Adding End-user AD Groups

Process Mining 独立版中的最终用户 Active Directory 组，用于在最终用户管理中通过外部身份验证提供程序启用单点登录。

简介

重要提示：

要为最终用户启用单点登录，必须使用最新的 Dispatcher 版本。 （至少为 v2021.4）

设置“服务器设置”的ExternalAuthenticationProviders设置时， “最终用户管理”窗口中的“组”选项卡将变为可用。您可以在此处添加新的 AD 用户组。作为“组”选项卡中定义组成员的最终用户可以使用单点登录，使用其 Microsoft 帐户登录UiPath Process Mining 。根据用于单点登录的身份验证提供程序，“登录”对话框中将显示“使用 Microsoft 登录”按钮或“使用 Windows 域登录”按钮。有关示例，请参见下图。

添加 Azure AD 组

备注：

在“最终用户管理”中创建新的 Azure AD 组时，您必须提供 Azure AD 组的标识符。您可以在 Microsoft Azure 门户的“组” 设置中找到此 Azure AD 组标识符。

请按照以下步骤添加 AD 组。

步骤	操作
1	以具有管理员权限的用户身份登录应用程序。
2	单击“用户设置” 。单击右上角向下箭头的小图标，然后从下拉菜单中选择“管理” 。 注意：如果您是超级管理员用户，则还可以通过模拟最终用户管理员来配置最终用户访问权限。请参阅最终用户管理。
3	在用户管理页面中，转到“组”选项卡，然后单击“新建组” 。
4	在“新建 AD 组”对话框中，单击“名称” ，然后输入新用户组的描述性名称。
5	单击“标识符” ，然后输入 Azure AD 组标识符。
6	单击“添加组” 。

有关示例，请参见下图。

系统将创建新组，并将其显示在组列表中。 请参见下图。

作为“组”选项卡中定义的组成员的最终用户现在可以使用“登录”对话框上的“使用 Microsoft 登录”按钮，使用其 Microsoft 帐户登录应用程序。

为集成 Windows 身份验证添加 AD 组

请按照以下步骤添加 AD 组。

步骤	操作
1	以具有管理员权限的用户身份登录应用程序。
2	单击“用户设置” 。单击右上角向下箭头的小图标，然后从下拉菜单中选择“管理” 。 注意：如果您是超级管理员用户，则还可以通过模拟最终用户管理员来配置最终用户访问权限。请参阅最终用户管理。
3	在用户管理页面中，转到“组”选项卡，然后单击“新建组” 。
4	在“新建 AD 组”对话框中，单击“名称” ，然后输入新用户组的描述性名称。
5	单击“标识符” ，然后输入允许登录的 IWA 用户组的“全名” 。 注意: 必须使用CN=All Users,OU=Distribution Groups,DC=Company,DC=com格式。
6	单击“添加组” 。

重要提示：

AD 组区分大小写。

有关示例，请参见下图。

系统将创建新组，并将其显示在组列表中。 请参见下图。

作为“组”选项卡中定义的组成员的最终用户现在可以使用“登录”对话框上的“使用Windows 域登录”按钮，使用其 Microsoft 帐户登录应用程序。

最终用户登录

When an end-user logs in using single sign-on a new user is created automatically in the Users tab. See illustration below for an example.

备注：

单点登录访问权限是通过 AD 组提供的，而不是通过自动配置的用户条目提供。这仅用于保留单个设置，例如收藏夹。该条目是只读条目，因此您无法更改用户设置。

管理帐户激活

可以通过停用 AD 组来禁用最终用户帐户。停用 AD 组后，分配给该组的帐户将无法再登录。

请按照此步骤禁用 AD 组的所有最终用户帐户的授权。

步骤	操作
1	单击 AD 组的“活动”列中的复选框。

这是一个可切换复选框。这意味着用户可以在复选框处于选中状态时登录，或者在复选框处于未选中状态时被限制登录。

许可证

尽管用户通过 AD 组进行身份验证，但登录到UiPath Process Mining 的每个单独用户都会分配一个许可证。请注意，停用或删除组后，在实际停用或删除用户之前，用户将无法再登录但仍拥有分配的许可证插槽。

管理最终用户管理员权限

可以为 AD 组中的最终用户帐户分配管理员权限。这样一来，他们将能够访问用户管理页面。

请按照以下步骤为 AD 组的所有成员分配管理员权限。

步骤	操作
1	单击 AD 组的“管理员”列中的复选框。

这是一个可切换复选框。这意味着，如果选中该复选框，则用户将具有管理员权限；如果未选中该复选框，则用户不再是管理员。

备注：

• 如果用户是至少一个分配有管理员访问权限的组的成员，则该用户将具有管理员权限。
• 用户的条目仅在登录时更新。这意味着，例如，如果在组条目上切换“管理员”选项（默认选项），则用户在下次登录后将具有管理员权限。

删除 AD 组

可以删除现有 AD 组。 已删除用户的用户将无法再登录，除非他们是其他 AD 组的成员。

请按照以下步骤删除 AD 组。

步骤	操作
1	单击要删除的 AD 组列中的“删除”按钮。
2	单击“是”。

已删除的 AD 组不再位于列表中。

备注：

删除组时，系统不会自动删除用户。用户将无法再登录，但会继续占用许可证插槽，直到该用户条目也被删除为止。

管理 AD 组的最终用户应用程序访问权限

用户只能查看用户有权打开的应用程序。通过这种方式，也可以限制最终用户帐户访问某些应用程序。可以为 AD 组的所有用户分配打开特定应用程序的权限。

请按照以下步骤为特定应用程序分配最终用户权限。

步骤	操作
1	转到“用户管理”页面中的“应用程序”选项卡。组可以通过“组” 图标识别。
2	单击 AD 组的 [应用程序名称] 列中的复选框。有关示例，请参见下图。

这是一个可切换复选框。这意味着如果选中复选框，用户可以访问此特定应用程序；如果不再选中该复选框，则用户将被撤销访问权限。

组合访问权限

对于使用单点登录登录的用户，其访问权限是通过结合为用户所属的每个组授予的所有权限来确定的。例如，如果向组O2C 用户授予对O2C应用程序的访问权限，而向组P2P 用户授予对P2P应用程序的访问权限，则属于这两个组的用户也将被授予对O2C应用程序和P2P应用程序的访问权限。 。仅作为“P2P 用户”组成员的用户只能访问P2P应用程序。有关示例，请参见下图。

备注：

这也适用于管理员权限。如果用户是至少一个选定了“管理员”属性的组的成员，则该用户将具有管理员权限。

同步最终用户脚本

将连接字符串的驱动程序参数设置为{mvscript}并将脚本参数设置为sync-endusers时，可以在连接字符串中使用的sync-endusers脚本。

还允许同步组。

要同步组，应省略login和email字段。 请改用externalLogin字段

描述组。 有关所需格式的信息，请参见下文。

身份验证方法	格式
Azure AD	"aadgroup:{[guid]}"
Windows 集成身份验证	"iwagroup:{[Distinguished Name]}"

备注：

还可以同步"isAdmin"标志，以向 AD 组中的最终用户帐户授予管理员权限。

有关更多信息，请参阅mvscript: sync-endusers上的表格帮助。