Fra og med Power Automate til skrivebord version 2.24 kræver følgende administratorrettigheder:
-
Ændring af lejeren, som en computer er registreret til.
-
Registrering af en AAD-forbundet maskine til en lejer, der er forskellig fra dens AAD-forbundne lejer.
Maskiner kan også konfigureres til at tillade, at ikke-administratorer udfører disse handlinger, som beskrevet nedenfor.
Hvad er målene med disse begrænsninger?
Disse begrænsninger gør det sværere for ondsindede aktører på allerede kompromitterede maskiner at bruge Power Automate Desktop til at forstærke problemet ved at styre og styre en computer via netværket.
Du kan bruge de nye indstillinger for lejerbegrænsning til at styre, hvilke lejere der må køre Power Automate-skrivebord scripts på dine computere.
Første maskinregistrering kræver ikke administratorrettigheder, men ændring af registreringsbegrænsningerne gør.
Sådan registrerer du din computer til en anden lejer?
Vi anbefaler, at du definerer en liste over tilladte lejere og føjer dem til registreringsdatabasen som vist i afsnittet Tillad bestemte lejere.
Vigtigt!:
-
Hvis du kører Power Automate Machine Runtime-appen eller den uovervågede registreringsapp som administrator, kan computere registreres, uanset nedenstående konfigurationer i registreringsdatabasen som standard.
-
Muligheden for at tilsidesætte lejerens ændringsbegrænsninger ved at køre som administrator kan deaktiveres fra registreringsdatabasen:
-
Gå til denne tast: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Opret en ny DWORD-værdi (Rediger > ny > DWORD-værdi (32 bit) med navnet DisableTenantChangeRegistrationAdminOverride
-
Angiv værdien til 1
Tillad bestemte lejere
Den sikreste og anbefalede måde at styre, hvilke lejere dine maskiner må registrere sig til, er tilladelseslisten for registreringslejeren. Din computer tillader altid registrering til lejerne på tilladelseslisten og afviser registrering til andre lejere.
Vigtigt!: Hvis du angiver tilladelseslisten, ignoreres indstillingerne AllowTenantSwitching og AllowRegisteringOutsideOfAADJoinedTenant , som er beskrevet nedenfor.
Sådan definerer du denne liste:
-
Kør registreringseditoren (regedit.exe)
-
Gå til denne tast: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Opret en ny strengværdi (Rediger > ny > strengværdi) med navnet AllowedRegistrationTenants
-
Dobbeltklik på den nye værdi, og angiv dens datafelt til en kommasepareret liste over lejer-id'er, som computeren skal tillade registrering til, f.eks.: 3EF1d993-CBD4-4DEA-A50E-939AEDB23F21,5B19777D-814C-43F3-9317-CDBAD0846ED8
Alternativt kan du, hvis det ikke er muligt at konfigurere lejerens tilladelsesliste, følge nedenstående indstillinger for at aktivere registrering på tværs af lejere.
Tillade maskinregistrering til en anden lejer end AAD-lejeren på computeren
-
Kør registreringseditoren (regedit.exe)
-
Gå til denne tast: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Opret en ny DWORD-værdi (Rediger > ny > DWORD-værdi (32 bit) med navnet AllowRegisteringOutsideOfAADJoinedTenant
-
Dobbeltklik på den nye værdi, og angiv dens datafelt til 1. Enhver anden værdi end 1 deaktiverer denne indstilling.
Skifte maskinregistrering til en anden lejer
-
Kør registreringseditoren (regedit.exe)
-
Gå til denne tast: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Opret en ny DWORD-værdi (Rediger > ny > DWORD-værdi (32 bit) med navnet AllowTenantSwitching
-
Dobbeltklik på den nye værdi, og angiv dens datafelt til 1. Enhver anden værdi end 1 deaktiverer denne indstilling.
Validering af maskinregistrering, når tjenesten starter
De registreringsbegrænsninger, der er beskrevet ovenfor, anvendes kun, når du forsøger at registrere computeren. Fra og med version 2.31 kan du konfigurere Power Automate til skrivebord til at kontrollere, om den aktuelle maskinregistrering er tilladt, når Power Automate-tjenesten (UIFlowService) starter. Hvis registreringen ikke er tilladt, kan computeren ikke oprette forbindelse til Power Automate-skytjenester.
Sådan aktiveres fortløbende validering:
-
Kør registreringseditoren (regedit.exe)
-
Gå til denne tast: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Opret en ny DWORD-værdi (Rediger > ny > DWORD-værdi (32 bit) med navnet EnforceRegistrationTenantRestrictionsOnServiceStart
-
Dobbeltklik på den nye værdi, og angiv dens datafelt til 1. Enhver anden værdi end 1 deaktiverer denne indstilling.
Finde dit lejer-id
Fra Power Automate-portalen
Log på Power Automate-portalen, og tryk på Ctrl+Alt+A. Dette åbner et dokument, hvor du kan finde dit lejer-id under userInfo > tenantId.
Fra Portalen for Power-apps
Log på Power Apps-portalen, og vælg Power Apps fra indstillingerne (øverst til venstre) > sessionsoplysninger. Dette viser et pop op-vindue med dit lejer-id.
