A partir de Power Automate para escritorio versión 2.24, lo siguiente requiere privilegios administrativos:
-
Cambiar el espacio empresarial en el que está registrado un equipo.
-
Registrar un equipo unido a AAD a un inquilino distinto de su inquilino unido a AAD.
Los equipos también se pueden configurar para permitir que no administradores realicen estas operaciones, tal y como se explica a continuación.
¿Cuáles son los objetivos de estas restricciones?
Estas restricciones dificultan a los actores malintencionados de equipos que ya están en peligro usar Power Automate Desktop para amplificar el problema al controlar y controlar una máquina a través de la red.
Puede usar la nueva configuración de restricción de inquilino para controlar qué inquilinos pueden ejecutar Power Automate de escritorio scripts en los equipos.
El registro inicial de la máquina no requiere privilegios de administrador, pero cambiar las restricciones de registro sí.
¿Cómo registrar el equipo en un inquilino diferente?
Le recomendamos que defina una lista de inquilinos permitidos y que los agregue al registro como se muestra en la sección Permitir inquilinos específicos.
Importante:
-
La ejecución de la aplicación en tiempo de ejecución de máquina Power Automate o la aplicación de registro silenciosa como administrador permite registrar equipos independientemente de las configuraciones de registro que se muestran a continuación de forma predeterminada.
-
La capacidad de invalidar las restricciones de cambio de inquilino ejecutándose como administrador se puede deshabilitar en el Registro:
-
Vaya a esta clave: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Crear un nuevo valor DWORD (Editar > nuevo > valor DWORD (32 bits) denominado DisableTenantChangeRegistrationAdminOverride
-
Establecer el valor en 1
Permitir inquilinos específicos
La forma más segura y recomendada de controlar a qué inquilinos pueden registrarse los equipos es la lista de permitidos del inquilino de registro. El equipo siempre permitirá el registro a los inquilinos de la lista de permitidos y denegará el registro a cualquier otro inquilino.
Importante: Al establecer la lista de permitidos se omitirán las opciones AllowTenantSwitching y AllowRegisteringOutsideOfAADJoinedTenant que se describen a continuación.
Para definir esta lista:
-
Ejecutar el editor del Registro (regedit.exe)
-
Vaya a esta clave: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Crear un nuevo valor de cadena (Editar > nuevo valor de cadena de >) denominado AllowedRegistrationTenants
-
Haga doble clic en el nuevo valor y establezca su campo de datos en una lista separada por comas de los id. de inquilino a los que el equipo debe permitir el registro, como: 3EF1d993-CBD4-4DEA-A50E-939AEDB23F21,5B19777D-814C-43F3-9317-CDBAD0846ED8
Como alternativa, si no es posible configurar la lista de permitidos de inquilinos, puede seguir las siguientes opciones para habilitar el registro entre inquilinos.
Permitir el registro de máquina a un inquilino distinto del inquilino de AAD de la máquina
-
Ejecutar el editor del Registro (regedit.exe)
-
Vaya a esta clave: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Crear un nuevo valor DWORD (Editar > nuevo > valor DWORD (32 bits) denominado AllowRegisteringOutsideOfAADJoinedTenant
-
Haga doble clic en el nuevo valor y establezca su campo de datos en 1. Cualquier valor que no sea 1 deshabilita esta configuración.
Cambiar el registro de máquina a otro espacio empresarial
-
Ejecutar el editor del Registro (regedit.exe)
-
Vaya a esta clave: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Crear un nuevo valor DWORD (Editar > nuevo > valor DWORD (32 bits) denominado AllowTenantSwitching
-
Haga doble clic en el nuevo valor y establezca su campo de datos en 1. Cualquier valor que no sea 1 deshabilita esta configuración.
Validar el registro de la máquina cuando se inicia el servicio
Las restricciones de registro descritas anteriormente solo se aplican al intentar registrar el equipo. A partir de la versión 2.31, puede configurar Power Automate para escritorio para comprobar si se permite el registro del equipo actual cuando se inicia el servicio Power Automate (UIFlowService). Si no se permite el registro, el equipo no podrá conectarse a los servicios en la nube de Power Automate.
Para habilitar la validación continua:
-
Ejecutar el editor del Registro (regedit.exe)
-
Vaya a esta clave: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Crear un nuevo valor DWORD (Editar > nuevo > valor DWORD (32 bits) denominado EnforceRegistrationTenantRestrictionsOnServiceStart
-
Haga doble clic en el nuevo valor y establezca su campo de datos en 1. Cualquier valor que no sea 1 deshabilita esta configuración.
Buscar el id. de inquilino
Desde el portal de Power Automate
Inicia sesión en el portal de Power Automate y presiona Ctrl + Alt + A. Se abrirá un documento en el que podrá encontrar su id. de inquilino en userInfo > tenantId.
Desde el portal de Power Apps
Inicie sesión en el portal de Power Apps y, en la configuración (en la parte superior izquierda), elija Power Apps > detalles de la sesión. Se mostrará una ventana emergente con tu id. de inquilino.
