Microsoft Azure Active Directory 身份验证

先决条件

Microsoft Azure Active Directory 连接器支持以下身份验证方法：

• 应用程序访问- OAuth2.0（客户端凭据）
• 委派访问权限- OAuth 2.0（授权）
• 客户端证书身份验证- OAuth2.0（客户端证书）

在创建连接之前，您需要注册有效的 Microsoft Azure 应用程序。如要设置，请执行以下操作：

1. 登录到Azure 门户，然后导航至Azure Active Directory > 应用注册。
2. 选择“新建注册” 。
3. 输入应用程序的名称（例如UiPath IS Azure AD ）。
4. 在“支持的帐户类型”下，选择以下选项之一：
   • 仅此组织目录中的帐户— 对于单租户应用程序。
   • 任何组织目录中的帐户— 对于多租户应用程序。
5. 选择“注册” 。

注册后，请从应用程序的“概述”页面收集以下值，在 Integration Service 中创建连接时将需要这些值：

值	位置
应用程序 (客户端) ID	应用注册的“概述”页面
目录 (租户) ID	应用注册的“概述”页面

要创建连接，您需要提供以下凭据：

• 对于“应用程序访问权限” ：
  • 客户端 ID
  • 客户端密码
  • 租户 ID
• 对于委派访问：
  • 客户端 ID
  • 客户端密码
  • 租户 ID
  • 用户名
  • 密码
• 对于客户端证书身份验证（在 Orchestrator 中使用 ）：
  • 客户端 ID
  • OAuth base64 客户端证书
  • 证书的密码
  • 租户 ID
  • OAuth 作用域

要了解有关身份验证凭据以及如何设置 Azure Active Directory 集成的更多信息，请参阅 Automation Cloud 指南中的设置 Azure AD 集成。

其他信息可在 Microsoft 官方文档中找到：身份验证和授权基础知识、权限和同意简介和检索凭据。

应用程序访问权限

使用此选项以应用程序本身的身份进行身份验证，而无需登录用户的上下文。这是为 Unattended 自动化场景推荐的选项。

在 Azure 中设置客户端密码

1. 在您的 Azure 应用程序注册中，转到“证书和密码” > “客户端密码” > “新客户端密码” 。
2. 输入说明并选择到期日。
3. 选择“添加”并立即复制值 — 该值仅显示一次。

重要提示：

客户端密码过期。在到期日期之前轮换密码，以避免连接失败。

所需 API 权限

在您的 Azure 应用程序注册中，转到“API 权限” >“添加权限” >“Microsoft Graph” >“应用程序权限” ，然后添加以下内容：

最低要求

权限	类型	描述
User.Read.All	应用程序	读取所有用户的完整个人资料
Group.Read.All	应用程序	读取所有组
Directory.Read.All	应用程序	读取目录数据
RoleManagement.Read.Directory	应用程序	读取所有目录 RBAC 设置

可选（仅在自动化创建或修改对象时添加）

权限	类型	描述
Group.ReadWrite.All	应用程序	读取和写入所有组
Directory.ReadWrite.All	应用程序	读取和写入目录数据
RoleManagement.ReadWrite.Directory	应用程序	读取和写入所有目录 RBAC 设置

添加权限后，选择“为 [您的组织]授予管理员同意” 。

连接字段

字段	描述
客户端 ID	Azure 应用注册“概述”部分中的应用程序（客户端）ID。
客户端密码	“证书和密码”部分中的密码值。使用值，而不是密码 ID 。
租户 ID	Azure 应用程序注册“概述”部分中的 Directory（租户）ID。

委派访问

使用此选项代表已登录的用户执行操作。连接使用 OAuth 2.0 委派权限进行身份验证，并在连接创建期间提示用户同意。

在 Azure 中设置委派访问权限

1. 在您的 Azure 应用程序注册中，转到“身份验证”>“添加平台”>“网页” 。

2. 在“重定向 URI”字段中，输入 UiPath 连接屏幕上显示的回调 URL： https://{baseURL}/provisioning_/callback （例如，对于 Automation Cloud， https://cloud.uipath.com/provisioning_/callback ）。

   备注：

   确切的回调 URL 显示在 Integration Service 的连接创建屏幕上。从此处复制代码，因为它可能会因您的部署（Automation Cloud、Automation Suite 或私有云）而异。

3. 在“隐式授权和混合流程”下，取消选中两个复选框。

4. 选择“配置” 。

所需 API 权限

在您的 Azure 应用程序注册中，转到“API 权限” >“添加权限” >“Microsoft Graph” >“委派权限” ，然后添加以下内容：

最低要求（建立 OAuth 连接所需）

权限	类型	描述
openid	已委派	让用户登录
profile	已委派	查看用户的基本个人资料
email	已委派	查看用户的电子邮件地址
offline_access	已委派	用户不在时保持对数据的访问权限
User.Read	已委派	登录并读取用户个人资料

可选（根据自动化执行的操作添加；标有 * 的权限需要管理员同意）

权限	类型	描述
User.ReadWrite	已委派	读取并更新用户配置文件
User.Read.All*	已委派	读取所有用户的完整个人资料
Group.Read.All*	已委派	读取所有组
Group.ReadWrite.All*	已委派	读取和写入所有组
Directory.Read.All*	已委派	读取目录数据
Directory.ReadWrite.All*	已委派	读取和写入目录数据

对于需要管理员同意的权限，请在添加后选择“为 [您的组织]授予管理员同意” 。

连接字段

字段	描述
客户端 ID	Azure 应用注册“概述”部分中的应用程序（客户端）ID。
客户端密码	“证书和密码”部分中的密码值。使用值，而不是密码 ID 。
租户 ID	Azure 应用程序注册“概述”部分中的 Directory（租户）ID。对于多租户应用程序，请使用common 。对于单租户应用程序，请输入特定租户 ID。

填写字段后，选择“连接” 。系统将打开一个 Microsoft 登录窗口 — 使用要用于自动化的用户帐户登录，并授予请求的权限。

客户端证书身份验证

通过此选项，可以使用客户端证书而不是客户端密码进行身份验证。

在 Azure 中设置证书

1. 在您的 Azure 应用程序注册中，转到“证书和密码”> “证书” 。
2. 选择“上传证书” ，然后上传您的.cer或.pem公钥文件。
3. 上传后，记下记录的指纹值。

在本地生成证书

要在本地生成证书（如果没有证书）：

1. 创建一个自签名证书，将“主题”设置为CN=uipath.com ，将“内容类型”设置为“PEM”。
2. 以.pfx格式下载证书格式。
3. 在将.pfx文件输入到连接字段之前，请将其转换为Base64 编码格式。

您还可以使用 Powershell 脚本。例如，以下脚本可生成自签名证书并以所需格式将其导出：

# Generate self-signed cert
$cert = New-SelfSignedCertificate `
    -Subject "CN=uipath.com" `
    -CertStoreLocation "Cert:\CurrentUser\My" `
    -KeyExportPolicy Exportable `
    -KeySpec Signature `
    -KeyLength 2048 `
    -HashAlgorithm SHA256 `
    -NotAfter (Get-Date).AddYears(2)

# Export public key (.cer) — upload this to Azure
Export-Certificate -Cert $cert -FilePath ".\uipath.cer" -Type CERT

# Export private key (.pfx)
$pfxPassword = Read-Host "Enter PFX password" -AsSecureString
Export-PfxCertificate -Cert $cert -FilePath ".\uipath.pfx" -Password $pfxPassword

# Convert .pfx to Base64 — paste this value into the connection field
$base64 = [Convert]::ToBase64String([IO.File]::ReadAllBytes(".\uipath.pfx"))
$base64 | Out-File ".\uipath_base64.txt"

Write-Host "Thumbprint: $($cert.Thumbprint)"
Write-Host "Base64 saved to uipath_base64.txt"
Write-Host "Upload uipath.cer to Azure > Certificates & secrets > Certificates"

所需 API 权限

在您的 Azure 应用程序注册中，转到“API 权限” >“添加权限” >“Microsoft Graph” >“应用程序权限” ，然后添加以下内容：

最低要求

权限	类型	描述
User.Read.All	应用程序	读取所有用户的完整个人资料
Group.Read.All	应用程序	读取所有组
Directory.Read.All	应用程序	读取目录数据

可选（仅在自动化创建或修改对象时添加）

权限	类型	描述
Group.ReadWrite.All	应用程序	读取和写入所有组
Directory.ReadWrite.All	应用程序	读取和写入目录数据

添加权限后，选择“为 [您的组织]授予管理员同意” 。

连接字段

字段	描述
OAuth base64 客户端证书	Base64 编码格式的客户端证书，由从 Azure 下载的.pfx文件转换而来。
证书的密码	在创建证书期间设置的密码。
客户端 ID	Azure 应用注册“概述”部分中的应用程序（客户端）ID。
租户 ID	Azure 应用程序注册“概述”部分中的 Directory（租户）ID。

添加连接

要创建与 Microsoft Azure Active Directory 实例的连接，您需要执行以下步骤：

1. 从产品启动器中选择“Orchestrator”。

2. 选择一个文件夹，然后导航到“连接”选项卡。

3. 选择“添加连接”。

4. 要打开连接创建页面，请从列表中选择连接器。您可以使用搜索栏查找连接器。

5. 从“身份验证类型”下拉列表中，选择可用选项之一： “客户端证书身份验证” 、 “应用程序访问”或“委派访问” 。默认情况下，选择“应用程序访问权限” 。

6. 输入所需的凭据，然后选择“连接” 。

   对于任何密码类型字段，您可以选择该字段旁边的菜单，然后选择“使用凭据资产” ，以引用链接到外部保险库的 Orchestrator 凭据资产，而不是直接输入值。有关更多信息，请参阅使用凭据资产进行连接。