Usar firewalls de IP para conexões de entrada com agentes e o Copilot Studio (versão preliminar)

[Este artigo faz parte da documentação de pré-lançamento e está sujeito a alterações.]

Se você configurar firewalls de IP nos ambientes do Power Platform, o firewall bloqueará conexões para agentes do Copilot Studio ou para o Aplicativo Web Copilot Studio provenientes de IPs ou intervalos de IP restritos ou não permitidos.

Um IP de firewall ajuda a mitigar ameaças, a aplicar princípios de segurança como Confiança Zero e a limitar o acesso somente aos usuários que precisam, no momento em que precisam. O IP de firewall pode ajudar a:

• Reduzir ameaças internas, como exfiltração de dados. Por exemplo, um usuário malicioso que tenta acessar o Copilot Studio a partir de um IP não permitido é bloqueado em tempo real.
• Impedir ataques de repetição do token. Por exemplo, se um usuário rouba um token de acesso e tenta usá-lo para acessar uma conversa de fora de uma faixa de IP permitida, o Copilot Studio nega a tentativa de acesso em tempo real.

Quando uma solicitação é feita ao Copilot Studio, o endereço IP é avaliado em tempo real em relação aos intervalos de IP configurados para o ambiente do Power Platform. Se o endereço IP estiver nos intervalos permitidos, a solicitação será permitida. Se o endereço IP estiver fora dos intervalos de IP configurados para o ambiente, o firewall IP nega a solicitação com uma mensagem de erro para o usuário do agente ou para o criador do agente no momento do bloqueio.

Pré-requisitos

• Seu ambiente deve ser um Ambiente Gerenciado no Power Platform.
• Você deve ser um administrador do Power Platform, como um administrador do locatário ou ter a função de Administrador de Ambiente.

Habilitar o firewall do IP nos ambientes do Power Platform

Para ativar o firewall do IP, consulte Firewall do IP em ambientes do Power Platform - Ativar o firewall do IP.

• Habilite o firewall do IP para:
  • Ambientes individuais do Power Platform, com o centro de administração da Power Platform
  • Ambientes do Power Platform únicos, com a API OData do Dataverse
  • Grupos de ambientes, com o Centro de administração do Power Platform
• Validar se o Firewall do IP está funcionando

Você também pode configurar o firewall para usar marcas de serviço, operar em modo somente de auditoria e permitir o acesso de serviços confiáveis da Microsoft.

Marcas de serviço

Marcas de serviço são conjuntos predefinidos de intervalos e endereços de IP públicos de internet de saída que os serviços do Azure e do Power Platform operados pelo cliente e hospedados em sistemas Microsoft utilizam. Por exemplo, você pode ter conexões de aplicativos Web do Azure ou ter criado um plug-in do Dataverse que precisa acessar pontos de extremidade do Copilot Studio.

Como esses serviços podem ter vários endereços e intervalos, e a Microsoft pode adicionar ou alterar esses serviços, usar marcas de serviço elimina a necessidade de encontrar e inserir manualmente endereços ou intervalos individuais para os serviços aos quais você está se conectando.

Quando você criar um plug-in, ferramenta ou configurar firewalls, selecione as marcas de serviço que deseja incluir na configuração do seu firewall.

Por exemplo, ao criar um plug-in do Dataverse para conectar ao Copilot Studio a partir de um evento em sua instância do Dataverse, escolha a marca de serviço PowerPlatformPlex ao configurar seu firewall:

Neste exemplo, a marca PowerPlatformPlex contém os endereços necessários do Power Platform e do Dataverse para permitir a interação dos serviços.

Para mais informações sobre marcas de serviço no Power Platform, veja URLs e intervalos de endereços IP do Power Platform. Esse artigo também descreve os requisitos de conexão do PowerPlatformPlex e do Power Platform na seção Endereços IP necessários.

Validar o firewall de IP para autores e usuários de agente

Teste o firewall do IP para verificar se ele funciona:

1. Para testar se o acesso de autor e criador do agente ao Copilot Studio está bloqueado:

   1. De um endereço IP que não está na lista de IPs permitidos, abra Copilot Studio.

   2. Se o firewall estiver funcionando, você verá a seguinte mensagem de erro, junto com um endereço de email do administrador:

      O acesso a este ambiente não é possível porque seu endereço IP foi bloqueado pelo administrador. Contate o administrador.

      

2. Para testar se os usuários do agente estão bloqueados de interagir com um agente:

   1. A partir de um endereço IP que não está na lista de permitidos, abra um agente em seu site de demonstração.

   2. Se o firewall estiver funcionando, você verá a seguinte mensagem de erro:

      O agente não está disponível agora porque seu endereço IP foi bloqueado. Entre em contato com o proprietário do agente.

      

Limitações conhecidas

• O sistema impõe as restrições de firewall de IP do agente no chat da Web e nas APIs que carregam o conteúdo da conversa.

• Com o tempo, as restrições do firewall IP dos agentes se expandem para mais pontos de extremidade.

• Os agentes publicados nos seguintes canais não impõem restrições de firewall de IP:

  • Canais da Microsoft como Teams e Microsoft 365 Copilot.
  • Outros canais, como Facebook.
  • Conectado ao Dynamics 365 Customer Service.

• As sessões de chat existentes não são desconectadas quando os administradores aplicam restrições de firewall de IP. As restrições se aplicam quando a sessão é reiniciada.

Endereços IP de saída para habilidades do Bot Framework

As solicitações do Copilot Studio para habilidades do Bot Framework usam os seguintes endereços IP nas respectivas regiões. Se você estiver usando um serviço do Azure, use as marcas de serviço PowerPlatformInfra e PowerPlatformPlex, que implementam automaticamente os endereços IP adequados. Você também pode inserir endereços IP manualmente em suas regras de configuração de tráfego.

Configure todos os conectores para endereços IP do Power Automate, além do Copilot Studio, para usar os dois juntos.

Para mais informações sobre o uso de marcas de serviço, consulte Marcas de serviço da rede virtual.

¹ Os dados do cliente na América do Sul são replicados nos Estados Unidos para fins de recuperação de desastres; portanto, as solicitações de habilidades do Copilot Studio para o Bot Framework usarão endereços IP dos Estados Unidos.