Autenticação do OKTA

Configurar o OKTA para reconhecer uma nova instância do Orchestrator

Observação: as etapas abaixo são válidas para a configuração OKTA SAML. Observe que o procedimento abaixo é uma descrição ampla de um exemplo de configuração. Para instruções detalhadas sobre como fazer, visite a documentação oficial da OKTA.

1. Faça logon no OKTA. A seguinte configuração é feita na exibição de Interface Gráfica Clássica. Você pode alterá-la no menu suspenso no canto superior direito da janela.
   
   

   

   
   
2. Na guia Aplicativo, clique em Criar novo aplicativo. A janela Criar uma nova integração de aplicativo é exibida.
3. Escolha o SAML 2.0 como método de logon e clique em Criar.
   
   

   

   
   
4. Para a nova integração, na janela Configurações gerais, insira o nome do aplicativo.
5. Na janela de Configurações do SAML, preencha a seção Geral conforme este exemplo:
   • Logon único em URL: a URL de instância do Orchestrator + /identity/Saml2/Acs. Por exemplo, https://myOrchestrator.uipath.com/identity/Saml2/Acs.
   • Habilite a caixa de seleção Usar isso para a URL do destinatário e a URL de destino.
   • URI da audiência: https://myOrchestrator.uipath.com/identity
   • Formato de ID de nome: EmailAddress

   • Nome de usuário do aplicativo: E-mail

     Observação: sempre que preencher o URL da instância do Orchestrator, certifique-se de que ele não contenha uma barra final. Sempre preencha-o como https://myOrchestrator.uipath.com/identity, não https://myOrchestrator.uipath.com/identity/.
6. Clique em Exibir configurações avançadas e preencha a seção Declarações de atributos:
   • Defina o campo Nome como http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddresse selecione e-mail.do.usuário no menu suspenso Valor.
     
     

     

     
     
7. Baixe o certificado do OKTA.
8. Na seção Feedback, selecione a opção que lhe convém e clique em Concluir.
9. Na guia Logon, na seção Configurações, clique em Instruções de configuração. Você será redirecionado a uma nova página contendo as instruções necessárias para concluir a configuração do Orchestrator para o SAML 2.0: URL de logon do provedor de identidade, Emissor de provedor de identidade, Certificado X.509.
   Observação: se, por qualquer motivo, as informações sobre o provedor de identidade forem perdidas, você pode acessar Logon > Configurações > Exibir instruções de configuração, a qualquer momento.

Atribuição de pessoas ao aplicativo

Para que um usuário possa usar a autenticação OKTA, o aplicativo recém-criado deve ser atribuído a ele:

1. Faça logon no OKTA.
2. Na página Aplicativo, selecione o aplicativo recém-criado.
3. Na guia Atribuições, selecione Atribuir > Atribuir a Pessoas e selecione os usuários que receberão as permissões necessárias.
   
   

   

   
   
4. Os usuários recém-adicionados serão exibidos na guia Pessoas.

Defina o Orchestrator/Identity Server para usar a Autenticação OKTA

Observação:

Substitua todas as ocorrências de https://myOrchestrator.uipath.com/identity pela URL da sua instância do Orchestrator.

Certifique-se de que a URL da instância do Orchestrator não contenha uma barra normal. Sempre preencha-o como https://myOrchestrator.uipath.com/identity, não https://myOrchestrator.uipath.com/identity/.

1. Defina um usuário no Orchestrator e tenha um endereço de e-mail válido definido na página Usuários.
2. Importe o certificado de assinatura.
   • Para implantações do Windows, importe o certificado de assinatura fornecido pelo Provedor de Identidade para os armazenamentos de certificados do Windows (Autoridades de Certificação Raiz Confiáveis e Repositório Pessoal) usando o Console de Gerenciamento Microsoft.
   • Para implantações do Azure, carregue o certificado fornecido pelo Provedor de Identidade a partir do portal do Azure. (Configurações TLS/SSL > Certificados públicos (.cer) > Carregar Certificado de Chave Pública). Veja aqui como ajustar a configuração do seu aplicativo web, se não puder usar a autenticação da OKTA e encontrar a seguinte mensagem de erro: An error occurred while loading the external identity provider. Please check the external identity provider configuration.
3. Certifique-se de que a seguinte configuração esteja presente nas configurações Saml2 do Identity Server dentro da página Provedores Externos (leia aqui como acessar o Identity Server).
   • Selecione a caixa de seleção Habilitado.
   • Defina o parâmetro ID da Entidade do Provedor de Serviços como https://orchestratorURL/identity.
   • Defina o parâmetro ID de entidade do provedor de identidade como o valor obtido na configuração de autenticação Okta (consulte a etapa 9).
   • Selecione a caixa de seleção Permitir resposta a autenticação não solicitada.
   • Defina o parâmetro URL de retorno como https://orchestratorURL/identity/externalidentity/saml2redirectcallback. Certifique-se de adicionar /identity/externalidentity/saml2redirectcallback no final da URL para o parâmetro URL de Retorno. Esse caminho é específico do OKTA, pois permite que você alcance um ambiente do Orchestrator diretamente do OKTA.
   • Defina o parâmetro de tipo de ligação SAML como HTTP redirect.
4. Na seção Certificado de assinatura :
   • Defina o parâmetro do nome da loja como My.
   • Defina o parâmetro Local do repositório como LocalMachine para implantações do Windows ou CurrentUser para implantações de aplicativo web do Azure.

   • Defina o parâmetro Impressão digital como o valor da impressão digital fornecida no armazenamento de certificados do Windows. Consulte os detalhes aqui.

     
     

     

     
     
     Observação:

     Certifique-se de que o certificado esteja instalado nas Autoridades de Certificação Raiz Confiáveis e nos armazenamentos de certificados Pessoais.

     Aprenda a configurar o Orchestrator/Identity Server para usar um certificado de chave privada.

5. Opcional. Obrigatório para criptografar as afirmações do SAML se você configurou o Identity Server para não usar SSL (por exemplo, descarregamento de SSL em ambientes com balanceamento de carga). O provedor de identidade externo criptografa as afirmações SAML usando a chave pública do certificado de serviço e o Identity Server as descriptografa com a chave privada do certificado.
   Na seção Etapas do certificado de serviço :

   • Defina o nome da loja como My na caixa suspensa.
   • Defina o local da loja como LocalMachine.

   • Defina Impressão digital com o valor da impressão digital fornecida no armazenamento de certificados do Windows. Consulte os detalhes aqui.

     
     

     

     
     
     Importante:

     O certificado de serviço precisa:

     • ter uma chave pública em 2048 bits
     • ter uma chave privada acessível pelo usuário do AppPool,
     • estar no seu período de validade (não expirado).
6. Clique em Salvar para salvar as alterações nas configurações do provedor de identidade externo.
7. Reinicie o servidor do IIS após executar qualquer alteração de configuração no Identity Server.