Usar firewalls de IP para conexões de entrada com agentes e o Copilot Studio (versão preliminar)

[Este artigo faz parte da documentação de pré-lançamento e está sujeito a alterações.]

Se você configurar firewalls IP em ambientes do Power Platform, o firewall bloqueará conexões na sua rede para agentes do Copilot Studio ou o aplicativo web Copilot Studio a partir de IPs ou intervalos de IP restritos ou bloqueados.

Um firewall de IP ajuda a reduzir as ameaças, ajuda você a aplicar princípios de segurança, como Confiança Zero, e limita o acesso somente aos usuários que precisam, quando precisam. O firewall de IP pode ajudar a:

• Reduza as ameaças internas, como a exfiltração de dados. Por exemplo, um usuário mal-intencionado que tenta acessar Copilot Studio de um local DE IP não permitido é impedido de fazer isso em tempo real.
• Impedir ataques de repetição do token. Por exemplo, se um usuário roubar um token de acesso e tentar usá-lo para acessar uma conversa de fora de um intervalo de IP permitido, Copilot Studio negará a tentativa de acesso em tempo real.

Quando uma solicitação é feita para Copilot Studio, o endereço IP solicitado é avaliado em tempo real em relação aos intervalos de IP configurados para o ambiente do Power Platform. Se o endereço IP estiver nos intervalos permitidos, a solicitação será permitida. Se o endereço IP estiver fora dos intervalos de IP configurados para o ambiente, o firewall de IP negará a solicitação com uma mensagem de erro ao usuário do agente ou ao criador do agente no momento do bloco.

Pré-requisitos

• Seu ambiente deve ser um Ambiente Gerenciado no Power Platform.
• Você deve ser um administrador do Power Platform, como um administrador de locatários ou ter a função de Administrador do Ambiente.

Habilitar o firewall de IP para ambientes do Power Platform

Para habilitar o firewall de IP, consulte o firewall de IP em ambientes do Power Platform – Habilite o firewall de IP.

• Habilite o firewall de IP para:
  • Ambientes individuais do Power Platform, com o centro de administração do Power Platform
  • Ambientes do Power Platform únicos, com a API OData do Dataverse
  • Grupos de ambiente, no Centro de Administração do Power Platform
• Validar se o firewall de IP está funcionando

Você também pode configurar o firewall para usar tags de serviço, operar no modo somente de auditoria e permitir o acesso para serviços confiáveis da Microsoft.

Etiquetas de serviço

Tags de serviço são conjuntos predefinidos de intervalos e endereços de IP públicos de saída da Internet que os serviços operados por clientes no Azure e Power Platform, hospedados por sistemas Microsoft, usam. Por exemplo, você pode ter conexões de aplicativos Web do Azure ou ter criado um plug-in do Dataverse que precisa acessar pontos de extremidade do Copilot Studio.

Como esses serviços podem ter vários endereços e intervalos e Microsoft podem adicionar ou alterar esses serviços, o uso de marcas de serviço remove a necessidade de localizar e inserir manualmente endereços ou intervalos individuais para os serviços aos quais você está se conectando.

Ao criar um plug-in, uma ferramenta ou um firewall, selecione as marcas de serviço que deseja incluir na configuração do firewall.

Por exemplo, se você criar um plug-in do Dataverse para se conectar a Copilot Studio com base em um evento em sua instância do Dataverse, selecione a marca de serviço PowerPlatformPlex ao configurar o firewall:

Neste exemplo, a etiqueta PowerPlatformPlex contém os endereços necessários do Power Platform e do Dataverse para permitir que os serviços interajam.

Para obter mais informações sobre tags de serviço no Power Platform, consulte URLs do Power Platform e intervalos de endereços IP. Este artigo também descreve os requisitos de conexão do PowerPlatformPlex e do Power Platform na seção de endereços IP necessários.

Validar o firewall de IP para autores e usuários de agente

Teste o firewall de IP para verificar se ele funciona:

1. Para testar se o acesso de autor e criador do agente ao Copilot Studio está bloqueado:

   1. Em um endereço IP que não está na lista de permissões, abra Copilot Studio.

   2. Se o firewall estiver funcionando, você verá a seguinte mensagem de erro, juntamente com um endereço de email para o administrador:

      O acesso a esse ambiente não é possível porque o endereço IP foi bloqueado pelo administrador. Entre em contato com seu administrador.

      

2. Para testar se os usuários do agente são impedidos de interagir com um agente:

   1. Abra um agente em seu site de demonstração a partir de um endereço IP que não está na lista permitida.

   2. Se o firewall estiver funcionando, você verá a seguinte mensagem de erro:

      O agente não está disponível no momento porque seu endereço IP foi bloqueado. Entre em contato com o proprietário do agente.

      

Limitações conhecidas

• O sistema impõe as restrições de firewall de IP do agente no chat da Web e nas APIs que carregam o conteúdo da conversa.

• Com o tempo, as restrições de firewall de IP do agente se expandem para mais endpoints.

• Os agentes publicados nos seguintes canais não aplicam restrições de firewall IP:

  • Microsoft canais como Teams e Microsoft 365 Copilot.
  • Outros canais, como o Facebook.
  • Conectado ao Dynamics 365 Customer Service.

• As sessões de chat existentes não se desconectam quando os administradores aplicam restrições de firewall de IP. As restrições se aplicam quando a sessão é reiniciada.

Endereços IP de saída para funcionalidades do Bot Framework

As solicitações de Copilot Studio para as habilidades do Bot Framework usam os endereços IP a seguir em suas respectivas regiões. Se você estiver usando um serviço Azure, use as marcas de serviço PowerPlatformInfra e PowerPlatformPlex, que implementam automaticamente os endereços IP adequados. Você também pode inserir endereços IP manualmente em suas regras de configuração de tráfego.

Configure todos os conectores para endereços IP do Power Automate, além do Copilot Studio, para usar os dois juntos.

Para mais informações sobre o uso de etiquetas de serviço, veja Etiquetas de serviço de rede virtual.

¹ Os dados do cliente na América do Sul são replicados nos Estados Unidos para fins de recuperação de desastres; portanto, as solicitações de habilidades do Copilot Studio para o Bot Framework usarão endereços IP dos Estados Unidos.