Vanaf Power Automate voor bureaublad versie 2.24 is voor het volgende beheerdersbevoegdheden vereist:
-
De tenant wijzigen waarbij een machine is geregistreerd.
-
Een AAD-gekoppelde machine registreren bij een tenant die verschilt van de aan AAD gekoppelde tenant.
Machines kunnen ook zo worden geconfigureerd dat niet-beheerders deze bewerkingen kunnen uitvoeren, zoals hieronder wordt uitgelegd.
Wat zijn de doelstellingen van deze beperkingen?
Deze beperkingen maken het moeilijker voor kwaadwillende actoren op reeds gecompromitteerde machines om Power Automate Desktop te gebruiken om het probleem te versterken door een computer via het netwerk te besturen en te besturen.
U kunt de nieuwe tenantbeperkingsinstellingen gebruiken om te bepalen welke tenants Power Automate bureaublad scripts mogen uitvoeren op uw computers.
Voor de eerste computerregistratie zijn geen beheerdersbevoegdheden vereist, maar het wijzigen van de registratiebeperkingen wel.
Hoe registreer ik uw computer bij een andere tenant?
U wordt aangeraden een lijst met toegestane tenants te definiëren en deze toe te voegen aan het register, zoals wordt weergegeven in de sectie Specifieke tenants toestaan.
Belangrijk:
-
Door de Power Automate-machineruntime-app of de stille registratie-app als beheerder uit te voeren, kunnen machines standaard worden geregistreerd, ongeacht de onderstaande registerconfiguraties.
-
De mogelijkheid om de beperkingen voor tenantwijziging te overschrijven door als beheerder uit te voeren, kan worden uitgeschakeld vanuit het register:
-
Navigeer naar deze sleutel: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Maak een nieuwe DWORD-waarde (Bewerken > nieuwe > DWORD-waarde (32-bits) met de naam DisableTenantChangeRegistrationAdminOverride
-
Stel de waarde in op 1
Specifieke tenants toestaan
De veiligste en aanbevolen manier om te bepalen bij welke tenants uw machines zich mogen registreren, is de acceptatielijst van de registratietenant. Uw computer staat altijd registratie toe aan de tenants in de acceptatielijst en weigert registratie voor een andere tenant.
Belangrijk: Als u de acceptatielijst instelt, worden de instellingen AllowTenantSwitching en AllowRegisteringOutsideOfAADJoinedTenant genegeerd die hieronder worden beschreven.
Ga als volgt te werk om deze lijst te definiëren:
-
De register-editor uitvoeren (regedit.exe)
-
Navigeer naar deze sleutel: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Een nieuwe tekenreekswaarde maken (bewerken > nieuwe > tekenreekswaarde) met de naam AllowedRegistrationTenants
-
Dubbelklik op de nieuwe waarde en stel het gegevensveld in op een door komma's gescheiden lijst van de tenant-id's waarvoor de machine registratie moet toestaan, zoals: 3EF1d993-CBD4-4DEA-A50E-939AEDB23F21,5B19777D-814C-43F3-9317-CDBAD0846ED8
Als het instellen van de acceptatielijst voor tenants niet mogelijk is, kunt u de onderstaande opties volgen om registratie tussen tenants in te schakelen.
Machineregistratie toestaan voor een andere tenant dan de AAD-tenant van de machine
-
De register-editor uitvoeren (regedit.exe)
-
Navigeer naar deze sleutel: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Maak een nieuwe DWORD-waarde (Bewerken > nieuwe > DWORD-waarde (32-bits) met de naam AllowRegisteringOutsideOfAADJoinedTenant
-
Dubbelklik op de nieuwe waarde en stel het gegevensveld in op 1. Met een andere waarde dan 1 wordt deze instelling uitgeschakeld.
Machineregistratie overschakelen naar een andere tenant
-
De register-editor uitvoeren (regedit.exe)
-
Navigeer naar deze sleutel: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Maak een nieuwe DWORD-waarde (Bewerken > nieuwe > DWORD-waarde (32-bits) met de naam AllowTenantSwitching
-
Dubbelklik op de nieuwe waarde en stel het gegevensveld in op 1. Met een andere waarde dan 1 wordt deze instelling uitgeschakeld.
Machineregistratie valideren wanneer de service wordt gestart
De hierboven beschreven registratiebeperkingen worden alleen toegepast bij het registreren van de computer. Vanaf versie 2.31 kunt u Power Automate voor bureaublad configureren om te controleren of de huidige machineregistratie is toegestaan wanneer de Power Automate-service (UIFlowService) wordt gestart. Als de registratie niet is toegestaan, kan de machine geen verbinding maken met Power Automate-cloudservices.
Continue validatie inschakelen:
-
De register-editor uitvoeren (regedit.exe)
-
Navigeer naar deze sleutel: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Maak een nieuwe DWORD-waarde (Bewerken > nieuwe > DWORD-waarde (32-bits) met de naam EnforceRegistrationTenantRestrictionsOnServiceStart
-
Dubbelklik op de nieuwe waarde en stel het gegevensveld in op 1. Met een andere waarde dan 1 wordt deze instelling uitgeschakeld.
Uw tenant-id zoeken
Vanuit de Power Automate-portal
Meld u aan bij de Power Automate-portal en druk op Ctrl + Alt + A. Hiermee wordt een document geopend waarin u uw tenant-id kunt vinden onder userInfo > tenantId.
Vanuit de Power apps-portal
Meld u aan bij de Power Apps-portal en kies in de instellingen (linksboven) Power Apps > sessiedetails. Er wordt een pop-up weergegeven met uw tenant-id.
