Zugriffssteuerung für Dataverse und Power Platform
Power Platform bietet mehrfache Zugriffssteuerung, um regionale Souveränitätsvorschriften und den Datenschutz der Benutzer zu respektieren. Durch Datenhandhabungs- und Verschlüsselungskontrollen wird sichergestellt, dass Kundendaten Dataverse in ihrer ursprünglichen Quelle verbleiben (z. B. Dataverse oder SharePoint).
Power Platform-Apps verwenden Azure-Speicher und die Azure SQL-Datenbank für die Datenpersistenz. Daten, die in mobilen Apps verwendet werden, werden verschlüsselt und in SQL Express gespeichert. Die Azure SQL-Datenbank verschlüsselt Kundendaten vollständig mit der Transparent Data Encryption (TDE)-Technologie. Alle persistenten Daten werden standardmäßig mit von Microsoft verwalteten Schlüsseln verschlüsselt und viele Power Platform-Produkte ermöglichen es Kunden, ihre eigenen Verschlüsselungsschlüssel (kundenseitig verwaltete Schlüssel) im Microsoft Azure Key Vault zu verwalten.
Darüber hinaus ermöglichen Identitätsmanagement, rollenbasierte Sicherheit und feinkörnige Berechtigungskontrollen Dataverse- und Power Platform-Kunden die Kombination von Geschäftseinheiten, rollenbasierter Sicherheit, zeilenbasierter Sicherheit und spaltenbasierter Sicherheit.
Diese Funktionen ermöglichen eine präzise Kontrolle des Benutzerzugriffs auf Informationen und tragen so zur Einhaltung der Anforderungen der Souveränitätskontrolle bei.
Rollenbasierte Zugriffssteuerung (RBAC)
Die rollenbasierte Zugriffskontrolle (RBAC), auch bekannt als rollenbasierte Sicherheit, ist eine Methode, die Endbenutzern Berechtigungen basierend auf ihrer Rolle in Ihrer Organisation erteilt. Sie hilft Ihnen, den Zugriff auf einfache und überschaubare Weise zu verwalten. Darüber hinaus werden dadurch Fehler reduziert, die bei der individuellen Zuweisung von Berechtigungen auftreten können.
Mit feinkörnigen RBAC-Kontrollen in Dataverse kann sichergestellt werden, dass Benutzer genau die Berechtigungen haben, die für ihre Rollen erforderlich sind. Berechtigungen können auf Umgebungs-, Rollen-, Datenbank-, Tabellen-, Zeilen- und Spaltenebene erteilt werden. Organisationen können festlegen, wer bestimmte Datensätze, Felder oder Apps lesen, schreiben, löschen oder ändern kann. Diese Granularität trägt dazu bei, die Datensouveränität der Kunden zu respektieren. Weitere Informationen finden Sie unter Benutzersicherheit in einer Umgebung konfigurieren – Power Platform | Microsoft Learn.
Dataverse-Umgebungen verfügen über vordefinierte Sicherheitsrollen, die dem -Prinzip des minimalen erforderlichen Zugriffs folgen. Diese Rollen gewähren Benutzern den Mindestzugriff, den sie zum Ausführen ihrer Aufgaben in bestimmten Apps benötigen. Die verfügbaren Rollen hängen vom Umgebungstyp und den installierten Apps ab.
Wenn eine Umgebung über eine Dataverse-Datenbank verfügt, befolgen Sie die Grundsätze für den minimal erforderlichen Zugriff und minimieren Sie die Anzahl der Benutzer mit Zugriff auf die Systemadministrator.
Bei Umgebungen ohne eine Dataverse-Datenbank sind zwei vordefinierte Sicherheitsrollen vorhanden:
Umgebungsadministrator: Führt Verwaltungsaktionen aus, bereitet Datenbanken vor, verwaltet Ressourcen und erstellt Daten-Schadensverhütung-Richtlinien.
Umgebungsersteller: Erstellt Ressourcen (Apps, Verbindungen, APIs usw.), verfügt aber nicht über die entsprechenden Datenzugriffsrechte.
Um den Zugriff auf Apps und Dataverse über Power Apps zu kontrollieren, folgen Sie den hier angegebenen Anweisungen: So kontrollieren Sie App- und Dataverse-Zugriff – Power Platform Community (microsoft.com).
Privileged Identity Management (PIM)
PIM ist ein Dienst in Microsoft Entra ID, der Ihnen hilft, die Kontrolle zu verwalten und den Zugriff auf wichtige Ressourcen zu überwachen. Sie können damit Ihre souveränen Dataverse-Daten vor dem Risiko eines Zugriffs durch böswillige Insider oder einen böswilligen Microsoft Cloud-Anbieter schützen. Hier sind einige PIM-Funktionen, die Ihnen helfen können:
Just-In-Time-Zugriff: PIM gewährt Benutzern Just-In-Time-privilegierten Zugriff auf Microsoft Entra ID- und Azure-Ressourcen. Dies bedeutet, dass Benutzer vorübergehend die Berechtigung erhalten, privilegierte Aufgaben auszuführen. Dadurch wird verhindert, dass böswillige oder nicht autorisierte Benutzer nach Ablauf der Berechtigungen Zugriff erhalten.
Zeitgebundener Zugriff: Sie können den zeitgebundenen Zugriff auf Ressourcen mithilfe von Start- und Enddaten festlegen. Diese Zugriffsart begrenzt die Zeit, in der ein Benutzer auf vertrauliche Daten zugreifen kann, und verringert so das Offenlegungsrisiko.
Genehmigungsbasierte Rollenaktivierung: PIM erfordert eine Genehmigung zur Aktivierung privilegierter Rollen. Dieser Schritt fügt eine zusätzliche Kontroll- und Transparenzebene hinzu, indem sichergestellt wird, dass eine höhere Autorität die Aktivierung von Rollen genehmigt.
Multi-Faktor-Authentifizierung: PIM erzwingt eine Multi-Faktor-Authentifizierung, um eine beliebige Rolle zu aktivieren. Bei diesem Verfahren wird der Benutzer aufgefordert, seine Identität durch mindestens zwei separate Verifizierungsformen zu bestätigen.
Zugriffsüberprüfungen: PIM ermöglicht Ihnen die Durchführung von Zugriffsüberprüfungen, um sicherzustellen, dass Benutzer weiterhin die zugewiesenen Rollen benötigen. Die Überprüfungen helfen Ihnen dabei, unnötige Zugriffsrechte zu entfernen und das Risiko von Insider-Bedrohungen zu verringern.
Mithilfe der anderen bedingten Zugriffs- und Standorterkennungskontrollen von Entra kann PIM Ihnen dabei helfen, den Zugriff auf Umgebungen zu kontrollieren, indem nur vertrauenswürdige Geräte, Standorte und andere Bedingungen zugelassen werden, die zur Authentifizierung ausgewertet werden können. Sie können diese PIM-Funktionen verwenden, um das Risiko zu verringern, dass ein böswilliger Insider oder ein kompromittierter Microsoft Cloud-Anbieter auf Ihre in der Dynamics-Cloud gespeicherten Daten zugreift. Weitere Informationen zu PIM finden Sie unter Was ist Privileged Identity Management? – Microsoft Entra ID Governance | Microsoft Learn.
Sicherheitsrollen
Sie können Ihre Daten schützen und sicherstellen, dass Benutzer nur über die geringstmöglichen Berechtigungen verfügen, indem Sie Dataverse-Autorisierung und -Sicherheitsrollen auf Datenebene verwenden, die Zeilen-, Feld-, Hierarchie- und Gruppenschutz definieren. Diese Rollen geben Ihnen die Möglichkeit, eine detaillierte Sicherheit auf Feldebene festzulegen. Dataverse implementiert sowohl Rechts- als auch Zugriffsprüfungen, um Ihnen dabei zu helfen, diese Kontrolle aufrechtzuerhalten. Berechtigungen werden über Sicherheitsrollen oder Teamzuweisungen verwaltet und Zugriffsprüfungen werden über Besitz, Rollenzugriff, gemeinsamen Zugriff oder Hierarchiezugriff verwaltet.
Um beispielsweise das Risiko einer unbeabsichtigten Datenoffenlegung zu verringern und sicherzustellen, dass nur autorisiertes Personal Datenübertragungen durchführen kann, legen Sie Benutzerberechtigungen fest, um die Erstellung von Power Apps durch Entra-Gastbenutzerkonten zu unterbinden. Stellen Sie sicher, dass beim Zuweisen von Berechtigungen und Vererbungen an einen Benutzer oder ein Team jeder Einzelne nur die entsprechende Berechtigungsstufe erhält.
Weitere Informationen zu Dataverse Sicherheitsrollen und -rechte stehen zur Verfügung, damit Sie sicherstellen können, dass nur autorisierte Benutzer auf Ihre souveränen Ressourcen zugreifen können.
Derzeit können Sie das Admin Center verwenden, um Benutzer- und Berechtigungsverwaltungseinstellungen zu verwalten.
Dataverse Teams: Wir empfehlen die Verwendung Microsoft Entra Gruppenteams, um die Benutzerverwaltung zu vereinfachen und sicherzustellen, dass Berechtigungen und Berechtigungen konsistent implementiert werden.
Weisen Sie Benutzern Sicherheitsrollen zu: Wir empfehlen die Verwendung der Benutzeroberfläche Admin Center zum Verwalten von Benutzern durch Erstellen von Sicherheitsrollen.
Konfigurieren Sie die Benutzersicherheit in einem Umgebung: Geben Sie im Admin Center Sicherheitsrollen innerhalb eines bestimmten Umgebung an, um einzuschränken, welche Benutzer was tun können. Viele vordefinierte Rollen sind so konfiguriert, dass sie Ihnen dabei helfen, diesen Prozess zu optimieren. Richtlinien auf Mandantenebene können so gestaltet werden, dass sie Kontrollen auf oberster Ebene bieten, die das Risiko eines Datenverlusts aufgrund falsch konfigurierter einzelner Umgebungen minimieren. Dazu wird der Umfang auf alle Umgebungen festgelegt. Weitere Informationen finden Sie unter Sicherheitskonzepte in Microsoft Dataverse – Power Platform
Unternehmenseinheiten
Jede Dataverse-Datenbank enthält eine einzelne Stammunternehmenseinheit. Diese Geschäftseinheit definiert eine Sicherheitsgrenze, die mit rollenbasierter Sicherheit arbeitet, um Benutzer und die Daten zu verwalten, auf die sie zugreifen können. Diese können die Souveränitätskontrolle insbesondere bei großen oder komplexen Organisationen mit mehreren Geschäftseinheiten erleichtern, die über unterschiedliche Zugriffsebenen und Einschränkungen verfügen. Die Erstellung untergeordneter Geschäftseinheiten und die Bereitstellung von Rollen mit den minimal notwendigen Zugriffsberechtigungen dienen zum Schutz der Datensouveränität. Geschäftseinheiten sind spezifisch für ein Umgebung und können über die Admin Center Umgebung-Steuerelemente verwaltet werden.
Dataverse verwendet zudem die Kontrollen der Microsoft Entra Identitäts- und Zugriffsverwaltungsmechanismen, um sicherzustellen, dass nur autorisierte Benutzer auf die Umgebung, Daten und Berichte zugreifen können. Da Dataverse auf Azure aufgebaut ist, profitiert sie außerdem von den leistungsstarken Sicherheitstechnologien der Azure-Plattform.
Verschlüsselungs- und Schlüsselverwaltung
Dynamics 365 wird auf Azure als mehrinstanzenfähiger Dienst ausgeführt. Dies bedeutet, dass Bereitstellungen, virtuelle Computer und Daten mehrerer Kunden auf derselben physischen Hardware gespeichert werden. Azure verwendet logische Kontrollen, um die Skalierbarkeit und wirtschaftlichen Vorteile von mehrinstanzenfähigen Diensten bereitzustellen und gleichzeitig zu verhindern, dass Kunden auf die Daten der anderen zugreifen.
Kundendaten in Dataverse bleiben in ihrer ursprünglichen Quelle (z. B. Dataverse oder SharePoint). Power Platform-Apps verwenden Azure-Speicher und die Azure SQL-Datenbank für die Datenpersistenz. In mobilen Apps verwendete Daten werden Daten verschlüsselt und in SQL Express gespeichert.
Dataverse verschlüsselt Daten unter Verwendung starker, von Microsoft verwalteter Schlüssel auf der Festplatte in Echtzeit mit SQL Server Transparent Data Encryption (TDE). Azure Storage Encryption verschlüsselt Kundendaten, die in Azure Blob Storage gespeichert sind. Power Platform verschlüsselt alle Daten, die standardmäßig mit den von Microsoft verwalteten Schlüsseln gespeichert werden. Dynamics-Kunden mit einer verwalteten Umgebung, die über die richtigen Lizenzen und Abonnements verfügen, sollten nach Möglichkeit kundenseitig verwaltete Schlüssel verwenden. Kundenseitig verwaltete Schlüssel funktionieren mit Dataverse und den meisten Dynamics 365-Apps.
Vorsicht
Beachten Sie: Wenn die kundenseitig verwalteten Schlüssel auf eine Umgebung angewendet werden, in der bereits Power Automate-Flows vorhanden sind, werden die Flow-Daten weiterhin mit dem von Microsoft verwalteten Schlüssel verschlüsselt und nicht mit dem Schlüssel des Kunden. Außerdem verschlüsseln die kundenseitig verwalteten Schlüssel nur Daten, die in Microsoft Dataverse gespeichert sind; alle Nicht-Dataverse-Daten und alle Connector-Einstellungen werden mit dem von Microsoft verwalteten Schlüssel verschlüsselt.Beachten Sie, dass die Verschlüsselung auf der Festplatte den Bedienerzugriff während der Datenverwendung nicht unterbricht.
Bei Power BI verschlüsseln die von Microsoft verwalteten Schlüssel standardmäßig ruhende und während der Verarbeitung verarbeitete Daten. Um den Anforderungen der Souveränität besser gerecht zu werden, sollten Sie nach Möglichkeit Bring Your Own Key (BYOK) nutzen, um die von der Power BI Desktop-Datei (.pbix) hochgeladenen semantischen Modelldaten zu verwalten. Abhängig von Ihren spezifischen Anforderungen können Sie Ihre kundenverwalteten Schlüssel oder BYOK-Schlüssel im Azure Key Vault oder in Ihrem eigenen lokalen Hardware-Sicherheitsmodul (HSM) aufbewahren. Um mehr Zugriffskontrolle und Transparenz zu ermöglichen, protokolliert Azure Key Vault jeden erfolgreichen oder versuchten Zugriff. Die Unterstützung für verwaltetes HSM (mHSM) von Azure für Dataverse befindet sich in der Vorschau. Auf diese Weise können Sie bei Bedarf den Zugriff, den Microsoft auf die Schlüssel hat, widerrufen.
Weitere Informationen finden Sie unter Verwalten Ihres kundenseitig verwalteten Verschlüsselungsschlüssel in Power Platform - Power Platform | Microsoft Learn.