À compter de Power Automate pour le bureau version 2.24, les éléments suivants nécessitent des privilèges d’administrateur :
-
Modification du locataire auprès de lequel une machine est inscrite.
-
Inscription d’un ordinateur joint à AAD auprès d’un locataire différent de son locataire joint à AAD.
Les machines peuvent également être configurées pour permettre aux non-administrateurs d’effectuer ces opérations, comme expliqué ci-dessous.
Quels sont les objectifs de ces restrictions ?
Ces restrictions rendent plus difficile pour les acteurs malveillants sur des machines déjà compromises d’utiliser Power Automate Desktop pour amplifier le problème en commandant et en contrôlant une machine sur le réseau.
Vous pouvez utiliser les nouveaux paramètres de restriction de locataire pour contrôler les locataires autorisés à exécuter des scripts Power Automate bureau sur vos machines.
L’inscription initiale de l’ordinateur ne nécessite pas de privilèges d’administrateur, mais la modification des restrictions d’inscription le fait.
Comment inscrire votre machine auprès d’un autre locataire ?
Nous vous recommandons de définir une liste de locataires autorisés et de les ajouter au Registre, comme indiqué dans la section Autoriser des locataires spécifiques.
Important :
-
L’exécution de l’application d’exécution de machine Power Automate ou de l’application d’inscription en mode silencieux en tant qu’administrateur permet d’inscrire des machines, quelles que soient les configurations de Registre ci-dessous par défaut.
-
La possibilité de remplacer les restrictions de modification de locataire en exécutant en tant qu’administrateur peut être désactivée à partir du Registre :
-
Accédez à cette clé : Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Créez une valeur DWORD (Modifier > nouvelle valeur > DWORD (32 bits) ) nommée DisableTenantChangeRegistrationAdminOverride
-
Définissez la valeur sur 1
Autorisation de locataires spécifiques
La méthode la plus sûre et recommandée pour contrôler les locataires auxquels vos machines sont autorisées à s’inscrire est la liste verte des locataires d’inscription. Votre ordinateur autorise toujours l’inscription auprès des locataires dans la liste verte et refuse l’inscription à tout autre locataire.
Important : La définition de la liste verte ignore les paramètres AllowTenantSwitching et AllowRegisteringOutsideOfAADJoinedTenant décrits ci-dessous.
Pour définir cette liste :
-
Exécuter l’éditeur du Registre (regedit.exe)
-
Accédez à cette clé : Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Créez une valeur de chaîne (Modifier > nouvelle valeur de chaîne >) nommée AllowedRegistrationTenants
-
Double-cliquez sur la nouvelle valeur et définissez son champ de données sur une liste séparée par des virgules des ID de locataire auxquels la machine doit autoriser l’inscription, par exemple : 3EF1d993-CBD4-4DEA-A50E-939AEDB23F21,5B19777D-814C-43F3-9317-CDBAD0846ED8
Sinon, si la configuration de la liste verte des locataires n’est pas possible, vous pouvez suivre les options ci-dessous pour activer l’inscription entre locataires.
Autorisation de l’inscription de la machine à un locataire autre que le locataire AAD de l’ordinateur
-
Exécuter l’éditeur du Registre (regedit.exe)
-
Accédez à cette clé : Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Créez une valeur DWORD (Modifier > nouvelle valeur > DWORD (32 bits) ) nommée AllowRegisteringOutsideOfAADJoinedTenant
-
Double-cliquez sur la nouvelle valeur et définissez son champ de données sur 1. Toute valeur autre que 1 désactive ce paramètre.
Basculement de l’inscription de la machine vers un autre locataire
-
Exécuter l’éditeur du Registre (regedit.exe)
-
Accédez à cette clé : Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Créez une valeur DWORD (Modifier > nouvelle valeur > DWORD (32 bits) nommée AllowTenantSwitching
-
Double-cliquez sur la nouvelle valeur et définissez son champ de données sur 1. Toute valeur autre que 1 désactive ce paramètre.
Validation de l’inscription de l’ordinateur au démarrage du service
Les restrictions d’inscription décrites ci-dessus sont appliquées uniquement lors de la tentative d’inscription de l’ordinateur. À compter de la version 2.31, vous pouvez configurer Power Automate pour le bureau pour case activée si l’inscription actuelle de l’ordinateur est autorisée au démarrage du service Power Automate (UIFlowService). Si l’inscription n’est pas autorisée, la machine ne peut pas se connecter aux services cloud Power Automate.
Pour activer la validation continue :
-
Exécuter l’éditeur du Registre (regedit.exe)
-
Accédez à cette clé : Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Créez une valeur DWORD (Modifier > nouvelle valeur > DWORD (32 bits) ) nommée EnforceRegistrationTenantRestrictionsOnServiceStart
-
Double-cliquez sur la nouvelle valeur et définissez son champ de données sur 1. Toute valeur autre que 1 désactive ce paramètre.
Recherche de votre ID de locataire
À partir du portail Power Automate
Connectez-vous au portail Power Automate et appuyez sur Ctrl+Alt+A. Cela ouvre un document dans lequel vous trouverez votre ID de locataire sous userInfo > tenantId.
À partir du portail Power Apps
Connectez-vous au portail Power Apps et, dans les paramètres (en haut à gauche), choisissez Power Apps > détails de la session. Cette opération affiche une fenêtre contextuelle avec votre ID de locataire.
