On-Premises Data Gateway: тихая единая точка отказа за Power Automate

Уже несколько месяцев поток Power Automate стабильно получает данные о заказах из SQL Server в серверной комнате. Затем компьютер, на котором работает локальный шлюз данных, переустанавливают, и за ночь останавливаются все потоки, которым нужны локальные данные. Шлюз — самая незаметная зависимость во всей цепочке: в конструкторе потоков его не видно, но без него ничего не работает.

Что такое локальный шлюз данных и когда он нужен?

Локальный шлюз данных (On-Premises Data Gateway) — это программное обеспечение, которое вы устанавливаете на компьютер с Windows в собственной сети и которое служит мостом между облачными службами Microsoft и вашими локальными данными. Power Automate нуждается в нём всякий раз, когда поток обращается к системе, которая находится не в облаке. Microsoft Learn перечисляет для Power Automate 14 типов подключений через шлюз, включая SQL Server, файловую систему, Oracle Database, MySQL, PostgreSQL, DB2, SAP ERP, локальный SharePoint и собственные коннекторы.

Технически шлюз устанавливает только исходящие соединения. Согласно Microsoft Learn, он взаимодействует через исходящие порты TCP 80, 443, 433, 5671, 5672, а также с 9350 по 9354, и ему не требуется ни одного входящего порта. То есть открывать межсетевой экран извне не нужно. Существующие шлюзы можно найти в Power Automate в разделе Данные > Шлюзы.

Стандартный режим или личный режим: для Power Automate есть только один ответ

Для Power Automate подходит только стандартный режим. Согласно Microsoft Learn, личный режим работает только с Power BI, его нельзя предоставить в общий доступ, и он не поддерживает ни кластеризацию, ни высокую доступность. Документация Power Automate прямо предписывает установку в стандартном режиме.

С точки зрения лицензирования шлюз — не второстепенный вопрос. В FAQ по лицензированию Microsoft относит локальные шлюзы к премиум-функциям, а лицензии Office 365 прямо не включают доступ к шлюзу. Поэтому тому, кто обращается через шлюз к SQL Server или локальной ERP-системе, требуется Power Automate Premium на пользователя или Power Automate Process на процесс. Подробный расчёт можно найти в нашей статье о стоимости премиум-коннекторов. А тем, кто хочет точно рассчитать свою лицензионную ситуацию, стоит начать с консультации по лицензированию Power Automate.

Почему один шлюз становится единой точкой отказа

Один-единственный шлюз делает каждое локальное подключение к данным доступным ровно настолько, насколько доступен компьютер, на котором он установлен. Если эта машина выходит из строя или переходит в спящий режим, все зависимые потоки останавливаются одновременно. Microsoft прямо предупреждает в требованиях к установке не устанавливать шлюз на устройство вроде ноутбука, которое можно выключить или перевести в спящий режим.

Ответ на это — кластер. Кластер шлюзов объединяет до 10 участников. Облачная служба всегда использует основной шлюз и переключается на следующий участник только тогда, когда основной недоступен. Поскольку на одном компьютере может работать только один стандартный шлюз, каждый дополнительный участник кластера должен находиться на отдельной машине. Таким образом, избыточность обеспечивается не второй установкой, а второй машиной. В Power Automate можно дополнительно включить опцию Распределять запросы между всеми активными шлюзами в этом кластере, чтобы нагрузка не ложилась постоянно только на основной участник.

Ещё две причины сбоев не связаны с оборудованием. Первая — ключ восстановления: его задаёт администратор при установке, и он необходим для переноса шлюза, его восстановления или смены учётной записи службы. Microsoft прямо заявляет, что не имеет доступа к этому ключу и не может его восстановить. Вторая — учётная запись службы Windows. По умолчанию служба работает под локальной учётной записью NT SERVICE\PBIEgwService. Если вместо неё используется обычная доменная учётная запись и срок действия её пароля истекает, служба останавливается. Microsoft рекомендует здесь групповую управляемую учётную запись службы (gMSA), поскольку её пароль не нужно обслуживать вручную.

Как часто нужно обновлять локальный шлюз данных?

Microsoft ежемесячно выпускает новую версию шлюза и активно поддерживает только последние шесть выпусков. Автоматически обновление не выполняется. Поэтому шлюз, который никто не трогал полгода, фактически выпадает из поддержки.

На данный момент для этого установлен жёсткий срок. Microsoft меняет способ входа в платформу идентификации и, по собственным данным, вводит это ограничение до 31 августа 2026 года во всех клиентских средах. На более старых сборках интерактивный вход при установке, восстановлении или управлении шлюзом может завершиться неудачей. Это касается всех версий до мая 2026 года, а также выпусков с января по апрель ниже следующих исправленных сборок:

• Январь 2026: Сборка 3000.302.7
• Февраль 2026: Сборка 3000.306.5
• Март 2026: Сборка 3000.310.3
• Апрель 2026: Сборка 3000.314.6
• Май 2026 года и позднее: исправление содержится во всех выпусках

Для обновления нужны права администратора шлюза и не менее 10 ГБ свободного места на диске. В кластере участники обновляются по одному: отключить, подождать около 30 минут, пока не завершатся выполняющиеся задания, обновить, снова включить, затем перейти к следующему. Все участники должны работать на одной и той же версии, поскольку разные версии приводят к спорадическим ошибкам, когда один и тот же запрос выполняется на одном участнике и завершается неудачей на другом.

Что конкретно должна обезопасить компания среднего бизнеса?

Шесть мер покрывают подавляющее большинство реальных сбоев шлюза и реализуются за одно утро.

• Отдельный сервер вместо рабочей станции: Microsoft рекомендует 8-ядерный процессор, 8 ГБ оперативной памяти, Windows Server 2019 или новее и SSD-накопитель. Контроллеры домена, установки Server Core и контейнеры Windows не подходят, а проводное подключение предпочтительнее Wi-Fi.
• Кластер начиная с первого критически важного для бизнеса потока: Двух участников на двух машинах достаточно. Кластер, который вы строите только после сбоя, не поможет во время самого сбоя.
• Ключ восстановления в менеджере паролей: Не в голове администратора и не в письме. Без него шлюз нельзя ни перенести, ни восстановить.
• Учётная запись службы без истечения срока пароля: gMSA предотвращает классическую ситуацию, когда плановая смена пароля незаметно останавливает половину автоматизации. Смена выполняется в приложении шлюза в настройках службы и требует ключ восстановления.
• Окно для обновлений в календаре: Фиксированная ежемесячная дата удерживает вас в пределах шести поддерживаемых выпусков.
• Задокументированные и проверенные сетевые ресурсы общего доступа: Тест сетевых портов в приложении шлюза в разделе диагностики проверяет, открыты ли все необходимые исходящие соединения. Запускайте его после каждого изменения межсетевого экрана.

В наших проектах по Power Automate самая частая находка — не сломанный сервер, а шлюз, который кто-то в своё время быстро установил на рабочей станции. Пока эта машина работает, никто этого не замечает. Когда её заменяют, выясняется, что ключ восстановления отсутствует. Этот вопрос относится к архитектуре, а не к анализу инцидентов. Именно здесь и вступает в дело наш консалтинг по Power Automate.

Часто задаваемые вопросы о локальном шлюзе данных

Нужен ли шлюз каждому потоку Power Automate?

Нет. Шлюз нужен только в том случае, если поток обращается к данным в вашей собственной сети, например к SQL Server, сетевой папке или локальной ERP-системе. Потокам, которые работают исключительно с облачными службами, такими как Outlook, SharePoint Online или Teams, шлюз не требуется.

Требует ли локальный шлюз данных дополнительных затрат?

Само программное обеспечение шлюза бесплатно. Однако его использование в Power Automate относится к премиум-функциям, а лицензии Office 365, согласно FAQ Microsoft по лицензированию, его не включают. Поэтому для потоков с доступом к шлюзу нужна лицензия Power Automate Premium на пользователя или Power Automate Process на процесс.

Сколько шлюзов должно входить в кластер?

Кластер поддерживает до 10 участников. Для среднего бизнеса достаточно двух-трёх, распределённых по разным машинам, поскольку на одном компьютере может работать только один стандартный шлюз. Все участники должны использовать одну и ту же версию, а участников, находящихся офлайн, следует удалять или отключать.

Что произойдёт, если мы потеряем ключ восстановления?

Тогда шлюз нельзя будет ни перенести, ни восстановить, а учётную запись службы также будет невозможно сменить. Microsoft не имеет доступа к этому ключу и не может его восстановить. Останется только зарегистрировать новый шлюз и заново настроить каждое подключение в Power Automate.