Utilize firewalls de IP para conexões de entrada para agentes e o Copilot Studio (vista prévia)

[Este artigo é uma documentação de pré-lançamento e está sujeito a alterações.]

Se configurar firewalls IP em ambientes Power Platform, o firewall bloqueia ligações à sua rede para agentes Copilot Studio ou para a aplicação web Copilot Studio a partir de IPs ou intervalos IP restritos ou não permitidos.

Um firewall IP ajuda a mitigar ameaças, ajuda a aplicar princípios de segurança como o Confiança Zero, e limita o acesso apenas aos utilizadores que precisam, quando necessário. O firewall IP pode ajudar a:

• Reduza as ameaças internas, como a exfiltração de dados. Por exemplo, um utilizador malicioso que tenta aceder ao Copilot Studio a partir de uma localização IP não autorizada é bloqueado de o fazer em tempo real.
• Impeça ataques de repetição de token. Por exemplo, se um utilizador rouba um token de acesso e tenta usá-lo para aceder a uma conversa fora de um intervalo IP permitido, o Copilot Studio nega a tentativa de acesso em tempo real.

Quando um pedido é feito ao Copilot Studio, o endereço IP solicitado é avaliado em tempo real em comparação com os intervalos de IP configurados para o ambiente Power Platform. Se o endereço IP estiver nos intervalos permitidos, o pedido é permitido. Se o endereço IP estiver fora dos intervalos de IP configurados para o ambiente, o firewall IP negará a solicitação com uma mensagem de erro para o usuário do agente ou o fabricante do agente no momento do bloqueio.

Pré-requisitos

• O seu ambiente deve ser um Ambiente Gerido na Power Platform.
• Deve ser um administrador do Power Platform, como um administrador do locatário, ou ter a função de Administrador de Ambiente.

Habilite o firewall IP para ambientes da Power Platform

Para ativar o firewall IP, veja firewall IP em ambientes Power Platform - Ativar o firewall IP.

• Habilite o firewall IP para:
  • Ambientes únicos do Power Platform, com o centro de administração do Power Platform
  • Ambientes Power Platform únicos, com a API OData do Dataverse
  • Grupos de ambiente, com o centro de administração do Power Platform
• Validar se o firewall IP está funcionando

Também pode configurar o firewall para usar etiquetas de serviço, operar apenas em modo de auditoria e permitir o acesso a serviços confiáveis da Microsoft.

Etiquetas de serviço

As etiquetas de serviço são conjuntos pré-definidos de intervalos e endereços de IPs públicos da internet de saída que os serviços de Azure e Power Platform operados pelo cliente alojados por sistemas Microsoft utilizam. Por exemplo, podes ter ligações dos Azure Aplicações Web, ou criaste um plugin do Dataverse que precisa aceder aos endpoints do Copilot Studio.

Como estes serviços podem ter múltiplos endereços e intervalos, e a Microsoft pode adicionar ou alterar esses serviços, usar etiquetas de serviço elimina a necessidade de encontrar e introduzir manualmente endereços ou intervalos individuais para os serviços a que se está a ligar.

Quando criar um plugin, ferramenta ou configurar firewalls, selecione as etiquetas de serviço que pretende incluir na configuração do firewall.

Por exemplo, se criar um plugin Dataverse para se ligar a Copilot Studio com base num evento na sua instância Dataverse, selecione a etiqueta de serviço PowerPlatformPlex ao configurar o seu firewall:

Neste exemplo, a tag PowerPlatformPlex contém os endereços necessários da Power Platform e do Dataverse necessários para permitir que os serviços interajam.

Para mais informações sobre etiquetas de serviço no Power Platform, consulte URLs e intervalos de endereços IP do Power Platform. Este artigo também descreve o PowerPlatformPlex e os requisitos de ligação do Power Platform na secção de endereços IP necessários.

Validar a firewall de IP para autores e utilizadores de agentes

Teste o firewall IP para verificar se funciona:

1. Para testar se o acesso do autor e do criador do agente ao Copilot Studio está bloqueado:

   1. A partir de um endereço IP que não está na lista permitida, abra Copilot Studio.

   2. Se o firewall estiver a funcionar, verá a seguinte mensagem de erro, juntamente com um endereço de email do administrador:

      O acesso a este ambiente não é possível porque o seu endereço IP foi bloqueado pelo administrador. Entre em contato com seu administrador.

      

2. Para testar se os usuários do agente estão impedidos de interagir com um agente:

   1. A partir de um endereço IP que não esteja na lista de permitidos, abra um agente no seu site de demonstração.

   2. Se o firewall estiver a funcionar, verá a seguinte mensagem de erro:

      O agente não está disponível no momento porque seu endereço IP foi bloqueado. Entre em contato com o proprietário do seu agente.

      

Limitações conhecidas

• O sistema aplica restrições de firewall IP de agentes no chat web e nas APIs que transportam conteúdo conversacional.

• Com o tempo, as restrições ao firewall IP dos agentes expandem-se para mais pontos finais.

• Os agentes publicados nos seguintes canais não aplicam restrições de firewall IP:

  • Microsoft canais como Teams e Microsoft 365 Copilot.
  • Outros canais, como o Facebook.
  • Ligado a Dynamics 365 Customer Service.

• As sessões de chat existentes não se desconectam quando os administradores aplicam restrições de firewall IP. As restrições aplicam-se assim que a sessão é reiniciada.

Endereços IP de saída para competências no Bot Framework

Pedidos do Copilot Studio para as capacidades do Bot Framework utilizam os seguintes endereços IP nas respetivas regiões. Se estiver a usar um serviço Azure, use as etiquetas de serviço PowerPlatformInfra e PowerPlatformPlex, que implementam automaticamente os endereços IP corretos. Você também pode inserir manualmente endereços IP em suas regras de configuração de tráfego.

Configure todos os conectores para endereços IP de forma que Power Automate e Copilot Studio possam ser usados juntos.

Para mais informações sobre o uso de etiquetas de serviço, consulte Etiquetas de serviço de rede virtual.

¹ Os dados dos clientes na América do Sul são replicados nos Estados Unidos para fins de recuperação de desastres, pelo que os pedidos do Copilot Studio para funcionalidades do Bot Framework utilizam endereços IP dos Estados Unidos.