Utilizzare i firewall IP per le connessioni in ingresso agli agenti e a Copilot Studio (anteprima)

[Questo articolo fa parte della documentazione non definitiva, pertanto è soggetto a modifiche.]

Se configuri firewall IP negli ambienti di Power Platform, il firewall blocca le connessioni in ingresso alla tua rete verso gli agenti di Copilot Studio o l'app web di Copilot Studio provenienti da indirizzi IP o intervalli IP non autorizzati o ristretti.

Il firewall IP contribuisce a mitigare le minacce, applicare principi di sicurezza come Zero Trust e limitare l'accesso solo agli utenti che ne hanno bisogno, quando ne hanno bisogno. Il firewall IP può aiutare a:

• Mitigare le minacce interne come l'esfiltrazione dei dati. Ad esempio, un utente malintenzionato che tenta di accedere a Copilot Studio da una posizione IP non autorizzata viene bloccato in tempo reale.
• Impedire attacchi di riproduzione dei token. Ad esempio, se un utente ruba un token di accesso e tenta di utilizzarlo per accedere a una conversazione da un intervallo IP non consentito, Copilot Studio nega il tentativo di accesso in tempo reale.

Quando viene effettuata una richiesta a Copilot Studio, l'indirizzo IP richiesto viene valutato in tempo reale rispetto agli intervalli di IP configurati per l'ambiente Power Platform. Se l'indirizzo IP rientra negli intervalli consentiti, la richiesta è consentita. Se l'indirizzo IP è al di fuori degli intervalli IP configurati per l'ambiente, il firewall IP nega la richiesta con un messaggio di errore all'utente dell'agente o al creatore dell'agente al momento del blocco.

Prerequisiti

• Il tuo ambiente deve essere un ambiente gestito in Power Platform.
• Devi essere un amministratore di Power Platform, ad esempio un amministratore del tenant o avere il ruolo di amministratore dell'ambiente.

Abilitare il firewall IP negli ambienti Power Platform

Per abilitare il firewall IP, vedi Firewall IP negli ambienti Power Platform - Abilitare il firewall IP.

• Abilita il firewall IP per:
  • Ambienti Power Platform singoli, con l'interfaccia di amministrazione di Power Platform
  • Ambienti Power Platform singoli con l'API OData Dataverse
  • Gruppi di ambienti, con l'interfaccia di amministrazione di Power Platform
• Verifica che il firewall IP funzioni

Puoi anche configurare il firewall per usare i service tag, operare in modalità solo controllo e consentire l'accesso ai servizi affidabili Microsoft.

Tag di servizio

I tag di servizio sono insiemi predefiniti di intervalli e indirizzi IP pubblici di Internet in uscita utilizzati dai servizi Azure e Power Platform operati dai clienti e ospitati dai sistemi Microsoft. Ad esempio, potresti avere connessioni da App Web di Azure oppure potresti aver creato un plug-in Dataverse che necessita di accedere agli endpoint di Copilot Studio.

Poiché questi servizi possono avere più indirizzi e intervalli, e Microsoft potrebbe aggiungere o modificare questi servizi, usare i tag di servizio elimina la necessità di trovare e inserire manualmente indirizzi o intervalli individuali per i servizi a cui ti stai collegando.

Quando crei un plug-in, uno strumento o configuri firewall, seleziona i service tag che vuoi includere nella configurazione del firewall.

Ad esempio, se crei un plug-in Dataverse per connetterti a Copilot Studio in base a un evento nella tua istanza Dataverse, seleziona il service tag PowerPlatformPlex durante la configurazione del firewall:

In questo esempio, il tag PowerPlatformPlex contiene gli indirizzi Power Platform e Dataverse necessari all’interazione tra i servizi.

Per maggiori informazioni sui service tag in Power Platform, vedi URL e intervalli di indirizzi IP di Power Platform. Quell'articolo descrive anche i requisiti di connessione di PowerPlatformPlex e di Power Platform nella sezione Indirizzi IP richiesti.

Convalidare il firewall IP per autori e utenti di agenti

Testa il firewall IP per verificarne il funzionamento:

1. Per testare che l'accesso dell'autore e del creatore dell'agente a Copilot Studio sia bloccato:

   1. Da un indirizzo IP che non è nell'elenco consentito, apri Copilot Studio.

   2. Se il firewall funziona, vedi il seguente messaggio di errore, insieme a un indirizzo e-mail per l'amministratore:

      Non è possibile accedere a questo ambiente perché il tuo indirizzo è stato bloccato dall'amministratore. Contatta l'amministratore.

      

2. Per testare che gli utenti agenti siano bloccati dall'interagire con un agente:

   1. Da un indirizzo IP non presente nella lista degli indirizzi consentiti, apri un agente sul tuo sito demo.

   2. Se il firewall è attivo, viene visualizzato il seguente messaggio di errore:

      L'agente non è disponibile al momento perché il tuo indirizzo IP è stato bloccato. Contatta il proprietario dell'agente.

      

Limitazioni note

• Il sistema applica restrizioni del firewall IP degli agenti sulle chat web e sulle API che trasportano contenuti conversazionali.

• Col tempo, le restrizioni del firewall IP degli agenti si estendono a più endpoint.

• Gli agenti pubblicati sui seguenti canali non applicano le restrizioni del firewall IP degli agenti:

  • Canali Microsoft quali Teams e Microsoft 365 Copilot.
  • Altri canali come Facebook.
  • Connesso a Dynamics 365 Customer Insights - Journeys.

• Le sessioni di chat esistenti non vengono disconnesse quando gli amministratori applicano restrizioni al firewall IP. Le restrizioni entrano in vigore al riavvio della sessione.

Indirizzi IP in uscita per competenze nel Bot Framework

Le richiese da Copilot Studio alle competenze di Bot Framework usano i seguenti indirizzi IP nelle rispettive aree geografiche. Se stai utilizzando un servizio Azure, usa i tag del servizio PowerPlatformInfra e PowerPlatformPlex, che implementano automaticamente gli indirizzi IP corretti. Puoi anche inserire manualmente gli indirizzi IP nelle regole di configurazione del traffico.

Configurare tutti i connettori per gli indirizzi IP per Power Automate, oltre a Copilot Studio, per usare entrambi contemporaneamente.

Per ulteriori informazioni sull'uso dei tag di servizio, vedi Tag di servizio della rete virtuale.

¹ I dati dei clienti in America del Sud vengono replicati negli Stati Uniti a scopo di ripristino d'emergenza, pertanto le richieste da Copilot Studio alle competenze di Bot Framework useranno indirizzi IP degli Stati Uniti.