botframework - MS 团队聊天机器人 : Can I restrict my MS Botframework Chatbot to only work with my MS Teams Tenant ID without requiring additional Authentication

Question

关闭。这个问题需要更多focused .它目前不接受答案。












想改善这个问题吗？更新问题，使其仅关注一个问题 editing this post .

9 个月前关闭。




Improve this question




问题陈述:
我们使用 MS Botframework V4、QnA Maker 和 LUIS 创建了一个 FAQ Chatbot。客户的信息安全团队怀疑是否有人获得了 MicrosoftAppId 然后，任何人都可以在任何其他 MS Teams 订阅上发布聊天机器人，从而造成安全威胁。
条件:客户端不赞成添加额外的身份验证提示，即使用户已登录 MS Teams 也必须登录
询问:
阅读问题陈述后，任何人都可以帮助我提供一种技术/方法论，我们可以将 ChatBot 限制为只能从客户组织的 MS 团队使用，而无需任何额外的身份验证登录提示用户登录
-提前致谢

Answer 1

请阅读我关于 how bot communications work 的博文了解请求-响应过程。正如它所解释的那样，虽然机器人的响应看起来有点“同步”，但实际上并非如此，而是通过对机器人框架服务本身的回复发送的。为了做到这一点，您的机器人代码(dotnet、node 等)实际上需要两件事 - 应用程序 ID 和应用程序密码，以便在内部对自身进行身份验证。没有这些，即使使用相同的 ID，也没有人可以代表您运行另一个机器人。请注意，这是一个“常规”机器人场景，不需要用户以任何方式实际登录机器人(例如，仅当您想代表用户访问图表上的资源时才需要这样做，喜欢从 SharePoint Online 获取文件)。
单独，但可能相关，如果有人确实拥有您的应用程序 ID，他们可能会注册一个应用程序，这会导致更多消息发送到您的机器人(一种“DOS”攻击，如果您愿意的话)，但这仍然不会如上所述，使他们能够“充当”您的机器人。 [更新:请注意，您的机器人最终仍会响应这些消息，因为它不知道这不是您自己的 Teams 应用程序。我很难理解为什么有人可能想要这样做。然而，没有人能够开发和托管一个模仿您的机器人的机器人——他们需要 (a) 您的应用密码和 (b) 在 Bot Framework 中更改您托管机器人的注册端点]。
因此，尽管仅有 App Id 是不够的，您当然应该尝试保护它(例如 KayVault)，尤其是使用 App 密码。
另外，还可以将您的机器人限制为仅由单个(或受限制的一组)租户使用。请看我的回答 MS Teams app manifest file Tenant restriction .