Je možné napojit Microsoft Teams bota (Bot Framework/Azure Bot Service) na čistě on-premises backend přes On-Premises Data Gateway, nebo je nutný veřejný HTTPS messaging endpoint?

Matyáš Gade 0 Reputační body
2026-07-21T09:41:55.51+00:00

Budujeme interního Teams bota napojeného na vlastní AI backend (LLM + databáze). Z bezpečnostních a datových důvodů chceme, aby celý backend běžel výhradně on-premises, mimo Azure nebo jiný veřejný cloud.

Co už máme hotové:

  • Vlastní implementaci Bot Framework Activity protokolu (přímo na /api/messages), včetně validace JWT podpisu, issueru, audience a tenant ID.
  • Plán vystavit /api/messages přes veřejnou reverse proxy, která provoz přesměruje dovnitř na on-premises server.

Vlastní výzkum (včetně dotazů do jiných AI nástrojů a procházení fór) nám naznačil, že On-Premises Data Gateway je určený primárně pro Power BI/Power Apps/Power Automate konektory a není podporovaný jako přímý transport pro Bot Framework /api/messages endpoint. Než to ale u nás interně uzavřeme, chceme mít oficiální potvrzení, protože se to týká architektonického rozhodnutí, které se bude těžko měnit zpětně.

Konkrétní otázky:

  1. Může On-Premises Data Gateway sloužit jako podporovaná cesta pro doručování zpráv do standardního Azure Bot Service/Teams channel /api/messages endpointu, a to bez veřejně dostupného HTTPS listeneru? Nebo to architektonicky není určeno/podporováno pro tento účel?
  2. Pokud ne, existuje nějaký oficiálně podporovaný způsob, jak napojit Teams na plně privátní backend bez jakékoliv veřejně dostupné komponenty (např. přes Azure Relay Hybrid Connections, VNet integraci nebo Private Endpoint)? Podle dokumentace, kterou jsme našli, se Teams channel přestane doručovat zprávy, jakmile se na Bot resource vypne veřejný přístup – můžete to prosím potvrdit, že to platí i aktuálně?
  3. Je vzor "malý veřejný bridge, který validuje JWT a předává provoz dál do privátního backendu" (např. App Service/API Management před VNet-integrovanou nebo on-premises aplikací) doporučovaná architektura Microsoftu pro tento typ hybridního nasazení, nebo existuje lepší podporovaná alternativa?
Microsoft Teams | Microsoft Teams pro firmy | Jiné
Počet komentářů: 0

1 odpověď

Seřadit podle: Nejužitečnější
Nejužitečnější Nejnovější Nejstarší
  1. Michelle-N 20,745 Reputační body Externí zaměstnanci Microsoftu Moderátor
    2026-07-21T13:00:25.4233333+00:00

    Poznámka: Tato odpověď byla automaticky přeložena. V důsledku toho může obsahovat gramatické chyby nebo nevhodné výrazy.

    Dobrý den @Matyáš Gade

    Na základě aktuální dokumentace společnosti Microsoft není On-Premises Data Gateway podporovaným transportním mechanismem pro doručování kanálů Azure Bot Service nebo Microsoft Teams do koncového bodu Bot Framework /api/messages. Brána je zdokumentována pro připojení podporovaných cloudových služeb Microsoftu, jako jsou Power BI, Power Apps, Power Automate, Azure Analysis Services a Azure Logic Apps, k místním zdrojům dat, nikoli pro zpřístupnění koncového bodu pro zasílání zpráv Bot Framework.

    U botů Microsoft Teams musí být koncový bod pro zasílání zpráv botů dosažitelný konektorem kanálu Bot Framework/Teams přes HTTPS. Pro scénáře rozšíření Direct Line App Service je zdokumentována podpora sítě Azure AI Bot Service a privátního koncového bodu. Dokumentace společnosti Microsoft také uvádí, že zakázání přístupu k veřejné síti odkonfiguruje kanály Teams a že konfigurovatelná zůstává pouze Direct Line.

    Proto plně privátní backend bota Teams bez veřejně dostupné komponenty ingress v současné době není podporován pro standardní architekturu kanálů Teams. Doporučený hybridní vzorec je zpřístupnit pouze minimální, zesílený veřejný HTTPS most pro /api/messages, provádět validaci Bot Framework JWT a bezpečnostní kontroly na tomto okraji a přeposílat ověřený provoz do privátního/místního backendu, kde LLM a datová úložiště zůstávají izolované.

    Referenční informace k rozhraní API pro službu Bot Framework Připojení or

    Izolace sítě ve službě Azure AI Bot Service

    Pokud je odpověď užitečná, klikněte na tlačítko „Ano“. Máte-li k této odpovědi další otázky, klikněte na tlačítko „Komentář“.

    Poznámka: Chcete-li dostávat související e-mailová oznámení pro toto vlákno, postupujte podle kroků v naší dokumentaci a povolte e-mailová oznámení.

    Byla tato odpověď užitečná?

    Počet osob, které tuto odpověď považovaly za užitečnou: 1.

Vaše odpověď

Odpovědi můžou být autorem otázky označeny jako „Přijaté“ a moderátory jako „Doporučené“, což uživatelům pomůže zjistit, že odpověď vyřešila problém autora.