Bruk IP-brannmurer for innkommende tilkoblinger til agenter og Copilot Studio (forhåndsversjon)

[Denne artikkelen inneholder dokumentasjon for forhåndsversjonen og kan bli endret.]

Hvis du konfigurerer IP-brannmurer i Power Platform-miljøer, blokkerer brannmuren tilkoblinger inn til Copilot Studio-agenter eller Copilot Studio-nettappen fra begrensede eller ikke-tillatte IP-adresser eller IP-områder.

En IP-brannmur bidrar til å redusere trusler, hjelper deg å implementere sikkerhetsprinsipper som Ingen klarering, og begrenser tilgang til bare de brukerne som trenger det, når de trenger det. IP-brannmuren kan bidra til å:

• Hjelper med å begrense innsidetrusler som dataeksfiltrering. Eksempelsvis blokkeres en ondsinnet bruker som prøver å få tilgang til Copilot Studio fra en ikke tillatt IP-adresse, i sanntid.
• Forhindre avspillingsangrep på tokener. For eksempel, hvis en bruker stjeler en tilgangstoken og prøver å bruke den til å få tilgang til en samtale utenfor et tillatt IP-område, avslår Copilot Studio tilgangsforsøket i sanntid.

Når en forespørsel sendes til Copilot Studio, evalueres den forespurte IP-adressen i sanntid mot IP-områdene som er konfigurert for Power Platform-miljøet. Hvis IP-adressen er i de tillatte områdene, er forespørselen tillatt. Hvis IP-adressen er utenfor IP-områdene som er konfigurert for miljøet, avviser IP-brannmuren forespørselen med en feilmelding til agentbrukeren eller agentoppretteren på tidspunktet for blokkeringen.

Forutsetning

• Miljøet må være et administrert miljø i Power Platform.
• Du må være Power Platform-administrator, for eksempel en leietakeradministrator eller ha miljøadministratorrollen.

Aktiver IP-brannmur for Power Platform-miljøer

For å aktivere IP-brannmuren, se IP-brannmur i Power Platform-miljøer – Aktiver IP-brannmuren.

• Aktiver IP-brannmuren for:
  • Single Power Platform-miljøer, med Power Platform administrasjonssenter
  • Single Power Platform-miljøer, med Dataverse OData API
  • Miljøgrupper, med administrasjonssenter for Power Platform
• Sjekk om IP-brannmuren fungerer

Du kan også konfigurere brannmuren til å bruke tjenestetagger, operere i audit-only-modus og tillate tilgang for Microsoft klarerte tjenester.

Servicemerker

Tjenestetagger er forhåndsdefinerte sett med utgående offentlige IP-områder og adresser på internett som kundedrevne Azure- og Power Platform-tjenester hostet av Microsoft-systemer bruker. For eksempel kan du ha tilkoblinger fra Azure Web Apps, eller du har laget en Dataverse-plugin som trenger tilgang til Copilot Studio-endepunkter.

Siden disse tjenestene kan ha flere adresser og områder, og Microsoft kan legge til eller endre disse tjenestene, fjerner bruk av tjenestetagger behovet for manuelt å finne og legge inn individuelle adresser eller områder for tjenestene du kobler til.

Når du oppretter en plugin, et verktøy eller konfigurerer brannmurer, velg tjenestetaggene som skal inkluderes i brannmurens konfigurasjon.

Eksempelsvis, hvis du oppretter en Dataverse-plugin for å koble til Copilot Studio basert på en hendelse i Dataverse-instansen din, velg tjenestetaggen PowerPlatformPlex når du konfigurerer brannmuren:

I dette eksempelet inneholder tjenestetaggen PowerPlatformPlex de nødvendige Power Platform- og Dataverse-adressene som trengs for at tjenestene skal kunne samhandle.

For mer informasjon om tjenestetagger i Power Platform, se Power Platform nettadresser og IP-adresseområder. Den artikkelen beskriver også PowerPlatformPlex og krav til Power Platform-tilkoblinger under avsnittet om nødvendige IP-adresser.

Valider IP-brannmur for agentforfattere og agentbrukere

Test IP-brannmuren for å verifisere at den fungerer:

1. For å teste at agentforfatter- og maker-tilgang til Copilot Studio er blokkert:

   1. Fra en IP-adresse som ikke er på tillatelseslisten, åpne Copilot Studio.

   2. Hvis brannmuren fungerer, ser du følgende feilmelding, sammen med en e-postadresse til administratoren:

      Tilgang til dette miljøet er ikke mulig fordi -adressen er blokkert av administratoren. Kontakt administratoren.

      

2. For å teste at agentbrukere blokkeres fra å samhandle med en agent:

   1. Fra en IP-adresse som ikke er på listen over tillatte IP-adresser, åpne en agent på demo-nettsiden din.

   2. Hvis brannmuren fungerer, ser du følgende feilmelding:

      Agenten er ikke tilgjengelig for øyeblikket fordi IP-adressen din er blokkert. Kontakt agenteieren din.

      

Kjente begrensninger

• Systemet håndhever agentens IP-brannmurbegrensninger på webnettprat og API-er som inneholder samtaleinnhold.

• Med tiden vil IP-brannmurbegrensninger omfatte flere endepunkter.

• Agenter publisert på følgende kanaler håndhever ikke IP-brannmurbegrensninger:

  • Microsoft-kanaler som Teams og Microsoft 365 Copilot.
  • Andre kanaler som Facebook.
  • Koble til Dynamics 365 Customer Service-data.

• Eksisterende nettpratsesjoner avsluttes ikke når administratorer innfører IP-brannmurbegrensninger. Restriksjonene gjelder når økten starter på nytt.

Utgående IP-adresser for Bot Framework-kompetanser

Forespørsler fra Copilot Studio til Bot Framework-ferdigheter bruker følgende IP-adresser i de respektive områdene. Hvis du bruker en Azure-tjeneste, bruk tjenestemerkene PowerPlatformInfra og PowerPlatformPlex, som automatisk implementerer de riktige IP-adressene. Du kan også manuelt angi IP-adresser i reglene for trafikkonfigurasjon.

Konfigurer alle koblinger for IP-adresser for Power Automate, i tillegg til Copilot Studio, for å bruke begge sammen.

For mer informasjon om bruk av tjenestemerker, se Virtual network service tags.

¹ Kundedata i Sør-Amerika replikeres i USA for bruk i forbindelse med nødgjenoppretting, slik at forespørsler fra Copilot Studio til Bot Framework-ferdigheter bruker IP-adresser i USA.