Bekannte Einschränkungen

• Directory search does not find users from an external trust domain. This feature is not supported because there isn't a mutually-trusted authority with external trusts.
• Die Windows-Authentifizierung verwendet das Kerberos-Protokoll in der Automation Suite, daher kann die Windows-Anmeldung nur mit Maschinen verwendet werden, die der Domäne hinzugefügt wurden.

Schritt 1. Konfigurieren der Active Directory-Integration

Arbeiten Sie mit Ihren IT-Administratoren zusammen, um sicherzustellen, dass der Automation Suite-Cluster auf Ihr Active Directory (AD) zugreifen kann.

Die Active Directory-Integration kann mit einer von zwei Optionen konfiguriert werden:
a. Kerberos-Authentifizierung
b. Benutzername und Kennwort

Anweisungen zu den einzelnen Optionen finden Sie unten. Befolgen Sie die für Ihr ausgewähltes Authentifizierungsprotokoll geltenden Anweisungen.

Die Kerberos-Authentifizierung wird empfohlen, da sie mehr Szenarien unterstützt:

A. Kerberos-Konfiguration (empfohlen)

1. Konfigurieren Sie die Kerberos-Authentifizierung gemäß den Anweisungen unter Einrichten der Kerberos-Authentifizierung.
2. Melden Sie sich als Systemadministrator beim Hostportal der Automation Suite an.
3. Stellen Sie sicher, dass Host oben im linken Bereich ausgewählt ist, und klicken Sie dann auf Sicherheit.
4. Under Active Directory, click Configure.
   • Aktivieren Sie optional das Kontrollkästchen Automatische Anmeldung mit diesem Anbieter erzwingen, wenn Sie die Anmeldung nur mit Active Directory-Konten zulassen möchten. Tun Sie dies nur, wenn die Integration mit dem Anbieter erfolgreich validiert wurde, um eine Sperrung zu verhindern.
   • Lassen Sie das Kontrollkästchen Kerberos-Authentifizierung verwenden aktiviert.
   • Geben Sie im Feld Anzeigename den Text ein, der unter dieser Anmeldeoption auf der Seite Anmeldung angezeigt werden soll.
5. Klicken Sie auf Speichern , um Ihre Änderungen zu speichern und zur vorherigen Seite zurückzukehren.
6. Klicken Sie auf den Umschalter links neben Active Directory, um die Integration zu aktivieren.
7. Starten Sie den identity-service-api-*-Pod neu.
   a. Stellen Sie mit SSH eine Verbindung mit dem primären Server her.
   b. Führen Sie den folgenden Befehl aus:

kubectl -n uipath rollout restart deployment identity-service-api

Alte Administratorerfahrung

Wenn Sie den Umschalter Neue Administratorumgebung deaktiviert haben, folgen Sie diesen Anweisungen:

1. Konfigurieren Sie die Kerberos-Authentifizierung gemäß den Anweisungen unter Einrichten der Kerberos-Authentifizierung.
2. Melden Sie sich als Systemadministrator beim Hostportal der Automation Suite an.
3. Gehen Sie zu den Sicherheitseinstellungen.
4. Klicken Sie im Abschnitt Externe Anbieter unter Active Directory auf Konfigurieren.
   • Aktivieren Sie das Kontrollkästchen Aktiviert, um die Integration zu aktivieren.
   • Aktivieren Sie das Kontrollkästchen Automatische Anmeldung mit diesem Anbieter erzwingen, wenn Sie die Anmeldung nur mit Active Directory-Konten zulassen möchten. Tun Sie dies nur, wenn die Integration mit dem Anbieter erfolgreich validiert wurde, um eine Sperrung zu verhindern.
   • Geben Sie im Feld Anzeigename den Text ein, der unter dieser Anmeldeoption auf der Seite Anmeldung angezeigt werden soll.
   • Lassen Sie das Kontrollkästchen Kerberos-Authentifizierung verwenden aktiviert.
5. Klicken Sie auf Testen und Speichern, um Ihre Änderungen zu speichern.
6. Starten Sie den identity-service-api-*-Pod neu.
   a. Stellen Sie mit SSH eine Verbindung mit dem primären Server her.
   b. Führen Sie den folgenden Befehl aus:

kubectl -n uipath rollout restart deployment identity-service-api

b. Konfiguration von Benutzername und Kennwort

When you use this option, UiPath service uses credentials provided in clear text to communicate with Active Directory. To prevent this, we recommend using LDAP over SSL (LDAPS) with this configuration.
Only users from the same forest as the one configured in this page can interact with the UiPath cluster. Users from trusted forests will not be able to login to this UiPath cluster.

b.1. Voraussetzung für die Verwendung von LDAPS

Wenn Sie LDAP over SSL (LDAPS) verwenden möchten, müssen Sie zunächst LDAP over SSL in Ihrer AD-Umgebung konfigurieren und das Stammzertifikat erhalten, das in der UiPath-Clusterkonfiguration verwendet werden soll.

1. Erwerben und installieren Sie das SSL-Zertifikat für LDAPS auf jedem Domänencontroller.
   Weitere Informationen und Anweisungen finden Sie im Artikel LDAP über das SSL-Zertifikat (LDAPS).
2. Codieren Sie das Stammzertifikat in Base64, indem Sie den folgenden Befehl ausführen:

[Convert]::ToBase64String([System.IO.File]::ReadAllBytes("<Path to the .crt or .cer file>"))

3. Fügen Sie das codierte Stammzertifikat in ArgoCD hinzu:
   a. Melden Sie sich bei ArgoCD an.
   b. Wählen Sie die UiPath-Anwendung aus und öffnen Sie sie.
   c.Klicken Sie in der oberen linken Ecke auf APP-DETAILS.
   d. Suchen Sie im Abschnitt „Parameter“ nach dem Parameter global.userInputs.certificate.identity.ldaps.customRootCA.
   e. Aktualisieren Sie den Wert des Parameters auf den zuvor abgerufenen codierten Inhalt.
   f. Speichern.
   g. Klicken Sie auf Synchronisieren, um Ihre Änderungen übernehmen.

b.2. Active Directory-Konfiguration

1. Melden Sie sich als Systemadministrator beim Hostportal der Automation Suite an.
2. Stellen Sie sicher, dass Host oben im linken Bereich ausgewählt ist, und klicken Sie dann auf Sicherheit.
3. Under Active Directory, click Configure.
   • Wenn Sie nur die Anmeldung mit Active Directory-Konten zulassen möchten, aktivieren Sie das Kontrollkästchen Automatische Anmeldung mit diesem Anbieter erzwingen.
   • Deaktivieren Sie das Kontrollkästchen Kerberos-Authentifizierung verwenden.
   • (Optional, aber dringend empfohlen) Aktivieren Sie das Kontrollkästchen LDAP über SSL (LDAPS) verwenden.
   • Geben Sie im Feld Anzeigename den Namen ein, der auf der Anmeldeseite für diese Anmeldeoption angezeigt werden soll.
   • Geben Sie im Feld Standarddomäne Ihren vollqualifizierten Domänennamen (FQDN) für Active Directory (AD) ein.
   • Geben Sie im Feld Benutzername den Benutzernamen eines AD-Benutzers ein. Die Eingabe muss das Format DOMAIN\username haben. Zum Beispiel: TESTDOMAIN\user1.
   • Geben Sie im Feld Benutzerkennwort das Kennwort für das obige AD-Konto ein.
4. Klicken Sie auf Testen und Speichern , um die Änderungen zu speichern und zur vorherigen Seite zurückzukehren.
5. Klicken Sie auf den Umschalter links neben Active Directory, um die Integration zu aktivieren.
6. Starten Sie den identity-service-api-*-Pod neu.
   a. Stellen Sie mit SSH eine Verbindung mit dem primären Server her.
   b. Führen Sie den folgenden Befehl aus:

kubectl -n uipath rollout restart deployment identity-service-api

Alte Administratorerfahrung

Wenn Sie den Umschalter Neue Administratorumgebung deaktiviert haben, folgen Sie diesen Anweisungen:

1. Melden Sie sich als Systemadministrator beim Hostportal der Automation Suite an.
2. Gehen Sie zu den Sicherheitseinstellungen.
3. Klicken Sie im Abschnitt Externe Anbieter unter Active Directory auf Konfigurieren.
   • Aktivieren Sie das Kontrollkästchen Aktiviert.
   • Wenn Sie nur die Anmeldung mit Active Directory-Konten zulassen möchten, aktivieren Sie das Kontrollkästchen Automatische Anmeldung mit diesem Anbieter erzwingen.
   • (Optional, aber dringend empfohlen) Aktivieren Sie das Kontrollkästchen LDAP über SSL (LDAPS) verwenden.
   • Das Kontrollkästchen Kerberos-Authentifizierung verwenden muss deaktiviert sein.
   • Geben Sie im Feld Anzeigename den Namen ein, der auf der Anmeldeseite für diese Anmeldeoption angezeigt werden soll.
   • Geben Sie im Feld Standarddomäne Ihren vollqualifizierten Domänennamen (FQDN) für Active Directory (AD) ein.
   • Geben Sie im Feld Benutzername den Benutzernamen eines AD-Benutzers ein. Die Eingabe muss das Format DOMAIN\username haben. Zum Beispiel: TESTDOMAIN\user1.
   • Geben Sie im Feld Benutzerkennwort das Kennwort für das obige AD-Konto ein.
4. Klicken Sie auf Testen und Speichern, um die Änderungen zu übernehmen.
5. Starten Sie den identity-service-api-*-Pod neu.
   a. Stellen Sie mit SSH eine Verbindung mit dem primären Server her.
   b. Führen Sie den folgenden Befehl aus:
   kubectl -n uipath rollout restart deployment identity-service-api

Fehlersuche und ‑behebung

Domäne nicht erreichbar.

Wenn Sie den Fehler Domain unreachable erhalten, überprüfen Sie das DNS-Routing mithilfe des Befehls getent ahosts <AD domain>.
Wenn keine IP-Adresse zurückgegeben wird, überprüfen Sie den /etc/resolv.conf-Knoten. Der Nameserver-Wert muss auf den AD Domänen-DNS verweisen. Wenn dies nicht der Fall ist, wenden Sie sich an Ihren Systemadministrator, um die richtige Konfiguration zu erhalten.

If the node runs on Azure, follow the instructions in Name resolution for resources in Azure virtual networks.
Eine Möglichkeit hierfür ist:

1. Wechseln Sie in Azure zum virtuellen Knotennetzwerk und legen Sie die DNS-Server des virtuellen Netzwerks auf die Active Directory-DNS fest.
2. Überprüfen Sie, ob /etc/resolv.conf aktualisiert wird, indem Sie den folgenden Befehl ausführen:

systemctl restart NetworkManager.service

3. Starten Sie das Cluster-Kern-DNS von ArgoCD aus neu.

Domäne bei Verwendung von LDAPS nicht erreichbar

Wenn Sie den Fehler Domain unreachable erhalten, wenn LDAPS aktiviert ist, kann dies daran liegen, dass das falsche Zertifikat verwendet wird.

Überprüfen Sie, ob Sie mehrere für die Serverauthentifizierung gültige Zertifikate im lokalen Zertifikatspeicher des LDAP-Servers zur Verfügung haben. In diesem Fall wird für die LDAPS-Kommunikation möglicherweise ein anderes als das gewünschte Zertifikat verwendet.
Am einfachsten ist es, alle unnötigen Zertifikate aus dem Zertifikatsspeicher des lokalen Computers zu entfernen und nur ein Zertifikat zu verwenden, das für die Serverauthentifizierung gültig ist.

Schritt 2. Konfigurieren einer Windows-Authentifizierung

Voraussetzung

Obtain the <KERB_DEFAULT_KEYTAB>, which is the base64-encoded string of the keytab file generated as part of Kerberos setup.

Konfigurieren des Automation Suite-Clusters

Wichtiger Hinweis:
Skip this step if you already configured Automation Suite as a Kerberos client following the procedure described in the Configuring Automation Suite as a Kerberos client guide.

If you configured the Active Directory integration through the username and password method, which is not recommended, perform the following steps:

1. Gehen Sie zu Argo CD und melden Sie sich als Administrator an.
2. Wählen Sie die „UiPath“-Anwendung aus und öffnen Sie sie.
3. Klicken Sie in der linken oberen Ecke auf APP DETAILS.
4. Suchen Sie im Abschnitt PARAMETERS nach dem Parameter global.kerberosAuthConfig.userKeytab.
   Der Parameter hat standardmäßig einen Platzhalterwert.
5. Aktualisieren Sie den Platzhalterwert des Parameters mit <KERB_DEFAULT_KEYTAB> und speichern Sie dann.
6. Klicken Sie auf SYNC, um die Änderungen zu übernehmen.
7. Starten Sie den Identity Server nach einer erfolgreichen Synchronisierung neu, indem Sie den folgenden Befehl ausführen:
   kubectl -n uipath rollout restart deployment identity-service-api

Schritt 3. Browserkonfiguration

Microsoft Internet Explorer

Nicht unterstützt.

Microsoft Edge

Keine zusätzliche Konfiguration erforderlich.

Google Chrome

Normalerweise funktioniert Google Chrome ohne zusätzliche Konfiguration.
Wenn dies nicht der Fall ist, befolgen Sie die nachstehenden Anweisungen.

1. Gehen Sie zu Tools > Internetoptionen > Sicherheit.
2. Wählen Sie Lokales Intranet aus.
3. Klicken Sie auf Seiten.
4. Stellen Sie sicher, dass die Option Automatisches Erkennen des Intranet-Netzwerks ausgewählt ist oder dass alle Optionen ausgewählt sind.
5. Klicken Sie auf Erweitert.
6. Fügen Sie den FQDN der Automation Suite zum lokalen Intranet hinzu.
7. Klicken Sie auf Schließen und OK.
8. Klicken Sie auf Benutzerdefinierte Ebene.
9. Wählen Sie unter Benutzerauthentifizierung gegebenenfalls die Option Automatische Anmeldung nur in der Intranet-Zone aus
   Wenn diese Option ausgewählt ist, prüft der Browser die Quelle der Anforderung, wenn er die Authentifizierungsanforderung für die Umleitung erhält. Wenn die Domäne oder IP zum Intranet gehört, sendet der Browser den Benutzernamen und das Kennwort automatisch. Andernfalls öffnet der Browser ein Eingabedialogfeld für Benutzernamen und Kennwort und erwartet eine manuelle Eingabe.
10. Wählen Sie unter Benutzerauthentifizierung gegebenenfalls die Option Automatische Anmeldung mit aktuellem Benutzernamen und Kennwort aus.
    Wenn diese Option ausgewählt ist, sendet der Browser im Hintergrund den Benutzernamen und das Kennwort, wenn er die Authentifizierungsanforderung für die Umleitung erhält. Wenn das Authentifizierungsergebnis erfolgreich ist, setzt der Browser mit der ursprünglichen Aktion fort. Wenn die Authentifizierung fehlschlägt, öffnet der Browser ein Eingabedialogfeld für den Benutzernamen und das Kennwort und wiederholt die Authentifizierung, bis sie erfolgreich ist.
11. Stellen Sie sicher, dass die Option Integrierte Windows-Authentifizierung aktivieren unter der Registerkarte Internetoptionen > Erweitert und im Abschnitt Sicherheit ausgewählt ist.

Mozilla Firefox

1. Öffnen Sie das Fenster für die Browserkonfiguration.
2. Geben Sie about:config in die Adressleiste ein.
3. Geben Sie die Automation Suite-FQDNs an, für die Sie die Kerberos-Authentifizierung verwenden:
   a. Suchen Sie nach dem Begriff network.negotiate.
   b. Aktivieren und legen Sie Folgendes für Kerberos fest: network.negotiate-auth.delegation-uris (Beispielwert: uipath-34i5ui35f.westeurope.cloudapp.azure.com), network.negotiate-auth.trusted-uris (Beispielwert: uipath-34i5ui35f.westeurope.cloudapp.azure.com) und network.negotiate-auth.allow-non-fqdn (Wert: true).

Schritt 4. Zulassen der Windows-Authentifizierung für die Organisation

Nachdem die Automation Suite jetzt mit der Windows-Authentifizierung integriert ist, können Benutzer, für die ein Benutzerkonto in der Automation Suite erstellt wird, die Windows-Option auf der Anmeldeseite verwenden, um sich bei der Automation Suite anzumelden.

Jeder Organisationsadministrator muss dies für seine Organisation tun, wenn er die Anmeldung mit Windows-Anmeldeinformationen zulassen möchte.

1. Melden Sie sich als Organisationsadministrator bei der Automation Suite an.
2. Weisen Sie eine Rolle auf Organisationsebene einem Active Directory-Benutzer oder einer Gruppe zu, die Sie über die Suche auswählen können.
3. Wiederholen Sie den obigen Schritt für jeden Benutzer, dem Sie die Anmeldung mit der Windows-Authentifizierung erlauben möchten.

Die Benutzer, denen Sie Rollen zugewiesen haben, können sich dann mit ihrem Active Directory-Konto bei der Automation Suite-Organisation anmelden. Sie müssen sich von einer Maschine aus anmelden, die mit der Domäne verbunden ist.

Fehlersuche und ‑behebung

Wenn Sie eine HTTP 500-Fehlermeldung erhalten, wenn Sie versuchen, sich mit Windows-Anmeldeinformationen anzumelden, sollten Sie Folgendes überprüfen:

a. Ist die Windows-Maschinen mit der Domäne verbunden?
Wechseln Sie auf der Maschine zu „Systemsteuerung“ > „System und Sicherheit“ > „System“ und überprüfen Sie, ob eine Domäne angezeigt wird. Wenn keine Domäne angezeigt wird, fügen Sie die Maschine zur Domäne hinzu. Maschinen müssen mit der Domäne verbunden sein, um die Windows-Authentifizierung mit dem Kerberos-Protokoll zu verwenden.

b. Können Sie sich bei der Windows-Maschine mit den gleichen Anmeldeinformationen anmelden?
Wenn nicht, bitten Sie Ihren Systemadministrator um Hilfe.

c. Verwenden Sie einen anderen Browser als Microsoft Edge?
Additional configuration is required for supported browsers other than Microsoft Edge.

d. Überprüfen Sie die Keytab-Konfiguration:

• Nach dem Generieren der Keytab sollte die Eigenschaft des AD-Benutzers auf dem Active Directory Server (servicePrincpalName) in der Form HTTP/<Service Fabric FQDN> sein – z. B. HTTP/uipath-34i5ui35f.westeurope.cloudapp.azure.com.

• Die Option Dieses Konto unterstützt die Kerberos AES 256-Bit-Verschlüsselung muss für das Benutzerkonto in AD ausgewählt sein.
  Wenn sie nicht ordnungsgemäß konfiguriert ist, können Sie im Identity-Service-API-Protokoll Folgendes sehen:

Microsoft.AspNetCore.Authentication.Negotiate.NegotiateHandler An exception occurred while processing the authentication request.
GssApiException*GSSAPI operation failed with error - Unspecified GSS failure. Minor code may provide more information (Request ticket server HTTP/sfdev.eastus.cloudapp.azure.com@EXAMPLE.COM kvno 4 enctype aes256-cts found in keytab but cannot decrypt ticket).* at Microsoft.AspNetCore.Authentication.Negotiate.NegotiateHandler.HandleRequestAsync()

e. Wenn Sie mehrere Active Directorys in der von Ihnen verwendeten Domäne konfiguriert haben, schlägt die Authentifizierung fehl und im Identity-Service-API-Protokoll sehen Sie Folgendes:

kinit: Client 'xyz@example.com' not found in Kerberos database while getting initial credentials

Stellen Sie in diesem Fall sicher, dass das für die Authentifizierung erstellte Maschinenkonto in alle Active Directorys repliziert wird.

f. Wenn Sie ktpass ausführen und dem Benutzerkonto ein neues Kennwort zuweisen, erhöht sich die Schlüsselversion (kvno) und macht die alte Keytab ungültig. Im Identity-Service-API-Protokoll sehen Sie dann Folgendes:

Request ticket server HTTP/rpasf.EXAMPLE.COM kvno 4 not found in keytab; ticket is likely out of date

In diesem Fall müssen Sie krb5KeytabSecret in ArgoCD aktualisieren.

z. B. Wenn der folgende Fehler im identity-service-api -Pod angezeigt wird:

GssApiException*GSSAPI operation failed with error - Unspecified GSS failure. Minor code may provide more information (Keytab FILE:/uipath/krb5/krb5.keytab is nonexistent or empty).

Überprüfen Sie zuerst, ob Sie den Parameter global.userInputs.identity.krb5KeytabSecret in ArgoCD angegeben haben.
Wenn der Parameter vorhanden ist, überprüfen Sie, ob Sie sich mit den Anmeldeinformationen des AD-Benutzers, der zum Generieren der Keytab verwendet wird, bei der Windows-Maschine anmelden können. Beachten Sie, dass Sie die Keytab neu generieren müssen, wenn das Kennwort geändert wurde oder abgelaufen ist.
Eine weitere mögliche Ursache für dieses Problem ist, dass ArgoCD zuvor falsch synchronisiert wurde. Um das Problem zu beheben, entfernen Sie die vorhandene global.userInputs.identity.krb5KeytabSecret , synchronisieren Sie ArgoCD, und sobald der Vorgang erfolgreich ist, aktualisieren Sie global.userInputs.identity.krb5KeytabSecret , und synchronisieren Sie erneut.

h. Verwendet der Browser den erwarteten SPN?
If Kerberos event logging is enabled by following these instruction, you will see the KDC_ERR_S_PRINCIPAL_UNKNOWN error in the Kerberos event logs. For details on this issue, see Microsoft documentation.
To solve this issue, disable the CNAME lookup when negotiating Kerberos authentication by modifying the group policy. For details, see instructions for Google Chrome and for Microsoft Edge.