Utilizar firewalls IP para ligações de entrada para agentes e Copilot Studio (pré-visualização)

[Este artigo é documentação de pré-lançamento e está sujeito a alterações.]

Se configurar firewalls IP em ambientes Power Platform, o firewall bloqueia ligações à sua rede para agentes Copilot Studio ou para a aplicação web Copilot Studio a partir de IPs ou intervalos IP restritos ou não permitidos.

Um firewall IP ajuda a mitigar ameaças, ajuda a aplicar princípios de segurança como o Confiança Zero, e limita o acesso apenas aos utilizadores que precisam, quando necessário. O firewall IP pode ajudar a:

• Reduza as ameaças internas, como a exfiltração de dados. Por exemplo, um usuário mal-intencionado que tenta acessar o Copilot Studio a partir de um local IP não permitido é impedido de fazê-lo em tempo real.
• Impeça ataques de repetição de token. Por exemplo, se um utilizador rouba um token de acesso e tenta usá-lo para aceder a uma conversa fora de um intervalo IP permitido, o Copilot Studio nega a tentativa de acesso em tempo real.

Quando uma solicitação é feita ao Copilot Studio, o endereço IP solicitado é avaliado em tempo real em relação aos intervalos de IP configurados para o ambiente da Power Platform. Se o endereço IP estiver nos intervalos permitidos, o pedido é permitido. Se o endereço IP estiver fora dos intervalos de IP configurados para o ambiente, o firewall IP negará a solicitação com uma mensagem de erro para o usuário do agente ou o fabricante do agente no momento do bloqueio.

Pré-requisitos

• O seu ambiente deve ser um Ambiente Gerido na Power Platform.
• Deve ser um administrador do Power Platform, como um administrador do locatário, ou ter a função de Administrador de Ambiente.

Habilite o firewall IP para ambientes da Power Platform

Para ativar o firewall IP, veja firewall IP em ambientes Power Platform - Ativar o firewall IP.

• Habilite o firewall IP para:
  • Ambientes de plataforma única de energia, com o centro de administração da Power Platform
  • Ambientes de plataforma única de energia, com a API OData do Dataverse
  • Grupos de ambiente, com o centro de administração do Power Platform
• Validar se o firewall IP está funcionando

Também pode configurar o firewall para usar etiquetas de serviço, operar apenas em modo de auditoria e permitir o acesso a serviços confiáveis da Microsoft.

Etiquetas de serviço

As etiquetas de serviço são conjuntos pré-definidos de intervalos e endereços de IPs públicos da internet de saída que os serviços de Azure e Power Platform operados pelo cliente alojados por sistemas Microsoft utilizam. Por exemplo, podes ter ligações dos Azure Aplicações Web, ou criaste um plugin do Dataverse que precisa aceder aos endpoints do Copilot Studio.

Como estes serviços podem ter múltiplos endereços e intervalos, e a Microsoft pode adicionar ou alterar esses serviços, usar etiquetas de serviço elimina a necessidade de encontrar e introduzir manualmente endereços ou intervalos individuais para os serviços a que se está a ligar.

Quando criar um plugin, ferramenta ou configurar firewalls, selecione as etiquetas de serviço que pretende incluir na configuração do firewall.

Por exemplo, se criar um plugin Dataverse para se ligar a Copilot Studio com base num evento na sua instância Dataverse, selecione a etiqueta de serviço PowerPlatformPlex ao configurar o seu firewall:

Neste exemplo, a tag PowerPlatformPlex contém os endereços necessários da Power Platform e do Dataverse necessários para permitir que os serviços interajam.

Para mais informações sobre etiquetas de serviço no Power Platform, consulte URLs e intervalos de endereços IP do Power Platform. Este artigo também descreve o PowerPlatformPlex e os requisitos de ligação do Power Platform na secção de endereços IP necessários.

Validar a firewall de IP para autores e utilizadores de agentes

Teste o firewall IP para verificar se funciona:

1. Para testar se o acesso do agente, autor e criador ao Copilot Studio está bloqueado:

   1. A partir de um endereço IP que não esteja na lista de permitidos, abra o Copilot Studio.

   2. Se o firewall estiver a funcionar, verá a seguinte mensagem de erro, juntamente com um endereço de email do administrador:

      O acesso a este ambiente não é possível porque o seu endereço IP foi bloqueado pelo administrador. Entre em contato com seu administrador.

      

2. Para testar se os usuários do agente estão impedidos de interagir com um agente:

   1. A partir de um endereço IP que não esteja na lista de permitidos, abra um agente no seu site de demonstração.

   2. Se o firewall estiver a funcionar, verá a seguinte mensagem de erro:

      O agente não está disponível no momento porque seu endereço IP foi bloqueado. Entre em contato com o proprietário do seu agente.

      

Limitações conhecidas

• O sistema aplica restrições de firewall IP de agentes no chat web e nas APIs que transportam conteúdo conversacional.

• Com o tempo, as restrições ao firewall IP dos agentes expandem-se para mais pontos finais.

• Os agentes publicados nos seguintes canais não aplicam restrições de firewall IP:

  • Canais da Microsoft, como o Teams e o Microsoft 365 Copilot.
  • Outros canais, como o Facebook.
  • Conectado ao Atendimento ao Cliente do Dynamics 365.

• As sessões de chat existentes não se desconectam quando os administradores aplicam restrições de firewall IP. As restrições aplicam-se assim que a sessão é reiniciada.

Endereços IP de saída para competências no Bot Framework

As solicitações do Copilot Studio para as habilidades do Bot Framework usam os seguintes endereços IP em suas respetivas regiões. Se estiver a usar um serviço Azure, use as etiquetas de serviço PowerPlatformInfra e PowerPlatformPlex, que implementam automaticamente os endereços IP corretos. Você também pode inserir manualmente endereços IP em suas regras de configuração de tráfego.

Configura todos os conectores para endereços IP no Power Automate e no Copilot Studio para usar ambos em conjunto.

Para mais informações sobre o uso de etiquetas de serviço, consulte Etiquetas de serviço de rede virtual.

¹ Os dados dos clientes na América do Sul são replicados nos Estados Unidos para fins de recuperação de desastres, pelo que os pedidos do Copilot Studio para funcionalidades do Bot Framework utilizam endereços IP dos Estados Unidos.