关于用户

概述

用户是拥有依赖访问权限的功能的实体，其对 Orchestrator 的查看和控制取决于所分配到的角色。您可以在 Orchestrator 中以本地方式创建用户（本地用户），也可以在外部目录中创建和管理用户（目录用户、目录组）。

• Read about AD Integration for a better understanding of directory integration.
• User types are described here.
• Learn about Orchestrator's access-control model.

用户管理主要是从“用户”页面完成的（“租户”上下文 >“用户”）。该页面显示所有可用的用户，使您可以添加或删除他们以及编辑他们的详细信息。

AD 集成

Orchestrator 中引用的活动目录使其成员成为潜在的 Orchestrator 用户。在 Orchestrator 中，可以在组级别（目录组）或用户级别（目录用户）配置目录的访问权限。

备注：

AD integration alongside Attended Robots auto-provisioning and hierarchical folders sets the stage for effortless large deployments. See here how to manage such a deployment in Orchestrator.

先决条件

• WindowsAuth.Enabled 参数设置为 true。
• 在 WindowsAuth.Domain 参数中填充有效的域。添加目录用户/组时，与 WindowsAuth.Domain 参数中指定的域双向信任的林中的所有域和子域均可用。
• 将安装了 Orchestrator 的计算机加入到 WindowsAuth.Domain 参数中设置的域中。要查看设备是否已加入域，请从命令提示符中运行 dsregcmd /status，然后导航至“设备状态”部分。
• 运行 Orchestrator 应用程序池的身份必须属于 Windows 授权访问组 (WAA)。

行为

1. 添加 AD 组会在 Orchestrator 中创建一个名为目录组的用户实体，您可以根据需要为其配置访问权限。此条目用作 AD 中找到的组的参考。
2. When logging in, Orchestrator checks your group membership against the AD database. If confirmed, it automatically provisions your user as a Directory User, and then associates it to the access rights inherited from the Directory Group (step 1). Inherited rights are only kept for the duration of the user session.
3. 自动配置在您首次登录时进行。自动配置的用户在注销时不会被删除，因为出于审核目的，您可能需要该条目。
4. Changes made to AD group membership are synced with Orchestrator at every log-in or once every hour for active user sessions. This value can be changed using the WindowsAuth.GroupMembershipCacheExpireHours. If you are a member of X group, what happens is this:
   • 您登录后，Orchestrator 会检查您的组成员身份，然后根据 AD 数据库确认您的身份。系统随后会根据 Orchestrator 配置向您授予访问权限。如果在您有活动会话的情况下，系统管理员将您的组成员身份从组 X 更改为组 Y，则 Orchestrator 将每小时询问一次更改，或者在您下次登录时询问。
5. 要配置在会话间持续保留的访问权限，使其不受组成员身份更改影响，唯一方法是在 Orchestrator 中为每个用户显式设置访问权限。我们将它们称为显式访问权限。
6. 无法确定所继承访问权限的 AD 用户的行为类似于本地用户，这意味着它们仅依赖显式设置的访问权限。
7. AD 中的组将与 Orchestrator 同步，但不会反向同步。对 Orchestrator 所做的更改不会影响 AD 中的用户配置。

已知问题

• 由于各种网络或配置问题，可能并非“域名”下拉列表中显示的所有域都可访问。
• 对 AD 用户/组名称所做的更改不会传播到 Orchestrator。
• 使用新添加的双向信任域更新域列表最多可能需要一个小时。
• GetOrganizationUnits(Id) 和 GetRoles(Id) 请求仅返回为自动配置的用户显式设置的文件夹和角色。从组配置继承的文件夹和角色可通过 /api/DirectoryService/GetDirectoryPermissions?userId={userId} 端点检索。
• 用户界面也是如此，“用户”页面上仅显示显式设置的文件夹和角色。相反，继承的文件夹和角色具有新的专用位置，即“用户权限”窗口（“用户”>“更多操作”>“查看权限”）。
• 自动配置的用户不会从父组继承警示订阅设置，默认情况下，也不会收到任何警示。要访问警示，您需要显式授予用户相应的权限。
• 删除目录组并不会删除相关目录用户的许可证，即使删除组后取消了从任何文件夹中分配用户。释放许可证的唯一方法是关闭机器人托盘。
• 在某些浏览器上，使用您的 AD 凭据登录 Orchestrator 时仅需要用户名。无需同时指定域。因此，如果 domain\username 语法不起作用，请尝试仅填写用户名。

审核注意事项

• 用户成员身份：用户 [用户名] 已分配到以下目录组 [用户在当前会话中继承访问权限的目录组]。
• 自动配置：从以下目录组 [用户在当前会话中继承访问权限的目录组] 自动配置用户 [用户名]。

禁用并发执行

在新式文件夹中优化资源消耗并最大程度地提高执行能力，几乎不会涉及控制将用户分配给作业的方式。对于每次不能多次使用凭据（例如 SAP）的情况，我们引入了限制并发无人值守执行的可能性。通过限制用户同时执行多个作业，这有助于调整作业分配算法。

管理员用户

Orchestrator comes with one predefined user only: admin. Its username cannot be changed, and it cannot be deleted. It has the Administrator role, but you can add other roles to it, and even deactivate it. Note that you can not deactivate the user you are currently logged in with.

Users with the Administrator role can activate, deactivate, and remove other users as well as edit information, including the password. You cannot delete users that have the Administrator role.

用户权限

要在“用户”和“个人资料”页面上执行各种操作，需要获得相应的权限：

• 对用户的“查看”权限 - 显示“用户”和“个人资料”页面。
• Edit on Users - Editing user details and settings on the Profile page, and activating/deactivating users on the Users page. Configuring the Alerts section on the Profile page requires the corresponding View permissions per alert category.
• View on Users, View on Roles - Displaying user permissions on the User Permissions window.
• 对用户的“编辑”权限、对角色的“查看”权限 - 在“用户”页面上编辑用户详细信息和设置。
• 对用户的“创建”权限、对角色的“查看”权限 - 创建用户。
• 对用户“查看”权限、对角色的“编辑”权限 - 在“角色”页面的“管理用户”窗口中管理用户角色。
• 对用户的“删除”权限 - 删除用户。

Read more about roles.

安全注意事项

基本身份验证

By default, Orchestrator does not allow user access via basic authentication. This functionality can be enabled with the Auth.RestrictBasicAuthentication parameter. This enables you to create local users that can access Orchestrator using their basic authentication credentials, allowing you to maintain existing integrations that relied upon basic authentication when calling the Orchestrator API.

创建和编辑用户时，可以启用基本身份验证。

帐户锁定

After 10 failed login attempts, you are locked out for 5 minutes. These are the default Account Lockout settings which can be changed on the Security tab.

在不同的计算机上使用同一用户登录会导致该用户与第一台计算机的连接断开。