Configurando a integração SAML

Essa funcionalidade está disponível no plano de licenciamento Enterprise.

Ao usar a configuração SAML no UiPath, aprimoramos a segurança e a eficiência na autenticação. Nosso sistema usa SAML para habilitar o Logon único (SSO) por meio de tokens de acesso seguro, permitindo que a UiPath Platform se conecte com qualquer Provedor de Identidade (IdP) que use o padrão SAML 2.0.

Além disso, nossa configuração SAML inclui recursos de Logout Único (SLO), que habilitam logouts simultâneos em todos os seus aplicativos unificados sob seu IdP.

A Integração SAML foi projetada de forma que possa ser implementada gradualmente, sem causar interrupção aos usuários existentes.

Observação:

Alternando da integração nativa do Microsoft Entra ID para a integração SAML Se você estiver usando o Microsoft Entra ID para autenticação, recomendamos usar nossa integração nativa do Microsoft Entra ID porque é mais rica em recursos. Se você decidir alternar para a integração SAML, deve substituir manualmente a atribuição de funções feita por meio de grupos de diretórios com atribuição direta de funções às contas de diretório para que você não precise recriar completamente seu esquema de acesso.

Restrições conhecidas

• As declarações SAML criptografadas do seu provedor de identidade não são compatíveis.
• Você não pode pesquisar usuários e grupos a partir do seu provedor de identidade. Apenas os usuários do diretório provisionado estão disponíveis para pesquisa.
• Você não pode visualizar os usuários do diretório no nível da organização. Apenas usuários locais aparecem no nível da organização. O provisionamento just-in-time adiciona usuários ao diretório, para que não apareçam na página Contas e grupos no UiPath.

Pré-requisitos

Para configurar a integração SAML, você precisa do seguinte:

• Um plano de licenciamento do tipo Enterprise. Para obter mais detalhes sobre planos de licenciamento, consulte Estrutura do plano de licenciamento de Unified Pricing.
• Permissões de administrador na organização da UiPath e no seu provedor de identidade terceirizado. Se você não tiver permissões de administrador em seu provedor de identidade, poderá trabalhar em conjunto com um administrador para concluir o processo de configuração.
• UiPath® Studio e UiPath Assistant versão 2020.10.3 ou posterior, para que você possa configurá-los para usar a implantação recomendada.

Etapa 1. Limpe contas de usuário inativas

Se sua organização recicla endereços de e-mail, é importante remover todas as contas de usuário inativas antes de configurar a integração SAML.

Ao habilitar a integração, as contas locais presentes no UiPath podem ser vinculadas à conta do diretório no provedor de identidade externo que usa o mesmo endereço de email. Essa vinculação de conta ocorre quando o usuário da conta do diretório com o endereço de e-mail faz login pela primeira vez. A identidade do seu provedor de identidade herda todas as funções da conta local, para que a transição seja perfeita. Por isso, com contas locais inativas presentes na UiPath, existe o risco de que contas locais e contas de diretório sejam incompatíveis, o que pode levar à elevação não intencional de permissões.

Para remover contas de usuário inativas:

1. Faça login na UiPath como administrador da organização.

2. Acesse Admin, selecione sua organização e, depois, selecione Contas e grupos. A página Contas e grupos para a organização é aberta na guia Usuários.

3. Selecione o cabeçalho da coluna para a coluna Último ativo para reordenar os usuários para que aqueles com a data mais antiga do último login sejam mostrados no topo. A coluna Ativo pela última vez mostra a data da última logon do usuário. Pendente nesta coluna significa que o usuário nunca fez login.

4. Selecione o ícone Excluir no final da linha para remover a conta local desse usuário.

   

5. Na caixa de diálogo de confirmação, selecione Excluir para confirmar a exclusão da conta do UiPath. A conta de usuário é removida da página.

6. Continue a excluir todas as contas de usuário inativas em sua organização.

Etapa 2. Configure a integração SAML

Agora, você deve configurar a UiPath e seu provedor de identidade (IdP) para a integração.

Etapa 2.1. Obtenha detalhes do provedor de serviços SAML

1. Faça login na UiPath como administrador da organização.

2. Acesse Admin, selecione sua organização e, depois, selecione Segurança. A página Configurações de segurança para a organização é aberta na guia Configurações de autenticação.

3. Em Configuração do diretório para SSO, selecione Configurar SSO. A janela Configuração do SSO é aberta, descrevendo as vantagens e pré-requisitos para a integração.

4. Das duas opções de SSO, selecione SAML 2.0. A página Configuração do SAML SSO é aberta na guia Configurar provedor de identidade .

5. Na seção superior da página, você pode encontrar as informações da UiPath necessárias para configurar seu provedor de identidade: URL de metadados, URL do serviço de confirmação do consumidor, ID de entidade. Copie e salve-os para configurar o provedor de identidade.

   Importante:

   É altamente recomendável usar o URL de metadados da UiPath como parte do seu processo de configuração do provedor de identidade. Isso permite atualizações automáticas sempre que iniciamos as rotações para nossos certificados de assinatura, garantindo a operação ininterrupta da plataforma.

   

6. O ID de entidade contém o ID da organização por padrão. Você pode alterar o formato para usar o identificador global (sem ID da organização) usando a opção Alterar formato de ID da entidade . Então, na janela Alterar formato de ID da entidade , no menu suspenso Formato de ID da entidade , selecione Identificador específico da organização para usar o formato que contém o ID da organização ou Identificador global para usar o formato que não contém o ID da organização. Recomendamos usar o identificador específico da organização, porque ele permite que você inscreva várias organizações da UiPath em seu provedor de identidade, se você quiser fazer isso.

Mantenha esta guia do navegador aberta para mais tarde.

Etapa 2.2. Configurar seu provedor de identidade

Você pode se conectar a qualquer provedor de identidade (IdP) de terceiros que use o padrão SAML 2.0. Embora a configuração possa variar dependendo do IdP escolhido, validamos a configuração para usar Okta ou PingOne, que você pode usar como referência para configurar a integração.

Configurando o Okta como seu provedor de identidade.

Configurando o PingOne como seu provedor de identidade.

Para outros provedores de identidade, recomendamos que siga suas documentações de integração.

Etapa 2.3. Configure a plataforma de nuvem da UiPath

Para habilitar sua plataforma de nuvem UiPath como um provedor de serviços que reconhece seu provedor de identidade, siga as seguintes etapas:

1. Retorne à guia de configuração SAML SSO na organização

2. Na segunda seção da página Configurar provedor de identidade , você pode visualizar os campos necessários para configurar o provedor de identidade. No campo URL dos metadados , insira o URL dos metadados do seu provedor de identidade. Isso permite que a UiPath busque e atualize regularmente dados do seu provedor de identidade, simplificando o processo de configuração SAML para o longo prazo.

   Importante:

   Recomendamos enfaticamente usar o URL de metadados durante a configuração do SAML. Isso permite que a UiPath busque e atualize regularmente dados do seu provedor de identidade, impedindo que você tenha que atualizar manualmente o certificado de assinatura do provedor de identidade na UiPath quando ele estiver rotacionado.

   

3. Selecione Recuperar dados. Quando concluído, os campos URL de login, ID da entidade do provedor de identidade e certificado de assinatura são preenchidos com as informações do IdP.

4. Mesmo que não seja o método recomendado, você pode optar por inserir manualmente os detalhes do SAML do seu provedor de identidade nos campos URL de login, ID da entidade do provedor de identidade e certificados de assinatura .

5. Para inserir manualmente vários certificados, cole-os no campo Certificado de assinatura na codificação base64, entre os indicadores de certificado de início e fim, e separados por um caractere de nova linha. Por exemplo, tendo dois certificados, você deve usar o seguinte formato:

   -----BEGIN CERTIFICATE-----
   <base64 encoded certificate retrieved from SAML metadata URL or SAML admin>
   -----END CERTIFICATE-----
   -----BEGIN CERTIFICATE-----
   <base64 encoded certificate retrieved from SAML metadata URL or SAML admin>
   -----END CERTIFICATE-----
   

   

6. Selecione Avançar no canto inferior direito para passar para a próxima etapa. Você é direcionado para a guia Mapear atributos e concluir . Os atributos de mapeamento, conhecidos como "declarações", vinculam detalhes do usuário entre seu provedor de identidade e a UiPath. Isso garante que os dados do usuário, como um e-mail ou nome de usuário, correspondam em ambos os sistemas.

7. Por padrão, o endereço de e-mail é usado como o identificador dos usuários. Se você quiser a opção de configurar um identificador exclusivo que não seja um endereço de e-mail, entre em contato com o suporte da UiPath. Caso contrário, siga estas etapas:

   1. O campo E-mail torna-se obrigatório e não pode ser alterado.
   2. Preencha a seção Domínios permitidos com os domínios dos quais você quer permitir que os usuários façam login. Insira todos os domínios compatíveis com o provedor de identidade configurado. Separe múltiplos domínios usando vírgulas.
      Observação:

      Você pode inserir um número máximo de 100 domínios.

   3. Em Mapeamento de atributos, preencha o campo Nome de exibição com o atributo de seu IdP que você deseja mostrar em sua organização como o nome para os usuários. Você pode usar os atributos First Name e Last Name .
   4. Opcionalmente, adicione novos mapeamentos, especificando a respectiva declaração do provedor de identidade e o atributo correspondente em sua organização.

8. Se você entrar em contato com o suporte da UiPath para configurar um identificador exclusivo para um usuário, a opção Habilitar o identificador exclusivo personalizado aparecerá. As etapas a seguir se aplicam apenas se você estiver usando o Test Cloud e o Test Cloud Public Sector. Para o Test Cloud Dedicated, a equipe de suporte lida com a habilitação do identificador exclusivo personalizado.

   AVISO:

   Antes de habilitar um identificador exclusivo que não seja um endereço de e-mail, revise as seguintes implicações conhecidas:

   • O Orchestrator requer um endereço de e-mail exclusivo para a atribuição de funções. Usuários com identificadores exclusivos diferentes, mas o mesmo endereço de e-mail, não podem ter funções atribuídas no Orchestrator. Como alternativa, se o usuário tiver um identificador exclusivo, mas não tiver um endereço de e-mail, ele poderá receber permissões no Orchestrator.
   • Você não pode vincular contas com base em e-mails se o usuário tiver um identificador exclusivo.
   • Os usuários não receberão e-mails da UiPath Platform se o campo de e-mail for deixado em branco.
   • Depois de definir um nome de declaração de Identificador Exclusivo , alterá-lo pode resultar na perda de usuários reconhecidos anteriormente, pois o sistema pode não ser mais capaz de identificá-los. Como tal, a interface do usuário restringe a alteração da declaração do Identificador Exclusivo depois de definida. Para alterá-la, você precisa excluir e recriar toda a sua configuração.
   1. Selecione Habilitar o identificador exclusivo personalizado para configurar um identificador exclusivo que não seja um e-mail. Isso pode ajudar se, por exemplo, seus usuários não tiverem contas de e-mail ou se o endereço de e-mail não for exclusivo.
   2. É obrigatório inserir o identificador exclusivo de seus usuários no campo Identificador único . Essa é a declaração que a UiPath usa para identificar usuários quando eles fazem logon.
   3. No campo Nome de exibição , insira a declaração pela qual seus usuários podem ser reconhecidos ao fazer login.
   4. Torna-se opcional inserir o campo de E-mail para seus usuários.
   5. O campo Domínios de endereço de email permitidos está cinza e não está disponível para entrada. Isso ocorre porque o sistema não usa mais o email como o identificador exclusivo, tornando esse campo irrelevante.
   6. Opcionalmente, adicione novos mapeamentos especificando a declaração respectiva do provedor de identidade e o atributo correspondente no UiPath.

9. Depois de definir os atributos, configure os campos Permitir resposta de autenticação não solicitada e tipo de associação SAML .

   1. Permitir resposta de autenticação não solicitada: habilite se quiser navegar até a UiPath Platform do painel do IdP.
   2. Tipo de ligação SAML: selecione como a configuração do SAML deve se comunicar, por meio do agente do usuário HTTP. Selecione Redirecionamento HTTP para usar parâmetros de URL ou HTTP POST para usar um formulário HTML com conteúdo codificado em base64.

10. Se seu provedor de identidade exigir que a UiPath assine todas as solicitações de autenticação SAML, selecione a opção Assinar solicitação de autenticação . Verifique com seu provedor de identidade para determinar se essa funcionalidade precisa ser habilitada. A UiPath comumente atualiza suas chaves de assinatura. Por exemplo, a UiPath rotaciona o certificado de assinatura a cada duas semanas. Se você tiver ativado a funcionalidade de Sign Authentication Request , certifique-se de que seu IdP sincronize regularmente com a UiPath baixando continuamente as chaves atualizadas do URL de metadados da UiPath.

11. Selecione Testar e Salvar para finalizar a configuração da integração.

Etapa 2.4. Verifique se a integração está em execução

Para validar se a integração do SAML SSO está funcionando corretamente:

1. Abra uma janela do navegador no modo anônimo.
2. Navegue até a URL da sua organização na nuvem.
3. Verifique o seguinte:
   1. Você é solicitado a fazer login com seu provedor de identidade SAML?
   2. Você consegue fazer login com sucesso?
   3. Se estiver fazendo login com um endereço de e-mail que corresponda a uma conta de usuário existente, você tem as permissões apropriadas?

Etapa 2.5. Configure regras de provisionamento (opcional)

Se você usar declarações em seu IdP, poderá aproveitá-las como condições em uma regra de provisionamento para que os usuários sejam automaticamente provisionados com as licenças e funções corretas quando entrarem em uma organização. As regras de provisionamento são avaliadas quando um usuário faz login. Se a conta de usuário atender às condições para uma regra, ela será adicionada automaticamente ao grupo da UiPath local associado à regra. Por exemplo, um administrador pode configurar uma regra para provisionar usuários diretamente no grupo de Usuários de Automação usando estas configurações: Claim=grupo, Relacionamento=é, Valor=Automation User.

2.5.1 Configure grupos de provisionamento

Na UiPath, adicionar uma conta a um grupo significa que a conta herda as licenças, funções e configuração de robô definida para o grupo, se houver.

Ao agrupar tipos de contas semelhantes (por exemplo, de desenvolvedores ou testadores), você pode agilizar o processo de integração do usuário para a organização. Apenas certifique-se de que no IdP você configurou contas semelhantes da mesma maneira.

Dessa forma, você configura o grupo uma vez e replica a configuração adicionando contas ao grupo quando necessário. Se a configuração de um determinado grupo de contas precisar ser alterada, você precisará atualizar o grupo apenas uma vez e as alterações se aplicarão a todas as contas do grupo.

Para configurar um grupo para uma regra de provisionamento:

1. Criar um novo grupo local em sua organização. Se desejar, você pode usar um de seus grupos existentes em vez de criar um novo.
2. (Opcional e requer gerenciamento de licença de usuário habilitado) Se as contas deste grupo precisarem de licenças de usuário, configure as regras de alocação de licença para o grupo. Se você estiver usando um grupo existente, verifique a alocação de licença para o grupo para certificar-se de que as licenças corretas estão sendo alocadas. Se não, altere as alocações ou considere a criação de um novo grupo.
3. Atribua funções de tenant e, opcionalmente, conclua a configuração do robô para o grupo. Para instruções, consulte Atribuição de funções a um grupo . Se você estiver usando um grupo existente, verifique as funções atribuídas ao grupo para se certificar de que sejam adequadas para o tipo de conta que você adicionará ao grupo. Se não forem, edite as funções atribuídas a este grupo ou considere a criação de um novo grupo.
4. Adicione o grupo às pastas e atribua funções de pasta, conforme necessário. Para obter instruções, consulte Gerenciando o acesso à pasta.

Agora você pode usar esse grupo em uma regra de provisionamento.

2.5.2. Criar uma regra de provisionamento para um grupo

Observação:

Certifique-se de que a declaração associada à regra de provisionamento SAML seja enviada para a carga útil SAML configurando-a no aplicativo SAML.

Depois que a integração SAML estiver configurada e depois de definir um grupo:

1. Acesse Admin, selecione sua organização e, depois, selecione Segurança. A página Configurações de segurança para a organização é aberta na guia Configurações de autenticação.

2. Na opção SAML SSO , selecione Exibir regras de provisionamento. A página Regras de provisionamento de SAML SSO é aberta, na qual suas regras existentes são listadas.

3. No canto superior direito da página, selecione Adicionar regra. A página Adicionar nova regra é aberta.

4. Em Detalhes básicos, preencha o campo Nome da regra e, opcionalmente, preencha o campo Descrição.

5. Em Condições, selecione Adicionar regra. Uma linha de campos para uma nova condição é adicionada. Juntos, eles definem os critérios que uma conta deve atender ao fazer login para ser adicionada a um grupo (escolhido posteriormente).

   

6. No campo Claim , digite o nome da declaração, conforme aparece no IdP. O campo diferencia maiúsculas de minúsculas.

7. Na lista Relacionamento , selecione como a declaração se relaciona com o valor. As seguintes opções estão disponíveis, conforme descrito na tabela:

   Relacionamento	Requisito de condição	Exemplo
   está	correspondência exata, sensível a maiúsculas e minúsculas	Department is RPA exige que o valor para a declaração Department seja RPA. A condição não é satisfeita se o valor for RPADev, por exemplo. Essa relação funciona para declarações de múltiplos valores. Por exemplo, se os valores administrator e developer forem enviados sob a declaração Group , então Group is administrator seria uma relação válida.
   não está	qualquer coisa exceto o valor especificado, sensível a maiúsculas e minúsculas	Para Department is not ctr, qualquer conta é adicionada ao grupo, a menos que Department tenha o valor ctr. A condição é satisfeita se o departamento for Ctr ou electr.
   contém	inclui, não requer uma correspondência exata, sensível a maiúsculas e minúsculas	Department contains RPA requer que o valor para declaração Department inclua RPA. A condição é satisfeita se o valor for RPADev, xRPAx, ou NewRPA, por exemplo.
   não contém	exclui, não requer uma correspondência exata, sensível a maiúsculas e minúsculas	Para Department not contains ctr, qualquer conta é adicionada ao grupo, a menos que o valor de Department inclua ctr. Contas para as quais o departamento é ctr ou electr, por exemplo, não são adicionadas ao grupo.
   não diferencia maiúsculas de minúsculas	correspondência exata, não sensível a maiúsculas e minúsculas	Department is case insensitive RPA requer que o valor para a declaração Department seja rpa, independente de maiúsculas e minúsculas. A condição é satisfeita se o valor for rpa, por exemplo. A condição não é satisfeita se o valor for crpa.
   contém maiúsculas e minúsculas	inclui, não requer uma correspondência exata, não sensível a maiúsculas e minúsculas	Department contains case insensitive RPA requer que o valor para a declaração Department inclua RPA, independente de maiúsculas e minúsculas. A condição é satisfeita se o valor for rpa, cRPA, ou rpA, por exemplo.

8. No campo Valor, digite o valor necessário para satisfazer à condição.

9. Se você quiser adicionar outra condição, selecione Adicionar regra para adicionar uma nova linha de condição.

   Ao adicionar várias condições, todas as condições devem ser satisfeitas para que a regra de provisionamento seja aplicada. Por exemplo, se você definir as regras Department is RPA e Title is Engineer, somente os usuários que estiverem no departamento de RPA e tiverem o título Engenheiro serão adicionados aos grupos especificados. Uma conta para a qual o departamento é RPA, mas o título é QA, não é adicionada aos grupos.

10. Em Atribuir a grupos, na caixa Adicionar Grupos, comece a digitar o nome de um grupo e selecione um grupo na lista de resultados. Repita o processo para adicionar mais grupos, se necessário. Quando as condições forem satisfeitas, as contas serão adicionadas automaticamente a esses grupos quando fizerem login.

11. Selecione Salvar no canto inferior direito para adicionar a regra.

Com uma regra em vigor, sempre que um usuário fizer login e sua conta atender às condições especificadas para uma regra, a sua conta será adicionada aos grupos de provisionamento anexados à regra, e a sua conta será configurada para funcionar na UiPath.

Fragmento de exemplo de carga SAML

<Attribute
   Name="groups">
<AttributeValue
          xmlns:xs="http://www.w3.org/2001/XMLSchema"
          xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
          xsi:type="xs:string">ProcessAutomation-Developer</AttributeValue>

Mapeamento de atributo SAML

Ao configurar a integração do diretório SAML, os administradores da organização podem definir quais atributos de seu IdP devem ser mapeados para os atributos de usuário do sistema. Depois, quando um usuário fizer login por meio da integração de diretório SAML, o sistema lerá as declarações que são transmitidas para a carga útil do ACS e mapeará o valor para seus atributos de sistema correspondentes.

Observação:

• Seu IdP deve ser configurado para transmitir essas declarações na carga útil do ACS.
• Certifique-se de que os nomes de atributos configurados no IdP correspondam às configurações de mapeamento de atributos no portal do administrador da organização.

Por exemplo, se essa for a estrutura do usuário em seu IdP, um administrador da organização pode configurar as seguintes configurações de mapeamento de atributo para ter essas informações preenchidas no objeto de usuário do sistema.

{
    "displayname": "John Doe",
    "fname": "John",
    "lname": "Doe",
    "jobtitle": "Hardware Engineer",
    "dpt": "Engineering",
    "city": "Phoenix"
}

Quando um usuário nessa organização faz login por meio da integração de diretório SAML, seu objeto de usuário é atualizado para refletir essa configuração.

{
    "Display Name": "John Doe",
    "First Name": "John",
    "Last Name": "Doe",
    "Job Title": "Hardware Engineer",
    "Department": "Engineering",
    "City": "Phoenix"
}

Etapa 3. Faça a transição de seus usuários para SAML SSO

Certifique-se de fornecer o URL específico da sua organização para a organização UiPath a todos os seus usuários.

Observação:

Depois de transicionar para a integração SAML, a integração do Microsoft Entra ID é desabilitada. As atribuições de grupo do Microsoft Entra ID não se aplicam mais, portanto, a associação ao grupo da UiPath e as permissões herdadas do Microsoft Entra ID não são mais respeitadas.

Para fazer login na UiPath com o SAML SSO, os usuários podem:

• navegar para o URL específico da sua organização. O URL deve incluir o ID da organização e terminar em uma barra, tal como <AccessURL>/orgID.
• navegue até <AccessURL>, selecione Continuar com SSO na página de login e forneça seu URL específico da organização.

Para fazer login no UiPath Studio e no UiPath Assistant usando o SAML SSO, os usuários devem configurar o Assistant da seguinte forma:

1. No Assistant, abra Preferências e selecione a aba Conexão do Orchestrator.

2. Selecione Sair.

3. Para o tipo de conexão, selecione URL do Serviço.

4. No campo URL do serviço, adicione o URL específico da organização.

   O URL deve incluir o ID da organização e terminar em uma barra, tal como <AccessURL>/orgID. Caso contrário, a conexão falhará informando que o usuário não pertence a nenhuma organização.

5. Faça login novamente com SAML SSO.

Etapa 4. Configure permissões e robôs

Isso é necessário apenas para novos usuários que não usaram uma determinada oferta da UiPath antes e, portanto, não tinham uma conta local configurada para eles na oferta específica da UiPath quando a integração foi habilitada.

Você pode adicionar novos usuários a grupos da UiPath usando seu endereço de e-mail (conforme usado no IdP externo). Depois que um usuário for atribuído a um grupo ou estiver conectado, ele estará disponível por meio da pesquisa de atribuição de função em todos os serviços da UiPath.

Etapa 5. Descontinuar o uso de contas locais (opcional)

AVISO:

Certifique-se de que todos os usuários tenham feito login com sua conta SSO pelo menos uma vez antes de remover suas contas locais. A vinculação de conta só ocorre no primeiro login SSO. Se uma conta local for excluída antes de o usuário fazer login via SSO, uma nova identidade de diretório será criada — o usuário perde acesso a seu trabalho anterior, incluindo projetos e soluções. Essa ação não poderá ser revertida.

Depois que todos os usuários fizerem a transição para o SAML SSO e os novos usuários forem configurados, recomendamos que você remova todas as contas de usuários locais que não sejam contas de administrador. Isso garante que os usuários não possam mais fazer login com suas credenciais de conta local e tenham que fazê-lo via SAML SSO.

Você pode identificar contas de usuários locais com base em seus ícones.

Uma conta local pode ser útil:

• Para gerenciar problemas de integração com o SAML (por exemplo, atualizar um certificado expirado) ou se alterar as configurações de autenticação (recomenda-se uma conta com a função de administrador da organização).