Dataverse や Power Platform に対するアクセスの制御
Power Platform 地域のソブリン規制とユーザーのプライバシーを尊重するために、複数のアクセス制御を提供します。 データの取り扱いと暗号化の管理は、Dataverse の顧客データが元のソース (たとえば Dataverse や SharePoint) に残ることを保証します。
Power Platform アプリは、データ永続化のために Azure Storage と Azure SQL Database を使用します。 モバイル アプリで使用されるデータは暗号化されて SQL Express に保存されます。Azure SQL Database は、Transparent Data Encryption (TDE) テクノロジーを使用して顧客データを完全に暗号化します。 すべての永続化データは、既定ではマイクロソフトが管理するキーを使用して暗号化され、多くの Power Platform 製品では、顧客が Microsoft Azure Key Vaultで独自の暗号化キー (顧客が管理するキー) を管理することができます。
さらに、ID 管理、ロールベースのセキュリティ、きめ細かな権限制御 により、 Dataverse と Power Platform 顧客は ビジネス ユニット、 ロールベースのセキュリティ、 行ベースのセキュリティ、 列ベースのセキュリティを組み合わせることができます。
これらの機能により、情報へのユーザー アクセスを正確に制御し、ソブリン管理要件に準拠できるようになります。
ロールベースのアクセス制御 (RBAC)
ロールベースのアクセス制御 (RBAC) (ロールベースのセキュリティ) は、組織内の役割に基づいてエンドユーザーに権限を付与する方法です。 シンプルで管理しやすい方法でアクセスを管理するのに役立ちます。 また、権限を個別に割り当てるときに発生する可能性のあるエラーも削減されます。
Dataverse のきめ細かな RBAC 制御を使うと、ユーザーが自分の役割に必要な権限を正確に持っていることを確認できます。 権限は、環境、ロール、データベース、テーブル、行、列の各レベルで付与できます。 組織は、特定のレコード、フィールド、またはアプリを読み取り、書き込み、削除、または変更できるユーザーを定義できます。 この細分性は、顧客データの主権を尊重するのに役立ちます。 詳細については、環境におけるユーザー セキュリティの構成 - Power Platform | Microsoft Learn を参照してください。
Dataverse 環境には、最低限必要なアクセス の原則に従う定義済みのセキュリティロールが付属しています。 これらのロールは、特定のアプリ内でタスクを実行するために必要な最小限のアクセス権をユーザーに付与します。 利用可能なロールは、環境の種類とインストールされているアプリによって異なります。
環境に Dataverse データベースがある場合、必要最小限のアクセス原則に従い、システム管理者ロール にアクセスできるユーザーの数を最小限に抑えます。
Dataverse データベースのない環境の場合、2 つの事前定義されたロールがあります:
環境管理者: 管理アクションを実行し、データベースを準備し、リソースを管理し、データ損失防止ポリシーを作成します。
環境作成者: リソース (アプリ、接続、API など) を作成しますが、データ アクセス権限がありません。
Power Apps でアプリと Dataverse 両方へのアクセスを制御するには、アプリと Dataverse アクセスを制御する方法 - Power Platform コミュニティ (microsoft.com)のガイダンスに従ってください。
Privileged Identity Management (PIM)
PIM は、 Microsoft Entra ID のサービスであり、重要なリソースへのアクセスの制御と監視に役立ちます。 これを使用すると、悪意のある内部者や悪意のある Microsoft Cloud プロバイダーによるアクセスのリスクから主権 Dataverse データを保護できます。 PIM の役立つ機能をいくつか紹介します。
Just-In-Time アクセス: PIM は、ユーザーに Microsoft Entra ID および Azure リソースへの Just-In-Time の特権アクセスを付与します。 これは、ユーザーが特権タスクを実行するための一時的な権限を受け取ることを意味し、権限の有効期限が切れた後に悪意のあるユーザーや権限のないユーザーがアクセスするのを防ぎます。
時間制限付きアクセス: 開始日と終了日を使用して、リソースへの時間制限付きアクセスを設定できます。 このタイプのアクセスでは、ユーザーが機密データにアクセスできる時間が制限され、曝露リスクが軽減されます。
承認ベースのロールのアクティブ化: PIM では、特権ロールをアクティブ化するために承認が必要です。 このステップでは、上位の権限者がロールのアクティブ化を承認していることを確認することで、制御と透明性のレイヤーをさらに追加します。
多要素認証: PIM は、あらゆるロールをアクティブ化するために多要素認証を強制します。 このプロセスでは、少なくとも 2 つの異なる検証形式を通じて、ユーザーの身元を証明することが求められます。
アクセス レビュー: PIM を使用すると、アクセス レビューを実施して、ユーザーに割り当てられたロールが引き続き必要かどうかを確認できます。 レビューは、不要なアクセス権を削除し、内部脅威のリスクを軽減するのに役立ちます。
Entra の他の条件付きアクセスおよび位置認識制御を使用すると、PIM は、認証のために評価できる信頼できるデバイス、場所、およびその他の条件のみを許可することで、環境へのアクセスを制御するのに役立ちます。 PIM のこれらの機能を使用すると、悪意のある内部者や侵害された Microsoft Cloud プロバイダーが Dynamics クラウドに保存されているデータにアクセスするリスクを軽減できます。 PIM の詳細については、特権 ID 管理とは? - Microsoft Entra ID ガバナンス | Microsoft Learnを参照してください。
セキュリティ ロール
行、フィールド、階層、およびグループの保護を定義する Dataverse 認可およびデータ レベルのセキュリティ ロールを使用することで、データを保護し、ユーザーに必要な最小限の権限のみを付与することができます。 これらのロールにより、きめ細かい フィールド レベルのセキュリティを指定できるようになります。 Dataverse この制御を維持するために、 権限チェックとアクセス チェック の両方を実装します。 権限はセキュリティ ロールまたはチームの割り当てを通じて管理され、アクセス チェックは所有権、ロール アクセス、共有アクセス、または階層アクセスを通じて管理されます。
たとえば、不注意によるデータ漏洩のリスクを軽減し、許可された担当者だけがデータ転送を行えるようにするには、Entra Guest ユーザー アカウントが Power Apps を作成しできないよう制限するようにユーザー権限を設定します 。 ユーザーまたはチームに権限と継承を割り当てるときは、各個人が適切なレベルの権限のみを取得するようにしてください。
許可されたユーザーのみが主権資産にアクセスできるようにするために役立つ、Dataverse セキュリティ ロールと権限 に関する詳細情報が利用可能です。
部署
すべての Dataverse データベースには、単一のルート部署があります。 このビジネス ユニットは、ロールベースのセキュリティと連携して、ユーザーとユーザーがアクセスできるデータを管理するためのセキュリティ境界を定義します。 これらは、特にアクセスレベルや制限レベルが異なる複数の事業部門を持つ大規模または複雑な組織において、主権管理を容易にします。 子ビジネス ユニットを作成し、役割に必要な最小限のアクセス権限を付与することは、データ主権を保護するためのガードレールとして機能します。 ビジネス ユニット は環境に固有であり、管理センターの環境コントロールを通じて管理できます。
Dataverse は Microsoft Entra ID の制御およびアクセス管理メカニズムを使用して、認可されたユーザーだけが環境、データ、レポートにアクセスできるようにします。 また、Dataverse は Azure 上に構築されているため、Azure プラットフォームの強力なセキュリティ テクノロジーを利用できます。
暗号化とキーの管理
Dynamics 365 は、マルチテナント サービスとして Azure 上で実行されます。 つまり、複数の顧客のデプロイメント、仮想マシン、およびデータが同じ物理ハードウェアに保存されます。 Azure は論理制御を使用して、顧客が互いのデータにアクセスできないようにしながら、マルチテナント サービスのスケールと経済的メリットを提供します。
Dataverse の顧客データは、元のソースのままです (たとえば、Dataverse または SharePoint)。 Power Platform アプリは、データ永続化のために Azure Storage と Azure SQL Database を使用します。 モバイル アプリで使用されるデータは暗号化され、SQL Express に保存されます。
Dataverse は、Microsoftが管理する強力なキーを使用して、SQL Server Transparent Data Encryption (TDE) でディスク上のデータをリアルタイムで暗号化します。 Azure Storage 暗号化は、Azure Blob ストレージに格納されている顧客データ暗号化します。 Power Platform は、Microsoft が管理するキーを使って既定で保存するすべてのデータを暗号化します。 適切なライセンスとサブスクリプションを持つ Dynamics マネージド環境の顧客は、可能な場合は カスタマー マネージド キー を使用する必要があります。 カスタマー マネージド キーは、Dataverse およびほとんどの Dynamics 365 アプリで機能します。
注意
カスタマー マネージド キーが、既にフローが存在する環境に適用される場合、Power Automate フロー データは顧客のキーではなく、Microsoft 管理キーで暗号化され続けることに注意してください。 また、カスタマー マネージド キーは、 Microsoft Dataverse ; 非 Dataverse データとすべてのコネクタ設定は、Microsoftが管理するキーによって暗号化されます。ディスク上の暗号化では、データの使用中にオペレーターのアクセスが停止されるわけではないことに注意してください。
Power BIの場合、Microsoft マネージド キーは、保存時および処理中のデータを既定で暗号化します。 主権の要件をよりよく満たすために、可能であれば、独自のキー (BYOK) を使用して、Power BI Desktop (.pbix) ファイルからアップロードされたセマンティック モデル データを管理する必要があります。 特定のニーズに応じて、カスタマー マネージド キーまたは BYOK キーを Azure Key Vault または独自の オンプレミスの ハードウェア セキュリティ モジュール (HSM) に保存できます。 アクセス制御と透明性を高めるために、Azure Key Vault は成功したアクセスや試行されたアクセスをすべてログに記録します。 Dataverse の Azure Managed HSM (mHSM) サポートは、プレビュー中です。 これにより、必要に応じて Microsoft のキーへのアクセスを取り消すことができます。
詳細については、Power Platform で顧客管理の暗号化キーを管理する - Power Platform | Microsoft Learnを参照してください。