Hosted RPA in Power Automate: gehostete Maschinen statt eigener Infrastruktur

Unattended RPA in Power Automate folgte lange demselben Muster. Sie stellen eine Windows-Maschine bereit, installieren Power Automate für Desktop, richten ein Dienstkonto ein und pflegen danach Patches, Neustarts und Kapazität selbst.

Genau diesen Teil nimmt Ihnen die gehostete RPA ab. Microsoft stellt die Windows-Maschine über Windows 365 in Azure bereit. Sie bringen den Desktop-Flow und die Lizenz mit.

Dieser Artikel erklärt, was hinter Hosted Machines und Hosted Machine Groups steckt. Sie erfahren, welche Lizenz Sie brauchen, was Sie im Tenant vorbereiten müssen und wo die Grenze zur RPA auf eigener Infrastruktur verläuft.

Was gehostete RPA in Power Automate ist

Gehostete RPA ist unbeaufsichtigte und beaufsichtigte Desktop-Automatisierung auf Windows-Maschinen, die Microsoft für Sie bereitstellt und betreibt.

Laut der Einführung in die gehostete Power Automate-RPA gibt es dafür zwei Ausprägungen. Hosted Machines sind einzelne, dauerhaft eingeschaltete Maschinen. Hosted Machine Groups sind ein Pool, der automatisch skaliert.

Für Web-Automatisierung liefert Microsoft ein Standard-Image mit vorinstalliertem Edge-Browser. Wer spezielle Desktop-Anwendungen automatisiert, bringt ein eigenes VM-Image aus der Azure Compute Gallery mit.

Hosted Machine oder Hosted Machine Group: was passt wann

Eine Hosted Machine passt zum Bauen und Testen, eine Hosted Machine Group zum produktiven Serienbetrieb.

Merkmal | Hosted Machine | Hosted Machine Group

Merkmal: Zweck · Hosted Machine: Desktop-Flows bauen, testen, ausführen · Hosted Machine Group: unbeaufsichtigte Automatisierung in Serie

Merkmal: Ausführungsmodus · Hosted Machine: beaufsichtigt und unbeaufsichtigt · Hosted Machine Group: ausschließlich unbeaufsichtigt

Merkmal: Skalierung · Hosted Machine: eine feste Maschine · Hosted Machine Group: Autoskalierung bis zur Obergrenze

Merkmal: Konten · Hosted Machine: Geschäfts-, Schul- oder Unikonto · Hosted Machine Group: Geschäftskonto oder lokales Konto

Merkmal: Verbindungstyp · Hosted Machine: Standard-Verbindungstypen · Hosted Machine Group: nur direkte Konnektivität

Merkmal: Geräteverwaltung · Hosted Machine: Intune, Gruppenrichtlinien bei Hybrid Join, Conditional Access · Hosted Machine Group: Conditional Access

Merkmal: Obergrenze · Hosted Machine: eine Maschine je Hosted-Process-Einheit · Hosted Machine Group: maximal 50 Bots je Gruppe

Quelle: Hosted RPA Best Practices and FAQ und Hosted machine group.

Sie können beides kombinieren. Entwickeln und testen Sie auf einer Hosted Machine, danach übernimmt eine Hosted Machine Group die Lastverteilung.

Beachten Sie eine Einschränkung: Die Funktion Ablauf testen ist mit Hosted Machine Groups nicht kompatibel. Der geplante Testlauf bleibt aber im Ausführungsverlauf sichtbar.

Welche Voraussetzungen der Tenant erfüllen muss

Ohne gültige Intune- und Entra-Konfiguration schlägt die Bereitstellung fehl, bevor die erste Maschine entsteht.

Nötig sind ein funktionierender Intune- und Microsoft-Entra-Tenant sowie die Registrierungsbeschränkung Allow Windows (MDM) platform for corporate enrollment. Zusätzlich müssen vier Dienstprinzipale im Tenant existieren.

Diese werden normalerweise automatisch angelegt. Fehlen sie, legen Sie sie mit der Azure CLI an:

1# Windows 365
2az ad sp create --id 0af06dc6-e4b5-4f28-818e-e78e62d137a5
3# Azure Virtual Desktop
4az ad sp create --id 9cdead84-a844-4324-93f2-b2e6bb768d07
5# Azure Virtual Desktop Client
6az ad sp create --id a85cf173-4192-42f8-81fa-777a763e6e2c
7# Azure Virtual Desktop ARM Provider
8az ad sp create --id 50e95039-b200-4007-bc97-8d5790743a63
Copy

Die Anwendungs-IDs stammen aus der Dokumentation zu gehosteten Computern. Prüfen Sie vorher im Azure-Portal unter Microsoft Entra > Unternehmensanwendungen, ob die Prinzipale schon vorhanden sind.

Wann ein eigenes VM-Image nötig ist

Das Standard-Image reicht für Web-Automatisierung, ein eigenes Image brauchen Sie für installierte Desktop-Anwendungen.

Das Standard-Image basiert auf der Windows-365-Vorlage Windows 11 Enterprise Cloud PC 24H2 und enthält Microsoft Edge. Es wird monatlich im Rahmen des regulären Windows-Sicherheitspatch-Zyklus aktualisiert.

Ein eigenes Image aus der Azure Compute Gallery muss diese Anforderungen erfüllen:

Anforderung | Vorgabe

Anforderung: Betriebssystem · Vorgabe: Windows 10 Enterprise ab 20H2 oder Windows 11 Enterprise ab 21H2

Anforderung: Generation · Vorgabe: Generation 2

Anforderung: Zustand · Vorgabe: generalisiertes VM-Image

Anforderung: Sitzungsmodus · Vorgabe: Single Session, Multi-Session wird nicht unterstützt

Anforderung: Partitionen · Vorgabe: keine Wiederherstellungspartition

Anforderung: Datenträger · Vorgabe: 64 GB Standardgröße, wird automatisch auf 256 GB angehoben

Anforderung: Sicherheitstyp · Vorgabe: Trusted Launch im Image-Definitionstyp aktiviert

Anforderung: Region · Vorgabe: repliziert in genau der Region der gehosteten Maschine

Wollen Sie eine bestimmte Version von Power Automate für Desktop festschreiben, setzen Sie im Image den Registrierungswert UseInstalledPADForHosted auf True. Er liegt unter HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Power Automate Desktop\Global.

Wie Sie ein eigenes Netzwerk anbinden

Über eine benutzerdefinierte Netzwerkverbindung erreichen gehostete Maschinen Ihre Azure- und On-Premises-Ressourcen.

Das virtuelle Netzwerk muss in derselben Azure-Region liegen wie die gehosteten Maschinen. Die Region ergibt sich aus der Geografie Ihrer Power-Platform-Umgebung.

Umgebungs-Geografie | Azure-Region

Umgebungs-Geografie: Europa · Azure-Region: North Europe

Umgebungs-Geografie: Deutschland · Azure-Region: Germany West Central

Umgebungs-Geografie: Schweiz · Azure-Region: Switzerland North

Umgebungs-Geografie: Frankreich · Azure-Region: France Central

Umgebungs-Geografie: Vereinigtes Königreich · Azure-Region: UK South

Zusätzlich braucht der Windows-365-Dienstprinzipal drei Rollenzuweisungen. Diese setzen Sie so:

1SUB="00000000-0000-0000-0000-000000000000"
2RG="rg-rpa-netzwerk"
3VNET="vnet-rpa"
4W365=$(az ad sp show --id 0af06dc6-e4b5-4f28-818e-e78e62d137a5 --query id -o tsv)
5
6az role assignment create --assignee-object-id "$W365" \
7  --assignee-principal-type ServicePrincipal --role "Reader" \
8  --scope "/subscriptions/$SUB"
9
10az role assignment create --assignee-object-id "$W365" \
11  --assignee-principal-type ServicePrincipal \
12  --role "Windows 365 Network Interface Contributor" \
13  --scope "/subscriptions/$SUB/resourceGroups/$RG"
14
15az role assignment create --assignee-object-id "$W365" \
16  --assignee-principal-type ServicePrincipal \
17  --role "Windows 365 Network User" \
18  --scope "/subscriptions/$SUB/resourceGroups/$RG/providers/Microsoft.Network/virtualNetworks/$VNET"
Copy

Pro Tenant sind bis zu 30 benutzerdefinierte virtuelle Netzwerke möglich. Eine Netzwerkverbindung mit Microsoft Entra Hybrid Join braucht 10 bis 15 Minuten für die Bereitstellung.

Lizenzierung: der zentrale Unterschied

Für gehostete RPA brauchen Sie die Kapazitätslizenz Power Automate Hosted Process, vormals Hosted-RPA-Add-on.

Jede Einheit dieser Lizenz trägt genau einen gehosteten Bot. Sie versorgt entweder eine einzelne Hosted Machine oder dient als geteilte Kapazität für mehrere Hosted Machine Groups. Zusätzlich sind Windows-, Intune- und Entra-ID-Lizenzen Voraussetzung.

Lizenz | Zugewiesen an | Beaufsichtigte RPA | Unbeaufsichtigte RPA | Gehostete RPA

Lizenz: Power Automate Premium · Zugewiesen an: Benutzer · Beaufsichtigte RPA: ein Attended-Bot · Unbeaufsichtigte RPA: nicht enthalten · Gehostete RPA: nicht enthalten

Lizenz: Power Automate Process · Zugewiesen an: Cloud-Flow oder Maschine · Beaufsichtigte RPA: nicht enthalten · Unbeaufsichtigte RPA: ein Unattended-Bot · Gehostete RPA: nicht enthalten

Lizenz: Power Automate Hosted Process · Zugewiesen an: gehostete Maschine oder Gruppe · Beaufsichtigte RPA: nicht enthalten · Unbeaufsichtigte RPA: ein Unattended-Bot · Gehostete RPA: ein Hosted-Bot

Quelle: Power Automate Lizenztypen.

Wichtig für die Einordnung: Hosted Process ist eine Obermenge der Process-Lizenz. Jeder gehostete Bot gilt damit auch als unbeaufsichtigter Bot. Eine separate Unattended-Lizenz brauchen Sie für gehostete Läufe nicht.

Für beaufsichtigte Läufe auf einer Hosted Machine und für das Erstellen von Desktop-Flows im Portal bleibt der Premium-Nutzerplan Voraussetzung. Zum Ausprobieren gibt es eine 90-Tage-Testphase mit bis zu zehn Gruppen und zwei parallelen Bots.

Abgrenzung zur unattended RPA auf eigener Infrastruktur

Der Unterschied liegt nicht im Desktop-Flow, sondern in der Frage, wer die Maschine betreibt und patcht.

Aspekt | Gehostete RPA | Eigene Infrastruktur

Aspekt: Bereitstellung · Gehostete RPA: über den Assistenten im Portal · Eigene Infrastruktur: eigene VM oder Hardware

Aspekt: Patchmanagement · Gehostete RPA: monatlich beim Standard-Image durch Microsoft · Eigene Infrastruktur: vollständig bei Ihnen

Aspekt: Skalierung · Gehostete RPA: automatisch bis zur Bot-Obergrenze · Eigene Infrastruktur: manuelle Kapazitätsplanung

Aspekt: Netzwerk · Gehostete RPA: Microsoft-Netz oder eigenes Azure-Netz · Eigene Infrastruktur: vorhandenes Firmennetz

Aspekt: Lizenz · Gehostete RPA: Hosted Process · Eigene Infrastruktur: Process

Aspekt: Sovereign Cloud · Gehostete RPA: derzeit nicht verfügbar · Eigene Infrastruktur: möglich

Eigene Infrastruktur bleibt sinnvoll, wenn gepflegte VM-Umgebungen bereits existieren. Auch enge Netzwerkanforderungen oder eine Sovereign-Cloud-Umgebung sprechen dagegen.

Grenzen, die Sie einplanen sollten

Vier dokumentierte Grenzen betreffen den produktiven Betrieb unmittelbar.

• Die Bereitstellung einer Hosted Machine dauert je nach Konfiguration über 30 Minuten.
• War eine Hosted Machine Group länger als drei Stunden ungenutzt, entsteht ein Bot erst vor dem nächsten Lauf. Das kann über zehn Minuten dauern.
• In Umgebungen ohne Hosted-Process-Lizenz löscht Power Automate eine Hosted Machine nach 14 Tagen ohne Aktivität. Die Daten bleiben 15 Tage lang wiederherstellbar.
• Hosted Machine Groups ohne Committed Bots werden nach 28 Tagen ohne Lauf gelöscht. Die Gruppe bleibt sichtbar, ist aber unbrauchbar.

Nach einer Löschung müssen Sie die Ressource neu anlegen. Die Verbindungen in den betroffenen Cloud-Flows sind dann ebenfalls neu zu konfigurieren.

Typische Fehler und Ursachen

Die folgenden Fehlerbilder decken den größten Teil der Störungen bei der Bereitstellung ab.

1. `intuneEnroll_BlockedByEnrollmentRestriction`. Eine Intune-Registrierungsbeschränkung blockiert die MDM-Registrierung. Erlauben Sie unter Geräte > Registrierungsbeschränkungen die Plattform Windows (MDM) für Unternehmensgeräte. Quelle: Troubleshoot hosted machines.

2. `intuneEnroll_DelayedEffectivenessOfIntuneLicense`. Dem Konto fehlt eine gültige Intune-Lizenz oder sie ist noch nicht wirksam. Weisen Sie die Lizenz zu und starten Sie die Bereitstellung erneut. Quelle: Assign licenses to users so they can enroll devices in Intune.

3. `noEnoughIpAddress`. Im gewählten Subnetz sind keine freien IP-Adressen mehr verfügbar. Vergrößern Sie das Subnetz oder wählen Sie ein anderes. Quelle: Add, change, or delete a virtual network subnet.

4. `imageDiskSizeOverMatch`. Das eigene VM-Image ist größer als der bereitgestellte Datenträger. Bauen Sie das Image mit 64 GB Datenträgergröße neu. Quelle: Troubleshoot hosted machines.

5. Unbeaufsichtigte Läufe scheitern mit einem Anmeldefehler. Auf einer Hosted Machine mit Standard-Image ist die Authentifizierung auf Netzwerkebene aktiv. Deaktivieren Sie Network Level Authentication auf der Maschine. Quelle: Hosted machines.

Sie prüfen, ob gehostete RPA für Ihre Prozesse passt? Dabei unterstützen wir Sie mit unseren Power-Automate-Leistungen.

Häufige Fragen

Was ist der Unterschied zwischen Hosted Machines und Hosted Machine Groups?

Eine Hosted Machine ist eine einzelne, dauerhaft eingeschaltete Maschine für Bau, Test und Ausführung. Eine Hosted Machine Group ist ein Pool, der automatisch skaliert und ausschließlich unbeaufsichtigt läuft. Eine Gruppe fasst maximal 50 Bots.

Brauche ich für gehostete RPA zusätzlich eine Unattended-RPA-Lizenz?

Nein. Die Lizenz Power Automate Hosted Process ist eine Obermenge der Process-Lizenz. Jeder gehostete Bot gilt damit auch als unbeaufsichtigter Bot. Eine separate Unattended-Lizenz ist nicht nötig.

Kann ich eigene Anwendungen auf einer gehosteten Maschine installieren?

Ja, über ein eigenes VM-Image aus der Azure Compute Gallery. Das Image braucht Windows 10 oder 11 Enterprise, Generation 2, Trusted Launch und Single-Session-Fähigkeit. Eine Wiederherstellungspartition darf es nicht enthalten.

Ist gehostete RPA in jeder Region verfügbar?

Nein. Verfügbar ist sie in zahlreichen Power-Platform-Geografien der öffentlichen Cloud, darunter Europa, Deutschland, Frankreich, die Schweiz und das Vereinigte Königreich. In Sovereign Clouds steht das Feature derzeit nicht zur Verfügung.

Was passiert mit einer gehosteten Maschine, wenn sie nicht genutzt wird?

In Umgebungen ohne Hosted-Process-Lizenz löscht Power Automate eine Hosted Machine nach 14 Tagen ohne Aktivität. Hosted Machine Groups ohne Committed Bots trifft es nach 28 Tagen. Die Ressource bleibt sichtbar, muss aber neu angelegt werden.