Od Power Automate pre počítače verzie 2.24 sa vyžadujú oprávnenia správcu:
-
Zmena nájomníka, ku ktorému je počítač zaregistrovaný.
-
Registrácia počítača pripojeného k službe AAD u nájomníka sa líši od jeho nájomníka pripojeného k službe AAD.
Počítače je tiež možné nakonfigurovať tak, aby im umožnili vykonávať tieto operácie bez správcov, ako je to vysvetlené nižšie.
Aké sú ciele týchto obmedzení?
Tieto obmedzenia sťažujú škodlivým aktérom na už ohrozených počítačoch používanie aplikácie Power Automate Desktop na zosilnenie problému velením a kontrolou počítača cez sieť.
Pomocou nových nastavení obmedzení nájomníka môžete určiť, ktorí nájomníci môžu spúšťať Power Automate pre počítače skripty vo vašich počítačoch.
Počiatočná registrácia počítača nevyžaduje oprávnenia správcu, ale zmena obmedzení registrácie áno.
Ako zaregistrovať počítač do iného nájomníka?
Odporúčame definovať zoznam povolených nájomníkov a pridať ich do databázy Registry, ako je to zobrazené v časti Povolenie konkrétnych nájomníkov.
Dôležité:
-
Spustenie aplikácie runtime počítača Služby Power Automate alebo aplikácie tichej registrácie ako správca umožňuje registráciu počítačov bez ohľadu na konfigurácie databázy Registry uvedené nižšie v predvolenom nastavení.
-
Možnosť prepísať obmedzenia zmien nájomníka spustením ako správca môže byť v databáze Registry zakázaná:
-
Prejdite na tento kľúč: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Vytvorte novú hodnotu DWORD (Upraviť > novú hodnotu > DWORD (32-bitová) s názvom DisableTenantChangeRegistrationAdminOverride
-
Nastavte hodnotu na hodnotu 1
Povolenie konkrétnych nájomníkov
Najbezpečnejší a odporúčaný spôsob kontroly nájomníkov, do ktorých sa môžu vaše počítače zaregistrovať, je registračný zoznam povolených nájomníkov. Váš počítač vždy umožní registráciu nájomníkom v zozname povolených položiek a zamietne registráciu ľubovoľnému inému nájomníkovi.
Dôležité: Nastavenie zoznamu povolených položiek bude ignorovať nastavenia AllowTenantSwitching a AllowRegisteringOutsideOfAADJoinedTenant , ktoré sú popísané nižšie.
Definovanie tohto zoznamu:
-
Spustenie editora databázy Registry (regedit.exe)
-
Prejdite na tento kľúč: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Vytvorenie novej hodnoty reťazca (Upraviť > novú hodnotu > reťazca) s názvom AllowedRegistrationTenants
-
Dvakrát kliknite na novú hodnotu a nastavte jej údajové pole na zoznam ID nájomníka oddelený čiarkou, na ktorý by mal stroj umožniť registráciu, napríklad: 3EF1d993-CBD4-4DEA-A50E-939AEDB23F21,5B19777D-814C-43F3-9317-CDBAD0846ED8
Prípadne, ak nastavenie zoznamu povolených nájomníkov nie je možné, môžete postupovať podľa nižšie uvedených možností a povoliť registráciu medzi nájomníkmi.
Povolenie registrácie počítača do iného nájomníka ako nájomníka AAD počítača
-
Spustenie editora databázy Registry (regedit.exe)
-
Prejdite na tento kľúč: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Vytvorte novú hodnotu DWORD (Upraviť > novú hodnotu > DWORD (32-bitová) s názvom AllowRegisteringOutsideOfAADJoinedTenant
-
Dvakrát kliknite na novú hodnotu a nastavte jej údajové pole na hodnotu 1. Akékoľvek iné hodnoty ako 1 toto nastavenie zakážu.
Prepnutie registrácie počítača na iného nájomníka
-
Spustenie editora databázy Registry (regedit.exe)
-
Prejdite na tento kľúč: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Vytvorte novú hodnotu DWORD (Upraviť > novú hodnotu > DWORD (32-bitová) s názvom AllowTenantSwitching
-
Dvakrát kliknite na novú hodnotu a nastavte jej údajové pole na hodnotu 1. Akékoľvek iné hodnoty ako 1 toto nastavenie zakážu.
Overovanie registrácie stroja pri spustení služby
Vyššie popísané obmedzenia registrácie sa použijú len pri pokuse o registráciu zariadenia. Od verzie 2.31 môžete nakonfigurovať Power Automate pre počítače skontrolovať, či je pri spustení služby Power Automate (UIFlowService) povolená aktuálna registrácia počítača. Ak registrácia nie je povolená, počítač sa nebude môcť pripojiť k cloudovým službám Power Automate.
Povolenie nepretržitého overovania:
-
Spustenie editora databázy Registry (regedit.exe)
-
Prejdite na tento kľúč: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Registration
-
Vytvorte novú hodnotu DWORD (Upraviť > novú > hodnotu DWORD (32-bitová) s názvom EnforceRegistrationTenantRestrictionsOnServiceStart
-
Dvakrát kliknite na novú hodnotu a nastavte jej údajové pole na hodnotu 1. Akékoľvek iné hodnoty ako 1 toto nastavenie zakážu.
Vyhľadanie ID nájomníka
Z portálu služby Power Automate
Prihláste sa na portál služby Power Automate a stlačte kombináciu klávesov Ctrl + Alt + A. Otvorí sa dokument, v ktorom nájdete id nájomníka v časti userInfo > tenantId.
Z portálu služby Power Apps
Prihláste sa na portál služby Power Apps a v nastaveniach (vľavo hore) vyberte položku Power Apps > podrobnosti o relácii. Zobrazí sa kontextová ponuka s vaším ID nájomníka.
