• accounts, which establish the identity of a user and are used to log in to your UiPath® applications.
• roles, que se asignan a las cuentas para concederles determinados permisos en el ecosistema UiPath.

• cómo gestionar los roles
• cómo gestionar las capacidades de automatización, que se configuran como parte de la configuración de roles.

• creadas y gestionadas localmente (cuentas locales)
• created and managed in an external directory (directory accounts and directory groups). See the section AD Integration below for a better understanding of directory integrations.

Integración de AD​

• un Active Directory local
• Azure Active Directory

Requisitos previos​

• El parámetro WindowsAuth.Domain se rellena con un dominio válido. Todos los dominios y subdominios de los bosques de confianza bidireccional con el dominio especificado en el parámetro WindowsAuth.Domain están disponibles al añadir usuarios/grupos.
• La máquina en la que está instalado Orchestrator se une al dominio establecido en el parámetro WindowsAuth.Domain. Para comprobar si el dispositivo está asociado al dominio, ejecuta dsregcmd /status desde el símbolo del sistema del sistema y dirígete a la sección Estado del dispositivo.
• La identidad bajo la que se ejecuta el grupo de aplicaciones de Orchestrator debe formar parte del grupo de acceso de autorización de Windows (WAA).

Comportamiento​

• Al añadir un grupo de directorio se crea una entidad de grupo de usuarios en Orchestrator para la que se configuran los derechos de acceso de la manera deseada. Esta entrada en Orchestrator sirve como referencia al grupo tal y como se encuentra en AD.

• Al iniciar sesión, Orchestrator comprueba la pertenencia a los grupos. Si se confirma, aprovisiona automáticamente tu cuenta de usuario, y luego se asocia a los derechos de acceso heredados del grupo. Los derechos heredados solo se conservan durante la sesión de usuario.

• Se realiza el aprovisionamiento automático la primera vez que inicias la sesión. Una cuenta de usuario aprovisionada automáticamente no se elimina al cerrar la sesión, ya que podrías necesitar la entrada para fines de auditoría.

• Orchestrator comprueba la pertenencia a un grupo de una cuenta al iniciar la sesión o bien, cada hora durante las sesiones activas. Si la pertenencia a un grupo de una cuenta cambia, los cambios se aplicarán la próxima vez que la cuenta se conecte o, si ya se ha conectado, en el plazo de una hora.

  This one hour interval for checking group membership can be changed by setting the value of IdentityServer.GroupMembershipCacheExpireHours.

• Los grupos en AD se sincronizan con Orchestrator, si bien los cambios realizados en Orchestrator no afectan a la configuración de los usuarios en AD.

• Los usuarios de AD cuyos derechos de acceso heredados (de la pertenencia a un grupo) no pueden determinarse se comportan como usuarios locales, lo que significa que dependen únicamente de los roles asignados a la cuenta de usuario.

• La única forma de configurar derechos de acceso que persistan entre sesiones, independientemente de los cambios en la pertenencia a un grupo, es asignar directamente el rol a la cuenta de usuario en Orchestrator, en lugar de utilizar grupos para asignar roles.

Problemas conocidos​

• Debido a diversos problemas de red o de configuración, existe la posibilidad de que no todos los dominios mostrados en el Nombre de dominio estén accesibles.
• Los cambios realizados en los nombres de usuarios o grupos en AD no se propagan a Orchestrator.
• La actualización de la lista de dominios con los nuevos dominios de confianza bidireccionales puede tardar hasta una hora.
• Las solicitudes GetOrganizationUnits(Id) y GetRoles(Id) solo devuelven carpetas y roles establecidos explícitamente para un usuario aprovisionado automáticamente. Los heredados de la configuración del grupo pueden recuperarse a través del punto final /api/DirectoryService/GetDirectoryPermissions?userId={userId}.
• Lo mismo vale para la interfaz de usuario, donde solo se muestran carpetas y roles establecidos de forma explícita en la página Usuarios. En contraste, los heredados tienen una nueva ubicación independiente, la ventana Permisos de usuario (Usuarios > Más acciones > Comprobar permisos).
• Los usuarios no heredan la configuración de la suscripción a las alertas del grupo principal, ni reciben ninguna alerta de forma predeterminada. Para tener acceso a las alertas deberás otorgar los permisos correspondientes al usuario explícitamente.
• Eliminar un grupo de directorio no elimina la licencia de un usuario de directorio asociado, incluso si la eliminación del grupo quita al usuario de cualquier carpeta. La única forma de eliminar la licencia es cerrar la bandeja de Robots.
• En ciertos navegadores, iniciar sesión en Orchestrator utilizando tus credenciales de AD solo requiere tu nombre de usuario. No hace falta especificar también el dominio. Por tanto, si la sintaxis dominio/nombre de usuario no funciona, intenta rellenar solo el nombre de usuario.

Consideraciones de auditoría​

• Membresía de usuario: el usuario [username] se asignó a los siguientes grupos de directorio [Grupos de directorio de los que el usuario hereda derechos de acceso en la sesión actual].
• Aprovisionamiento automático: el usuario [username] será aprovisionado automáticamente de los siguientes grupos de directorio [Grupos de directorio de los que el usuario hereda derechos de acceso en la sesión actual].

Tipos de usuario​

Grupo​

• El grupo Usuarios de automatización existe en el servicio de Finanzas de Orchestrator
• El grupo de Administradores existe en el servicio de RR. HH. de Orchestrator
• Asignación directa de roles a la cuenta de John en ambos servicios.

Usuario​

Robot​

Iconos de cuentas y grupos​

Iconos de la cuenta​

Iconos del grupo​

Permisos para la gestión de usuarios​

• Ver en Usuarios: permite la visualización de las páginas Usuarios y Perfil.
• Editar en Usuarios: permite editar los detalles y la configuración del usuario en la página Perfil, así como activar/desactivar usuarios en la página Usuarios.
• Users - View and Roles - View - Displaying user permissions.
• Editar en Usuarios y Ver en Roles: permite editar asignaciones de rol en la página Gestionar accesos > Asignar roles.
• Crear en Usuarios y Ver en Roles: permiten crear un usuario.
• Ver en Usuarios y Editar en Roles: permiten gestionar roles en la ventana Gestionar usuarios, que se abre desde la página Gestionar accesos > Roles.
• Eliminar en Usuarios: permite eliminar un usuario de Orchestrator.

Tipos de permisos y roles​

• Los permisos de tenant definen el acceso de un usuario a los recursos en el nivel de tenant.
• Los permisos de carpeta definen el acceso y la capacidad del usuario dentro de cada carpeta a la que se asignan.

• Permisos de carpeta (tenant en el ámbito):
  • permitir a un usuario crear, editar o eliminar todas las carpetas dentro de todo el tenant.
  • normalmente se conceden a administradores o usuarios responsables de gestionar la organización.
• Permisos de subcarpeta (carpeta en ámbito):
  • permitir a un usuario crear, editar o eliminar una carpeta en particular a la que están asignados, junto con cualquier subcarpeta bajo ella.
  • ofrecen control más granular, permitiendo a los usuarios gestionar carpetas específicas sin tener control sobre las otras carpetas en el tenant.

• Roles de tenant, que incluyen permisos de tenant, y se requieren para trabajar en el nivel de tenant.

• Roles de carpeta, que incluyen permisos para trabajar dentro de una carpeta.

• Roles mixtos, que incluyen ambos tipos de permisos.

  Con los roles mixtos, para una operación global, solo se tienen en cuenta los permisos de tenant del usuario. Para una operación específica de carpeta, si se define un rol personalizado, los permisos de carpeta se aplican en favor de cualquier permiso de tenant presente.

  Nota:

  Los roles mixtos ya no son compatibles y no se pueden crear roles nuevos. Si tienes roles mixtos, recomendamos reemplazarlos por una combinación de roles de tenant y carpeta para conceder los permisos necesarios.

Asignar los diferentes tipos de roles​

• Si la opción Activar las carpetas clásicas está desactivada en Tenant > Configuración > General:

  You assign tenant roles and mixed roles from the Users page or from the Roles page.

  You assign folder roles and mixed roles from the Folders page or from the folder's Settings page.

• Si la opción Activar las carpetas clásicas está desactivada en Tenant > Configuración > General:

  Se asigna cualquiera de los tres tipos de roles desde la página Usuarios o desde la página Roles.

  You assign folder roles and mixed roles from the Folders page or from the folder's Settings page.

Permisos sin efecto​

Bloqueo de cuenta​