配置 SSO：SAML 2.0

您可以使用支持 SAML 2.0 身份验证协议的任何身份提供程序启用 SSO。

概述

启用 SAML SSO 是一个多步骤流程，您必须完成以下配置：

1. 配置身份提供程序以将 UiPath 平台识别为服务提供程序。
2. 将 UiPath 平台配置为服务提供程序，以识别并信任您的身份提供程序。
3. 将用户配置到您的组织，以允许他们使用来自您的身份提供程序的 SAML 2.0 协议通过 SSO 登录。

步骤 1. 配置您的身份提供程序

UiPath 支持多个身份提供程序。

在本节中，我们举例说明如何查找以下每个身份提供程序的特定配置并获取证书：

• ADFS
• Google
• 奥克塔
• PingOne

A. 配置 ADFS

配置计算机以支持 ADFS，并确保您有权访问 ADFS 管理软件。如果需要，请咨询系统管理员。

备注：

以下步骤是示例配置的简要说明。有关更详细的说明，请参阅《ADFS 文档》 。

1. 打开 ADFS 管理并定义新的 Orchestrator 依赖方信任，如下所示：

   1. 选择“信赖方信任” 。

   2. 在“操作”面板中，选择“添加信赖方信任” 。系统将显示“添加信赖方信任向导” 。

   3. 在“欢迎”部分中，选择“声明感知” 。

   4. 在“选择数据”部分中，选择“手动输入有关依赖方的数据”选项。

   5. 在“指定显示名称”部分的“显示名称”字段中，输入 Orchestrator 实例的 URL。

   6. “配置证书”部分不需要任何特定设置，因此可以将其保持原样。

   7. 在“配置 URL”部分中，选择“启用对 SAML 2.0 Web SSO 协议的支持”。

   8. 在“信赖方 SAML 2.0 SSO 服务 URL”字段中，填写 Automation Suite 实例的身份认证基础 URL 并加上后缀 /Saml2/Acs。 例如 https://{yourDomain}/{organizationName}/identity_。

   9. 在“配置标识符”部分下的“依赖方信任标识符”字段中，填写身份认证基础 URL，例如 https://{yourDomain}/{organizationName}/identity_。

   10. 在“选择访问控制策略”部分中，确保选择“允许所有人”访问控制策略。

   11. “准备添加信任”和“完成”不需要任何特定设置，因此保持原样。

       新添加的信赖方信任将显示在“信赖方信任”窗口上。

   12. Go to Actions > Properties > Endpoints and make sure that POST is selected for Binding and that the Set the trusted URL as default checkbox is selected.

       端点绑定必须为 Post。其他绑定（例如重定向）与 UiPath™ 不兼容，因为 ADFS 不对重定向断言进行签名。

   13. Go to Actions > Properties > Identifiers and make sure the Identity base URL is present, https://{yourDomain}/{organizationName}/identity_.

2. 选择信赖方信任，然后从“操作”面板中选择“编辑声明颁发策略” 。

   系统将显示“编辑声明颁发策略”向导。

3. 选择“添加规则” ，并使用“以声明方式发送 LDAP 属性”模板和以下设置创建新规则，如下表所述：

   LDAP 属性	传出声明类型
   电子邮件地址	电子邮件地址
   用户主体名称	名称 ID

4. 配置 ADFS 后，以管理员身份打开 PowerShell，并运行以下命令：

   1. Set-ADFSRelyingPartyTrust -TargetName "DISPLAYNAME" -SamlResponseSignature MessageAndAssertion

      将 DISPLAYNAME 替换为在步骤 1.e 中设置的值。

   2. Restart-Service ADFSSRV。

B. 配置 Google

备注：

以下步骤是示例配置的简要说明。有关更详细的说明，请参阅Google 文档。

1. 以管理员身份登录到管理控制台，转到 Apps，然后转到网页和移动应用程序。

2. 选择“添加应用程序” ，然后选择“添加自定义 SAML 应用程序” 。

3. 在“应用程序详细信息”页面中，填写 Automation Suite 实例的名称。

4. 在“Google 身份提供程序详细信息”页面上，复制并保存以下内容以备后用：

   • SSO URL
   • 实体 ID

5. 下载证书，使用文本编辑器打开它，复制并保存值，以供步骤 2. 配置 Automation Suite中的下一部分设置使用。

6. 在“服务提供程序详细信息”页面中，输入以下内容：

   • ACS URL：https://{yourDomain}/{organizationName}/identity_/Saml2/Acs
   • 实体 ID：https://{yourDomain}/{organizationName}/identity_

7. 在“属性映射”页面中，提供以下映射：

   • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

     请注意，此声明区分大小写。

   • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn

8. 配置 SAML 应用程序后，在 Google 管理员控制台中转到 Automation Suite SAML 应用程序上的“用户访问权限” ，然后选择“为所有人启用” 。

C. 配置 Okta

备注：

以下步骤是示例配置的简要说明。有关更详细的说明，请参阅Okta 文档。

1. 登录 “Okta 管理员控制台”，转到“应用程序” > “应用程序” ，选择“创建应用程序集成” ，然后选择“SAML 2.0”作为“登录方法” 。

2. 在“常规设置”页面中，指定 Automation Suite 实例的名称。

3. 在“配置 SAML”页面上，填写“常规”部分。

   例如：

   • 单点登录 URL ：身份基本 URL + /Saml2/Acs 。例如https://{yourDomain}/{organizationName}/identity_/Saml2/Acs 。
   • 选中“将此用于收件人 URL 和目标 URL”复选框。
   • “受众 URI”：https://{yourDomain}/{organizationName}/identity_
   • “名称 ID 格式”：电子邮件地址
   • “应用程序用户名”：电子邮件地址

4. 填写“属性语句”部分：

   • 在“名称”字段中，键入http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress 。请注意，此声明区分大小写。
   • 从“值”列表中，选择“user.email”。

5. 在“反馈”部分中，选择适合您的选项。

6. 选择“完成” 。

7. 在“登录”选项卡的“设置”部分中，选择“查看设置说明” 。

   系统会将您重定向到一个新页面，其中包含在步骤 2. 配置 Automation Suite中完成设置的下一部分所需的说明：

   • 身份提供程序登录 URL
   • 身份提供程序颁发者
   • X.509 证书

8. 为了使用户能够使用 Okta 身份验证，必须为他们分配新创建的应用程序：

   1. 在“应用程序”页面上，选择新创建的应用程序。
   2. 在“分配”选项卡上，选择“分配”>“分配给人员”，然后选择要分配权限的用户。 新添加的用户将显示在“人员”选项卡上。

D. 配置 PingOne

备注：

The following steps are a broad description of a sample configuration. For more detailed instructions, refer to the PingOne documentation.

1. Add a web application that connects using SAML in PingOne, with the following specifics:

   1. 在“配置 SAML 连接”页面上，选择“手动输入”并填写以下内容：

      • ACS URL：区分大小写的身份认证基本 URL + /Saml2/Acs。 例如： https://{yourDomain}/{organizationName}/identity_
      • 实体 ID：https://{yourDomain}/{organizationName}/identity_
      • SLO 绑定：HTTP 重定向
      • 断言有效期：输入有效期的秒数。

   2. 在“映射属性”页面上，映射以下属性：

      电子邮件地址= http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress 。请注意，此声明区分大小写。

2. 在“连接”>“应用程序”页面上，找到您刚才创建的应用程序，然后选择方框右端的图标以显示其详细信息。

3. 从“配置文件”选项卡中，复制并保存以下值，以用于步骤 2 中将进一步描述的设置的下一部分：

   • 客户端 ID
   • 主页 URL。

4. 如果您在应用程序设置期间未下载，请下载 PingOne 签名证书：

   1. 转到“连接”>“证书和密钥对”。
   2. 找到您刚才创建的应用程序，然后选择框右端的以显示其详细信息。
   3. 在“详细信息”选项卡右侧，选择“下载证书”，然后选择 .crt 格式

5. 在任何文本编辑器中打开证书文件，复制并保存证书值，以供设置的下一部分使用，详情请参阅步骤 2。

步骤 2. 配置 Automation Suite

若要启用 Automation Suite 作为识别您的身份提供程序的服务提供程序：

1. 以系统管理员身份登录 Automation Suite 主机门户。

2. 确保在左窗格顶部选择“主机”，然后单击“安全”。

   备注：

   If you are using the old admin experience, select Security Settings from the options on the left.

3. 单击“SAML SSO”下的“配置”，然后按照所使用的身份提供程序的说明进行操作：

   1. 要为 ADFS 配置 SAML，请执行以下操作：

      1. 选择已启用复选框。
      2. 如果您只想允许使用 Active Directory 帐户登录，请选中“使用此提供程序强制自动登录”复选框。
      3. 在“显示名称”字段中，键入要在“登录” 页面上的此登录选项下显示的文本。
      4. 在“服务提供程序实体 ID”字段中，键入 https://baseURL/identity_。
      5. 在“身份提供程序实体 ID”字段中，粘贴配置 ADFS 身份验证时获得的值。
      6. 在“单点登录服务 URL”字段中，粘贴配置 ADFS 身份验证时获得的值。
      7. 选择“允许主动执行的身份验证响应”复选框。
      8. 在“返回 URL”字段中，键入 https:/baseURL/identity_/externalidentity/saml2redirectcallback。
      9. 将外部用户映射策略参数设置为按用户电子邮件。
      10. 对于 SAML 绑定类型，选择 HTTP 重定向。
      11. 在“签名证书”字段中，粘贴证书文本。

   2. 要为Google配置 SAML，请执行以下操作：

      1. 选择已启用复选框。
      2. 如果您只想允许使用 Active Directory 帐户登录，请选中“使用此提供程序强制自动登录”复选框。
      3. 在“显示名称”字段中，键入要在“登录” 页面上的此登录选项下显示的文本。
      4. 在“服务提供程序实体 ID”字段中，键入 https://baseURL/identity_。
      5. 在“身份提供程序实体 ID”字段中，粘贴配置 Google 身份验证时获得的实体 ID 值。
      6. 在“单点登录服务 URL”字段中，粘贴配置 Google 身份验证时获得的 SSO URL 值。
      7. 选择“允许主动执行的身份验证响应”复选框。
      8. 在“返回 URL”字段中，键入 https://baseURL/identity_/externalidentity/saml2redirectcallback。
      9. 对于“外部用户映射策略” ，选择“通过用户电子邮件” 。
      10. 对于“SAML 绑定类型” ，请选择“HTTP 重定向” 。
      11. 在“签名证书”字段中，粘贴配置 Google 时获得的证书值。

   3. 要为Okta配置 SAML，请执行以下操作：

      1. 选择已启用复选框。
      2. 如果您只想允许使用 Active Directory 帐户登录，请选中“使用此提供程序强制自动登录”复选框。
      3. 在“显示名称”字段中，键入要在“登录” 页面上的此登录选项下显示的文本。
      4. 在“服务提供程序实体 ID”字段中，键入 https://baseURL/identity_。
      5. 在“身份提供程序实体 ID”字段中，粘贴在配置 Okta 时获得的身份提供程序颁发者值。
      6. 在“单点登录服务 URL”字段中，粘贴配置 Okta 时获得的身份提供程序登录 URL 值。
      7. 选择“允许主动执行的身份验证响应”复选框。
      8. 在“返回 URL”字段中，键入 https://baseURL/identity_/externalidentity/saml2redirectcallback。
      9. 对于“SAML 绑定类型” ，请选择“HTTP 重定向” 。
      10. 在“签名证书”字段中，粘贴配置 Okta 时获得的 X.509 证书值。

   4. 要为 PingOne 配置 SAML，请执行以下操作：

      1. 选择已启用复选框。
      2. 如果您只想允许使用 Active Directory 帐户登录，请选中“使用此提供程序强制自动登录”复选框。
      3. 在“显示名称”字段中，键入要在“登录” 页面上的此登录选项下显示的文本。
      4. 在“服务提供程序实体 ID”字段中，以 https://baseURL/identiy_ 格式粘贴 Automation Suite URL。
      5. 在“身份提供程序实体 ID”字段中，粘贴配置 PingOne 时获得的颁发者 ID 值。
      6. 将“单点登录服务 URL”参数设置为配置 PingOne 时获得的“单点登录 URL”值。
      7. 选择“允许主动执行的身份验证响应”复选框。
      8. 在“返回 URL”字段中，键入 https://baseURL/identity_/externalidentity/saml2redirectcallback。
      9. 对于“外部用户映射策略” ，选择“通过用户电子邮件” 。
      10. 对于 SAML 绑定类型，选择 HTTP 重定向。
      11. 在“签名证书”字段中，粘贴配置 PingOne 时获得的值。

   5. To configure each in the old admin experience:

      ADFS：

      1. 选择已启用复选框。
      2. 如果您只想允许使用 Active Directory 帐户登录，请选中“使用此提供程序强制自动登录”复选框。
      3. 在“显示名称”字段中，键入要在“登录” 页面上的此登录选项下显示的文本。
      4. 在“服务提供程序实体 ID”字段中，键入 https://baseURL/identity_。
      5. 在“身份提供程序实体 ID”字段中，粘贴配置 ADFS 身份验证时获得的值。
      6. 在“单点登录服务 URL”字段中，粘贴配置 ADFS 身份验证时获得的值。
      7. 选择“允许主动执行的身份验证响应”复选框。
      8. 在“返回 URL”字段中，键入 https:/baseURL/identity_/externalidentity/saml2redirectcallback。
      9. 将外部用户映射策略参数设置为按用户电子邮件。
      10. 对于 SAML 绑定类型，选择 HTTP 重定向。
      11. 在“签名证书”字段中，粘贴证书文本。

      Google：

      1. 选择已启用复选框。
      2. 如果您只想允许使用 Active Directory 帐户登录，请选中“使用此提供程序强制自动登录”复选框。
      3. 在“显示名称”字段中，键入要在“登录” 页面上的此登录选项下显示的文本。
      4. 在“服务提供程序实体 ID”字段中，键入 https://baseURL/identity_。
      5. 在“身份提供程序实体 ID”字段中，粘贴配置 Google 身份验证时获得的实体 ID 值。
      6. 在“单点登录服务 URL”字段中，粘贴配置 Google 身份验证时获得的 SSO URL 值。
      7. 选择“允许主动执行的身份验证响应”复选框。
      8. 在“返回 URL”字段中，键入 https://baseURL/identity_/externalidentity/saml2redirectcallback。
      9. 对于“外部用户映射策略” ，选择“通过用户电子邮件” 。
      10. 对于“SAML 绑定类型” ，请选择“HTTP 重定向” 。
      11. 在“签名证书”字段中，粘贴配置 Google 时获得的证书值。

      Okta：

      1. 选择已启用复选框。
      2. 如果您只想允许使用 Active Directory 帐户登录，请选中“使用此提供程序强制自动登录”复选框。
      3. 在“显示名称”字段中，键入要在“登录” 页面上的此登录选项下显示的文本。
      4. 在“服务提供程序实体 ID”字段中，键入 https://baseURL/identity_。
      5. 在“身份提供程序实体 ID”字段中，粘贴在配置 Okta 时获得的身份提供程序颁发者值。
      6. 在“单点登录服务 URL”字段中，粘贴配置 Okta 时获得的身份提供程序登录 URL 值。
      7. 选择“允许主动执行的身份验证响应”复选框。
      8. 在“返回 URL”字段中，键入 https://baseURL/identity_/externalidentity/saml2redirectcallback。
      9. 对于“SAML 绑定类型” ，请选择“HTTP 重定向” 。
      10. 在“签名证书”字段中，粘贴配置 Okta 时获得的 X.509 证书值。

      PingOne：

      1. 选择已启用复选框。
      2. 如果您只想允许使用 Active Directory 帐户登录，请选中“使用此提供程序强制自动登录”复选框。
      3. 在“显示名称”字段中，键入要在“登录” 页面上的此登录选项下显示的文本。
      4. 在“服务提供程序实体 ID”字段中，以 https://baseURL/identiy_ 格式粘贴 Automation Suite URL。
      5. 在“身份提供程序实体 ID”字段中，粘贴配置 PingOne 时获得的颁发者 ID 值。
      6. 将“单点登录服务 URL”参数设置为配置 PingOne 时获得的“单点登录 URL”值。
      7. 选择“允许主动执行的身份验证响应”复选框。
      8. 在“返回 URL”字段中，键入 https://baseURL/identity_/externalidentity/saml2redirectcallback。
      9. 对于“外部用户映射策略” ，选择“通过用户电子邮件” 。
      10. 对于 SAML 绑定类型，选择 HTTP 重定向。
      11. 在“签名证书”字段中，粘贴配置 PingOne 时获得的值。

4. 单击“保存” 以保存更改并返回到上一页面。

5. 单击 SAML SSO 左侧的切换按钮以启用集成。

   备注：

   如果您仍在使用旧版管理员体验，请跳过此步骤。

6. 重新启动“identity-service-api-*”Pod。对外部提供程序进行任何更改后，您必需进行此步骤。

   1. 通过 SSH 连接到主服务器。

   2. 运行以下命令：

      kubectl -n uipath rollout restart deployment identity-service-api

步骤 3. 可选设置

以下配置是可选的，仅当要使用一个或两个高级安全功能时才需要。

步骤 3.1 自定义映射

ADFS、Google 和 OKTA，它们都将电子邮件地址用作 SAML 属性。本节根据用户名或外部提供程序密钥处理自定义 SAML 映射。

重要提示：

配置自定义映射属性会影响整个系统，这意味着它们适用于所有现有的身份提供程序。因此，在设置新映射时，没有其他提供程序（Azure、Windows）可以工作。

需要在主机级别的“安全”页面的 SAML SSO 配置中设置以下参数。

备注：

If you are still using the old admin experience, the options are part of SAML 2.0 settings in the External Providers section of the Security Settings page.

• 外部用户映射策略 - 定义映射策略。提供以下选项：
  • By user email - 您的电子邮件地址被设置为属性。这是默认值。
  • By username - 您的用户名被设置为属性。
  • By external provider key - 将外部提供程序密钥设置为属性。
• 外部用户标识符声明名称 - 定义要用作映射标识符的声明。仅当您将用户名设置为属性时才需要。