Restrições de locatário para Power Automate para desktop registro de máquina

Quais são as metas dessas restrições?

Essas restrições dificultam que atores mal-intencionados em computadores já comprometidos usem o Power Automate Desktop para amplificar o problema comandando e controlando um computador pela rede.

Você pode usar as novas configurações de restrição de locatário para controlar quais locatários podem executar scripts Power Automate para desktop em seus computadores.

O registro inicial do computador não requer privilégios de administrador, mas a alteração das restrições de registro exige.

Como registrar seu computador em um locatário diferente?

É recomendável definir uma lista de locatários permitidos e adicioná-los ao registro, conforme visto na seção Permitir locatários específicos.

Permitindo locatários específicos

A maneira mais segura e recomendada de controlar quais locatários seus computadores podem se registrar é a lista de permissões do locatário de registro. Seu computador sempre permitirá o registro para os locatários na lista de permissões e negará o registro a qualquer outro locatário.

Para definir esta lista:

• Execute o editor de registro (regedit.exe)

• Navegue até esta chave: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration

• Criar um novo valor de cadeia de caracteres (Editar > novo valor de cadeia de caracteres >) chamado AllowedRegistrationTenants

• Clique duas vezes no novo valor e defina seu campo de dados como uma lista separada por vírgulas das IDs de locatário às quais o computador deve permitir o registro, como: 3EF1d993-CBD4-4DEA-A50E-939AEDB23F21,5B19777D-814C-43F3-9317-CDBAD0846ED8

Como alternativa, se a configuração da lista de permissões do locatário não for possível, você poderá seguir as opções abaixo para habilitar o registro entre locatários.

Permitir o registro do computador para um locatário diferente do locatário do AAD do computador

• Execute o editor de registro (regedit.exe)

• Navegue até esta chave: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration

• Criar um novo valor DWORD (Editar > novo valor DWORD (32 bits) de >) chamado AllowRegisteringOutsideOfAADJoinedTenant

• Clique duas vezes no novo valor e defina seu campo de dados como 1. Qualquer valor diferente de 1 desabilita essa configuração. 

Alternar o registro do computador para outro locatário

• Execute o editor de registro (regedit.exe)

• Navegue até esta chave: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration

• Criar um novo valor DWORD (Editar > novo valor DWORD (32 bits) >) chamado AllowTenantSwitching

• Clique duas vezes no novo valor e defina seu campo de dados como 1. Qualquer valor diferente de 1 desabilita essa configuração.

Validando o registro do computador quando o serviço é iniciado

As restrições de registro descritas acima só são aplicadas ao tentar registrar o computador. A partir da versão 2.31, você pode configurar Power Automate para desktop para marcar se o registro do computador atual for permitido quando o serviço do Power Automate (UIFlowService) for iniciado. Se o registro não for permitido, o computador não poderá se conectar aos serviços de nuvem do Power Automate.

Para habilitar a validação contínua:

• Execute o editor de registro (regedit.exe)

• Navegue até esta chave: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration

• Criar um novo valor DWORD (Editar > novo valor DWORD (32 bits) de >) chamado EnforceRegistrationTenantRestrictionsOnServiceStart

• Clique duas vezes no novo valor e defina seu campo de dados como 1. Qualquer valor diferente de 1 desabilita essa configuração.

Encontrar sua ID de locatário