Защита исходящего доступа к рабочему пространству для оперативного агента (предпросмотр)

Защита исходящего доступа к рабочему пространству (OAP) — это функция безопасности Microsoft Fabric workspace, которая позволяет администраторам управлять, какие исходящие сетевые соединения могут создавать элементы в рабочем пространстве. Когда вы включаете OAP в рабочем пространстве, содержащем агент операций, политика соединения этого пространства регулирует исходящие действия агента.

Если в вашем рабочем пространстве используется агент операций и включён OAP, OAP блокирует некоторые действия агента, такие как уведомления Teams, потоки в Power Automate и действия в других рабочих пространствах, если только администратор явно не разрешит их. Во время предварительного просмотра применяются дополнительные ограничения, которые влияют на то, какие действия вы можете разрешить.

В этой статье объясняется, что охватывает OAP для агента операций на этапе предварительной версии и что вы увидите, когда защита блокирует действие.

Что охватывает защита исходящего доступа

Когда вы включаете OAP в рабочей области, содержащей Operations Agent, эта политика регулирует следующие исходящие операции.

OAP влияет только на последний исходящий этап выполнения. Процесс рассуждения агента, его правила и внутреннее журналирование продолжают работать нормально.

Ограничения предварительной версии

Учитывайте следующие ограничения, пока агент операций с OAP рабочей области находится на этапе предварительной версии.

Действия между рабочими пространствами не поддерживаются

Preview поддерживает только сценарии внутри рабочего пространства. OAP блокирует исходящие действия, направленные на другое рабочее пространство.

Рекомендация: Держите агента и его цели действий, такие как предметы Activator и другие предметы Fabric, в одном рабочем пространстве.

Действия Power Automate блокируются

В настоящее время для Power Automate нет переключателя для каждого рабочего пространства. Пока OAP включён, он блокирует действия Power Automate, которые активирует агент.

Рекомендация: Если ваш агент зависит от Power Automate, оставьте OAP отключённым в этой рабочей области, пока не появится этот переключатель, либо замените действие уведомлением в Teams или заданием Fabric в рабочей области.

Другие исходящие действия элемента Fabric заблокированы

Управление на уровне рабочего пространства для других исходящих операций элементов Fabric в настоящее время недоступно. В настоящее время, если OAP включен и вы явным образом не разрешили требуемые политики подключения, Fabric блокирует эти действия.

Разъёмы без переключателя защиты исходящего доступа блокируются

Правила рабочей области могут разрешать только коннекторы, которые явно поддерживают политику OAP для рабочей области. Fabric блокирует любой другой исходящий разъём, пока OAP включён.

Доставка уведомлений Teams зависит от настроек Teams арендатора

Агент отправляет уведомления Teams напрямую. Его поведение зависит от администраторских настроек на уровне арендатора для Teams:

• Команды Teams, разрешённые в настройках клиента: Когда OAP блокирует действие, агент отправляет создателю агента карточку Teams с объяснением причины блокировки.
• Teams не разрешен в параметрах клиента: агент не отправляет карточку Teams. Используйте журнал активности (см . раздел Мониторинг и устранение неполадок) для проверки активности агентов и результатов доставки, включая случаи, когда политики OAP влияют на операции или блокируют связанные с ними действия сообщений.

Без программного обхода

Fabric применяет OAP на уровне API. Нет поддерживаемого способа обойти OAP рабочего пространства с помощью кода, скриптов или внешних вызовов API.

Используйте журнал активности для проверки активности агента и результатов доставки, включая случаи, когда политики защиты исходящего доступа (OAP) влияют на операции или блокируют связанные с ними действия по обмену сообщениями.

Что вы видите, когда действие заблокировано

Агент по операциям не завершает работу без сообщения об ошибке. Когда OAP блокирует исходящее действие, агент отображает это следующим образом.

В интерфейсе оперативного агента

В верхней части окна агента появляется баннер со следующим текстом:

Ограниченная функциональность агента — Это рабочее пространство имеет ограничения на исходящий доступ, которые могут блокировать некоторые действия или уведомления агента.

В Microsoft Teams (если Teams разрешён)

Создатель агента получает карточку Teams.

Настройки, влияющие на операционного агента

Следующие настройки определяют, как OAP взаимодействует с операционным агентом.

Если после включения OAP агент ведёт себя неожиданно, попросите администратора рабочей области проверить список разрешённых подключений рабочей области и убедиться, что в нём явно разрешены коннекторы, от которых зависит агент.

Мониторинг и устранение неполадок

Используйте журнал активности для мониторинга OAP.

Журнал активности предоставляет видимость деятельности агентов операций, включая влияние OAP на работу агентов.

Чтобы получить доступ к журналу активности:

1. Откройте своего операционного агента в Fabric.
2. В левой навигационной панели под именем вашего агента выберите Журнал активности.

Ищите следующие пункты в журнале активности:

• Заблокированные исходящие запросы: Записи, показывающие операции, заблокированные политиками OAP.
• Неудачные действия: проверьте, коррелируют ли сбои с ограничениями OAP.
• Временные метки: Сопоставьте активность агента с ожидаемым поведением.

Часто задаваемые вопросы

В этом разделе содержатся распространённые вопросы о том, как OAP влияет на операционного агента во время предварительного просмотра.

Перестанет ли мой агент работать, как только администратор включит защиту исходящего доступа?

No. Процессы рассуждения агента, его правила и внутреннее журналирование продолжают функционировать. OAP блокирует только исходящие действия, которые не входят в список разрешений рабочего пространства. Агент отображает эти блоки с помощью баннера и, если доступно, в виде уведомления в Teams.

Могу ли я использовать Operations Agent без защиты исходящего доступа?

Yes. Оперативный агент обычно доступен и работает без OAP. Включение OAP — это решение администратора рабочего пространства. Если OAP не включен для этого рабочего пространства, ни одно из описанных здесь ограничений предпросмотра не действует.

Влияет ли защита исходящего доступа на то, какие данные агент анализирует или отправляет в LLM?

No. Параметр LLM на уровне арендатора управляет вызовами LLM, а не OAP в рабочей области. OAP не влияет на этап рассуждения агента.

Почему Power Automate блокируется, даже если это единственный разъём, который использует агент?

Power Automate в настоящее время не имеет собственного OAP-переключателя для операционного агента. Пока OAP включён, он блокирует действия Power Automate. На данный момент не включайте OAP в рабочих пространствах, зависящих от Power Automate, или используйте вместо этого уведомление Teams.

Моё действие нацелено на предмет Fabric. Это работает?

Когда цель находится в том же рабочем пространстве, что и агент, да. OAP не применяется. Когда цель находится в другом рабочем пространстве, OAP блокирует действие во время предварительного просмотра.

Кто видит карточку Teams с блокированным действием?

Создатель агента.

Могу ли я протестировать поведение защиты исходящего доступа с помощью Operations Agent перед включением его в продакшене?

Да, сначала тестируйтесь в непроизводственном рабочем пространстве. Включите OAP, выполните каждое действие агента и убедитесь, что и баннер, и карта Teams отображаются так, как вы ожидаете для конфигурации Teams вашего арендатора.

Что происходит с действиями, которые выполняются, когда администратор включает защиту исходящего доступа?

OAP оценивает новые попытки выполнения действий на соответствие текущей политике. Если агент блокирует попытку, он отображает уведомление о блокировке с помощью стандартного резервного баннера или карточки Teams.

Могу ли я подать апелляцию или отменить блокировку?

No. Программного переопределения нет. Чтобы разрешить заблокированный исходящий путь, администратор рабочего пространства должен добавить соответствующее соединение в список разрешений рабочего пространства.

Где я могу следить за тем, что будет дальше?

Следите за каналами обновлений для администраторов Fabric и документацией по операционному агенту, чтобы не пропустить объявления о выпуске новых функций.

Где получить техническую поддержку

Для получения помощи по...

• Списки разрешений рабочего пространства и политика OAP: Свяжитесь с администратором вашего рабочего пространства Fabric.
• Настройки Teams или LLM на уровне клиента: обратитесь к администратору клиента Microsoft 365 или Fabric.
• Проблемы с продуктом или отзывы: отправляйте через стандартный канал поддержки Microsoft.