Χρήση μεταβλητών περιβάλλοντος για μυστικούς κωδικούς Azure Key Vault

Οι μεταβλητές περιβάλλοντος επιτρέπουν την αναφορά μυστικών κωδικών που είναι αποθηκευμένοι στο Azure Key Vault. Αυτά τα μυστικά γίνονται κατόπιν διαθέσιμα για χρήση εντός ροών Power Automate και προσαρμοσμένων συνδέσεων. Σημειώστε ότι τα μυστικά δεν είναι διαθέσιμα για χρήση σε άλλες προσαρμογές ή γενικά μέσω του API.

Οι πραγματικοί μυστικοί κωδικοί αποθηκεύονται μόνο στο Azure Key Vault και η μεταβλητή περιβάλλοντος απλά αναφέρεται στη μυστική θέση Key Vault. Η χρήση των μυστικών κωδικών Azure Key Vault με μεταβλητές περιβάλλοντος προϋποθέτει τη ρύθμιση παραμέτρων του Azure Key Vault ώστε το Power Platform να μπορεί να διαβάσει συγκεκριμένους μυστικούς κωδικούς στους οποίους θέλετε να κάνετε αναφορά.

Οι μεταβλητές περιβάλλοντος που αναφέρονται σε μυστικά δεν είναι προς το παρόν διαθέσιμες από τον επιλογέα δυναμικού περιεχομένου για χρήση σε Power Automate ροές.

Ρύθμιση παραμέτρων του Azure Key Vault

Για να χρησιμοποιήσετε τα μυστικά Azure Key Vault με Power Platform, η συνδρομή Azure που έχει τη θυρίδα αποθήκευσης πρέπει να έχει καταχωρημένη την PowerPlatform υπηρεσία παροχής πόρων και ο χρήστης που δημιουργεί τη μεταβλητή περιβάλλοντος πρέπει να έχει τα κατάλληλα δικαιώματα για τον πόρο Azure Key Vault.

Σημαντικό

• Υπάρχουν πρόσφατες αλλαγές στο ρόλος ασφαλείας που χρησιμοποιείται για τη διεκδίκηση δικαιωμάτων πρόσβασης στο Azure Key Vault. Στις προηγούμενες οδηγίες περιλαμβάνεται η ανάθεση του ρόλου αναγνώστη Key Vault. Εάν έχετε ρυθμίσει τη θυρίδα αποθήκευσης κλειδιών στο παρελθόν με το ρόλο Key Vault Αναγνώστης, βεβαιωθείτε ότι έχετε προσθέσει το ρόλο χρήστη Key Vault Secrets για να διασφαλίσετε ότι οι χρήστες σας έχουν Microsoft Dataverse επαρκή δικαιώματα για την ανάκτηση των μυστικών.
• Ξέρουμε ότι η υπηρεσία μας χρησιμοποιεί τα API ελέγχου πρόσβασης βάσει ρόλου στο Azure για την αξιολόγηση της ανάθεσης ρόλου ασφαλείας ακόμα κι αν έχετε ρυθμίσει ακόμα το key vault σας για χρήση του μοντέλου δικαιωμάτων πρόσβασης στο vault. Για να απλοποιήσετε τη ρύθμιση παραμέτρων σας, συνιστάται να αλλάξετε το μοντέλο δικαιωμάτων vault σε στοιχείο ελέγχου πρόσβασης που βασίζεται σε ρόλους στο Azure. Μπορείτε να το κάνετε αυτό στην καρτέλα ρύθμισης παραμέτρων της Access.

1. Καταχωρήστε τον Microsoft.PowerPlatform πάροχο πόρων στη συνδρομή Azure. Ακολουθήστε αυτά τα βήματα για να επαληθεύσετε και να ρυθμίσετε: Υπηρεσίες παροχής πόρων και τύποι πόρων

   

2. Δημιουργήστε έναν θάλαμο Azure Key Vault. Εξετάστε το ενδεχόμενο να χρησιμοποιήσετε έναν ξεχωριστό θάλαμο για κάθε περιβάλλον Power Platform για να ελαχιστοποιήσετε την απειλή σε περίπτωση παραβίασης. Εξετάστε το ενδεχόμενο να ρυθμίσετε τις παραμέτρους της θυρίδας αποθήκευσης κλειδιών ώστε να χρησιμοποιεί Azure έλεγχο πρόσβασης βάσει ρόλων για το μοντέλο δικαιωμάτων. Περισσότερες πληροφορίες: Βέλτιστες πρακτικές για τη χρήση του Azure Key Vault,Γρήγορη εκκίνηση - Δημιουργία Azure Key Vault με την πύλη Azure

3. Οι χρήστες που δημιουργούν ή χρησιμοποιούν μεταβλητές περιβάλλοντος μυστικού τύπου πρέπει να έχουν δικαίωμα ανάκτησης των περιεχομένων της σελίδας. Για να εκχωρήσετε σε έναν νέο χρήστη τη δυνατότητα να χρησιμοποιήσει τον μυστικό, επιλέξτε την περιοχή Έλεγχος πρόσβασης (IAM), επιλέξτε Προσθήκη και, στη συνέχεια, επιλέξτεΠροσθήκη ανάθεσης ρόλου από την αναπτυσσόμενη λίστα. Περισσότερες πληροφορίες: Παροχή πρόσβασης σε κλειδιά, πιστοποιητικά και μυστικά του Key Vault με έλεγχο πρόσβασης βάσει ρόλων Azure

   

4. Στον οδηγό Προσθήκη ανάθεσης ρόλου, αφήστε τον προεπιλεγμένο τύπο ανάθεσης ως ρόλους συνάρτησης εργασίας και συνεχίστε στην καρτέλα Ρόλος . Εντοπίστε το ρόλο χρήστη Key Vault Secrets και επιλέξτε τον. Συνεχίστε στην καρτέλα μελών και επιλέξτε το σύνδεσμο Επιλογή μελών και εντοπίστε τον χρήστη στον πλαϊνό πίνακα. Όταν ο χρήστης είναι επιλεγμένος και εμφανίζεται στην ενότητα μελών, συνεχίστε στην καρτέλα αναθεώρησης και ανάθεσης και ολοκληρώστε τον οδηγό.

5. Azure Το Key Vault πρέπει να έχει το ρόλο χρήστη Key Vault Secrets εκχωρημένο στην Dataverse κύρια υπηρεσία. Εάν δεν υπάρχει για αυτό το vault, προσθέστε μια νέα πολιτική πρόσβασης χρησιμοποιώντας την ίδια μέθοδο που χρησιμοποιήσατε προηγουμένως για την άδεια τελικού χρήστη, μόνο χρησιμοποιώντας την ταυτότητα της εφαρμογής Dataverse αντί του χρήστη. Εάν έχετε πολλές κύριες αρχές εξυπηρέτησης Dataverse στον μισθωτή σας, συνιστάται να τις επιλέξετε όλες και να αποθηκεύσετε την ανάθεση ρόλου. Αφού ανατεθεί ο ρόλος, εξετάστε κάθε στοιχείο Dataverse που παρατίθενται στη λίστα αντιστοιχίσεων ρόλων και επιλέξτε το όνομα Dataverse για να προβάλετε τις λεπτομέρειες. Εάν το αναγνωριστικό εφαρμογής δεν 00000007-0000-0000-c000-000000000000** είναι, επιλέξτε την ταυτότητα και, στη συνέχεια, επιλέξτε Κατάργηση για να την καταργήσετε από τη λίστα.

6. Εάν έχετε ενεργοποιήσει το Azure Key Vault Firewall, πρέπει να επιτρέψετε την Power Platform πρόσβαση διευθύνσεων IP στο θησαυροφυλάκιο κλειδιών σας. Το Power Platform δεν περιλαμβάνεται στην επιλογή "Μόνο αξιόπιστες υπηρεσίες". Μεταβείτε στις Power Platform διευθύνσεις URL και τα εύρη διευθύνσεων IP για τις τρέχουσες διευθύνσεις IP που χρησιμοποιούνται στην υπηρεσία.

7. Εάν δεν το έχετε κάνει ήδη, προσθέστε έναν μυστικό κωδικό στον νέο σας θάλαμο. Περισσότερες πληροφορίες: Azure Γρήγορη εκκίνηση - Ορίστε και ανακτήστε ένα μυστικό από το Key Vault χρησιμοποιώντας την πύλη Azure

Δημιουργία νέας μεταβλητής περιβάλλοντος για τον μυστικό κωδικό του key Vault

Αφού ρυθμίσετε τις παραμέτρους του Azure Key Vault και έχετε καταχωρημένο έναν μυστικό κωδικό στο vault σας, μπορείτε τώρα να το χρησιμοποιήσετε εντός του Power Apps χρησιμοποιώντας μια μεταβλητή περιβάλλοντος.

Σημείωμα

• Η επικύρωση πρόσβασης χρήστη για τον μυστικό κωδικό εκτελείται στο παρασκήνιο. Εάν ο χρήστης δεν έχει τουλάχιστον δικαίωμα ανάγνωσης, εμφανίζεται αυτό το σφάλμα επικύρωσης: "Αυτή η μεταβλητή δεν αποθηκεύτηκε σωστά. Ο χρήστης δεν έχει εξουσιοδότηση για την ανάγνωση μυστικών κωδικών από τη "Διαδρομή Azure Key Vault".
• Επί του παρόντος, το Azure Key Vault είναι ο μόνος χώρος αποθήκευσης μυστικών κωδικών που υποστηρίζεται με μεταβλητές περιβάλλοντος.
• Το Azure Key Vault πρέπει να έχει τον ίδιο μισθωτη με τη συνδρομή Power Platform.

1. Συνδεθείτε και Power Apps, στην περιοχή Λύσεις , ανοίξτε τη μη διαχειριζόμενη λύση που χρησιμοποιείτε για ανάπτυξη.

2. Επιλέξτε Νέα>μεταβλητή> περιβάλλοντος περισσότερο.

3. Εισαγάγετε ένα εμφανιζόμενο όνομα και προαιρετικά, μια Περιγραφή για τη μεταβλητή περιβάλλοντος.

4. Επιλέξτε τον τύπο δεδομένων ως μυστικό και μυστικό χώρο αποθήκευσης ως Azure Key Vault.

5. Επιλέξτε από τις ακόλουθες επιλογές:

   • Επιλέξτε Νέα αναφορά τιμής Azure Key Vault. Μετά την προσθήκη των πληροφοριών στο επόμενο βήμα και την αποθήκευση, δημιουργείται μια εγγραφή τιμής μεταβλητής περιβάλλοντος.
   • Αναπτύξτε το στοιχείο Εμφάνιση προεπιλεγμένης τιμής, για να εμφανίσετε τα πεδία για να δημιουργήσετε έναν μυστικό προεπιλεγμένο φάκελο Azure Key Vault. Μετά την προσθήκη των πληροφοριών στο επόμενο βήμα και την αποθήκευση, η προεπιλεγμένη οριοθέτηση τιμών προστίθεται στην εγγραφή ορισμού μεταβλητής περιβάλλοντος.

6. Πληκτρολογήστε τις παρακάτω πληροφορίες:

   • Azure Αναγνωριστικό συνδρομής: Το Azure αναγνωριστικό συνδρομής που σχετίζεται με το θησαυροφυλάκιο κλειδιών.

   • Όνομα ομάδας πόρων: Η ομάδα πόρων Azure όπου βρίσκεται η θυρίδα αποθήκευσης κλειδιών που περιέχει το μυστικό.

   • Azure Όνομα θυρίδας κλειδιού: Το όνομα του θησαυροφυλακίου κλειδιών που περιέχει το μυστικό.

   • Μυστικό όνομα: Το όνομα του μυστικού που βρίσκεται στο Azure Key Vault.

     Φιλοδώρημα

     Το αναγνωριστικό συνδρομής, το όνομα της ομάδας πόρων και το όνομα του key vault υπάρχουν στη σελίδα Επισκόπηση της πύλης Azure του key vault. Μπορείτε να βρείτε το όνομα του μυστικού κωδικού στη σελίδα key vault στην πύλη Azure επιλέγοντας Μυστικοί κωδικοί στην περιοχή Ρυθμίσεις.

7. Επιλέξτε Αποθήκευση.

Δημιουργία ροής Power Automate για δοκιμή του μυστικού κωδικού της μεταβλητής περιβάλλοντος

Ένα απλό σενάριο που δείχνει ότι ο τρόπος χρήσης ενός μυστικού κωδικού που αποκτήθηκε από το Azure Key Vault είναι η δημιουργία μιας ροής Power Automate για χρήση του μυστικού κωδικού για τον έλεγχο ταυτότητας έναντι μιας υπηρεσίας web.

Σημείωμα

Το URI για την υπηρεσία web σε αυτό το παράδειγμα δεν είναι μια υπηρεσία web που λειτουργεί.

1. Power Appsσυνδεθείτε, επιλέξτε Λύσεις και, στη συνέχεια, ανοίξτε τη μη διαχειριζόμενη λύση που θέλετε. Εάν το στοιχείο δεν βρίσκεται στο πλαϊνό τμήμα του πίνακα, επιλέξτε ...Περισσότερα και, στη συνέχεια, επιλέξτε το στοιχείο που θέλετε.

2. Επιλέξτε Νέα>Αυτοματοποίηση>Ροή cloud>Στιγμιαία.

3. Πληκτρολογήστε ένα όνομα για τη ροή, επιλέξτε Μη αυτόματη ενεργοποίηση ροής και, στη συνέχεια, επιλέξτε Δημιουργία.

4. Επιλέξτε Νέα βήμα, επιλέξτε τη Microsoft Dataverse σύνδεση και, στη συνέχεια, στην καρτέλα Ενέργειες , επιλέξτε Εκτέλεση μη δεσμευμένης ενέργειας.

5. Επιλέξτε την ενέργεια με το όνομα RetrieveEnvironmentVariableSecretValue από την αναπτυσσόμενη λίστα.

6. Δώστε τη μεταβλητή περιβάλλοντος μοναδικό όνομα (όχι το εμφανιζόμενο όνομα) που προστέθηκε στην προηγούμενη ενότητα, για αυτό το παράδειγμα new_TestSecret χρησιμοποιείται.

7. Επιλέξτε ...>Μετονομάστε για να μετονομάσετε την ενέργεια, ώστε να είναι πιο εύκολη η αναφορά της στην επόμενη ενέργεια. Σε αυτό το στιγμιότυπο οθόνης, μετονομάζεται σε GetSecret.

   

8. Επιλέξτε ...>Ρυθμίσεις για την εμφάνιση των ρυθμίσεων ενέργειας GetSecret .

9. Ενεργοποιήστε την επιλογή Ασφαλείς έξοδοι στις ρυθμίσεις και, στη συνέχεια, επιλέξτε Τέλος. Αυτό γίνεται για να αποτρέψετε την έκθεση της εξόδου της ενέργειας στο ιστορικό εκτέλεσης ροής.

   

10. Επιλέξτε Νέα βήμα, αναζητήστε και επιλέξτε τη σύνδεση HTTP .

11. Επιλέξτε τη μέθοδο ως GET και εισαγάγετε το URI για την υπηρεσία web. Σε αυτό το παράδειγμα, χρησιμοποιείται η πλασματική υπηρεσία web httpbin.org .

12. Επιλέξτε Εμφάνιση επιλογών για προχωρημένους, επιλέξτε τον έλεγχο ταυτότητας ως βασικό και, στη συνέχεια, πληκτρολογήστε το όνομα χρήστη.

13. Επιλέξτε το πεδίο Κωδικός πρόσβασης και, στη συνέχεια, στην καρτέλα Δυναμικό περιεχόμενο κάτω από τη ροή βήμα όνομα παραπάνω (GetSecret σε αυτό το παράδειγμα) επιλέξτε RetrieveEnvironmentVariableSecretValueResponse EnvironmentVariableSecretValue, το οποίο στη συνέχεια προστίθεται ως έκφραση outputs('GetSecretTest')?['body/EnvironmentVariableSecretValue'] ή body('GetSecretTest')['EnvironmentVariableSecretValue'].

    

14. Επιλέξτε ...>Ρυθμίσεις για την εμφάνιση των ρυθμίσεων ενέργειας HTTP .

15. Ενεργοποιήστε τις επιλογές Ασφαλείς είσοδοι και Ασφαλείς έξοδοι στις ρυθμίσεις και, στη συνέχεια, επιλέξτε Τέλος. Αυτό γίνεται για να αποτρέψετε την έκθεση της εξόδου της ενέργειας στο ιστορικό εκτέλεσης ροής.

16. Επιλέξτε Αποθήκευση για να δημιουργήσετε τη ροή.

17. Εκτελέστε μη αυτόματα τη ροή για να τη δοκιμάσετε.

    Χρησιμοποιώντας το ιστορικό εκτέλεσης της ροής, οι έξοδοι μπορούν να επαληθευτούν.

    

Χρησιμοποιήστε μυστικά μεταβλητών περιβάλλοντος στο Microsoft Copilot Studio

Περιβάλλον: μεταβλητά μυστικά στην Microsoft Copilot Studio εργασία λίγο διαφορετικά. Πρέπει να εκτελέσετε τα βήματα στις ενότητες Ρύθμιση παραμέτρων Azure Key Vault και Δημιουργία νέας μεταβλητής περιβάλλοντος για το μυστικό του Key Vault για χρήση μυστικών με μεταβλητές περιβάλλοντος.

Δώστε Copilot Studio πρόσβαση στο Azure Key Vault

Ακολουθήστε αυτά τα βήματα:

1. Επιστρέψτε στο Azure Key Vault.

2. Copilot Studio χρειάζεται πρόσβαση στο θησαυροφυλάκιο κλειδιών. Για να εκχωρήσετε Copilot Studio τη δυνατότητα χρήσης του μυστικού στοιχείου, επιλέξτε Έλεγχος πρόσβασης (IAM) στο αριστερό παράθυρο περιήγησης, επιλέξτε Προσθήκη και, στη συνέχεια, επιλέξτεΠροσθήκη ανάθεσης ρόλου.

   

3. Επιλέξτε το ρόλο χρήστη Key Vault Secrets και, στη συνέχεια, επιλέξτε Next.

4. Επιλέξτε Επιλογή μελών, αναζητήστε Power Virtual Agents την Υπηρεσία, επιλέξτε την και, στη συνέχεια, επιλέξτε Επιλογή.

5. Επιλέξτε Έλεγχος + εκχώρηση στο κάτω μέρος της οθόνης. Ελέγξτε τις πληροφορίες και επιλέξτε Αναθεώρηση + εκχώρηση ξανά, εάν όλες είναι σωστές.

Προσθέστε μια ετικέτα για να επιτρέψετε σε ένα copilot να αποκτήσει πρόσβαση στο μυστικό στο Azure Key Vault

Ολοκληρώνοντας τα προηγούμενα βήματα αυτής της ενότητας, Copilot Studio έχετε πλέον πρόσβαση στο Azure Key Vault, αλλά δεν μπορείτε να το χρησιμοποιήσετε ακόμα. Για να ολοκληρώσετε την εργασία, ακολουθήστε τα εξής βήματα:

1. Μεταβείτε και Microsoft Copilot Studio ανοίξτε το εκπρόσωπος που θέλετε να χρησιμοποιήσετε για το μυστικό μεταβλητής περιβάλλοντος ή δημιουργήστε ένα νέο.

2. Ανοίξτε ένα εκπρόσωπος θέμα ή δημιουργήστε ένα νέο.

3. Επιλέξτε το + εικονίδιο για να προσθέσετε έναν κόμβο και, στη συνέχεια, επιλέξτε Αποστολή μηνύματος.

4. Ενεργοποιήστε την επιλογή Εισαγωγή μεταβλητής στον {x} κόμβο Αποστολή μηνύματος .

5. Επιλέξτε την καρτέλα Περιβάλλον. Επιλέξτε τον μυστικό κωδικό μεταβλητής περιβάλλοντος που δημιουργήσατε στη βήμα Δημιουργία νέας μεταβλητής περιβάλλοντος για τον μυστικό φάκελο Key Vault.

6. Επιλέξτε Αποθήκευση για να αποθηκεύσετε θέμα.

7. Στο παράθυρο δοκιμής, δοκιμάστε θέμα χρησιμοποιώντας μία από τις αρχικές φράσεις του θέμα όπου μόλις προσθέσατε τον κόμβο Αποστολή μηνύματος με τον μυστικό κωδικό μεταβλητής περιβάλλοντος. Θα πρέπει να αντιμετωπίσετε ένα σφάλμα που μοιάζει με αυτό:

   

   Αυτό σημαίνει ότι πρέπει να επιστρέψετε στο Azure Key Vault και να επεξεργαστείτε το μυστικό. Αφήστε Copilot Studio ανοιχτό, γιατί θα επιστρέψετε εδώ αργότερα.

8. Μεταβείτε στο Azure Key Vault. Στο αριστερό παράθυρο περιήγησης, επιλέξτε Μυστικά στην περιοχή Αντικείμενα. Επιλέξτε το μυστικό στο οποίο θέλετε να κάνετε διαθέσιμο Copilot Studio επιλέγοντας το όνομα.

9. Επιλέξτε την έκδοση του μυστικού.

10. Επιλέξτε 0 ετικέτες δίπλα στις Ετικέτες . Προσθέστε ένα όνομα ετικέτας και μια τιμή ετικέτας. Το μήνυμα λάθους στο Copilot Studio θα πρέπει να σας δώσει τις ακριβείς τιμές αυτών των δύο ιδιοτήτων. Στην περιοχή Όνομα ετικέτας πρέπει να προσθέσετε AllowedBots και στην Τιμή ετικέτας πρέπει να προσθέσετε την τιμή που εμφανίστηκε στο μήνυμα σφάλματος. Αυτή η τιμή έχει μορφοποιηθεί ως {envId}/{schemaName}. Εάν υπάρχουν πολλοί συγκυβερνήτες που πρέπει να επιτραπούν, διαχωρίστε τις τιμές με κόμμα. Όταν ολοκληρωθεί η διαδικασία, κάντε κλικ στο κουμπί OK.

11. Επιλέξτε Εφαρμογή για να εφαρμόσετε την ετικέτα στο μυστικό.

12. Επιστρέψτε στο Copilot Studio. Επιλέξτε Ανανέωση στο παράθυρο Δοκιμή copilot .

13. Στο παράθυρο δοκιμής, δοκιμάστε ξανά θέμα χρησιμοποιώντας μία από τις αρχικές φράσεις του θέμα.

Η αξία του μυστικού σας θα πρέπει να εμφανίζεται στον πίνακα δοκιμής.

Προσθέστε μια ετικέτα για να επιτρέψετε σε όλους τους συγκυβερνήτες σε ένα περιβάλλον να έχουν πρόσβαση στο μυστικό στο Azure Key Vault

Εναλλακτικά, μπορείτε να επιτρέψετε σε όλους τους συγκυβερνήτες σε ένα περιβάλλον πρόσβαση στο μυστικό στο Azure Key Vault. Για να ολοκληρώσετε την εργασία, ακολουθήστε τα εξής βήματα:

1. Μεταβείτε στο Azure Key Vault. Στο αριστερό παράθυρο περιήγησης, επιλέξτε Μυστικά στην περιοχή Αντικείμενα. Επιλέξτε το μυστικό στο οποίο θέλετε να κάνετε διαθέσιμο Copilot Studio επιλέγοντας το όνομα.
2. Επιλέξτε την έκδοση του μυστικού.
3. Επιλέξτε 0 ετικέτες δίπλα στις Ετικέτες . Προσθέστε ένα όνομα ετικέτας και μια τιμή ετικέτας. Στην περιοχή Όνομα ετικέτας, προσθέστε AllowedEnvironments και στην Τιμή ετικέτας προσθέστε το αναγνωριστικό περιβάλλοντος του περιβάλλοντος που θέλετε να επιτρέψετε. Όταν τελειώσετε, επιλέξτε OK
4. Επιλέξτε Εφαρμογή για να εφαρμόσετε την ετικέτα στο μυστικό.

Περιορισμός

Οι μεταβλητές περιβάλλοντος που αναφέρονται στα μυστικά του Azure Key Vault είναι προς το παρόν περιορισμένες για χρήση με Power Automate ροές Copilot Studio , παράγοντες και προσαρμοσμένες συνδέσεις.

Δείτε επίσης

Χρήση μεταβλητών περιβάλλοντος προέλευσης δεδομένων σε εφαρμογές καμβά
Χρήση μεταβλητών περιβάλλοντος σε ροές cloud λύσης Power Automate
Επισκόπηση μεταβλητών περιβάλλοντος.