Använda IP-brandväggar för inkommande anslutningar till agenter och Copilot Studio (förhandsversion)

[Denna artikel är en förhandsversion av dokumentationen och kan komma att ändras.]

Om du konfigurerar IP-brandväggar i Power Platform-miljöer blockerar brandväggen anslutningar till Copilot Studio-agenter eller Copilot Studio-webbappen i ditt nätverk som kommer från begränsade eller otillåtna IP-adresser eller IP-intervall.

En IP-brandvägg hjälper till att motverka hot, hjälper dig att tillämpa säkerhetsprinciper som Nulová dôvera (Zero Trust) och begränsar åtkomsten till endast de användare som behöver det, när de behöver det. IP-brandväggen kan hjälpa till att:

• Motverka insiderhot såsom dataexfiltrering. Till exempel blockeras en illvillig användare som försöker komma åt Copilot Studio från en otillåten IP-adress från att göra det i realtid.
• Förhindra token återspelningsattacker. Till exempel, om en användare stjäl en åtkomsttoken och försöker använda den för att komma åt en konversation utanför ett tillåtet IP-område, nekar Copilot Studio åtkomstförsöket i realtid.

När en begäran görs till Copilot Studio utvärderas IP-adressen för begäran i realtid mot de IP-intervall som konfigurerats för Power Platform-miljön. Om IP-adressen finns i de tillåtna intervallerna tillåts förfrågan. Om IP-adressen ligger utanför de IP-intervall som har konfigurerats för miljön, blockerar IP-brandväggen begäran och visar ett felmeddelande för agentanvändaren eller agentskaparen vid blockeringen.

Krav

• Din miljö måste vara en hanterad miljö i Power Platform.
• Du måste vara Power Platform-administratör, till exempel en klientadministratör eller ha rollen miljöadministratör.

Aktivera IP-brandvägg för Power Platform-miljöer

För att aktivera IP-brandväggen, se IP-brandvägg i Power Platform-miljöer – Aktivera IP-brandväggen.

• Aktivera IP-brandväggen för:
  • Enskilda Power Platform-miljöer, med Power Platform-administrationscentret
  • Enskilda Power Platform-miljöer, med Dataverse OData API
  • Miljögrupper i Power Platform-administratörscenter
• Verifiera att IP-brandväggen fungerar

Du kan också konfigurera brandväggen att använda servicetaggar, att köra i endast revisionsläge och att tillåta åtkomst för Microsofts betrodda tjänster.

Tjänsttaggar

Tjänsttaggar är fördefinierade uppsättningar av utgående offentliga IP-intervall och adresser på internet som kunddrivna Azure- och Power Platform-tjänster som finns i Microsoft-system använder. Till exempel kan du ha anslutningar från Azure Web Apps, eller så har du skapat en Dataverse-plugin som behöver komma åt Copilot Studio slutpunkter.

Eftersom dessa tjänster kan ha flera adresser och intervall, och Microsoft kan lägga till eller ändra dessa tjänster, elimineras behovet av att manuellt hitta och ange enskilda adresser eller intervall för de tjänster du ansluter till genom att använda servicetaggar.

När du skapar ett plugin, ett verktyg eller konfigurerar brandväggar, välj de servicetaggar du vill ska ingå i din brandväggskonfiguration.

Till exempel, om du skapar en Dataverse-plugin för att ansluta till Copilot Studio baserat på en händelse i din Dataverse-instans, välj PowerPlatformPlex-servicetaggen när du konfigurerar din brandvägg:

I det här exemplet innehåller PowerPlatformPlex-taggen de Power Platform- och Dataverse-adresser som krävs för att tjänsterna ska kunna interagera.

För mer information om tjänsttaggar i Power Platform, se Power Platform-URL:er och IP-adressområden. Artikeln beskriver också PowerPlatformPlex och anslutningskraven för Power Platform under avsnittet IP-adresser som krävs.

Validera IP-brandväggen för agentförfattare och agentanvändare

Testa IP-brandväggen för att verifiera att den fungerar:

1. För att testa den agenten är författarens och skaparens tillgång till Copilot Studio blockerad:

   1. Öppna Copilot Studio från en IP-adress som inte är med på den tillåtna listan.

   2. Om brandväggen fungerar kommer du att se följande felmeddelande, tillsammans med en e-postadress till administratören:

      Det går inte att komma åt den här miljön eftersom din -adress har blockerats av administratören. Kontakta administratören.

      

2. För att kontrollera att agentanvändare är blockerade från att interagera med en agent:

   1. Från en IP-adress som inte finns med på tillåten lista, öppna en agent på din demowebbplats.

   2. Om brandväggen fungerar ser du följande felmeddelande:

      Agenten är inte tillgänglig just nu eftersom din IP-adress är blockerad. Kontakta agentägaren.

      

Kända begränsningar

• Systemet tillämpar IP-brandväggsbegränsningar för agenter på webbchatt och API:er som bär konversationsinnehåll.

• Med tiden kommer agent IP-brandväggsbegränsningar att omfatta fler ändpunkter.

• Agenter som publiceras på följande kanaler omfattas inte av IP-brandväggsrestriktioner:

  • Microsoft-kanaler som Teams och Microsoft 365 Copilot.
  • Andra kanaler som Facebook.
  • Ansluten till Dynamics 365 Customer Service.

• Befintliga chattsessioner stängs inte av när administratörer tillämpar IP-brandväggsrestriktioner. Begränsningarna träder i kraft när sessionen startar om.

Utgående IP-adresser för färdigheter i Bot Framework

Förfrågningar från Copilot Studio till Bot Framework-kompetens använder följande IP-adresser i sina respektive regioner. Om du använder en Azure-tjänst, använd tjänsttaggarna PowerPlatformInfra och PowerPlatformPlex, som automatiskt implementerar rätt IP-adresser. Du kan också ange IP-adresser manuellt i dina trafikkonfigurationsregler.

Konfigurera alla anslutningsprogram för IP-adresser för att Power Automate utöver Copilot Studio ska kunna använda båda tillsammans.

För mer information om användning av tjänsttaggar, se Virtuella nätverkstjänsttaggar.

¹ Kunddata i Sydamerika replikeras i USA för haveriberedskap, så begäranden från Copilot Studio till Bot Framework-färdigheter använder IP-adresser i USA.