Ab Power Automate für Desktop Version 2.24 sind für Folgendes Administratorrechte erforderlich:
-
Ändern des Mandanten, bei dem ein Computer registriert ist.
-
Registrieren eines in AAD eingebundenen Computers bei einem anderen Mandanten als seinem in AAD eingebundenen Mandanten.
Computer können auch so konfiguriert werden, dass Nicht-Administratoren diese Vorgänge ausführen können, wie unten erläutert.
Was sind die Ziele dieser Einschränkungen?
Diese Einschränkungen erschweren böswilligen Akteuren auf bereits kompromittierten Computern die Verwendung von Power Automate Desktop, um das Problem zu verstärken, indem sie einen Computer über das Netzwerk befehlen und steuern.
Sie können die neuen Mandanteneinschränkungseinstellungen verwenden, um zu steuern, welche Mandanten Power Automate-Desktop Skripts auf Ihren Computern ausführen dürfen.
Die anfängliche Computerregistrierung erfordert keine Administratorrechte, aber das Ändern der Registrierungseinschränkungen ist dies der Fall.
Registrieren Ihres Computers bei einem anderen Mandanten
Es wird empfohlen, eine Liste der zulässigen Mandanten zu definieren und sie der Registrierung hinzuzufügen, wie im Abschnitt Zulassen bestimmter Mandanten zu sehen.
Wichtig:
-
Wenn Sie die Power Automate-Computerlaufzeit-App oder die App für die automatische Registrierung als Administrator ausführen, können Sie computer standardmäßig unabhängig von den unten angegebenen Registrierungskonfigurationen registrieren.
-
Die Möglichkeit, die Einschränkungen für Mandantenänderungen durch Ausführen als Administrator außer Kraft zu setzen, kann in der Registrierung deaktiviert werden:
-
Navigieren Sie zu diesem Schlüssel: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Erstellen Eines neuen DWORD-Werts (Bearbeiten > neuen > DWORD-Werts (32 Bit) mit dem Namen DisableTenantChangeRegistrationAdminOverride
-
Legen Sie den Wert auf 1 fest.
Zulassen bestimmter Mandanten
Die sicherste und empfohlene Methode, um zu steuern, bei welchen Mandanten Sich Ihre Computer registrieren dürfen, ist die Zulassungsliste des Registrierungsmandanten. Ihr Computer lässt immer die Registrierung bei den Mandanten in der Zulassungsliste zu und verweigert die Registrierung für einen anderen Mandanten.
Wichtig: Wenn Sie die Zulassungsliste festlegen, werden die unten beschriebenen Einstellungen AllowTenantSwitching und AllowRegisteringOutsideOfAADJoinedTenant ignoriert.
So definieren Sie diese Liste:
-
Ausführen des Registrierungs-Editors (regedit.exe)
-
Navigieren Sie zu diesem Schlüssel: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Erstellen Eines neuen Zeichenfolgenwerts (Bearbeiten > neuen > Zeichenfolgenwerts) mit dem Namen AllowedRegistrationTenants
-
Doppelklicken Sie auf den neuen Wert, und legen Sie das Datenfeld auf eine durch Trennzeichen getrennte Liste der Mandanten-IDs fest, für die der Computer die Registrierung zulassen soll, z. B.: 3EF1d993-CBD4-4DEA-A50E-939AEDB23F21,5B19777D-814C-43F3-9317-CDBAD0846ED8
Wenn das Einrichten der Mandantenzulassungsliste nicht möglich ist, können Sie alternativ die folgenden Optionen verwenden, um die mandantenübergreifende Registrierung zu aktivieren.
Zulassen der Computerregistrierung bei einem anderen Mandanten als dem AAD-Mandanten des Computers
-
Ausführen des Registrierungs-Editors (regedit.exe)
-
Navigieren Sie zu diesem Schlüssel: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Erstellen Eines neuen DWORD-Werts (Bearbeiten > neuen > DWORD-Werts (32 Bit) mit dem Namen AllowRegisteringOutsideOfAADJoinedTenant
-
Doppelklicken Sie auf den neuen Wert, und legen Sie dessen Datenfeld auf 1 fest. Jeder andere Wert als 1 deaktiviert diese Einstellung.
Wechseln der Computerregistrierung zu einem anderen Mandanten
-
Ausführen des Registrierungs-Editors (regedit.exe)
-
Navigieren Sie zu diesem Schlüssel: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Erstellen Eines neuen DWORD-Werts (Bearbeiten > neuen > DWORD-Werts (32 Bit) mit dem Namen AllowTenantSwitching
-
Doppelklicken Sie auf den neuen Wert, und legen Sie dessen Datenfeld auf 1 fest. Jeder andere Wert als 1 deaktiviert diese Einstellung.
Überprüfen der Computerregistrierung beim Starten des Diensts
Die oben beschriebenen Registrierungseinschränkungen werden nur beim Versuch angewendet, den Computer zu registrieren. Ab Version 2.31 können Sie Power Automate für Desktop konfigurieren, um zu überprüfen, ob die aktuelle Computerregistrierung zulässig ist, wenn der Power Automate-Dienst (UIFlowService) gestartet wird. Wenn die Registrierung nicht zulässig ist, kann der Computer keine Verbindung mit Power Automate-Clouddiensten herstellen.
So aktivieren Sie die fortlaufende Überprüfung:
-
Ausführen des Registrierungs-Editors (regedit.exe)
-
Navigieren Sie zu diesem Schlüssel: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Erstellen Eines neuen DWORD-Werts (Bearbeiten > neuen > DWORD-Werts (32 Bit) mit dem Namen EnforceRegistrationTenantRestrictionsOnServiceStart
-
Doppelklicken Sie auf den neuen Wert, und legen Sie dessen Datenfeld auf 1 fest. Jeder andere Wert als 1 deaktiviert diese Einstellung.
Ermitteln Ihrer Mandanten-ID
Über das Power Automate-Portal
Melden Sie sich beim Power Automate-Portal an, und drücken Sie STRG+ALT+A. Dadurch wird ein Dokument geöffnet, in dem Sie Ihre Mandanten-ID unter userInfo > tenantId finden.
Über das Power Apps-Portal
Melden Sie sich beim Power Apps-Portal an, und wählen Sie in den Einstellungen (oben links) Power Apps > Sitzungsdetails aus. Daraufhin wird ein Popup mit Ihrer Mandanten-ID angezeigt.
