亚马逊网页服务身份验证

先决条件

使用下表根据您的用例选择身份验证方法：

方法	理想适用于	限制
访问密钥	使用现有 IAM 凭据进行快速连接和测试	会话令牌已过期（15 分钟到 12 小时）；令牌过期时，必须续订连接
访问密钥承担角色	在具有附加 IAM 角色的 AWS EC2 实例上运行的机器人	必须将机器人部署在 EC2 实例上；会话令牌过期
UiPath 托管的跨帐户承担角色	没有长期 IAM 凭据的生产 Unattended 自动化	需要 UiPath 支持请求

要创建连接，您需要提供以下凭据：

• 对于访问密钥身份验证方法：
  • 访问密钥 ID（用于连接到 Amazon Web Services 的访问密钥）
  • 秘密访问密钥（用于连接到 Amazon Web Services 的密钥）
  • 临时会话令牌（用于创建 AWS 客户端会话）
  • 区域（指定要连接到的 AWS 区域）
• 对于访问密钥承担角色身份验证方法：
  • 访问密钥 ID（用于连接到 Amazon Web Services 的访问密钥）
  • 秘密访问密钥（用于连接到 Amazon Web Services 的密钥）
  • IAM 角色（指定 IAM 角色的名称）
  • 临时会话令牌（用于创建 AWS 客户端会话）
  • 区域（指定要连接到的 AWS 区域）
• 对于UiPath 托管的跨帐户承担角色身份验证方法：
  • IAM 角色 ARN
  • 外部 ID
  • 区域（指定要连接到的 AWS 区域）

备注：

临时会话令牌由AWS Security Token Service (STS)颁发，具有有限的生命周期（默认为 15 分钟到 12 小时）。当令牌过期时，连接将失败，必须手动续订。对于运行时间长于会话令牌生存期的自动化，请考虑改用“UiPath 托管的跨帐户承担角色”方法，该方法不需要会话令牌。

创建访问密钥承担角色连接

要创建访问密钥承担角色连接，请首先执行以下步骤：

备注：

您提供凭据的 IAM 用户必须在其自己的 IAM 策略中拥有目标角色的sts:AssumeRole权限。

1. 导航到AWS 控制台> “IAM” > “角色” 。

2. 选择“创建角色” 。

3. 选择“自定义信任策略” 。

4. 附加自定义信任策略，如以下代码部分所示：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "<user ARN>"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }
   

5. 添加需要分配给用户的权限。

6. 填写所有必填详细信息，然后选择“创建” 。

7. 运行自动化的 UiPath 机器人必须部署在附加了指定 IAM 角色的 AWS EC2 实例中，如此处所述 。

创建 UiPath 托管的跨帐户承担角色连接

这种类型的连接使用临时 STS 凭据而非长期 IAM 密钥来安全访问 AWS 资源（S3、EC2、DynamoDB、Bedrock）。您只需提供最少的输入并完成一次性 AWS 帐户设置，无需 IAM 访问密钥或密码。

警告：

如果要使用此身份验证类型，您必须首先向 UiPath 支持团队提出请求。提出请求后，UiPath 将提供 IAM 用户 ARN，在创建连接之前，必须将其添加到您的 IAM 角色信任关系策略中。在两边完成所需的 IAM 角色白名单和信任策略更新后，可以立即创建并利用连接。

UiPath 将为每个客户创建和管理不同的 IAM 用户，确保在 UiPath 组织级别隔离 AWS 访问。

备注：

角色担任将为您在建立了这种类型的连接的租户中的角色提供所有附加权限。

要创建连接，请执行以下操作：

1. 提供 UiPath 应代入的 IAM 角色的 ARN。此角色 ARN 将合并到 IAM 用户的权限策略中。IAM 用户由 UiPath 专门创建和管理，并且为每个客户进行隔离。

2. 配置 IAM 角色的信任策略。更新 IAM 角色信任策略，以允许 UiPath 的 IAM 用户担任。

   • UiPath 将共享专门为您的客户帐户创建的 IAM 用户的 ARN。

   • 您必须将 UiPath IAM 用户 ARN 添加到角色的信任策略的“主体”元素中。

   • 我们要求使用外部 ID，将其作为第三方访问场景中的额外安全保障，并有助于防止混淆代理问题（例如 ID 混淆）。这可以是您选择的任何字符串。要配置它，请使用sts:ExternalId添加条件，如下面的示例所示。在实际创建 Integration Service 连接期间，系统会将外部 ID 传递给 UiPath。策略格式示例：

     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "<UiPath IAM user ARN>"
                 },
                 "Action": "sts:AssumeRole",
                 "Condition": {
                     "StringEquals": {
                         "sts:ExternalId": "<your External Id>"
                     }
                 }
             }
         ]
     }
     

3. 配置 IAM 角色的权限策略。例如：

   • S3：在特定存储桶上列出/获取/放置。
   • 基础：调用模型、带响应流调用模型。
   警告：

   必须向 IAM 角色授予您的特定用例所需的最低权限集。例如，如果用例涉及从 S3 存储桶读取对象，则角色对该特定存储桶应只有只读访问权限。此类用例的示例策略如下所示：

       {
           "Version": "2012-10-17",
           "Statement": [
               {
                   "Effect": "Allow",
                   "Action": [
                       "s3:GetObject",
                       "s3:ListBucket"
                   ],
                   "Resource": [
                       "arn:aws:s3:::your-bucket-name",
                       "arn:aws:s3:::your-bucket-name/*"
                   ]
               }
           ]
       }
   

4. 在 Integration Service 中添加 Amazon Web Services 连接。

添加连接

要创建与 Amazon Web Services 实例的连接，您需要执行以下步骤：

1. 从产品启动器中选择“Orchestrator”。

2. 选择一个文件夹，然后导航到“连接”选项卡。

3. 选择“添加连接”。

4. 要打开连接创建页面，请从列表中选择连接器。您可以使用搜索栏查找连接器。

5. 从“身份验证类型”字段中，选择以下三个选项之一：访问密钥、访问密钥承担角色或 UiPath 托管跨帐户承担角色。默认情况下，选择访问密钥。

   

6. 输入首选身份验证方法所需的凭据。如果您打算使用 “HTTP 请求”活动，请选择AWS HTTP 服务名称，它可以是s3 、 ec2 、 workspaces或Bedrock-runtime 。

   对于任何密码类型字段，您可以选择该字段旁边的菜单，然后选择“使用凭据资产” ，以引用链接到外部保险库的 Orchestrator 凭据资产，而不是直接输入值。有关更多信息，请参阅使用凭据资产进行连接。

7. 输入首选身份验证方法所需的凭据。在“AWS 服务名称”字段中，选择要连接的 AWS 服务： “s3” 、 “ec2” 、 “workspaces”或“bedrock-runtime” 。

   备注：

   如果您打算将此连接与 Amazon Bedrock 一起使用（例如，调用 AI 模型），则必须选择Bedrock-runtime 。选择不同的服务名称将导致 Bedrock 请求失败。

8. Select Connect.