Gerenciando recursos de acesso e automação

On the Manage Access page you can define and assign roles. In Orchestrator, you use roles to control the level of access an account should have. On this page, we go over the notions you need to understand to effectively plan and implement your access control strategy.

O nível de acesso e as ações que seus usuários podem executar são controlados usando dois elementos:

• contas, que estabelecem a identidade de um usuário e são usadas para fazer logon em seus aplicativos da UiPath
• funções, que são atribuídas às contas para lhes conceder determinadas permissões dentro do ecossistema da UiPath.

As contas não são criadas ou gerenciadas no Orchestrator; apenas as funções e suas atribuições o são.

Sobre contas

Uma conta é uma entidade da UiPath Platform com recursos dependentes de acesso e cuja visualização e controle do Orchestrator dependem das funções atribuídas.

As contas podem ser:

• criadas e gerenciadas localmente (contas locais) a partir do:
  • Management portal. See Managing accounts for more information.
• created and managed in an external directory (directory accounts and directory groups). See the section AD Integration for a better understanding of directory integration.

As contas estão disponíveis apenas dentro de uma organização.

Depois que uma conta for adicionada com sucesso, há duas maneiras de conceder a ela direitos ao orquestrador:

• adicionando a conta a um grupo para que ela herde as funções do grupo ou
• atribuindo funções à conta no nível de serviço.

Você pode usar ambos os métodos para ter um controle granular sobre o acesso que uma conta tem em sua organização.

Integração do diretório

Um Active Directory (AD) referenciado no Orchestrator transforma seus membros em usuários potenciais do Orchestrator. O nível de acesso para uma conta de diretório é configurado no Orchestrator, seja no nível de grupo (grupo de diretórios) ou no nível de usuário (usuário de diretório).

É possível integrar com:

• um Active Directory local

• Azure Active Directory

• outros provedores de identidade que têm ou se conectam a um diretório

  Observação:

  Using a directory integration together with attended robots auto-provisioning and hierarchical folders allow for effortlessly setting up large deployments. See Managing large deployments for details.

Pré-requisitos

• A opção de autenticação através da qual você se conecta ao diretório externo está habilitada.
• Um domínio válido foi especificado durante a configuração da autenticação. Todos os domínios e subdomínios de florestas bidirecionais confiáveis com o domínio especificado estão disponíveis ao adicionar usuários/grupos.
• The machine on which Orchestrator is installed is joined to the specified domain. To check whether the device is joined to the domain, run dsregcmd /status from the Command Prompt, and navigate to the Device State section.
• A identidade sob a qual o pool de aplicativos do Orchestrator está em execução deve fazer parte do grupo de Acesso de Autorização do Windows (WAA).

Comportamento

• A adição de um grupo de diretórios cria uma entidade no Orchestrator chamada de grupo de diretórios, para a qual você configura os direitos de acesso conforme desejado. Essa entrada serve como referência ao grupo conforme encontrado no AD.
• When logging in, Orchestrator checks your group membership against the AD database and UiPath Identity Server. If confirmed, it automatically provisions your user as a directory user, and then associates it to the access rights inherited from the Directory Group. Inherited rights are only kept for the duration of the user session.
• O provisionamento automático ocorre na primeira vez que um usuário faz login. Uma conta de usuário autoprovisionado não é excluída no logout, pois você pode precisar da entrada para fins de auditoria.
• As alterações feitas na associação do grupo no diretório são sincronizadas com o Orchestrator a cada login ou uma vez a cada hora para sessões de usuário ativas.
  • This value can be changed using the WindowsAuth.GroupMembershipCacheExpireHours.

Se você for membro do grupo X, eis o que acontece:

• Você faz login, o Orchestrator verifica sua associação no grupo e, em seguida, confirma sua identidade no banco de dados do AD e no Identity Server. Em seguida, você recebe direitos de acesso concedidos de acordo com sua configuração do Orchestrator. Se seu administrador do sistema alterar sua associação do grupo X para o grupo Y enquanto você tiver uma sessão ativa, as alterações são interrogadas pelo Orchestrator a cada hora ou na próxima vez que você fizer login.

• A única maneira de configurar os direitos de acesso que persistem entre as sessões, independentemente de como a associação ao grupo muda, é atribuir uma função à conta do usuário diretamente e não por meio da associação ao grupo.

• Os usuários do AD cujos direitos de acesso herdados (das associações de grupos) não podem ser determinados se comportam como usuários locais, o que significa que dependem apenas de funções atribuídas para a conta de usuário.

• Os grupos no AD sincronizam-se com o Orchestrator, mas as alterações feitas no Orchestrator não afetam a configuração de usuários no AD.

Problemas conhecidos

• Devido a vários problemas de rede ou configuração, é possível que nem todos os domínios exibidos na lista suspensa Nome do domínio estejam acessíveis.
• As alterações feitas nos nomes de usuários ou grupos no AD não são propagadas no Orchestrator.
• Pode levar até uma hora para atualizar a lista de domínios com domínios confiáveis bidirecionais recém-adicionados.
• As solicitações GetOrganizationUnits(Id) e GetRoles(Id) apenas retornam pastas e funções definidas explicitamente para um usuário autoprovisionado. Aquelas herdadas da configuração de grupo podem ser recuperadas por meio do endpoint /api/DirectoryService/GetDirectoryPermissions?userId={userId}.
• O mesmo vale para a interface do usuário, onde apenas pastas e funções explicitamente definidas são exibidas na página Usuários. Ao contrário, as herdadas têm um novo local dedicado, a janela Permissões do usuário (Usuários > Mais ações > Verificar permissões).
• Os usuários não herdam as configurações de assinatura de alerta do grupo pai, nem recebem alertas por padrão. Para ter acesso aos alertas, será solicitado que você conceda as permissões correspondentes explicitamente ao usuário.
• Remover um grupo de diretórios não remove a licença de um usuário do diretório associado, mesmo se a remoção do grupo cancelar a atribuição do usuário de qualquer pasta. A única maneira de liberar a licença é fechar a bandeja do Robô.
• Em determinados navegadores, fazer logon no Orchestrator usando suas credenciais do AD requer apenas seu nome de usuário. Não há necessidade de especificar também o domínio. Portanto, se a sintaxe do domínio\nome de usuário não funcionar, tente preencher apenas o nome de usuário.

Considerações sobre auditoria

• Associação do usuário: o usuário [nome de usuário] foi atribuído aos seguintes grupos do diretório [grupos do diretório dos quais o usuário herda direitos de acesso na sessão atual].
• Provisionamento automático: o usuário [nome de usuário] foi provisionado automaticamente dos seguintes grupos do diretório [grupos do diretório dos quais o usuário herda direitos de acesso na sessão atual].

Permissões de usuários

Para ser capaz de executar várias operações nas páginas Usuários e Perfil, você precisa receber as permissões correspondentes:

• Usuários — Exibir — exibição das páginas Usuários e Perfil.
• Usuários — Editar — edição dos detalhes e configurações do usuário na página Perfil e ativar/desativar os usuários na página Usuários.
• Users - View and Roles - View - Displaying user permissions.
• Usuários — Editar e Funções — Exibir — edição das atribuições de função na página Gerenciar acesso > Atribuir funções.
• Usuários — Criar e Funções — Exibir — criação de um usuário.
• Usuários — Exibir e Funções — Editar — gerenciamento de funções na janela Gerenciar usuários, aberta a partir da página Gerenciar acesso > Funções.
• Usuários — Excluir — remoção de um usuário do Orchestrator.

Permissões sem efeito

Although you can select all available rights (View,Edit,Create, or Delete) for any permission, the following rights have no effect for the listed permission:

Permission	Categoria
Editar	Auditar Meios de Execução Logs
Criar	Auditar Licença Configurações Monitoramento
Excluir	Alertas Auditar Configurações Logs Monitoramento

Isso ocorre porque, por exemplo, não é possível editar logs gerados pelo sistema.

Considerações de segurança

Autenticação básica

By default, Orchestrator does not allow user access via basic authentication. This functionality can be enabled by adding and configuring the Auth.RestrictBasicAuthentication setting. This enables you to create local accounts that can access Orchestrator using their basic authentication credentials, allowing you to maintain existing integrations that relied on basic authentication when calling Orchestrator API.

A habilitação da autenticação básica pode ser feita ao criar e editar contas.

Bloqueio de Conta

Por padrão, após 10 tentativas de login malsucedidas, você ficará bloqueado por 5 minutos.

System administrators can customize the Account Lockout settings from the host Management portal.

Observação:

O logon com a mesma conta em uma máquina diferente desconecta o usuário da primeira máquina.

Permissões para Gerenciar Usuários

Para poder executar várias operações nas páginas Usuários e Funções, você precisa receber as permissões correspondentes:

• Usuários — Exibir — exibição das páginas Usuários e Perfil.
• Usuários — Editar — edição dos detalhes e configurações do usuário na página Perfil e ativar/desativar os usuários na página Usuários.
• Users - View and Roles - View - Displaying user permissions in the User Permissions window.
• Usuários — Editar e Funções — Exibir — edição das atribuições de função na página Gerenciar acesso > Atribuir funções.
• Usuários — Criar e Funções — Exibir — criação de um usuário.
• Usuários — Exibir e Funções — Editar — gerenciamento de funções na janela Gerenciar usuários, aberta a partir da página Gerenciar acesso > Funções.
• Usuários — Excluir — remoção de um usuário do Orchestrator.

Perguntas frequentes

1. O que acontece com relação ao acesso como um todo de um usuário que pertence a vários grupos?

O usuário recebe a união dos direitos de acesso associados a cada grupo ao qual ele pertence.

Exemplo: John Smith pertence aos grupos RH e Finanças, que foram adicionados ao Orchestrator. O grupo RH tem a função Gerenciamento e acesso à pasta RH; Finanças tem a função Executor e acesso à pasta Finanças. Como faz parte de ambos os grupos, o John tem as funções Gerenciamento e Executor, e acesso às pastas RH e Finanças.

2. O que acontece com relação ao acesso como um todo quando um usuário também é adicionado separadamente junto com um grupo ao qual ele pertence?

O usuário recebe a união dos direitos de acesso associados ao grupo ao qual ele pertence e aqueles definidos explicitamente. Lembre-se de que os direitos de acesso herdados dependem das configurações do grupo, e que direitos de acesso definidos explicitamente são independentes das configurações do grupo.

Exemplo: John Smith foi adicionado individualmente do AD e recebeu a função Executor e acesso à pasta Finanças. O grupo RH (do qual John é membro) também foi adicionado ao Orchestrator, e recebeu a função Gerenciamento e acesso à pasta RH. John tem as funções Executor e Gerenciamento, e acesso às pastas RH e Finanças. Se ele for removido do grupo RH no nível do AD, perderá a função Gerenciamento e acesso à pasta RH, mas manterá as definidas explicitamente.

3. Meu usuário pertence a dois grupos: o primeiro permite a criação automática de um robô, e o segundo não. Um robô será criado para meu usuário ou não?

Como um usuário recebe a união dos direitos associados a todos os grupos aos quais ele pertence, um robô é criado para seu usuário com base na configuração feita para o primeiro grupo.

4. Eu excluí/desabilitei um grupo do diretório. Os usuários do diretório associado ainda poderão fazer logon?

Não, se você não tiver definido direitos de acesso explicitamente para eles. Sim, se você concedeu a eles direitos de acesso individualmente no Orchestrator. Direitos de acesso herdados são mantidos apenas pela duração da sessão do usuário ativa. Apenas direitos de acesso definidos explicitamente persistem entre as sessões. Excluir ou desativar um grupo do diretório exclui os direitos herdados, mas não faz nada em relação àqueles que foram definidos explicitamente.

5. Quando as alterações feitas em um grupo do AD entram em vigor no Orchestrator?

As alterações feitas em seus grupos do AD, como adicionar, mover ou excluir um usuário, são interrogadas pelo Orchestrator em cada logon de usuário ou uma vez a cada 60 minutos para as sessões ativas. 60 minutos é o valor padrão e pode ser alterado no arquivo de configuração por meio do parâmetro WindowsAuth.GroupMembershipCacheExpireHours.