Utilizar firewalls de IP para ligações de entrada a agentes e ao Copilot Studio (pré-visualização)

[Este artigo é uma documentação de pré-lançamento e está sujeito a alterações.]

Se configurar firewalls de IP em ambientes do Power Platform, a firewall bloqueia ligações à sua rede para agentes do Copilot Studio ou para a aplicação Web do Copilot Studio de IPs ou intervalos de IP restritos ou não permitidos.

Uma firewall de IP ajuda a mitigar ameaças, ajuda a aplicar princípios de segurança como a Confiança Zero e limita o acesso apenas aos utilizadores que precisam, quando precisam. A firewall de IP pode ajudar a:

• Mitigar ameaças internas, como a transferência de dados não autorizada. Por exemplo, um utilizador malicioso que tente aceder ao Copilot Studio a partir de um endereço IP não autorizado é bloqueado em tempo real.
• Prevenir ataques de repetição de tokens. Por exemplo, se um utilizador rouba um token de acesso e tenta usá-lo para aceder a uma conversação fora de um intervalo de IP permitido, o Copilot Studio nega a tentativa de acesso em tempo real.

Quando um pedido é feito ao Copilot Studio, o endereço IP de origem é avaliado em tempo real face aos intervalos de IP configurados para o ambiente Power Platform. Se o endereço IP estiver nos intervalos permitidos, o pedido é permitido. Se o endereço IP estiver fora dos intervalos de IP configurados para o ambiente, a firewall de IP nega a pedido com uma mensagem de erro para o agente utilizador ou para o agente criador no momento do bloqueio.

Pré-requisitos

• O seu ambiente deve ser um Ambiente Gerido no Power Platform.
• Deve ser administrador do Power Platform, como um administrador de inquilino ou ter a função de Administrador do Ambiente.

Ativar a Firewall de IP para ambientes do Power Platform

Para ativar a firewall de IP, consulte Firewall de IP em ambientes do Power Platform - Ativar a firewall de IP.

• Ative a firewall de IP para:
  • Ambientes únicos do Power Platform, com o centro de administração do Power Platform
  • Ambientes Power Platform únicos, com a API OData do Dataverse
  • Grupos de ambiente, com o centro de administração do Power Platform
• Validar se a firewall de IP está a funcionar

Também pode configurar a firewall para utilizar etiquetas de serviço, operar em modo só de auditoria e permitir o acesso a serviços fidedignos da Microsoft.

Etiquetas de serviço

As etiquetas de serviço são conjuntos pré-definidos de endereços e intervalos de IP públicos de saída da Internet utilizados pelos serviços Azure e Power Platform operados pelo cliente e alojados nos sistemas da Microsoft. Por exemplo, pode ter ligações de Aplicações Web do Azure, ou criou um plug-in do Dataverse que precisa de aceder às interfaces do Copilot Studio.

Como estes serviços podem ter vários endereços e intervalos, e a Microsoft pode adicionar ou alterar estes serviços, utilizar etiquetas de serviço remove a necessidade de encontrar e introduzir manualmente endereços ou intervalos individuais para os serviços aos quais se está a ligar.

Ao criar um plug-in, uma ferramenta ou ao configurar firewalls, selecione as etiquetas de serviço que pretende incluir na configuração da firewall.

Por exemplo, se criar um plug-in do Dataverse para se ligar ao Copilot Studio com base num evento na sua instância do Dataverse, selecione a etiqueta de serviço PowerPlatformPlex ao configurar a sua firewall:

Neste exemplo, a etiqueta PowerPlatformPlex contém os endereços do Power Platform e do Dataverse necessários para permitir a interação dos serviços.

Para mais informações sobre etiquetas de serviço no Power Platform, consulte URLs e intervalos de endereços IP do Power Platform. Este artigo também descreve os requisitos de ligação do PowerPlatformPlex e do Power Platform na secção Endereços IP obrigatórios.

Validar a firewall de IP para autores e utilizadores de agentes

Teste a firewall de IP para verificar se funciona:

1. Para testar se o acesso do autor e do criador do agente ao Copilot Studio está bloqueado:

   1. A partir de um endereço IP que não está na lista de autorizados, abra o Copilot Studio.

   2. Se a firewall estiver a funcionar, verá a seguinte mensagem de erro, juntamente com um endereço de e-mail do administrador:

      Não é possível aceder a este ambiente porque o seu endereço IP foi bloqueado pelo seu administrador. Contacte o seu administrador.

      

2. Para testar se os utilizadores do agente são bloqueados de interagir com um agente:

   1. A partir de um endereço IP que não esteja na lista de autorizados, abra um agente no seu site de demonstração.

   2. Se a firewall estiver a funcionar, verá a seguinte mensagem de erro:

      O agente não está disponível neste momento porque o seu endereço IP foi bloqueado. Contacte o proprietário do agente.

      

Limitações conhecidas

• O sistema impõe restrições de firewall de IP de agentes no Webchat e nas APIs que transportam conteúdo conversacional.

• Com o tempo, as restrições de firewall de IP dos agentes expandem-se para mais pontos finais.

• Os agentes publicados nos canais seguintes não impõem restrições de firewall de IP:

  • Canais da Microsoft como Teams e Microsoft 365 Copilot.
  • Outros canais como Facebook.
  • Ligação ao Dynamics 365 Customer Service.

• As sessões de chat existentes não são desligadas quando os administradores aplicam restrições de firewall de IP. As restrições aplicam-se assim que a sessão é reiniciada.

Endereços IP de saída para capacidades do Bot Framework

Os pedidos de capacidades do Copilot Studio para Bot Framework utilizam os seguintes endereços IP nas respetivas regiões. Se estiver a utilizar um serviço do Azure, utilize as tags de serviço PowerPlatformInfra e PowerPlatformPlex, que implementam automaticamente os endereços IP corretos. Também pode introduzir manualmente endereços IP nas suas regras de configuração de tráfego.

Configure todos os conectores para endereços IP para o Power Automate, além do Copilot Studio, para utilização conjunta de ambos.

Para mais informações sobre a utilização de etiquetas de serviço, consulte Etiquetas de serviço da rede virtual.

¹ Os dados dos clientes da América do Sul são replicados nos Estados Unidos para efeitos de recuperação após desastre, pelo que os pedidos do Copilot Studio para as competências do Bot Framework utilizam endereços IP dos Estados Unidos.