配置 SSO：Azure Active Directory

本页介绍如何在主机级别启用 Azure Active Directory (Azure AD) 集成，以便 Orchestrator 的所有用户都能从 SSO 中受益。

备注：

主机级别与组织级别的集成

如果按此页面所述在主机级别启用 Azure AD 集成，则无法在组织/租户级别启用它。

主机级别的集成仅启用 SSO。 但是，如果在组织/租户级别启用，则该集成允许 SSO，还允许目录搜索和自动用户配置。

先决条件

要设置 Azure AD 集成，您需要：

• Orchestrator 和 Azure AD 中的管理员权限（如果您在 Azure 中没有管理员权限，请与 Azure 管理员协作完成设置流程）；
• UiPath™ 组织管理员应拥有一个 Azure AD 帐户，该帐户的电子邮件地址应与其 UiPath 帐户相同；Azure AD 帐户在 Azure 中不需要管理员权限；
• 您的用户需要使用 UiPath Studio 和 Assistant 2020.10.3 或更高版本；
• 应将 UiPath Studio 和 Assistant 设置为使用推荐的部署。
• 如果您以前使用过本地用户帐户，请确保所有 Azure AD 用户的“邮件”字段中都有电子邮件地址；仅在“用户主体名称”(UPN) 字段中包含电子邮件地址是不够的。如果电子邮件地址匹配，则 Azure AD 集成会将目录用户帐户与本地用户帐户相关联。这允许用户在从使用其本地用户帐户登录转换为 Azure AD 目录用户帐户时保留权限。

注意： UiPath 遵循 OIDC 协议与 Azure Active Directory 集成。 但是，集成不支持通过在专用 URL 中声明appid查询参数来使用应用程序自定义键，如Microsoft 的访问令牌文档中所述。

步骤 1. 创建 Azure AD 应用程序注册

注意：以下步骤是示例配置的简要说明。有关更详细的说明，请参阅 Microsoft 文档，以将 Azure AD 配置为身份验证提供程序。

1. 以管理员身份登录 Azure 门户。
2. 转到“ 应用程序注册”，然后单击 “新建注册”。
3. 在“注册应用程序”页面中，用 Orchestrator 实例名称填充“名称”字段。
4. 在“ 支持的帐户类型 ” 部分中，选择 “仅限此组织目录中的帐户”。
5. 从下拉列表中选择网页，填写 Orchestrator 实例的 URL 并加上后缀 /identity/azure-signin-oidc 来设置重定向 URI。例如，https://baseURL/identity/azure-signin-oidc。
6. 选中底部的“ID 令牌”复选框。
7. 单击“ 注册 ”，为 Orchestrator 创建应用程序注册。
8. 保存“应用程序（客户端）ID”，以供以后使用。

步骤 2.配置 Azure AD SSO

1. 以系统管理员身份登录到管理门户。
2. 转到“用户”，然后选择“安全设置”选项卡。
3. 在“外部提供程序”部分中，单击“Azure AD”下的“配置”。
   • 选择“已启用”复选框。
   • 如果您只想允许使用 AzureAD 登录 Orchestrator，请选中“强制使用此提供程序自动登录”复选框。
   • 在“ 显示名称” 字段中填写要用于“登录” 页面上的 AzureAD 按钮的标签。
   • 在“ 客户端 ID ” 字段中，粘贴从 Azure 门户获取的 应用程序（客户端） ID 的值。
   • （可选）在“ 客户端密码” 字段中，粘贴从 Azure 门户获取的值。

   • 将“授权”参数设置为以下值之一：

     • https://login.microsoftonline.com/<tenant>，其中 <tenant> 是 Azure AD 租户的租户 ID 或与此 Azure AD 租户关联的域。仅用于登录特定组织的用户。
     • https://login.microsoftonline.com/common。用于使用工作和学校帐户或个人 Microsoft 帐户登录用户。
   • （可选）在“注销 URL”中，粘贴从 Azure 门户获取的值。
4. 单击“保存”将更改保存到外部身份提供程序设置。
5. 重新启动 IIS 站点。 对外部提供程序进行任何更改后，这是必需的。

步骤 3. 允许组织使用 Azure AD SSO

现在，Orchestrator 已与 Azure AD 登录集成，具有有效 Azure AD 电子邮件地址的用户帐户可以使用“ 登录 ” 页面上的“ Azure AD SSO” 选项登录 Orchestrator。

如果每位管理员要允许使用 Azure AD SSO 登录，则他们必须为其组织/租户执行此操作。

1. 以管理员身份登录 Orchestrator。
2. 添加用户的本地用户帐户，每个帐户都具有有效的 Azure AD 电子邮件地址。