Toegangsbeheer voor Dataverse en Power Platform
Power Platform biedt meerdere toegangscontroles om regionale soevereiniteitsregels en de privacy van gebruikers te respecteren. Controles op gegevensverwerking en -versleuteling zorgen ervoor dat klantgegevens in Dataverse in hun oorspronkelijke bron blijven (bijvoorbeeld Dataverse of SharePoint).
Power Platform-apps gebruiken Azure Storage en Azure SQL Database voor gegevenspersistentie. Gegevens die worden gebruikt in mobiele apps, worden versleuteld en opgeslagen in SQL Express. Azure SQL Database versleutelt de klantgegevens volledig met de Transparent Data Encryption-technologie (TDE). Alle bewaarde gegevens worden standaard versleuteld met door Microsoft beheerde sleutels en bij veel Power Platform-producten kunnen klanten hun eigen versleutelingssleutels beheren (door de klant beheerde sleutels) in Microsoft Azure Key Vault.
Daarnaast stellen Identiteitsbeheer, Op rollen gebaseerde beveiliging en gedetailleerde toestemmingscontroles Dataverse- en Power Platform-klanten in staat om business units, op rollen gebaseerde beveiliging, op rijen gebaseerde beveiliging en op kolommen gebaseerde beveiliging te combineren.
Deze mogelijkheden maken nauwkeurige controle mogelijk over de toegang van gebruikers tot informatie om u te helpen te voldoen aan de vereisten voor soevereiniteitscontrole.
Op rollen gebaseerd toegangsbeheer (RBAC)
Op rollen gebaseerd toegangsbeheer (RBAC), of rolgebaseerde beveiliging, is een methode waarbij machtigingen aan eindgebruikers worden verleend op basis van hun rol in uw organisatie. Hiermee kunt u de toegang op een eenvoudige en beheersbare manier beheren. Het vermindert ook de fouten die kunnen optreden wanneer u machtigingen afzonderlijk toewijst.
Fijnmazige RBAC-beheeropties in Dataverse kunnen ervoor zorgen dat gebruikers precies de rechten hebben die nodig zijn voor hun rollen. Machtigingen kunnen worden verleend op omgevings-, rol-, database-, tabel-, rij- en kolomniveaus. Organisaties kunnen definiëren wie specifieke records, velden of apps kan lezen, schrijven, verwijderen of wijzigen. Dankzij deze granulariteit kan de soevereiniteit van klantgegevens worden gerespecteerd. Zie voor meer informatie Gebruikersbeveiliging configureren in een omgeving - Power Platform | Microsoft Learn.
Dataverse-omgevingen worden geleverd met vooraf gedefinieerde beveiligingsrollen die het principe van minimaal vereiste toegang volgen. Deze rollen geven gebruikers de minste toegang die ze nodig hebben om hun taken in specifieke apps uit te voeren. Welke rollen beschikbaar zijn, is afhankelijk van het omgevingstype en de geïnstalleerde apps.
Als een omgeving een Dataverse-database heeft, volgt u de minimaal vereiste toegangsprincipes en beperkt u het aantal gebruikers met toegang tot de rol Systeembeheerder.
Voor omgevingen zonder een Dataverse-database bestaan twee vooraf gedefinieerde rollen:
Omgevingsbeheerder: voert beheeracties uit, bereidt databases voor, beheert bronnen en stelt beleid ter preventie van gegevensverlies op.
Omgevingsmaker: maakt bronnen (apps, verbindingen, API's, enzovoort), maar heeft geen bevoegdheden voor gegevenstoegang.
Om de toegang tot zowel apps als Dataverse via Power Apps te beheren, volgt u de richtlijnen in De toegang tot apps en Dataverse beheren - Power Platform Community (microsoft.com).
Privileged Identity Management (PIM)
PIM is een service in Microsoft Entra ID waarmee u de toegang tot belangrijke bronnen kunt beheren en controleren. Hiermee kunt u uw soevereine Dataverse-gegevens beschermen tegen het risico van toegang door een kwaadwillende insider of Microsoft Cloud-provider. Hier zijn enkele functies van PIM waar u iets aan kunt hebben:
Just-In-Time-toegang: PIM geeft gebruikers met Just-In-Time bevoorrechte toegang tot Microsoft Entra ID- en Azure-resources. Dit betekent dat gebruikers tijdelijke machtigingen krijgen om bepaalde taken uit te voeren en te voorkomen dat kwaadwillende of ongeautoriseerde gebruikers toegang krijgen nadat de machtigingen zijn verlopen.
Tijdgebonden toegang: u kunt tijdgebonden toegang tot bronnen instellen met behulp van begin- en einddatums. Dit type toegang beperkt de tijd dat een gebruiker toegang heeft tot gevoelige gegevens, waardoor het risico van blootstelling wordt beperkt.
Op goedkeuring gebaseerde rolactivering: PIM vereist goedkeuring om bevoorrechte rollen te activeren. Deze stap voegt een extra laag van beheer en transparantie toe door ervoor te zorgen dat een hogere autoriteit de activering van rollen goedkeurt.
Meervoudige verificatie: PIM dwingt meervoudige verificatie af voor de activering van rollen. Bij dit proces wordt de gebruiker gevraagd zijn/haar identiteit te bewijzen door middel van minimaal twee afzonderlijke vormen van verificatie.
Toegangsbeoordelingen: met PIM kunt u toegangsbeoordelingen uitvoeren om ervoor te zorgen dat gebruikers nog steeds toegewezen rollen nodig hebben. Met de beoordelingen kunt u onnodige toegangsrechten verwijderen en het risico op bedreigingen van binnenuit beperken.
Met de andere besturingselementen voor voorwaardelijke toegang en locatiebewustzijn van Entra kan PIM u helpen de toegang tot omgevingen te beheren door alleen vertrouwde apparaten, locaties en andere voorwaarden toe te staan die kunnen worden geëvalueerd voor verificatie. U kunt deze functies van PIM gebruiken om het risico te beperken dat een kwaadwillende insider of een gecompromitteerde Microsoft Cloud-provider toegang krijgt tot uw gegevens die zijn opgeslagen in de Dynamics-cloud. Zie Wat is Privileged Identity Management? - Microsoft Entra ID-beheer | Microsoft Learn voor meer informatie over PIM.
beveiligingsrollen
U kunt uw gegevens beveiligen en ervoor zorgen dat gebruikers over minimale bevoegdheden beschikken door gebruik te maken van Dataverse-verificatie en beveiligingsrollen op gegevensniveau om rij-, veld-, hiërarchische en groepsbescherming te definiëren. Deze rollen bieden u de mogelijkheid om gedetailleerde beveiliging op veldniveau op te geven. Dataverse implementeert zowel bevoegdheids- en toegangscontroles om u te helpen deze controle te behouden. Rechten worden beheerd via beveiligingsrollen of teamtoewijzingen. Toegangscontroles worden beheerd op basis van eigendom, roltoegang, gedeelde toegang of hiërarchietoegang.
Als u het risico van onbedoelde openbaarmaking van gegevens wilt verminderen en ervoor wilt zorgen dat alleen geautoriseerd personeel gegevensoverdrachten kan uitvoeren, kunt u bijvoorbeeld gebruikersrechten instellen om te voorkomen dat Entra-gastgebruikersaccounts Power Apps kunnen maken. Als u bevoegdheden en overnames toewijst aan een gebruiker of team, moet u ervoor zorgen dat elk individu alleen het juiste bevoegdheidsniveau krijgt.
Er is meer informatie beschikbaar over Dataverse-beveiligingsrollen en -bevoegdheden die u kunt gebruiken om ervoor te zorgen dat alleen geautoriseerde gebruikers toegang hebben tot uw soevereine assets.
Business units
Elke Dataverse-database heeft een business unit op het hoogste niveau. Deze business unit definieert een beveiligingsgrens, die werkt met op rollen gebaseerde beveiliging, om gebruikers en de gegevens waartoe ze toegang hebben te beheren. Deze kunnen soevereine controles vergemakkelijken, vooral voor grote of complexe organisaties met meerdere business units die verschillende toegangs- en beperkingsniveaus hebben. Het maken van onderliggende business units en het verstrekken van rollen met de minimaal noodzakelijke toegangsrechten dienen als vangrails om de soevereiniteit van gegevens te beschermen. Business units gelden specifiek voor een omgeving en kunnen worden beheerd via de omgevingsopties in het beheercentrum.
Dataverse gebruikt ook de besturingselementen van Microsoft Entra-mechanismen voor identiteits- en toegangsbeheer om ervoor te zorgen dat alleen geautoriseerde gebruikers toegang hebben tot de omgeving, gegevens en rapporten. Omdat Dataverse is gebouwd op Azure, worden de krachtige beveiligingstechnologieën van het Azure-platform toegepast.
Versleuteling en sleutelbeheer
Dynamics 365 wordt op Azure uitgevoerd als een multitenant-service. Dit betekent dat de implementaties, virtuele machines en gegevens van meerdere klanten op dezelfde fysieke hardware worden opgeslagen. Azure maakt gebruik van logische controles om de schaal- en economische voordelen van multitenant-services te bieden en tegelijkertijd te voorkomen dat klanten toegang krijgen tot elkaars gegevens.
Klantgegevens in Dataverse blijven in de oorspronkelijke bron (bijvoorbeeld Dataverse of SharePoint). Power Platform-apps gebruiken Azure Storage en Azure SQL Database voor gegevenspersistentie. Gegevens die worden gebruikt in mobiele apps worden versleuteld en opgeslagen in SQL Express.
Dataverse versleutelt gegevens in realtime op schijf met SQL Server Transparent Data Encryption (TDE) met behulp van sterke sleutels die door Microsoft worden beheerd. Opgeslagen klantgegevens in Azure Blob Storage worden versleuteld met Azure Storage Encryption. In Power Platform worden alle opgeslagen gegevens standaard versleuteld met door Microsoft beheerde sleutels. Klanten in een door Dynamics beheerde omgeving die over de juiste licenties en abonnementen beschikken, moeten waar mogelijk door de klant beheerde sleutels gebruiken. Door de klant beheerde sleutels werken met Dataverse en de meeste Dynamics 365-apps.
Let op
Als de door de klant beheerde sleutels worden toegepast op een omgeving met al bestaande Power Automate-stromen, worden de stroomgegevens nog steeds versleuteld met de door Microsoft beheerde sleutel, niet met de sleutel van de klant. Bovendien versleutelen de door de klant beheerde sleutels alleen de gegevens die zijn opgeslagen in Microsoft Dataverse. Andere gegevens dan Dataverse-gegevens en alle connectorinstellingen worden versleuteld door de door Microsoft beheerde sleutel.Houd er rekening mee dat versleuteling op schijf de toegang van de operator niet verhindert zolang de gegevens in gebruik zijn.
Voor Power BI versleutelen door Microsoft beheerde sleutels gegevens standaard in rust en in verwerking. Om beter aan soevereiniteitsvereisten te voldoen, moet u zo mogelijk uw eigen sleutel gebruiken (Bring Your Own Key; BYOK) om semantische modelgegevens te beheren die worden geüpload vanuit het Power BI Desktop-bestand (.pbix). Afhankelijk van uw specifieke behoeften kunt u uw door de klant beheerde sleutels of BYOK-sleutels in Azure Key Vault bewaren of in uw eigen on-premises HSM (Hardware Security Module). Voor meer toegangsbeheer en transparantie registreert Azure Key Vault elke geslaagde toegang of poging tot toegang. Ondersteuning voor Azure Managed HSM (mHSM) voor Dataverse is beschikbaar als preview-versie. Hiermee kunt u de toegang van Microsoft tot de sleutels intrekken als dat nodig is.
Zie Uw door de klant beheerde encryptiesleutel beheren in Power Platform - Power Platform | Microsoft Learn voor meer informatie.