Configuração da integração do Microsoft Entrada ID

Se sua organização estiver usando o Microsoft Entra ID ou o Office 365, você pode conectar sua organização Test Cloud privado diretamente ao seu tenant do Microsoft Entra ID para visualizar contas e grupos existentes em seu ambiente do Test Cloud privado.

Com a integração do Microsoft Entra ID, você pode continuar aproveitando o modelo de contas locais, enquanto inicializa sua organização com os benefícios adicionais de usar o modelo do Microsoft Entra ID. A integração do Microsoft Entrada ID foi projetada de tal forma que ativá-la e implementá-la pode acontecer gradualmente, sem nenhuma interrupção na produção para seus usuários existentes.

Se sua organização decidiu usar o modelo do Microsoft Entra ID, siga as instruções nesta página para configurar a integração.

Pré-requisitos

Para configurar a integração do Microsoft Entra ID, você precisa que:

• Permissões de administrador no Test Cloud privado e no Microsoft Entra ID (podem ser pessoas diferentes)
• uma conta Microsoft Entra ID com o mesmo endereço de email que a conta local UiPath do administrador da organização que realiza a integração. Observe que esta conta do Microsoft Entra ID é apenas para testar a integração e não precisa ter permissões de administrador no Azure
• UiPath Studio e UiPath Assistant versão 2020.10.3 ou posterior
• UiPath Studio e UiPath Assistant para usar a implantação recomendada
• Se você usou contas de usuários locais anteriormente, certifique-se de que todos os seus usuários do Microsoft Entra ID tenham o endereço de email no campo Email. Ter o endereço de email no campo Nome principal do usuário (UPN) por si só não é suficiente. A integração do Microsoft Entra ID vincula contas de usuário de diretório com as contas de usuário locais se os endereços de email corresponderem. Isso permite que os usuários retenham permissões quando fazem a transição de fazer login com sua conta de usuário local para a conta de usuário do diretório de Microsoft Entra ID.
  Observação:

  A UiPath segue o protocolo OIDC para sua integração com o Microsoft Entra ID. No entanto, a integração não é compatível com o uso de chaves personalizadas de aplicativos por meio da declaração de um parâmetro de consulta appid em uma URL dedicada, conforme descrito na documentação de tokens de acesso da Microsoft .

Configuração do Azure para a Integração

Sua organização requer um cadastro de aplicativo no seu tenant Microsoft Entra ID e algumas configurações para que possa visualizar seus membros do AD para estabelecer a identidade da conta. Os detalhes de registro do aplicativo também são necessários para conectar posteriormente sua organização a seu tenant do Microsoft Entra ID.

Permissões: você tem que ser um administrador no Azure para executar as tarefas nesta seção. As seguintes funções de administrador do Azure têm os privilégios necessários: Global Administrator, Cloud Application Administrator ou Application Administrator.

Há duas maneiras de configurar seu tenant do Azure para a integração:

• Adote as seguintes etapas para configurar manualmente um registro de aplicativo para a integração.
• Use os scripts UiPath Microsoft Entra ID que criamos para essa tarefa, os quais estão disponíveis no GitHub: o script configAzureADconnection.ps1 executa todas as ações descritas nesta seção e retorna os detalhes de registro do aplicativo. Em seguida, você pode executar o script testAzureADappRegistration.ps1 para garantir que o registro do aplicativo foi bem-sucedido.

Para configurar manualmente seu tenant do Azure, siga as seguintes etapas no Azure Portal:

1. Crie um registro de aplicativo para o Test Cloud privado. Para obter mais detalhes, consulte a documentação da Microsoft sobre como registrar um aplicativo.

   Durante o cadastramento, selecione Apenas contas neste diretório organizacional e defina o Redirecionar o URI como https://{yourDomain}/identity_/signin-oidc.

   Observação:

   Se você já tem um aplicativo registrado para sua organização, não precisa criar um novo, mas certifique-se de que o aplicativo esteja configurado conforme descrito anteriormente.

2. Abra a página Visão geral do aplicativo, copie o ID do aplicativo (cliente) e o ID do diretório (tenant) e salve-os para uso posterior:

   

3. Acesse a página de Autenticação de seu aplicativo:

   1. Em Redirecionar URIs, selecione Adicionar URI para adicionar uma nova entrada.
   2. Adicione https://{yourDomain}/portal_/testconnection à lista de Redirecionamento de URIs.
   3. Na parte inferior, selecione a caixa de seleção tokens de ID.
   4. Selecione Salvar.
   

4. Acesse a página de Configuração de tokens.

5. Selecione Adicionar pedido opcional.

6. Sob Tipo de token, selecione ID.

7. Marque as caixas de seleção para family_name, given_name e upn para adicioná-las como declarações opcionais:

   

8. Acesse a página de permissões da API.

9. Selecione Adicionar permissão e adicione as seguintes permissões delegadas da categoria Microsoft Graph :

   • Permissões OpenId - email, openid, offline_access, profile
   • Permissões de membro do grupo - GroupMember.Read.All
   • Permissões de usuário - User.Read, User.ReadBasic.All, User.Read.All (requer consentimento administrativo)
   

A tabela a seguir descreve as permissões de API:

Permission	O que ele permite que você faça	O que fazemos com ele
email, openid, profile, offline_access, User.Read	Permite que o Microsoft Entra ID emita um token de usuário para o aplicativo do sistema	Permita que os usuários façam login no sistema usando um login com ID de entrada da Microsoft. Isso nos permite manter nosso objeto de usuário atualizado, garantindo a consistência desses atributos.
User.ReadBasic.All	Lê propriedades básicas de todos os usuários no diretório que o usuário conectado tem permissão para visualizar	Quando um usuário atribui permissões a outros usuários no diretório para seus recursos, ele pode pesquisar esses usuários. A funcionalidade para gerenciamento/autorização de acesso está na experiência do usuário do sistema.
User.Read.All (requer consentimento do administrador)	Lê todas as propriedades do usuário no diretório que o usuário conectado tem permissão para visualizar	Seu administrador pode querer importar essas propriedades do usuário adicionais para configurar permissões ou exibir informações personalizadas dentro dos serviços do sistema. Para clientes do Automation Hub que desejam obter o conjunto completo de atributos do ID de Entrada da Microsoft, é necessário conceder a permissão User.Read.All ao aplicativo.
GroupMember.Read.All	Lê as associações de grupo de todos os usuários aos quais o usuário conectado tem acesso	Se sua organização estiver usando grupos para gerenciar permissões no sistema, a plataforma precisará poder listar todos os grupos e descobrir os membros de um grupo. Isso permite o gerenciamento e a aplicação das permissões atribuídas ao grupo.

10. Selecione a caixa de seleção Conceder consentimento de administrador.

    Observação:

    O administrador consente em nome de todos os usuários no diretório ativo do tenant. Isso permite que o aplicativo acesse os dados de todos os usuários, sem que uma solicitação de consentimento seja enviada aos usuários. Para obter mais informações sobre permissões e consentimentos, consulte a documentação do Microsoft Entra ID da Microsoft.

11. Acesse a página Certificados e segredos para criar um novo segredo do cliente ou um novo certificado.

    • Opção 1. Segredo do cliente. Para obter mais informações sobre os segredos do cliente, consulte a documentação da Microsoft sobre Como adicionar um novo segredo do cliente.
      Observação:

      O segredo do cliente criado não é permanente. Você deve atualizar o segredo do cliente após seu período de validade.

    • Opção 2. Certificado. As etapas de alto nível para configurar certificados são descritas em Configuração de um certificado do Azure Key Vault para a UiPath. Para saber mais sobre certificados, consulte Como configurar e recuperar um certificado do Azure Key Vault na documentação da Microsoft.

12. Forneça ao administrador da organização os valores de ID do diretório (tenant), aplicativo (cliente) . Se você escolheu a opção Segredo do cliente, compartilhe também o valor Segredo do cliente . Se você escolher a opção certificado, compartilhe os detalhes do certificado. Essas informações permitem que o administrador prossiga com a configuração.

    

Configuração de um certificado do Azure Key Vault para a UiPath

Esta seção descreve as etapas de alto nível para a configuração com um certificado. Você também pode usar um segredo do cliente. Para obter mais detalhes sobre a configuração de certificados, consulte configuração e recuperação de um certificado do Azure Key Vault na documentação da Microsoft. Siga estas etapas de alto nível para configurar um certificado:

1. Faça login no Azure Key Vault e navegue até a seção Certificados .

2. Crie um certificado com o Assunto como CN=uipath.com e Tipo de conteúdo como PEM .

   

3. Após a criação, baixe o certificado no formato PFX/PEM.

4. Abra o arquivo .pem com um editor de texto. Deve consistir em duas seções: BEGIN PRIVATE KEY/END PRIVATE KEY e BEGIN CERTIFICATE/END CERTIFICATE.

5. Crie um novo arquivo .pem contendo apenas as linhas entre BEGIN CERTIFICATE e END CERTIFICATE.

6. No portal do Azure, localize a guia Certificados e segredos em seu Registro de aplicativos e carregue o novo arquivo .pem .

7. Como parte da configuração de {Delivery option}, você precisa adicionar todo o conteúdo do certificado .pem baixado do Azure Key Vault no campo Segredo ou certificado do cliente.

   Observação:

   O tamanho máximo permitido para certificados é 10 KB.

Implantação da integração no Test Cloud privado

Após a configuração do Azure ser concluída, você pode se preparar para a integração, ativá-lo e então limpar as contas antigas. O processo é dividido em etapas, para que não haja nenhuma interrupção para seus usuários.

Observação:

Você deve ser um administrador da organização no Test Cloud privado para executar as tarefas nesta seção.

Limpe usuários inativos

Quando você conecta o Test Cloud privado ao Microsoft Entra ID ativando a integração, as contas com endereços de email correspondentes são vinculadas, para que a conta do Microsoft Entra ID se beneficie das mesmas permissões que a conta local da UiPath correspondente.

Se sua organização pratica a reciclagem de e-mails, isso significa que um endereço de e-mail que foi usado no passado poderia ser atribuído a um novo usuário no futuro, isso pode levar a um alto risco de acesso.

Digamos que você já teve um funcionário cujo endereço de email era [e-mail] e esse funcionário tinha uma conta local na qual ele era administrador da organização. Porém, ele deixou a empresa e o endereço de email foi desativado, mas o usuário não foi removido.

Quando um novo funcionário que também se chama João entra na empresa, ele recebe o mesmo endereço de e-mail [e-mail] . Nesse caso, quando as contas são vinculadas como parte da integração com o Microsoft Entra ID, o João herda os privilégios de administrador da organização.

Para evitar essas situações, certifique-se de remover todos os usuários que não estão mais ativos da organização do Test Cloud Privado antes de prosseguir para a próxima etapa. Você pode pular essa etapa se os endereços de email inativos não são reutilizados em sua organização.

Ativar a integração do Microsoft Entrada ID

Observação:

Antes de você começar:

• certifique-se de que a configuração do Azure esteja concluída;
• obtenha os valores do ID do diretório (tenant), ID do aplicativo (cliente) e Segredo do cliente para o registro do aplicativo Test Cloud privado no Azure a partir do seu administrador do Azure.

Para ativar a integração do Microsoft Entra ID, aplique as seguintes etapas no Test Cloud privado:

1. Acesse Admin e, se ainda não estiver selecionado, selecione a organização na parte superior do painel esquerdo.

2. Selecione Segurança para abrir as Configurações de segurança.

3. Na guia Configurações de autenticação, em Integração de diretório para SSO (Single Sign-On), selecione Configurar SSO.

4. Selecione Microsoft Entra ID no painel de configuração de SSO.

5. Preencha os campos com as informações recebidas de seu administrador do Azure.

6. Selecione a caixa de seleção para Entendo e aceito usuários adicionados e os usuários de Microsoft Entra ID com endereços de e-mail correspondentes terão suas contas vinculadas.

7. Selecione Testar Conexão para validar se a integração foi configurada corretamente.

8. Quando solicitado, faça login com sua conta do Microsoft Entra ID.

   Um login bem-sucedido indica que a integração foi configurada corretamente. Caso ele falhar, peça ao seu administrador do Azure para verificar se o Azure está configurado corretamente e depois tente novamente.

9. Selecione Salvar para ativar a integração para sua organização.

   Depois de salvar suas alterações, as contas correspondentes são vinculadas automaticamente.

10. Faça logoff.

11. Navegue até a URL da organização (https://{yourDomain}/organizationID/) e faça login com sua conta do Microsoft Entra ID.

Agora, você pode trabalhar com os usuários e grupos no Microsoft Entra ID do tenant vinculado. As contas e grupos de diretórios não estão listados nas páginas Usuários ou Grupos em Administrador - Contas e Grupos, você só pode encontrá-las por meio de pesquisa.

Testar a integração do Microsoft Entrada ID

Para verificar se a integração está em execução, faça login como administrador da organização com uma conta do Microsoft Entra ID e tente pesquisar usuários e grupos do Microsoft Entra ID em qualquer página relacionada, como o painel Editar Grupo no Test Cloud Privado (Administrador > Contas e grupos > Grupos > Editar).

Se você pode pesquisar por usuários e grupos que se originam no Microsoft Entra ID, isso significa que a integração está em andamento. Você pode identificar o tipo de usuário ou grupo através de seu ícone.

Se você encontrar um erro ao tentar pesquisar pelos usuários, conforme exibido no exemplo a seguir, isso indica que há algo errado com a configuração no Azure. Entre em contato com o administrador do Azure e peça que verifiquem se o Azure está configurado conforme descrito anteriormente na documentação em Configuração do Azure para a Integração.

Dica:

Peça ao seu administrador do Azure para confirmar que eles selecionaram a caixa de seleção Conceder consentimento de administrador durante a configuração do Azure. Esta é uma causa comum de falha na integração.

Como concluir a transição para o ID Entrada da Microsoft

Depois que a integração estiver ativa, recomendamos que você siga as instruções nesta seção para garantir que a criação do usuário e as atribuições de grupos sejam entregues ao Microsoft Entra ID. Dessa forma, você pode criar sobre sua infraestrutura existente de identidade e gerenciamento de acesso para facilitar a governança e o controle do gerenciamento de acesso sobre seus recursos da UiPath no Test Cloud Privado.

Configurar Grupos para Permissões e Robôs (Opcional)

Você pode fazer isso para garantir que o administrador do Azure também possa inserir novos usuários com as mesmas permissões e a configuração de robôs que você configurou antes da integração. Isso pode ser feito adicionando quaisquer novos usuários a um grupo de IDs de entra da Microsoft se o grupo já tiver as funções necessárias atribuídas.

Você pode mapear seus grupos de usuários existentes do Test Cloud privado para grupos novos ou existentes no Microsoft Entra ID. Você pode fazer isso de várias maneiras, dependendo de como você usa grupos no Microsoft Entra ID:

• Se os usuários com as mesmas funções no Test Cloud privado já estiverem nos mesmos grupos no Microsoft Entra ID, o administrador da organização pode adicionar esses grupos do Microsoft Entra ID aos grupos de usuários em que esses usuários estavam. Isso garante que os usuários mantenham as mesmas permissões e configuração do robô.
• Caso contrário, o administrador do Azure pode criar novos grupos no Microsoft Entra ID para corresponder aos do Test Cloud privado e adicionar os mesmos usuários que estão nos grupos de usuários da UiPath. Em seguida, o administrador da organização pode adicionar os novos grupos de Microsoft Entra ID aos grupos de usuários existentes para garantir que os mesmos usuários tenham as mesmas funções.

Certifique-se de verificar todas as funções atribuídas especificamente aos usuários, em todas as instâncias. Se possível, remova essas atribuições diretas de funções e adicione esses usuários aos grupos já atribuídos com essas funções.

Por exemplo, suponha que o grupo Administradores no Test Cloud privado inclua os usuários Anna, Tom e John. Esses mesmos usuários também estão em um grupo no Microsoft Entra ID chamado admins. O administrador da organização pode adicionar o grupo admins do Azure ao grupo Administradores no Test Cloud privado. Dessa forma, Anna, Tom e John, como membros do grupo admins da Microsoft Entra ID, todos se beneficiam das funções do grupo Administradores no Test Cloud privado.

Como o admins agora faz parte do grupo Administradores , quando você precisar integrar um novo administrador, o administrador do Azure poderá adicionar o novo usuário ao grupo admins no Azure, concedendo-lhe assim permissões de administração no Test Cloud privado sem ter que fazer nenhuma alteração em Test Cloud privado.

Observação:

As alterações nas atribuições de grupo do Microsoft Entra ID são aplicadas no Test Cloud privado quando o usuário faz login com sua conta do Microsoft Entra ID ou, se já estiver conectado, dentro de uma hora.

Migrar Usuários Existentes

Para que as permissões atribuídas aos usuários e grupos do Microsoft Entra ID sejam aplicadas, os usuários devem fazer login pelo menos uma vez. Recomendamos que, após a integração estar em execução, você avise a todos os seus usuários para sairem de sua conta local e fazerem login novamente com sua conta do Microsoft Entra ID. Eles podem entrar com sua conta de ID Microsoft Entra:

• Navegação para o URL específico da organização do Test Cloud Privado, no caso o tipo de login já está selecionado. O URL deve incluir o ID da organização e terminar em uma barra, https://{yourDomain}/orgID/ como.
• selecionando Enterprise SSO na página de login principal. Certifique-se de fornecer o URL específico da sua organização para o Test Cloud Privado para todos os seus usuários.

Os usuários migrados recebem as permissões combinadas diretamente atribuídas a eles no Test Cloud privado junto com aquelas de seus grupos de Microsoft Entra ID.

Para configurar o Studio e o Assistant para se conectar às contas de ID do Microsoft Entra:

1. No Assistant, abra Preferências e selecione a aba Conexão do Orchestrator.
2. Selecione Sair.
3. Para o tipo de conexão, selecione URL do Serviço.
4. No campo da URL do Serviço , adicione a URL específica da organização A URL deve incluir o ID da organização e terminar com uma barra, tal como https://{yourDomain}/orgID/. Caso contrário, a conexão falha dizendo que o usuário não pertence a nenhuma organização.
5. Faça login novamente com a conta de ID do Microsoft Entra.
   Importante:

   As permissões dos grupos do Microsoft Entra ID não influenciam as automações de pastas clássicas ou os robôs que estão conectados usando a chave da máquina. Para operar sob as permissões baseadas em grupo, configure as automações nas pastas modernas e use a opção de URL do Serviço para se conectar ao UiPath Assistant ou ao Studio.

Parar de usar as contas locais do UiPath (Opcional)

Recomendamos que você remova o uso de contas locais para maximizar os principais benefícios de conformidade e eficiência da integração completa entre Test Cloud privado e Microsoft Entra ID.

Importante:

Remover só contas que não sejam de administrador. É recomendável manter pelo menos uma conta local de administrador da organização para poder alterar as configurações de autenticação no futuro.

AVISO:

Certifique-se de que todos os usuários tenham feito login com sua conta do Microsoft Entra ID pelo menos uma vez antes de remover suas contas locais. A vinculação da conta ocorre apenas no primeiro login do diretório. Se uma conta local for excluída antes que o usuário faça login com sua conta de diretório, uma nova identidade de diretório será criada — o usuário perde acesso a seu trabalho anterior, incluindo projetos e soluções. Essa ação não poderá ser revertida.

Após a migração de todos os usuários, você poderá remover os usuários não admin da guia Usuários , para que seus usuários não possam mais fazer login usando sua conta local. Você pode encontrar essas contas com base nos seus ícones de usuário.

Você também pode limpar as permissões individuais nos serviços da UiPath, como o serviço do Orchestrator, e remover usuários individuais de grupos, para que as permissões dependam exclusivamente da associação de grupos de ID de Entrada da Microsoft.

Funcionalidades avançadas

A seção a seguir descreve algumas dicas úteis para recursos avançados que você pode aproveitar agora que tem a integração do Microsoft Entra ID configurada.

Restringir o acesso à sua organização

Como a integração com o Microsoft Entra ID é realizada ao nível do tenant do Azure, por padrão, todos os usuários do Microsoft Entra ID podem acessar o Test Cloud privado. A primeira vez que um usuário do Microsoft Entra ID faz login em sua organização UiPath, ele é incluído automaticamente no grupo Everyone da UiPath, que concede a ele a função User na organização que fornece o nível básico de acesso dentro do ecossistema da UiPath.

Se você quiser permitir que apenas alguns usuários acessem sua organização, você pode ativar a atribuição de usuários para o registro do aplicativo UiPath no Azure. Dessa forma, os usuários precisam ser atribuídos explicitamente ao aplicativo para poder acessá-lo. Para obter instruções, consulte como restringir seu aplicativo a um conjunto de usuários na documentação do Microsoft Entra ID.

Restringir o acesso às redes ou dispositivos confiáveis

Se você quiser permitir apenas que seus usuários acessem o Test Cloud privado a partir de uma rede ou um dispositivo confiável, você pode usar a funcionalidade Acesso Condicional do Microsoft Entra ID .

Governança para grupos no Microsoft Entra ID

Se você criou grupos no Microsoft Entra ID para fácil integração da UiPath diretamente do Microsoft Entra ID, conforme descrito anteriormente em Configurar grupos para permissões e robôs, você pode usar as opções de segurança avançadas do gerenciamento de identidade privilegiada (PIM) para esses grupos para governar o acesso solicitações para grupos da UiPath. Para obter mais detalhes, consulte a documentação da Microsoft no PIM.

Perguntas frequentes

O que muda para os meus usuários após a ativação da integração?

Os usuários podem fazer login imediatamente usando sua conta do Microsoft Entra ID existente e se beneficiar das mesmas permissões que tiveram em sua conta local.

Se você não tiver removido suas contas locais, os usuários também podem continuar a fazer login com sua conta local (ambos os métodos funcionam).

Para usar sua conta do Microsoft Entra ID, ele deve navegar até a URL específica de sua organização, que tem o formato https://{yourDomain}/orgID/, ou selecionar Enterprise SSO na página de login principal.

Outra mudança que os usuários podem notar é que, se eles já estiverem logados em suas contas do Microsoft Entra ID usando outro aplicativo, eles são automaticamente logados quando navegarem para esta URL.

Quais são as funções de cada conta?

Conta do Microsoft Entra ID: quando um usuário faz login com sua conta do Microsoft Entra ID, ele se beneficia imediatamente de todas as funções que tinha em sua conta local, mais quaisquer funções atribuídas dentro da UiPath à conta do Microsoft Entra ID ou aos grupos do Microsoft Entra ID a que pertencem. Essas funções podem vir da inclusão do usuário do Microsoft Entra ID ou do grupo do Microsoft Entra ID em grupos, ou de outros serviços onde as funções foram atribuídas ao usuário do Microsoft Entra ID ou ao grupo do Microsoft Entra ID.

Conta local: com a integração do Microsoft Entra ID ativa, para contas locais, isso depende de:

• Se o usuário não tiver feito login pelo menos uma vez com sua conta de ID de Microsoft Entra, ele terá apenas as funções da conta local.
• Se os usuários fizerem login usando sua conta do Microsoft Entra ID, a conta local terá todas as funções que o usuário do Microsoft Entra ID tem dentro da UiPath, quer explicitamente atribuídas, quer herdadas das associações de grupos.

Preciso aplicar novamente as permissões para as contas do Microsoft Entra ID?

Não. Como as contas correspondentes são automaticamente vinculadas, suas permissões existentes também se aplicam quando logados com a conta Microsoft Entra ID. No entanto, se você decidir interromper o uso das contas locais, certifique-se de que as permissões apropriadas tenham sido previamente definidas para os usuários e grupos do Microsoft Entra ID.