- 入门指南
- 数据安全性与合规性
- 组织
- 身份验证和安全性
- 许可
- 租户和服务
- 帐户和角色
- Ai Trust Layer
- 外部应用程序
- 通知
- 日志记录
- 故障排除
- 迁移到 Automation Cloud™
设置 Azure AD 集成
企业版许可计划在其中提供此功能。
如果您的组织使用的是 Azure Active Directory (Azure AD) 或 Office 365,则可以将组织直接连接到 Azure AD 租户,以查看云环境中的现有帐户和组。
借助 Azure AD 集成,您可以继续使用本地帐户模型,同时通过利用 Azure AD 模型的其他优势来引导组织。
如果您的组织已决定使用 Azure AD 模型,请按照此页面上的说明设置集成。
要设置 Azure AD 集成,您需要:
- 具有企业版许可的组织
- UiPath Platform 和 Azure AD(可为不同对象)中的管理员权限;
- 组织管理员需要一个 Azure AD 帐户,该帐户使用与 UiPath 本地帐户相同的电子邮件地址; Azure AD 帐户仅需要用于测试集成,因此 Azure AD 用户在 Azure 中不需要管理员权限;
- UiPath Studio 和 UiPath Assistant 2020.10.3 或更新版本;
- UiPath Studio 和 UiPath Assistant,以使用推荐的部署。
您的组织要求在您的 Azure AD 租户中注册一个应用程序并进行一些配置,以便它可以查看您的 AD 成员,建立帐户身份。稍后在将组织连接到您的 Azure AD 租户时,也需要提供应用程序注册详细信息。
权限:您必须是 Azure 中的管理员才能执行此部分中的任务。以下 Azure 管理员角色具有必需的权限:全局管理员、云端应用程序管理员或应用程序管理员。
有两种方法可以设置集成的 Azure 租户:
- 请按照以下说明为集成手动配置应用程序注册。
- 使用我们为此任务创建的 UiPath Azure AD 脚本,这些脚本可在 GitHub 上找到:configAzureADconnection.ps1 脚本执行本节中描述的所有操作并返回应用程序注册详细信息。然后,您可以运行 testAzureADappRegistration.ps1 脚本,以确保应用程序注册成功。
要手动配置 Azure 租户,请在 Azure Portal 中执行以下操作:
Azure 安装完成后,您可以为集成做准备,激活它,然后清理旧帐户。
流程分为多个阶段,因此不会给您的用户造成中断。
您必须是组织管理员才能执行此部分中的任务。
当您通过激活集成连接到 Azure AD 时,系统会链接具有匹配电子邮件地址的帐户,以便 Azure AD 帐户具有与匹配的 UiPath 帐户(本地帐户)相同的权限。
如果您的组织实行电子邮件回收,这意味着使用过的电子邮件地址日后可能会分配给新用户,这可能会增加访问的风险。
示例
john.doe@example.com
,这名员工因曾是组织管理员,拥有本地帐户,他从公司离职后,其电子邮件地址遭停用,但不会删除此用户。
john.doe@example.com
。 在这种情况下,如果在与 Azure AD 集成的过程中链接帐户,John Doe 将继承组织管理员权限。
为防止发生此类情况,请确保删除 UiPath 组织中所有不再活动的用户,然后再继续下一步。
在开始之前
- 确保已完成 Azure 配置。
- 从 Azure 管理员处获取在 Azure 中注册应用程序时要使用的目录(租户)ID、应用程序(客户端)ID 和客户端密码的值。
现在,您可以使用关联租户的 Azure AD 中的用户和组了。您可以使用搜索来查找 Azure AD 用户和组,例如,将用户添加到组。另请参阅以下常见问题,以详细了解激活集成后发生的变化。
要检查集成是否正在运行,请使用 Azure AD 帐户以组织管理员身份登录,并尝试在任何相关页面上搜索Azure AD 用户和组,例如 UiPath Platform 中的“编辑组”面板(“管理”>“帐户和组”) > “组” > “编辑” )。
-
如果您可以搜索到在 Azure AD 中创建的用户和组,则表明集成正在运行。 您可以通过图标区分用户或组的类型。
注意:Azure AD 中的用户和组不会在“用户”页面或“组”页面中列出,只能通过搜索找到。 -
如果在尝试搜索用户时遇到错误(如下面的示例所示),这表明 Azure 中的配置存在问题。请与 Azure 管理员联系,请他们检查是否已按照之前为集成配置 Azure 中所述设置 Azure。
提示:请您的 Azure 管理员确认他们在配置 Azure 期间是否选中了“授予管理员同意”复选框。这是导致集成失败的常见原因。
故障排除
在原因不明确的情况下,Azure 管理员可以使用 GitHub 上 提供的 UiPath Azure AD 测试脚本 testAzureADappRegistration.ps1 查找并修复任何配置问题,如下所示:
集成程序活动后,我们建议您按照本节中的说明进行操作,以确保将用户创建和组分配迁移到 Azure AD。 通过这种方式,您可以在现有身份和访问管理基础架构的基础上进行构建,以便更轻松地对 UiPath 资源进行监管和访问管理控制。
您可以通过此操作确保 Azure 管理员也可以使用您在集成前设置的相同权限和机器人配置为新用户注册。 为此,如果组已分配了必要的角色,他们可以将任何新用户添加到 Azure AD 组中。
您可以将 UiPath 平台中的现有用户组映射到 Azure AD 中的新组或现有组。 您可以通过多种方式执行此操作,具体取决于您在 Azure AD 中使用组的方式:
- 如果在 UiPath 平台中具有相同角色的用户已经在 Azure AD 中相同的组内,则组织管理员可以将这些 Azure AD 组添加至这些用户已经加入的用户组。 这可确保用户拥有相同的权限和机器人设置。
- 否则,Azure 管理员可以在 Azure AD 中创建与 UiPath Platform 中的组匹配的新组,并添加与 UiPath 用户组中相同的用户。 然后,组织管理员可以将新的 Azure AD 组添加到现有用户组中,以确保相同的用户具有相同的角色。
无论是哪种情况,请务必检查是否有已明确分配给用户的角色。 如有可能,请将这些用户添加到具有显式分配角色的组中,以免除显式角色分配操作。
示例:假设 UiPath 平台中的Administrators组包括用户 Roger、Tom 和 Jerry。 这些用户也属于 Azure AD 中名为admins的组。 组织管理员可以将admins组添加到Administrators组。 这样,Roger、Tom 和 Jerry 作为 Azure AD 中admins组的成员,都可以从Administrators组的角色中受益。
由于管理员现在属于Administrators组,因此当您需要加入新的管理员时,Azure 管理员可以将此新用户添加到 Azure 中的admins组中,从而在 UiPath Platform 中向他们授予管理权限,而无需对UiPath 平台。
当用户使用 Azure AD 帐户登录时(如果已登录,则在一小时内),系统会在 UiPath 平台中应用对 Azure AD 组分配的更改。
初始登录:要应用分配给 Azure AD 用户和组的权限,用户必须至少登录一次。我们建议,在集成运行后,您可以与所有用户通信以注销其本地帐户并使用其 Azure AD 帐户重新登录。他们可以通过以下方式使用 Azure Ad 帐户登录:
-
导航到特定于组织的 URL,在这种情况下,您必须先选择登录类型;
注意:URL 必须包含组织 ID,并以正斜杠结尾,例如https://cloud.uipath.com/orgID/
。 -
可以在主登录页面上选择“企业 SSO”。
注意:确保提供适用于Automation Cloud TM的特定于组织的 URL。 只有组织管理员才能在Automation Cloud TM中看到此信息。
迁移的用户将自通过直接分配获得的权限与在 Azure AD 组中获得的权限相融合中获益。
为用户配置 Studio 和 Assistant:要设置这些产品以连接到 Azure AD 帐户,请执行以下操作:
- 在 Assistant 中,打开“首选项”,然后选择“Orchestrator 连接”选项卡。
- 单击“注销”。
- 对于连接类型,请选择“服务 URL”。
-
在“服务 URL”字段中,添加特定于组织的 URL
注意:URL 必须包含组织 ID,并以正斜杠结尾,例如https://cloud.uipath.com/orgID/
。否则,连接将失败,表明用户不属于任何组织。 - 使用 Azure AD 帐户重新登录。
尽管这是可选的,但我们建议您不再使用本地帐户,以最大程度地发挥 UiPath Platform 和 Azure AD 之间完全集成后在核心合规性和效率方面带来的优势。
迁移完所有用户后,您可以从“用户” 选项卡中删除非管理员用户,这样您的用户就无法再使用其本地帐户登录。 您可以根据他们的用户帐户图标来查找这些帐户。
您还可以清理 UiPath 云服务(如 Orchestrator 服务)中的个人权限,并从组中删除个人用户,这样权限就仅依赖于 Azure AD 的组成员身份。
异常
如果您决定停止使用本地帐户,请牢记以下几点:
-
API 访问:如果已有流程依赖于通过单击“API 访问”(“管理”>“租户”页面)获取的信息来对服务进行 API 调用,则您需要一个本地帐户,这是因为使用 Azure 帐户登录时,该按钮不可用。
或者,您可以切换到使用 OAuth 进行授权,在这种情况下,不再需要API 访问中的信息。
以下这些实用建议介绍了设置 Azure AD 集成后可以使用的高级功能。
如果您只允许用户从受信任的网络或受信任的设备访问 UiPath 平台,则可以使用Azure AD 条件访问功能。
如果您已在 Azure AD 中创建组以直接从 Azure AD 轻松实施 UiPath 导入,如为权限和机器人配置组中所述,则可以针对这些组使用特权身份管理 (PIM)的高级安全选项来管理对 UiPath 的访问请求组。
集成生效后,对我的用户而言会有哪些变化?
用户可以立即使用其现有的 Azure AD 帐户登录,并享有与本地帐户相同的权限。
如果您尚未删除他们的本地帐户,则用户也可以继续使用其本地帐户登录,这两种方法均有效。
https://cloud.uipath.com/orgID/
,或在主登录页面上选择“企业 SSO ”。
用户可能会注意到的另一个变化是,如果他们已经通过使用其他应用程序登录到 Azure AD 帐户,则在导航到此 URL 时会自动登录。
每个帐户都有哪些角色?
“ Azure AD 帐户”:当用户使用 Azure AD 帐户登录时,他们将立即受益于其在本地帐户中拥有的所有角色,以及在 UiPath 中分配给 Azure AD 帐户或他们所属 Azure AD 组的任何角色。 这些角色可以来自组中包含的 Azure AD 用户或 Azure AD 组,也可以来自将角色分配给 Azure AD 用户或 Azure AD 组的其他服务。
本地帐户:在 Azure AD 集成处于活动状态时,对于本地帐户,这取决于:
- 如果用户没有至少使用其 Azure AD 帐户登录过一次,则他们仅拥有本地帐户的角色。
- 如果用户使用其 Azure AD 帐户登录,则本地帐户拥有 AAD 用户在 UiPath 中拥有的所有角色,无论是显式分配的角色,还是从组成员身份继承的角色。
是否需要为 Azure AD 帐户重新申请权限?
不需要。因为匹配帐户是自动关联的,所以在使用 Azure AD 帐户登录时,其现有权限也适用。但是,如果您决定停止使用本地帐户,请事先确保已为 Azure AD 中的用户和组设置适当的权限。