste diretório organizacional e defina o Redirecionar o URI como https://{yourDomain}/identity_/signin-oidc.
    Observação: se você já tiver um aplicativo registrado para sua organização, não há necessidade de criar um novo, mas certifique-se de que ele esteja configurado conforme descrito acima.
  2. Abra a página Visão geral do aplicativo, copie o ID do aplicativo (cliente) e o ID do diretório (tenant) e salve-os para uso posterior:


  3. Acesse a página de Autenticação de seu aplicativo:
    1. Em Redirecionar URIs, clique em Adicionar o URI para adicionar uma nova entrada.
    2. Adicione https://{yourDomain}/portal_/testconnection à lista de Redirecionamento de URIs.
    3. Na parte inferior, selecione a caixa de seleção tokens de ID.
    4. Clique em Salvar.


  4. Acesse a página de Configuração de tokens.
  5. Selecione Adicionar pedido opcional.
  6. Sob Tipo de token, selecione ID.
  7. Selecione as caixas de seleção para family_name, given_name e upn para adicioná-las como pedidos opcionais:


  8. Acesse a página de permissões da API.
  9. Clique em Adicionar permissão e adicione as seguintes permissões delegadas da categoria Microsoft Graph:
    • Permissões OpenID - e-mail, openid, offline_access, perfil;

    • Permissões de membro do grupo - GroupMember.Read.All;

    • Permissões de usuário — User.Read, User.ReadBasic.All, User.Read.All (requer consentimento administrativo).

    Observação:
    • User.ReadBasic.All permite a recuperação de informações essenciais do perfil do usuário, incluindo nome de exibição, primeiro e último nome, email e muito mais.

    • A permissão User.Read.All concede acesso a toda a gama de propriedades de perfil, mas requer consentimento administrativo.

    Os clientes têm a flexibilidade de selecionar o nível de permissão que desejam conceder. Para clientes do Automation Hub que desejam obter o conjunto completo de atributos do AAD, é necessário conceder permissões de User.Read.All ao aplicativo.


  10. Selecione a caixa de seleção Conceder consentimento de administrador.
    Nota: O administrador consente em nome de todos os usuários no active directory do tenant. Isso permite que o aplicativo acesse os dados de todos os usuários, sem que uma solicitação de consentimento seja enviada aos usuários.
    Para obter mais informações sobre permissões e consentimentos, consulte a documentação do Azure AD.
  11. Acesse a página Certificados e segredos.
  12. Crie um novo segredo do cliente.
  13. Copie o Valor secreto do cliente e salve-o para uso posterior


  14. Compartilhe os valores do ID do diretório (tenant), ID do aplicativo (cliente) e Segredo do cliente com o administrador da organização para que ele possa prosseguir com a configuração.

Implantando a integração no Automation Suite

Após a configuração do Azure ser concluída, você pode se preparar para a integração, ativá-lo e então limpar as contas antigas.

O processo é dividido em etapas, para que não haja nenhuma interrupção para seus usuários.

Permissões: você deve ser um administrador da organização no Automation Suite para executar as tarefas nesta seção.

Limpe usuários inativos

Quando você conecta o Automation Suite ao Azure AD ativando a integração, as contas com endereços de e-mail correspondentes são vinculadas para que a conta do Azure AD se beneficie das mesmas permissões que a conta da UiPath correspondente.

Importante: Para que a associação de contas funcione corretamente, certifique-se de que todos os usuários Azure AD tenham um endereço de email adicionado no campo Email no Azure; o endereço de e-mail somente no campo Nome principal do usuário (UPN) não é suficiente.

Se sua organização pratica a reciclagem de e-mails, isso significa que um endereço de e-mail que foi usado no passado poderia ser atribuído a um novo usuário no futuro, isso pode levar a um alto risco de acesso.

Observação: Se os endereços de e-mail inativos não forem reutilizados em sua organização, você pode pular essa etapa.

Mais informações...

Digamos que você já teve um funcionário cujo endereço de email era john.doe@example.com e esse funcionário tinha uma conta UiPath na qual ele era administrador da organização. Porém, ele deixou a empresa e o endereço de email foi desativado, mas o usuário não foi removido do Automation Suite. Quando um novo funcionário que também se chama João entra na empresa, ele recebe o mesmo endereço de e-mail john.doe@example.com. Nesse caso, quando as contas são vinculadas para a integração do Automation Suite com o Azure AD, João Silva herda os privilégios de administrador da organização.

Para evitar essas situações, certifique-se de remover todos os usuários que não estão mais ativos do Automation Suite antes de prosseguir para a próxima etapa.

Ativar a Integração do Azure AD

Antes de começar

  • Certifique-se de que a configuração do Azure está completa.
  • Obtenha os valores do ID do diretório (tenant), ID do aplicativo (cliente) e Segredo do cliente para o registro do aplicativo no Azure do seu administrador do Azure.
Para ativar a integração do Azure AD, siga estas etapas:
  1. Acesse Admin e, se ainda não estiver selecionado, selecione a organização na parte superior do painel esquerdo.
  2. Selecione Segurança.
  3. Na guia Configurações de autenticação, clique em Configurar SSO.


  4. Selecione Azure Active Directory no painel de configuração do SSO.

  5. Preencha os campos com as informações recebidas de seu administrador do Azure.

  6. Marque a caixa de seleção.
    Isso é necessário porque após salvar suas alterações, as contas correspondentes são automaticamente vinculadas.
  7. Clique em Testar Conexão.
  8. Quando solicitado, faça login com sua conta do Azure AD. Um login bem-sucedido indica que a integração foi configurada corretamente.
    Caso ele falhar, peça ao seu administrador do Azure para verificar se o Azure está configurado corretamente e depois tente novamente.
  9. Clique em Salvar, se a seleção ainda não tiver sido feita.

    A integração agora está ativa para sua organização.

  10. Acesse Administrador > Configurações da organização e anote o URL para sua organização.
  11. Faça logoff.
  12. Navegue até o URL da organização ( https://{yourDomain}/orgID/) e faça login usando sua conta do Azure AD.

Agora, você pode trabalhar com os usuários e grupos no Azure do tenant vinculado. Você pode encontrar usuários e grupos do Azure AD usando a pesquisa, por exemplo, para adicionar um usuário a um grupo. Consulte também as perguntas Frequentes abaixo para obter mais informações sobre quais mudanças ocorrerão após a integração estar ativa.

Observação: contas e grupos do Directory não estão relacionadas nas páginas Usuários ou Grupos em Admin > Contas e grupos; você só pode encontrá-las por meio de pesquisa.

Testar a integração do Azure AD

Para verificar se a integração está sendo executada a partir do Automation Suite, faça login como administrador da organização com uma conta do Azure AD e tente pesquisar os usuários e grupos no Azure AD em qualquer página relacionada, como o painel Editar grupo no Automation Suite em (Administrador > organização > Usuários e grupos > Grupos > Editar).

  • Se você pode pesquisar por usuários e grupos que se originam no Azure AD, isso significa que a integração está em andamento. Você pode identificar o tipo de usuário ou grupo através de seu ícone.

    Observação: Usuários e Grupos do Azure AD não estão listados na página Usuários ou na página Grupos, eles só estão disponíveis por meio da pesquisa.
  • Se você encontrar um erro ao tentar pesquisar usuários, conforme mostrado no exemplo abaixo, isso indica que há algo errado com a configuração no Azure. Entre em contato com o administrador do Azure e peça para verificar se o Azure está configurado conforme descrito acima em Configurando o Azure para a integração.

    Conselho: Peça ao seu administrador do Azure para confirmar que eles selecionaram a caixa de seleção Conceder consentimento de administrador durante a configuração do Azure. Esta é uma causa comum de falha na integração.

Completando a Transição para o Azure AD

Depois que a integração estiver ativa, recomendamos que você siga as instruções nesta seção para garantir que a criação de usuários e a atribuição de grupos seja entregue para o Azure AD. Dessa forma, você pode criar em cima da sua infraestrutura de identidade e gerenciamento de acesso existente para facilitar a governança e o controle de gerenciamento de acesso sobre os recursos de sua organização do Automation Suite.

Configurar Grupos para Permissões e Robôs (Opcional)

Você pode fazer isso para garantir que o administrador do Azure também possa inserir novos usuários com as mesmas permissões e a configuração de robôs para o Automation Suite e outros serviços que você tenha configurado antes da integração. Eles podem fazer isso adicionando quaisquer novos usuários a um grupo do Azure AD se o grupo tiver as funções necessárias já atribuídas no Automation Suite.

Você pode mapear seus grupos de usuários existentes do Automation Suite para grupos novos ou existentes no Azure AD. Você pode fazer isso de várias maneiras, dependendo como de como você usa grupos no Azure AD:

  • Se os usuários com as mesmas funções no Automation Suite já estão nos mesmos grupos no Azure AD, o administrador da organização pode adicionar esses grupos do Azure AD aos grupos de usuários do Automation Suite em que esses usuários estavam. Isso garante que os usuários mantenham as mesmas permissões e configurações de robô.
  • Caso contrário, o administrador do Azure pode criar novos grupos no Azure AD para corresponder aos do Automation Suite e adicionar os mesmos usuários que estão nos grupos de usuários do Automation Suite. Então o administrador da organização pode adicionar os novos grupos do Azure AD aos grupos de usuários existentes para garantir que os mesmos usuários tenham as mesmas funções.

Em ambos os casos, certifique-se de verificar todas as funções que foram atribuídas às contas. Se possível, elimine as atribuições explícitas de funções adicionando esses usuários aos grupos que têm as funções que foram atribuídas explicitamente.

Exemplo: digamos que o grupo Administradores no Automation Suite inclua os usuários Roger, Tom e Jerry. Esses mesmos usuários também estão em um grupo no Azure AD chamado admins. O administrador da organização pode adicionar o grupo admins ao grupo Administradores no Automation Suite. Dessa forma, Roger, Tom e Jerry, como membros do grupo admins do Azure AD, se beneficiam das funções do grupo Administradores.

Como o admins agora faz parte do grupo Administradores, quando você precisar integrar um novo administrador, o administrador do Azure poderá adicionar o novo usuário ao grupo admins no Azure, concedendo-lhe assim permissões de administração no Automation Suite sem ter que fazer nenhuma alteração no Automation Suite.

As alterações nas atribuições de grupo do Azure AD se aplicam no Automation Suite quando o usuário faz login com sua conta do Azure AD, ou se já estiver logado, dentro de uma hora.

Migrar Usuários Existentes

Login inicial: para que as permissões atribuídas aos usuários e grupos do Azure AD sejam aplicadas, os usuários devem fazer login pelo menos uma vez. Recomendamos que, após a integração estar em execução, você avise a todos os seus usuários para sairem da conta da UiPath e fazerem login novamente com sua conta do Azure AD. Eles podem fazer login com sua conta do Azure AD:

  • navegando para a URL específica da organização, que no caso o tipo de login já está selecionado;

    Nota: A URL deve incluir o ID da organização e terminar em uma barra, tal como https://{baseURL}/orgID/.
  • selecionando Enterprise SSO na página de login principal.

    Nota: forneça o URL específico da organização para Automation Suite para todos os seus usuários. Apenas os administradores da organização podem ver essa informação no Automation Suite.

Os usuários migrados se beneficiam da união das permissões que lhes foram diretamente atribuídas e as dos seus grupos do Azure AD.

Configuração do Studio e Assistant para usuários: para configurar esses produtos para se conectar às contas do Azure AD:

  1. No Assistant, abra Preferências e selecione a aba Conexão do Orchestrator.
  2. Clique em Sair.
  3. Para o tipo de conexão, selecione URL do Serviço.
  4. No campo Service URL, adicione a URL específica da organização
    Nota: A URL deve incluir o ID da organização e terminar em uma barra, tal como https://{baseURL}/orgID/. Caso contrário, a conexão falha dizendo que o usuário não pertence a nenhuma organização.
  5. Faça o login novamente com a conta do Azure AD.
Important: As Permissões dos grupos do Azure AD não influenciam as automações de pastas clássicas ou os robôs que estão conectados usando a chave da máquina. Para operar sob as permissões baseadas em grupo, configure as automações nas pastas modernas e use a opção de URL do Serviço para se conectar ao UiPath Assistant ou ao Studio.

Descontinuar o uso de contas locais (opcional)

Embora opcional, recomendamos que você faça isso para maximizar os benefícios centrais de conformidade e eficiência da integração completa entre o Automation Suite e o Azure AD.

Após a migração de todos os usuários, você pode remover os que são baseados em contas pessoais locais da aba de Usuários, para que seus usuários não possam mais fazer login usando suas contas da UiPath. Você pode encontrar essas contas com base nos seus ícones de usuário.

Você também pode limpar as permissões individuais nos serviços da UiPath, como o serviço do Orchestrator, e remover usuários individuais de grupos do Automation Suite, para que as permissões dependam exclusivamente da associação de grupo do Azure AD.

Melhores práticas

Aqui estão algumas dicas úteis para os recursos avançados que você pode aproveitar agora que tem a integração do Azure AD configurada.

Restringir o acesso ao Automation Suite

Como a integração com o Azure AD é realizada ao nível do tenant do Azure, por padrão, todos os usuários do Azure AD podem acessar o Automation Suite. A primeira vez que um usuário do Azure AD faz login no Automation Suite, ele é automaticamente incluído no grupo Everyone do Automation Suite, que concede a ele a função de usuário ao nível de organização.

Se você quiser permitir apenas que determinados usuários acessem sua organização do Automation Suite, pode ativar a atribuição de usuários para o cadastro do aplicativo do Automation Suite no Azure. Dessa forma, os usuários precisam ser atribuídos explicitamente ao aplicativo (Automation Suite) para poder acessá-lo. Para obter instruções, consulte este artigo na documentação do Azure AD.

Restringir o acesso às redes ou dispositivos confiáveis

Se você quiser permitir que seus usuários possam acessar o Automation Suite apenas de uma rede confiável ou dispositivo confiável, pode usar a funcionalidade Acesso condicional do Azure AD.

Governança para os grupos do Automation Suite no Azure AD

Se você criou grupos no Azure AD para facilitar a integração de usuários ao Automation Suite diretamente do Azure AD conforme descrito em Configurar grupos para permissões e robôs, você pode usar as opções de segurança avançadas do Gerenciamento de identidade privilegiada (PIM) para esses grupos para governar as solicitações de acesso para grupos do Automation Suite.

Ícone de suporte e serviços
Obtenha a ajuda que você precisa
Ícone do UiPath Academy
Aprendendo RPA - Cursos de automação
Ícone do Fórum do UiPath
Fórum da comunidade da Uipath
Logotipo branco da Uipath
Confiança e segurança
© 2005-2024 UiPath. All rights reserved.