适用于 Test Cloud 和 Test Cloud 公共部门版的 Microsoft Entra ID 集成

将 Microsoft Entra ID 与 Test Cloud 和 Test Cloud Public Sector 集成，以实现单点登录和基于目录的用户管理。

此流程仅适用于 Test Cloud 和 Test Cloud 公共部门版

入门指南

收益

将 Microsoft Entra ID 与 UiPath 集成可带来以下优势：

• 单点登录 (SSO)：允许用户使用其 Microsoft Entra ID 凭据访问组织。
• 简化的用户管理：使用现有的 Microsoft Entra ID 用户和组管理访问权限。
• 增强的安全性：应用多重身份验证、条件访问和特权身份管理等 Microsoft Entra ID 功能。
• 无缝过渡：只要电子邮件地址匹配，就可以不间断地从本地帐户迁移。

限制和注意事项

使用 Microsoft Entra ID 集成时，请记住以下限制：

• UiPath 仅支持与 Microsoft Azure 商业云中的 Microsoft Entra ID 服务集成。不支持 Microsoft Azure Government 云版本的 Microsoft Entra ID。

• 当集成仅将委派访问用作其访问作用域时，Microsoft Entra ID 需要用户在目录评估期间在场。由于无人值守自动化和个人访问令牌在无用户在场的情况下运行，因此适用以下限制：

  • 在运行无人值守自动化或使用个人访问令牌时，Microsoft Entra ID 目录用户无法继承基于组的权限。
  • If access to the organization is restricted through Microsoft Entra ID groups, unattended robots cannot access the organization on behalf of users. When debugging in Studio Web, this limitation can surface as the error Could not obtain the user token from Orchestrator.

  You can work around this limitation without granting app-only permissions in one of the following ways:

  • Enable Use cached user tokens for group membership checks in your Microsoft Entra ID configuration. The availability of this feature depends on the cloud platform that you are using. For details, refer to the Feature availability page, specifically the Use cached user tokens for group membership checks row.
  • Manage access restrictions directly in Microsoft Entra ID instead of in UiPath. Follow Restricting access to specific users, then remove the equivalent policy configured in Restricting access to a set of users.
  • In the UiPath access restriction policy, add every allowed user individually instead of relying on nested Microsoft Entra ID group assignment. For steps, see Restricting access to a set of users.

• 用户账户管理：您只能在 Microsoft Entra ID 中管理目录用户和组。这些账户仅在您搜索或分配权限时，才会显示在您的组织中。

• 应用程序自定义密钥：Microsoft Entra ID 集成使用 OIDC 协议，但不支持通过appid查询参数传递的应用程序自定义密钥，详见 Microsoft 访问令牌文档。

• 您不得将本地 UiPath 组的命名与 Microsoft Entra ID 目录组相同。

  这样做可能会导致权限评估和基于组的访问权限分配发生冲突。

在开始之前

在配置 Microsoft Entra ID 集成之前，请确保您具备以下条件：

• 持有企业版许可证的组织，无论属于标准层级还是企业层级。
• 满足以下许可要求之一的组织：
  • Unified Pricing：需要企业版或标准版计划
  • Flex：需要企业计划，标准层或企业计划均可
• 组织中的管理员权限。
• 与具有以下角色之一的 Microsoft Entra ID 管理员协调：
  • 云应用程序管理员
  • 应用程序管理员
  • 可为 Microsoft Entra ID 应用程序授予管理员同意的任何角色
• 一个与您的 UiPath 管理员账户使用相同电子邮件地址的 Microsoft Entra ID 账户（用于测试）。
• UiPath Studio 和 Assistant 的受支持版本，详见产品生命周期文档。

步骤 1：让您的组织为帐户关联做好准备

启用 Microsoft Entra ID 集成后，UiPath 会自动关联电子邮件地址相匹配的账户。用户首次使用 Microsoft Entra ID 登录时，UiPath 会创建一个目录用户账户，并为其分配与对应的本地账户相同的权限。

重要提示：

启用 Microsoft Entra ID 集成之前，请先从组织中移除任何非活动用户。这有助于防止在将这些电子邮件地址重新分配给组织中的其他用户时出现权限提升问题。

步骤 2：配置 Microsoft Entra ID 集成

备注：

功能可用性取决于您使用的云平台。有关详细信息，请参阅功能可用性页面。

此 Microsoft Entra ID 集成结合使用 OAuth 2.0 授权代码授权流程和 OAuth 2.0 客户端凭据流程，同时支持委派访问和应用程序专用访问两种模式。

配置 Microsoft Entra 集成后，UiPath 可执行以下操作：

• 让使用 Microsoft Entra ID 凭据的用户登录。
• 从您的 Microsoft Entra ID 目录读取用户配置文件和组成员身份。
• 根据 Microsoft 门户 ID 组分配应用访问控制。

要与 Microsoft Entra ID 集成，您必须在 Microsoft Entra ID 租户中设置代表您组织的 Microsoft Entra ID 应用程序。

配置方法

要与 Microsoft Entra ID 集成，您必须在 Microsoft Entra ID 租户中配置代表您组织的 Microsoft Entra ID 应用程序。

您可以选择以下配置方法之一：

• （推荐方案）自动设置：通过使用 UiPath 托管的 Microsoft Entra ID 应用程序（多租户模型），可获得以下优势：
  • 没有要管理的密码或证书。
  • 设置快速可靠。
  • UiPath 为您维护 Microsoft Entra ID 申请。
• 通过自定义 Microsoft Entra ID 应用程序注册进行手动设置：使用您自己的 Microsoft Entra ID 应用程序并手动管理其配置，但要注意以下事项：
  • 您必须创建和管理应用程序凭据。
  • 凭据会过期，需要定期更新。
  • 如果凭据未在过期前更新，系统将阻止用户登录。

您可以选择以下访问作用域之一：

• 委派且仅限应用程序的访问（推荐）：允许 UiPath 服务在用户在场的情况下和离线场景（例如 Unattended 自动化和服务到服务 (S2S) 场景）下评估组成员身份。
• 委派访问：将组评估限制在交互式会话范围内。只有在用户主动登录时，才能验证权限。

关于 UiPath 管理的 Microsoft Entra ID 应用程序

UiPath 使用预注册的多租户 Microsoft Entra ID 应用程序。您无需创建和维护自己的应用程序注册和凭据。此应用程序的详细信息为：

• 名称：UiPath Entra ID 集成
• 客户端 ID: 4ca9aa42-b0ea-4ceb-b2b1-17fa40827280
• 应用程序作用域：
  • Entra ID：email、openid、profile、GroupMember.Read.All、User.Read、User.ReadBasic.All、User.Read.All、（可选）。
  • CMK Entra ID 集成：email、openid、profile和 offline access。
• 重定向 URI:
  • https://cloud.uipath.com/portal/grant-consent
  • https://govcloud.uipath.us/portal/grant-consent
• 同意 URL（用于管理员批准）：如果您看到“需要管理员批准”消息，则 Microsoft Entra ID 管理员可以通过导航到以下 URL 之一来授予租户范围内的同意：
  • 委派且仅限应用程序访问（多租户）： https://login.microsoftonline.com/organizations/v2.0/adminconsent?client_id=4ca9aa42-b0ea-4ceb-b2b1-17fa40827280&redirect_uri=https%3A%2F%2Fcloud.uipath.com%2Fportal_%2Fgrant-consent&state=1234&scope=https://graph.microsoft.com/.default
  • 委派且仅限应用程序访问（单租户）： https://login.microsoftonline.com/{TENANT_ID}/v2.0/adminconsent?client_id={APPLICATION_ID}&redirect_uri=https%3A%2F%2Fcloud.uipath.com%2Fportal_%2Fgrant-consent&state=1234&scope=https://graph.microsoft.com/.default
  • 委派访问（多租户）： https://login.microsoftonline.com/common/oauth2/v2.0/authorize?scope=email+GroupMember.Read.All+openid+profile+User.Read+User.ReadBasic.All&prompt=select_account&response_type=code&redirect_uri=https%3A%2F%2Fcloud.uipath.com%2Fportal_%2Fgrant-consent&client_id=4ca9aa42-b0ea-4ceb-b2b1-17fa40827280&state=1234
  • 委派访问（单租户）： https://login.microsoftonline.com/{TENANT_ID}/oauth2/v2.0/authorize?scope=email+GroupMember.Read.All+openid+profile+User.Read+User.ReadBasic.All&prompt=select_account&response_type=code&redirect_uri=https%3A%2F%2Fcloud.uipath.com%2Fportal_%2Ftestconnection&state=1234&client_id={APPLICATION_ID}
  备注：

  对于单租户配置，请将{TENANT_ID}替换为您的目录（租户）ID，并将{APPLICATION_ID}替换为您的应用程序（客户端）ID。

使用缓存的用户令牌进行组成员身份检查

备注：

此功能是否可用取决于您使用的 云平台。有关详细信息，请参阅“功能可用性”页面，特别是“使用缓存的用户令牌进行组成员身份检查”行。

当您选择“委派访问”作用域时，Microsoft Entra ID 要求用户在目录评估期间在场。因此，在没有用户登录时，例如在 Unattended 自动化和服务到服务 (S2S) 场景期间，无法解析组成员身份。

委派访问

为支持这些场景，而无需授予仅针对应用程序的权限，请选择“在无人值守自动化中使用缓存的用户令牌进行组成员资格检查”。

启用此选项后，UiPath 会重新使用用户最近的 Microsoft Entra ID 访问令牌和刷新令牌，以便在用户未主动登录的无人值守的自动化和 S2S 场景中评估组成员身份。

结果的覆盖范围与委派访问与仅限应用程序专用访问作用域相当，无需仅限应用程序专用权限。

仅当选择“委派访问”作用域时，才会显示此选项。委派和仅限应用程序的访问作用域不需要，因为无人值守和 S2S 方案中的组成员身份解析已由应用程序权限处理。

默认行为

此选项的默认状态取决于目录连接是新连接还是现有连接：

• 新的目录连接：默认情况下处于选中状态。清除复选框以选择退出。
• 现有目录连接：默认情况下清除。打开配置页面并选中复选框以选择加入。

令牌过期

UiPath 使用缓存的访问令牌，直到过期，然后使用缓存的刷新令牌来获取新的访问令牌。 如果访问令牌和刷新令牌均已过期，UiPath 将无法再代表该用户查询 Microsoft Entra ID，并且该用户的组成员身份结果可能不完整。

要还原完整结果，用户必须通过在主登录页面上选择“继续使用 Enterprise SSO”或导航到组织专属 URL 再次登录。下次登录将刷新缓存令牌，后续的组成员身份核查即可返回完整结果。

条件访问策略注意事项

缓存用户令牌功能不会绕过 Microsoft Entra ID条件访问。它只允许 UiPath 重用用户通过交互式登录获取的令牌。如果条件访问策略阻止刷新缓存的令牌，则该用户的组成员身份结果可能不完整，直到该用户使用“使用企业 SSO 登录”再次登录并满足所有适用的条件访问策略。

最有可能影响缓存令牌的策略类别包括：

• 登录频率：如果策略要求用户在很短的时间间隔内重新进行身份验证，则一旦超过该间隔，缓存的刷新令牌将被拒绝。
• 令牌刷新时的多因素身份验证：刷新请求为非交互式，无法提示用户进行 MFA。需要在每次令牌刷新时使用 MFA 的策略在此流程中失败。
• 基于风险的策略和持续访问评估 (CAE) ：这些策略可以根据用户、设备或会话风险的变化随时撤销活动令牌。

要在不影响安全态势的情况下最大限度地减少干扰，请执行以下操作：

• 对于运行 Unattended 自动化的用户，请在登录频率要求与频繁重新身份验证对操作的影响之间取得平衡。
• 在交互式登录时应用 MFA 要求，而不是在令牌刷新时应用。
• 监控“清除缓存的 Entra ID 用户令牌”审核事件。同一用户频繁出现这种情况通常表明条件访问策略正在阻止令牌刷新。请参阅审核事件。

审核事件

UiPath 会发出两个与缓存的用户令牌相关的审核事件。使用它们来跟踪何时组成员身份结果可能不完整，以及何时恢复访问：

事件	发出时间
缓存 Entra ID 用户令牌	为以前没有 Microsoft Entra ID 令牌的用户缓存了 Microsoft Entra ID 令牌。当用户在清除先前缓存的令牌后使用继续使用企业 SSO登录时，通常会发生这种情况。该事件确认该用户的后续组成员身份检查将返回完整的结果。
清除缓存的 Entra ID 用户令牌	由于 Microsoft Entra ID 拒绝了令牌刷新，并且缓存的令牌无法再使用，因此系统会删除用户缓存的 Microsoft Entra ID 令牌。当两个令牌已过期、刷新令牌已撤销或条件访问策略阻止刷新时，通常会发生这种情况。在此事件之后，在用户使用“使用企业 SSO 登录”再次登录之前，组成员身份结果可能不完整。

使用 UiPath 管理的 Microsoft Entra ID 应用程序进行自动化设置（推荐）

要使用 UiPath 托管应用程序配置 Microsoft ID 集成，在完成组织设置之前，必须由 Microsoft Entra ID 管理员授予同意。

如果要简化配置并避免管理密码或证书，请使用此方法。UiPath 建议大多数组织使用此方法。

1. 授予 Microsoft Entra ID 同意

请让 Microsoft Entra ID 管理员前往以下任一 URL 并登录以授予同意。登录期间，管理员须代表您的组织选择“同意”，然后选择“接受”。

使用与您计划在组织中配置的访问作用域相对应的 URL：

备注：

如果您的 Microsoft Entra ID 租户允许同意请求，组织管理员可以使用这些 URL 触发同意请求。在这种情况下，Microsoft Entra ID 管理员必须批准请求，然后才能继续配置。

• 委派的仅应用程序访问（推荐） ：
  • 多租户： https://login.microsoftonline.com/organizations/v2.0/adminconsent?client_id=4ca9aa42-b0ea-4ceb-b2b1-17fa40827280&redirect_uri=https%3A%2F%2Fcloud.uipath.com%2Fportal_%2Fgrant-consent&state=1234&scope=https://graph.microsoft.com/.default
  • 单租户： https://login.microsoftonline.com/{TENANT_ID}/v2.0/adminconsent?client_id={APPLICATION_ID}&redirect_uri=https%3A%2F%2Fcloud.uipath.com%2Fportal_%2Fgrant-consent&state=1234&scope=https://graph.microsoft.com/.default
• 仅限委派访问：
  • 多租户： https://login.microsoftonline.com/common/oauth2/v2.0/authorize?scope=email+GroupMember.Read.All+openid+profile+User.Read+User.ReadBasic.All&prompt=select_account&response_type=code&redirect_uri=https%3A%2F%2Fcloud.uipath.com%2Fportal_%2Fgrant-consent&client_id=4ca9aa42-b0ea-4ceb-b2b1-17fa40827280&state=1234
  • 单租户： https://login.microsoftonline.com/{TENANT_ID}/oauth2/v2.0/authorize?scope=email+GroupMember.Read.All+openid+profile+User.Read+User.ReadBasic.All&prompt=select_account&response_type=code&redirect_uri=https%3A%2F%2Fcloud.uipath.com%2Fportal_%2Ftestconnection&state=1234&client_id={APPLICATION_ID}

对于单租户配置，请将{TENANT_ID}替换为您的目录（租户）ID，并将{APPLICATION_ID}替换为您的应用程序（客户端）ID。

在授予委派访问与应用程序专用访问后，Microsoft Entra ID 管理员必须将以下值共享给组织管理员：目录（租户）ID。此值为完成配置所必需。

2. 在您的组织中配置集成

作为组织管理员，请按以下步骤完成设置：

1. 在您的组织中，转到“管理员” > “安全” > “身份验证设置” > “目录集成和单点登录 (SSO)” 。
2. 选择“Microsoft Entra ID” 。
3. 选择“UiPath 托管的多租户应用程序（推荐）”（推荐） 。
4. 选择已授予同意的访问作用域:
   • 委派且仅限应用程序访问（推荐） : 提供完整的组评估，包括 Unattended 自动化和服务到服务 (S2S) 场景。
   • 委派访问：将评估限制在用户在场的会话范围内。
   备注：

   委派访问与应用程序专用访问仅适用于 Test Cloud。有关功能可用性的更多详细信息，请参阅“功能可用性”

5. 如果您选择了“委派访问” ，则会显示“在 Unattended 自动化中使用缓存的用户令牌进行组成员身份检查”选项。选择它将组成员身份评估扩展到使用缓存的 Microsoft Entra ID 令牌的无人值守自动化和 S2S 场景。启用此选项后，委派访问可提供与委派访问和仅限应用程序访问权限相当的覆盖率，而无需“仅限应用程序”权限。有关更多信息，请参阅使用缓存的用户令牌进行组成员身份检查。
6. 如果您选择了委派访问与应用程序专用访问，请输入由 Microsoft Entra ID 管理员提供的目录（租户）ID。
7. 检查我理解并接受以下事实：现有用户和 Microsoft Entra ID 用户的电子邮件地址一致，将会关联其帐户。
8. 选择“保存” 以激活集成。

如激活成功，则表示集成配置正确。如果激活失败，请验证是否已正确授予同意，然后重试。

备注：

如果您使用 Automation Hub，并希望从 Microsoft Entra ID 中同步“城市”、“职务”和“部门”的字段信息，则需要申请额外权限。请联系您的 Microsoft Entra ID 管理员，通过包含所需作用域的高级管理员同意 URL来完成授权确认。

使用自定义 Microsoft Entra ID 应用程序注册进行手动设置

如果您更喜欢配置自己的 Microsoft Entra ID 应用程序，而不是使用 UiPath 托管的多租户应用程序，请执行以下步骤。此选项需要您管理自己的凭据，并随着时间的推移对这些凭据进行维护。

重要提示：

通过手动设置创建的凭据会定期过期。请在过期前及时更新这些凭据，以避免服务中断。为降低此运营开销，建议将自动设置与 UiPath 托管的 Entra ID 应用程序配合使用。

配置 Microsoft Entra ID

作为 Microsoft Entra ID 管理员，您可以使用 PowerShell 脚本或 Microsoft Entra 管理中心配置应用程序。

选项 A：使用 PowerShell 脚本

如果要以最少的手动配置自动化设置过程，请执行以下步骤：

1. 下载 Microsoft Entra ID 配置脚本。

2. 运行configAzureADconnection.ps1以自动设置您的 Entra 租户。

3. 运行testAzureADappRegistration.ps1以验证设置。

   选项 B：使用 Microsoft Entra 管理中心

   如果您更喜欢通过用户界面手动配置应用程序注册，请执行以下步骤：

4. 创建应用程序注册：

   1. 前往 Microsoft Entra 管理中心 > 应用程序注册 > 新注册。
   2. 设置首选名称。
   3. 请选择仅限此组织目录中的账户。
   4. 为您的平台设置重定向 URI：
      • https://cloud.uipath.com/identity_/signin-oidc
      • https://govcloud.uipath.us/identity_/signin-oidc

5. 配置身份验证:

   1. 前往“身份验证”。
   2. 为您的平台添加以下重定向 URI：
      • https://cloud.uipath.com/portal_/testconnection
      • https://govcloud.uipath.us/portal_/testconnection
   3. 在“隐式授权和混合流”下，选择 ID 令牌。此集成使用 Microsoft 混合流。
   4. 保存更改。

6. 添加令牌声明:

   1. 转到令牌配置 > 添加可选声明。
   2. 选择 ID 作为令牌类型。
   3. 选择以下声明： family_name 、 given_name和upn 。

   这些声明用于在登录时更新用户信息。

   4. 保存更改。

7. 设置 API 权限：

   1. 转到 API 权限 > 添加权限。
   2. 选择 Microsoft Graph。
   3. 在“您的应用程序需要什么类型的权限？”下根据您要配置的 UiPath 访问作用域选择相应的权限类型。在选择权限之前，请考虑以下事项：

      • 虽然您可以仅配置“委派”访问，但我们建议将“委派”访问和“应用程序”访问权限结合使用。

      • 下表列出了您要配置的每个访问作用域所需的权限。有些权限同时会在两个列表中显示，但由于其权限类型不同，因此必须单独添加。

        备注：

        要在 Automation Hub 中使用City 、 Job Title和Department等属性，需要User.Read.All权限。

        • 对于 Test Cloud：无论您要配置哪个访问作用域，都必须从“委派权限”菜单中添加以下权限：

          Microsoft Entra ID 权限	权限类型	用途
          email 、 openid 、 profile 、 offline_access和User.Read	已委派	允许用户使用 Microsoft Entra ID 登录，并使 Test Cloud 能够在授权请求中检索声明。
          User.ReadBasic.All 或 User.Read.All	已委派	允许 Test Cloud 在 Microsoft Entra ID 中搜索用户，分配权限，并保持用户属性处于最新状态。
          GroupMember.Read.All	已委派	允许 Test Cloud 评估组成员资格，并执行基于目录组的访问控制。

      • 若要配置委派访问与应用程序专用访问作用域，还须从“应用程序权限”菜单中额外添加以下权限：

        Microsoft Entra ID 权限	权限类型	用途
        User.ReadBasic.All 或 User.Read.All	应用程序	允许 Test Cloud 在 Microsoft Entra ID 中搜索用户、分配权限以及在 Unattended 自动化中更新用户属性。
        GroupMember.Read.All	应用程序	允许 Test Cloud 在无人值守的自动化场景中评估组成员资格，并执行基于目录组的访问控制。

      • 对于 Test Cloud 公共部门版，请使用以下权限：

        • OpenID 权限： email 、 openid 、 offline_access 、 profile 。
        • 用户权限： User.Read 、 User.ReadBasic.All或User.Read.All 。
        • 组权限: GroupMember.Read.All 。
   4. 选择为（您的组织）授予管理员同意。此步骤允许应用程序访问所有用户的数据，而无需逐一征得个人同意。有关更多信息，请参阅 Microsoft 文档。

8. 创建凭据：您可以使用客户端密钥或证书：

   • 要创建客户端密码，请执行以下操作：
     1. 前往证书和密钥。
     2. 选择“新建客户端密钥”，然后保存密钥值。
   • 要创建证书，请执行以下操作：
     1. 打开新选项卡，并前往 Azure 密钥保险库。
     2. 创建证书：
        • 主题: CN=uipath.com
        • 内容类型： PEM
        • 大小上限: 小于 10 KB
     3. 以.pem格式下载证书。下载的文件包含两个部分：包含私钥的BEGIN PRIVATE KEY / END PRIVATE KEY部分，以及包含公共证书的BEGIN CERTIFICATE / END CERTIFICATE部分。
     4. 用文本编辑器打开.pem文件，然后仅复制BEGIN CEURIFICATE和END CEURIFICATE之间的部分，包括页眉和页脚行。
     5. 创建仅包含在上一步中复制的证书部分的新.pem文件。
     6. 在Microsoft Entra 管理中心，转到“证书和密码” ，然后上传在步骤 5 中创建的仅包含证书的.pem文件。Microsoft Entra ID 此次上传仅需要公共证书 — 不要上传完整的.pem文件，因为这是因为包括私钥。
     7. 保留在步骤 3 中下载的原始.pem文件。Test Cloud 配置需要完整的 PEM 内容，包括BEGIN PRIVATE KEY/END PRIVATE KEY和BEGIN CERTIFICATE/END CERTIFICATE部分。请勿为此目的使用在步骤 5 中创建的仅证书文件。
     警告：

     配置 Test Cloud 时，使用仅证书文件（步骤 5 中的）会导致身份验证失败。连接测试失败，没有显示证书格式问题的错误消息。使用从 Azure 密钥保险库中下载的原始.pem文件，其中包含私钥和证书。

     备注：

     大多数凭据类型最终会过期。为避免用户登录出现问题，请在凭据过期之前更新配置。为避免此类开销，建议将自动设置与 UiPath 托管的 Microsoft Entra ID 应用程序配合使用。

9. 收集以下集成详情，并共享给您的组织管理员：

   • 应用程序 (客户端) ID
   • 目录 (租户) ID
   • 客户端密码或证书

在组织中激活集成

作为组织管理员，请使用 Microsoft Entra ID 管理员提供的值，按以下步骤完成组织中的设置：

1. 前往管理员 > 安全 > 身份验证设置 > 目录集成和单点登录 (SSO)。
2. 选择“Microsoft Entra ID” 。
3. 选择自定义应用程序注册 ID 和密码。
4. 选择所需的访问范围:
   • 委派访问权限，仅限应用程序访问（推荐）：提供完整的组评估，包括针对 Unattended 自动化和服务到服务 (S2S) 场景的评估。
   • 委派访问：将评估限制在用户在场的会话范围内。
5. 如果您选择了“委派访问” ，则会显示“在 Unattended 自动化中使用缓存的用户令牌进行组成员身份检查”选项。选择它将组成员身份评估扩展到使用缓存的 Microsoft Entra ID 令牌的无人值守自动化和 S2S 场景。启用此选项后，委派访问可提供与委派访问和仅限应用程序访问权限相当的覆盖率，而无需“仅限应用程序”权限。有关更多信息，请参阅使用缓存的用户令牌进行组成员身份检查。
6. 输入 Entra ID 管理员提供的以下值：
   • 目录 (租户) ID
   • 应用程序 (客户端) ID
   • 客户端密码或证书：
     • 如果使用客户端密码：粘贴密码值。
     • 如果使用证书：粘贴从 Azure 密钥保险库下载的原始.pem文件的完整内容。该文件必须同时包含BEGIN PRIVATE KEY / END PRIVATE KEY和BEGIN CERTIFICATE / END CERTIFICATE部分。不要使用已上传到 Microsoft Entra 管理中心的“仅证书”文件。
7. 检查我理解并接受以下事实：现有用户和 Microsoft Entra ID 用户的电子邮件地址一致，将会关联其帐户。
8. 选择测试连接，然后使用您的 Microsoft Entra ID 账户登录。
   • 如登录成功，则表示集成已正确配置。
   • 如果登录失败，请让您的 Microsoft Entra ID 管理员验证配置，然后重试。
9. 选择“保存”以激活集成。

步骤 3：使用并验证集成

激活 Microsoft Entra ID 集成后，请通过使用目录用户帐户登录并确认对 Microsoft Entra ID 用户和组的访问权限，来验证其是否正常工作。为此，请执行以下步骤：

1. 注销您的本地帐户。

2. 使用以下方法之一以目录用户帐户登录：

   • 导航到平台的特定于组织的 URL：
     • https://cloud.uipath.com/{organizationName}/
     • https://govcloud.uipath.us/{organizationName}/
   • 或转到主登录页面，然后选择“继续使用企业 SSO”。
   备注：

   要确认您是否使用目录账户登录，请转到主页：

   • https://cloud.uipath.com/{organizationName}/portal_/home
   • https://govcloud.uipath.us/{organizationName}/portal_/home

   若未看到有关使用本地用户账户登录的警告，则说明您已成功使用目录用户账户登录。

3. 前往“账户和本地组”，尝试将 Microsoft Entra ID 中的目录用户和组添加到本地组。

   Microsoft Entra ID 的用户和组使用不同的图标，以便与本地账户加以区分。

   备注：

   Microsoft Entra ID 用户和组默认不会在“用户账户”或“本地组”页面上列出。您只能通过搜索功能找到它们。

步骤 4：完成转移

步骤 4.1：配置组权限

要允许目录用户根据其组成员身份继承权限，请将相关的 Microsoft Entra ID 组添加到您组织的本地组中。

例如，将您的 UiPath Admins Entra ID 组添加到您组织中的“管理员”组。

我们建议删除个人用户权限，并依靠目录组成员身份在组织扩展时简化权限管理。

步骤 4.2：迁移现有用户

要确保用户能够继承在组织、Studio 和 Assistant 中通过 Microsoft Entra ID 组成员资格分配的权限，请执行以下步骤：

对于您的组织：

要求用户通过以下方式之一注销并使用其目录帐户登录：

• 导航到平台的特定于组织的 URL：
  • https://cloud.uipath.com/{organizationName}/
  • https://govcloud.uipath.us/{organizationName}/
• 或在主登录页面选择“继续使用企业 SSO”。

对于 Studio 和 Assistant：

1. 打开 UiPath Assistant。
2. 前往“首选项”>“Orchestrator 连接”。
3. 从当前会话中注销。
4. 将连接类型设置为“服务 URL”。
5. 输入您平台的组织 URL：
   • https://cloud.uipath.com/{organizationName}/
   • https://govcloud.uipath.us/{organizationName}/
6. 使用您的 Microsoft Entra ID 帐户登录。

步骤 4.3：逐步淘汰本地帐户

警告：

在您删除所有用户的本地帐户之前，请确保已使用其 Microsoft Entra ID 帐户登录至少一次。帐户链接仅在首次登录目录时发生。如果在用户使用其目录帐户登录之前删除本地帐户，则系统会改为创建一个新的目录身份，用户将无法访问其之前的工作，包括项目和解决方案。此操作无法撤销。

我们建议删除本地用户帐户，以确保一致性并简化用户体验。

如果用户继续使用本地帐户而非目录帐户登录，则将面临以下限制：

• 它们不会继承目录组权限。
• 他们无法从 Microsoft Entra ID 目录中搜索或分配用户或组。

下表总结了已链接的本地帐户和目录帐户的预期行为：

功能	链接的本地用户帐户	链接目录用户帐户
继承直接分配给用户的权限	是	是
继承分配给目录组的权限	否	是
在您的组织中搜索目录用户和组，并为其分配权限或资源	否	是

重要提示：

若使用手动设置方式配置 Microsoft Entra ID 集成，必须至少保留一个具有管理员权限的本地用户账户来管理该集成。

高级配置

限制对特定用户的访问

默认情况下，Microsoft Entra ID 租户中的所有用户均可访问您的 Test Cloud 组织。如需将访问权限限制为针对特定用户或组，请执行以下步骤：

1. 在 Microsoft Entra 管理中心，前往您在“步骤 2：配置 Microsoft Entra ID 集成”中为该集成创建的应用程序。
2. 前往企业应用程序 > 属性。
3. 将“需要进行用户分配？”设置为“是”。
4. 在“用户和组”中，分配应拥有访问权限的用户或组。

您租户中的所有用户和组仍然可以在 Test Cloud 中被搜索到，但只有已被分配到该应用程序的用户才能登录。有关更多详细信息，请参阅 Microsoft 文档中有关用户分配的相关说明。

实施网络限制

使用 Microsoft Entra ID 条件访问策略，根据以下条件限制访问：

• 网络位置（例如，仅限公司网络）
• 设备合规性
• 风险级别

有关这些策略的具体配置方法，请参阅 Microsoft 文档中有关“条件访问”的相关说明。

管理特权访问

对于用于管理 UiPath 管理员访问的 Microsoft 入口ID 组，请实施以下访问管理实践：

• 在 Microsoft Entra ID 中启用特权身份管理 (PIM)。
• 配置即时访问和批准工作流。
• 设置定期访问审核，以验证成员资格和权限。

如需配置指导，请参阅 Microsoft 文档中有关“特权身份管理”的相关说明。

常见问题

集成后，我的用户发生了哪些变化？

完成集成后，用户可以使用其 Microsoft Entra ID 帐户登录，并保留其现有权限。如果本地用户帐户仍处于活动状态，则两种登录方法都可用。

要使用目录帐户登录，用户可以执行以下一项操作：

• 前往您平台的组织专属 URL：
  • https://cloud.uipath.com/{organizationName}/
  • https://govcloud.uipath.us/{organizationName}/
• 在主登录页面上，选择“继续使用企业 SSO” 。

为什么在配置集成后无法搜索用户或组？

如果使用本地用户帐户而不是目录帐户登录，则您将无法搜索组织中的用户或组。

要了解本地帐户和目录帐户之间的区别，请参阅“逐步淘汰本地帐户” 。

要解决此问题，请确保您使用 Microsoft Entra ID 帐户登录。

是否需要重新分配权限？

否，您不需要重新分配权限。关联帐户后，您的组织会自动将现有权限应用于相应的 Microsoft Entra ID 帐户。目录用户帐户通过直接分配和目录组成员身份获得权限。

哪些 Microsoft Entra ID 属性映射到 UiPath 目录用户帐户？何时更新？

UiPath 仅将一组有限的 Microsoft Entra ID 属性映射到目录用户帐户。下表总结了可用属性。

在登录期间以及搜索用户或为用户分配对 UiPath 组织中的资源的访问权限期间，所有用户属性都会更新。

UiPath 组织属性	Microsoft Entra ID 属性	用途
用户名	user.userPrincipalName	唯一标识符。创建用户时，此属性为必填，无法在更新期间清除。
显示名称	user.displayName	用户的全名，通常是名字和姓氏的组合。创建用户时，此属性为必填，无法在更新期间清除。
名字	user.givenName	用户的名字。
姓氏	user.surName	用户的姓氏。
电子邮件	user.Mail	用户的电子邮件地址创建用户时，此属性为必填项，无法在更新过程中清除。
职位名称1	user.JobTitle	用户的职位名称。
部门1	user.Department	用户所在部门。
城市1	user.City	用户所在城市。
公司名称1	user.CompanyName	用户的公司名称。

¹Automation Hub 是唯一利用 Microsoft Entra ID 中 “城市” 、 “职位名称” 、 “部门”和“公司名称”值的服务。如果您需要这些属性，则必须请求更高特权，如配置 Microsoft Entra ID 集成中所述。

备注：

有关 Microsoft Entra ID 属性的说明，请参阅Microsoft 文档。

Microsoft Entra ID 组成员身份更改应用的速度需要多快？

对 Microsoft Entra ID 组成员身份的更改将在下一次登录时生效，对于已登录的用户则在一小时内生效。

集成后，是否可以还原为本地帐户？

是的，与 Microsoft Entra ID 集成后，您可以还原为本地帐户。组织管理员必须完成以下步骤：

1. 重新邀请本地用户帐户。
2. 迁移所有目录基于组的权限，以直接分配相应的本地帐户。
3. 请用户注销，然后使用其本地用户帐户登录。

我可以从 Microsoft Entra ID 集成迁移到 SAML 集成吗？

是的，您可以从 Microsoft Entra ID 集成迁移到 SAML 集成。组织管理员必须确保两个身份验证系统对每个用户使用相同的电子邮件地址。管理员还必须将通过 Microsoft Entra ID 组分配的所有权限迁移到 SAML 配置规则。

为什么集成使用 Microsoft Entra ID 的混合 OAuth 2.0 授权代码授权流程？

UiPath 使用混合流程从授权端点获取 ID 令牌并减少身份验证延迟，如Microsoft Entra ID 文档中所述。

Why do unattended robots fail with "Could not obtain the user token from Orchestrator" when debugging in Studio Web?

This error occurs when access to the organization is restricted through Microsoft Entra ID groups and the integration uses delegated access only. Unattended robots run without a signed-in user, so Microsoft Entra ID cannot evaluate their group membership. For workarounds, see Limitations and considerations.