Řízení přístupu pro Dataverse a Power Platform
Power Platform poskytuje vícenásobné kontroly přístupu k respektování regionálních suverénních předpisů a ochrany osobních údajů uživatelů. Ovládací prvky pro zpracování dat a šifrování zajišťují, že zákaznická data v Dataverse zůstanou ve svém původním zdroji (například Dataverse nebo SharePoint).
Aplikace Power Platform používají Azure Storage a Azure SQL Database pro perzistenci dat. Data používaná v mobilních aplikacích jsou šifrována a uložena v SQL Express. Databáze Azure SQL Database plně šifruje data pomocí technologie transparentního šifrování dat (TDE). Všechna trvalá data jsou ve výchozím nastavení šifrována pomocí klíčů spravovaných společností Microsoft a mnoho produktů Power Platform umožňuje zákazníkům spravovat vlastní šifrovací klíče (klíče spravované zákazníkem) v Microsoft Azure Key Vault.
Kromě toho správa identit, zabezpečení na základě rolí a Jemné ovládací prvky oprávnění umožňují zákazníkům Dataverse a Power Platform kombinovat obchodní jednotky, zabezpečení na základě rolí, zabezpečení na základě řádků a zabezpečení na základě sloupců.
Tyto funkce umožňují přesnou kontrolu nad uživatelským přístupem k informacím, a pomáhají tak splnit požadavky na kontrolu suverenity.
Řízení přístupu na základě rolí (RBAC)
Řízení přístupu založeného na rolích (RBAC), známé také jako zabezpečení založené na rolích, je metoda, která uděluje oprávnění koncovým uživatelům na základě jejich role ve vaší organizaci. Pomáhá vám spravovat přístup jednoduchým a ovladatelným způsobem. Omezuje také chyby, ke kterým může dojít, když oprávnění přiřazujete jednotlivě.
Jemné ovládací prvky RBAC v Dataverse mohou zajistit, aby uživatelé měli přesně ta oprávnění požadovaná pro jejich role. Oprávnění lze udělit na úrovni prostředí, role, databáze, tabulky, řádku a sloupce. Organizace mohou definovat, kdo může číst, zapisovat, odstraňovat nebo upravovat konkrétní záznamy, pole nebo aplikace. Tato granularita pomáhá respektovat suverenitu zákaznických dat. Další informace naleznete v tématu Konfigurace zabezpečení uživatele v prostředí – Power Platform | Microsoft Learn.
Prostředí Dataverse mají předdefinované role zabezpečení, které se řídí zásadou minimálního požadovaného přístupu. Tyto role poskytují uživatelům nejmenší přístup, který potřebují k provádění svých úkolů v rámci konkrétních aplikací. Dostupné role závisí na typu prostředí a nainstalovaných aplikacích.
Pokud má prostředí databázi Dataverse, dodržujte minimální požadované zásady přístupu a minimalizujte počet uživatelů s přístupem k roli správce systému.
V prostředích bez databáze Dataverse existují dvě předdefinované role:
správce prostředí: Provádí administrativní akce, připravuje databáze, spravuje zdroje a vytváří zásady prevence ztráty dat.
tvůrce prostředí: Vytváří zdroje (aplikace, připojení, rozhraní API atd.), ale postrádá oprávnění pro přístup k datům.
Chcete-li ovládat přístup k aplikacím a Dataverse prostřednictvím Power Apps, postupujte podle pokynů uvedených zde Jak ovládat aplikaci a přístup Dataverse – Komunita Power Platform (microsoft.com).
Privileged Identity Management (PIM)
PIM je služba v Microsoft Entra ID, která vám pomáhá spravovat kontrolu a monitorovat přístup k důležitým zdrojům. Můžete jej použít k ochraně vašich suverénních dat Dataverse před rizikem přístupu útočníka zevnitř nebo škodlivého poskytovatele Microsoft Cloud. Zde jsou některé funkce PIM, které vám mohou pomoci:
Just-In-Time Access: PIM poskytuje uživatelům privilegovaný přístup ke Microsoft Entra ID a zdrojům Azure. To znamená, že uživatelé dostávají dočasná oprávnění k provádění privilegovaných úkolů, což brání uživatelům se zlými úmysly nebo neoprávněným uživatelům získat přístup po vypršení platnosti oprávnění.
Časově omezený přístup: Můžete nastavit časově omezený přístup ke zdrojům pomocí data zahájení a ukončení. Tento typ přístupu omezuje dobu, po kterou může uživatel přistupovat k citlivým datům, čímž se snižuje riziko vystavení.
Aktivace role na základě schválení: PIM vyžaduje schválení k aktivaci privilegovaných rolí. Tento krok přidává další vrstvu kontroly a transparentnosti tím, že zajišťuje, že aktivaci rolí schvaluje vyšší autorita.
Vícefaktorová autentizace: PIM vynucuje vícefaktorovou autentizaci k aktivaci jakékoli role. Tento proces vyžaduje, aby uživatel doložil svou identitu prostřednictvím minimálně dvou samostatných forem ověření.
Kontrola přístupu: PIM vám umožňuje provádět kontroly přístupu, abyste zajistili, že uživatelé stále potřebují přiřazené role. Kontroly vám pomohou odstranit zbytečná přístupová práva a snížit riziko vnitřních hrozeb.
S dalšími ovládacími prvky podmíněného přístupu a sledování polohy Entra vám PIM může pomoci řídit přístup do prostředí tím, že povolí pouze důvěryhodná zařízení, umístění a další podmínky, které lze vyhodnotit pro účely ověření. Tyto funkce PIM můžete použít ke snížení rizika, že se k vašim datům uloženým v cloudu Dynamics dostane útočník zevnitř nebo kompromitovaný poskytovatel Microsoft Cloud. Další informace o PIM naleznete v tématu Co je Privileged Identity Management? – Zásady správného řízení Microsoft Entra ID | Microsoft Learn.
Role zabezpečení
Můžete zabezpečit svá data a zajistit, aby uživatelé měli co nejmenší oprávnění, pomocí rolí zabezpečení a zabezpečení na úrovni dat Dataverse, které definují ochranu řádků, polí, hierarchie a skupin. Tyto role vám dávají možnost specifikovat granulární zabezpečení na úrovni pole. Dataverse implementuje kontroly oprávnění i přístupu, které vám pomohou udržet tuto kontrolu. Oprávnění jsou spravována prostřednictvím rolí zabezpečení nebo týmových přiřazení a kontroly přístupu jsou spravovány prostřednictvím vlastnictví, přístupu k rolím, sdíleného přístupu nebo přístupu k hierarchii.
Chcete-li například snížit riziko neúmyslného prozrazení dat a zajistit, aby přenos dat mohl provádět pouze oprávněný personál, nastavte uživatelská oprávnění tak, aby zamezila tomu, aby uživatelské účty hosta Entra mohly vytvářet Power Apps. Ujistěte se, že když uživateli nebo týmu přiřadíte oprávnění a dědičnost, každá osoba získá pouze odpovídající úroveň oprávnění.
Více informací o rolích zabezpečení a oprávněních Dataverse je k dispozici, aby vám pomohly zajistit, že přístup k suverénním prostředkům budou mít pouze oprávnění uživatelé.
Aktuálně můžete ke správě nastavení správy uživatelů a oprávnění použít Centrum pro správu.
Dataverse týmy: Doporučujeme používat skupinové týmy Microsoft Entra , abyste zjednodušili správu uživatelů a zajistili konzistentní implementaci oprávnění a oprávnění.
Přiřazení rolí zabezpečení uživatelům: Ke správě uživatelů prostřednictvím vytváření rolí zabezpečení doporučujeme používat uživatelské rozhraní centra pro správu.
Konfigurace zabezpečení uživatelů v prostředí: V centru pro správu určete role zabezpečení v daném prostředí, abyste omezili, kteří uživatelé mohou co dělat. Mnoho již existujících rolí je nakonfigurováno tak, aby vám pomohly tento proces zefektivnit. Zásady na úrovni tenantů lze upravit tak, aby poskytovaly ovládací prvky nejvyšší úrovně, které minimalizují riziko ztráty dat v důsledku nesprávné konfigurace jednotlivých prostředí, nastavením rozsahu na všechna prostředí. Pro více informací viz Bezpečnostní koncepty v Microsoft Dataverse – Power Platform
Organizační jednotky
Každá databáze Dataverse má jednu kořenovou organizační jednotku. Tato obchodní jednotka definuje bezpečnostní hranici, která pracuje se zabezpečením na základě rolí, pro správu uživatelů a dat, ke kterým mají přístup. Ty mohou usnadnit suverénní kontroly zejména ve velkých nebo složitých organizacích s více obchodními jednotkami, které mají různé úrovně přístupu a omezení. Vytváření podřízených obchodních jednotek a poskytování rolí s minimálními nezbytnými přístupovými oprávněními slouží jako zábrany k ochraně datové suverenity. Obchodní jednotky jsou specifické pro prostředí a lze je spravovat prostřednictvím ovládacích prvků prostředí v centru pro správu.
Dataverse používá také řízení mechanismů identity a správy přístupu Microsoft Entra, které pomáhají zajistit, aby k prostředí, datům a sestavám měli přístup pouze oprávnění uživatelé. Protože je řešení Dataverse postaveno na Azure, těží také z výkonných bezpečnostních technologií platformy Azure.
Šifrování a správa klíčů
Dynamics 365 běží v Azure jako služba pro více tenantů. To znamená, že nasazení, virtuální počítačů a data více zákazníků jsou uloženy na stejném fyzickém hardwaru. Azure používá logické ovládací prvky k poskytování rozsahu a ekonomických výhod multitenantských služeb a zároveň brání zákazníkům ve vzájemném přístupu k datům.
Data zákazníků v Dataverse zůstávají v původním zdroji (např. Dataverse nebo SharePoint). Aplikace Power Platform používají Azure Storage a Azure SQL Database pro perzistenci dat. Data používaná v mobilních aplikacích jsou šifrována a uložena v SQL Express.
Dataverse šifruje data na disku v reálném čase pomocí transparentního šifrování dat (TDE) SQL Server pomocí silných klíčů, které spravuje Microsoft. Zákaznická data uložená v Azure Blob Storage jsou šifrována pomocí Azure Storage Encryption. Power Platform ve výchozím nastavení šifruje všechna data, která ukládá, pomocí klíčů spravovaných společností Microsoft. Zákazníci spravovaného prostředí Dynamics, kteří mají správné licence a předplatné, by měli používat klíče spravované zákazníkem, když mohou. Klíče spravované zákazníkem fungují s Dataverse a většinou aplikací Dynamics 365.
Upozornění
Uvědomte si, že pokud jsou klíče spravované zákazníkem použity v prostředí, které již má existující toky Power Automate, data toků budou i nadále šifrována klíčem spravovaným společností Microsoft, ne klíčem zákazníka. Klíče spravované zákazníkem budou také šifrovat pouze data uložená v Microsoft Dataverse, všechna data, která nejsou Dataverse, a všechna nastavení konektoru jsou šifrována klíčem spravovaným společností Microsoft.Šifrování na disku nezastaví přístup operátora, když jsou data používána.
Pro Power BI spravované klíče Microsoft ve výchozím nastavení šifrují data v klidu a v procesu. Chcete-li lépe splnit suverénní požadavky, měli byste si pokud možno přinést svůj vlastní klíč (BYOK) pro správu dat sémantického modelu nahraných ze souboru Power BI Desktop (.pbix). V závislosti na vašich konkrétních potřebách můžete klíče spravované zákazníkem nebo klíče BYOK ponechat v Azure Key Vault nebo ve svém vlastním místním modulu hardwarového zabezpečení (HSM). Azure Key Vault zaznamenává každý úspěšný nebo pokus o přístup, aby poskytoval lepší řízení přístupu a transparentnost. Podpora Azure Managed HSM (mHSM) pro Dataverse je ve verzi Preview. To vám v případě potřeby umožňuje zrušit přístup společnosti Microsoft ke klíčům.
Další informace naleznete v části Správa šifrovacího klíče spravovaného zákazníkem v Power Platform – Power Platform | Microsoft Learn.