Kontrolki dostępu dla usług Dataverse i Power Platform
Program Power Platform udostępnia wiele formantów dostępu w celu przestrzegania regionalnych przepisów dotyczących ochrony prywatności i prywatności użytkowników. Mechanizmy kontroli obsługi i szyfrowania danych zapewniają, że dane Dataverse klienta pozostają w swoim pierwotnym źródle (na przykład Dataverse or SharePoint).
Aplikacje Power Platform korzystają z Magazynu Azure i Bazy danych Azure SQL Database w celu utrwalenia danych. Dane używane w aplikacjach mobilnych są szyfrowane i przechowywane w programie SQL Express. Usługa Azure SQL Database w pełni szyfruje dane klienta przy użyciu technologii transparentnego szyfrowania danych (TDE). Wszystkie utrwalane dane są domyślnie szyfrowane przy użyciu kluczy zarządzanych przez firmę Microsoft i wiele produktów Power Platform umożliwia klientom zarządzanie własnymi kluczami szyfrowania (kluczami zarządzanymi przez klienta) Microsoft Azure Key Vault.
Dodatkowo Zarządzanie tożsamością, Zabezpieczenia oparte na roli i Kontrolki szczegółowych uprawnień umożliwiają klientom Dataverse i Power Platform łączenie jednostek biznesowych, zabezpieczeń opartych na rolach, zabezpieczeń opartych na wierszach i zabezpieczeń opartych na kolumnach.
Te funkcje umożliwiają dokładną kontrolę dostępu użytkowników do informacji w celu zapewnienia zgodności z wymaganiami dotyczącymi kontroli nad użytkownikami.
Kontrola dostępu oparta na rolach (RBAC)
Kontrola dostępu oparta na rolach (RBAC), znana również jako zabezpieczenia oparte na rolach, to metoda, która nadaje uprawnienia użytkownikom końcowym na podstawie ich roli w organizacji. Ułatwia ona zarządzanie dostępem w prosty i łatwy do zarządzania sposób. Zmniejsza również błędy, które mogą się zdarzyć podczas przypisywania poszczególnych uprawnień.
Precyzyjne formanty RBAC w Dataverse mogą zagwarantować, że użytkownicy mają dokładne uprawnienia wymagane dla swoich ról. Uprawnienia można przyznać na poziomie środowiska, roli, bazy danych, tabeli, wiersza i kolumn. Organizacje mogą definiować osoby, które mogą odczytywać, zapisywać, usuwać i modyfikować określone rekordy, pola i aplikacje. To ziarnistość pomaga zapewnić szacunek danych klientów i ich dane. Aby uzyskać więcej informacji, zobacz Konfigurowanie zabezpieczeń użytkownika w środowisku - Power Platform | Microsoft Learn.
Środowiska Dataverse zabezpieczeń mają wstępnie zdefiniowane role zabezpieczeń zgodne z zasadą minimalnego wymaganego dostępu. Role te zapewniają użytkownikom najmniej dostępu do wykonywania zadań w określonych aplikacjach. Dostępne role zależą od typu środowiska i zainstalowanych aplikacji.
Jeśli środowisko ma bazę danych Dataverse, należy postępować zgodnie z minimalną wymaganą zasadą dostępu i zminimalizować liczbę użytkowników, którzy mają dostęp do Roli administratora systemowego.
W środowiskach bez bazy danych Dataverse istnieją dwie wstępnie zdefiniowane role:
Administrator środowiska: wykonuje akcje administracyjne, przygotowuje bazy danych, zarządza zasobami i tworzy zasady zapobiegania utracie danych.
Twórca środowiska: tworzy zasoby (aplikacje, połączenia, interfejsy API itp.), ale nie ma uprawnień dostępu do danych.
Aby kontrolować dostęp do obu aplikacji i Dataverse za pośrednictwem Power Apps, skorzystaj z podanych tutaj Hak kontrolować aplikację i dostęp do Dataverse — społeczności Power Platform (microsoft.com).
Privileged Identity Management (PIM)
PIM to usługa w Microsoft Entra ID, która pomaga zarządzać kontrolą i monitorować dostęp do ważnych zasobów. Można go użyć do ochrony suwerennych danych Dataverse przed ryzykiem uzyskania dostępu przez złośliwego dostępnego użytkownika lub złośliwego dostawcy usługi Microsoft Cloud. Oto kilka funkcji dzięki funkcji PIM, które mogą w tym pomóc:
Dostęp just in time: usługa PIM zapewnia użytkownikom uprzywilejowany dostęp just in time do Microsoft Entra zasobów identyfikatorów i Azure. Oznacza to, że użytkownicy otrzymują tymczasowe uprawnienia do wykonywania zadań z uprawnieniami, co uniemożliwia złośliwe lub nieautoryzowanym użytkownikom uzyskanie dostępu po wygaśnięciu tych uprawnień.
Dostęp ograniczony czasowo: można ustawić ograniczony czasowo dostęp do zasobów przy użyciu dat rozpoczęcia i zakończenia. Ten typ dostępu ogranicza czas dostępu użytkownika do poufnych danych, zmniejszając ryzyko wystąpienia ryzyko.
Aktywacja ról oparta na zatwierdzeniu: usługa PIM wymaga zatwierdzenia w celu aktywowania ról uprzywilejowanych. Ten krok powoduje dodanie dodatkowej warstwy kontroli i przedsyłania przez upewniowanie się, że wyższymi uprawnieniami zatwierdza aktywację ról.
Uwierzytelnianie wieloskładnikowe: usługa PIM wymusza uwierzytelnianie wieloskładnikowe w celu aktywowania dowolnej roli. Ten proces żąda od użytkownika, aby żądał od użytkownika, aby zweryfikował swoją tożsamość przy użyciu co najmniej dwóch oddzielnych formularzy weryfikacji.
Przeglądy dostępu: usługa PIM umożliwia przeprowadzanie przeglądów dostępu, aby upewnić się, że użytkownicy nadal potrzebują przypisanych ról. Przeglądy ułatwiają usunięcie niepotrzebnych uprawnień dostępu i zmniejszenie ryzyka związanego z zagrożeniami poufnymi.
Dzięki innym formantom dostępu warunkowego i świadomości lokalizacji, dzięki PIM można kontrolować dostęp do środowisk, umożliwiając tylko zaufanym urządzeniu, lokalizacjom i innym warunkom, które można oceniać na przykład na uwierzytelnienie. Można użyć tych funkcji usługi DNS w celu ograniczenia ryzyka złośliwego dostępu do danych przechowywanych w chmurze Dynamics lub naruszonego przez niego dostawcę usług w chmurze firmy Microsoft Cloud. Aby uzyskać więcej informacji o PIM, zobacz temat Czym jest Privileged Identity Management? — zarządzanie Tożsamością Microsoft Entra | Microsoft Learn.
Role zabezpieczeń
Użytkownik może zabezpieczyć dane i zagwarantować, że posiada najmniej wymagane uprawnienia, korzystając z autoryzacji Dataverse i ról zabezpieczeń na poziomie autoryzacji i danych definiującej zabezpieczenia wierszy, pól, hierarchicznych i grup. Role te umożliwiają określenie zabezpieczeń na poziomie pola. Dataverse umożliwia implementację zarówno uprawnienia, jak i kontroli dostępu w celu zachowania tej kontroli. Uprawnienia są zarządzane za pomocą ról zabezpieczeń lub przypisań do zespołu, a sprawdzanie dostępu jest zarządzane za pomocą własności, dostępu do ról, dostępu udostępnionego lub dostępu do hierarchii.
Na przykład aby zmniejszyć ryzyko nieumyślnego ujawniania danych i zapewnić, że tylko autoryzowaniu pracownicy mogą dokonać zbiór danych, należy ustawić uprawnienia użytkowników tak, aby uniemożliwiły dostęp do kont użytkowników o tej funkcji Power Apps. Upewnij się, że przypisując uprawnienia i uprawnienia do użytkownika lub zespołu, każda osoba ma tylko odpowiedni poziom uprawnień.
Więcej informacji na temat ról zabezpieczeń Dataverse i uprawnień jest dostępnych w celu zapewnienia dostępu tylko autoryzowanym użytkownikom do zasobów zabezpieczających.
Obecnie możesz użyć centrum administracyjnego do zarządzania użytkownikami i ustawieniami zarządzania uprawnieniami.
Dataverse teams: Zalecamy korzystanie z Microsoft Entra zespołów grupowych, aby uprościć zarządzanie użytkownikami i upewnić się, że uprawnienia i uprawnienia są konsekwentnie implementowane.
Przypisywanie ról zabezpieczeń do użytkowników: Zalecamy używanie interfejsu użytkownika centrum administracyjnego do zarządzania użytkownikami za pomocą tworzenia ról zabezpieczeń.
Skonfiguruj zabezpieczenia użytkownika w środowisku: W centrum administracyjnym określ role zabezpieczeń w danym środowisku, aby ograniczyć, którzy użytkownicy mogą wykonywać różne czynności. Wiele wstępnie istniejących ról jest skonfigurowanych w celu usprawnienia tego procesu. Zasady na poziomie dzierżawcy można określić w zakresie w celu zapewnienia kontrolek najwyższego poziomu, które minimaliują ryzyko utraty danych z powodu błędu konfiguracji poszczególnych środowisk, ustawiając zakres dla wszystkich środowisk. Aby uzyskać więcej informacji, zobacz pojęcia związane z zabezpieczeniami w programie Microsoft Dataverse - Power Platform
Jednostki biznesowe
Każda baza danych Dataverse zawiera jedną główną jednostkę biznesową. Ta jednostka biznesowa definiuje granicę zabezpieczeń, która współpracuje z zabezpieczeniami opartymi na rolach, aby zarządzać użytkownikami i danymi, do których mają dostęp. Mogą one ułatwić formanty w szczególności w przypadku dużych i złożonych organizacji z wieloma jednostkami biznesowymi z różnymi poziomami dostępu i ograniczeniami. Tworzenie podrzędnej jednostki biznesowej i zapewnienie ról o minimalnych wymaganych uprawnieniach dostępu pełni rolę zabezpieczeń do ochrony środowiska danych. Jednostki biznesowe są specyficzne dla środowiska i mogą być zarządzane za pomocą kontrolek środowiska w centrum administracyjnym.
Dataverse ponadto korzysta z formantów mechanizmów zarządzania Tożsamością Microsoft Entra i dostępu w celu zapewnienia, że tylko autoryzowani użytkownicy będą mieć dostęp do środowiska, danych i raportów. Ponadto, ponieważ Dataverse jest wbudowane na platformę Azure, korzysta z zaawansowanych technologii zabezpieczeń platformy Azure.
Szyfrowanie i zarządzanie kluczami
Usługa Dynamics 365 działa na platformie Azure jako usługa wielu dzierżaw. Oznacza to, że wdrożenia, maszyny wirtualne i dane wielu klientów są przechowywane na tym samym sprzęcie fizycznym. Platforma Azure korzysta z kontrolek logicznych w celu zapewnienia skali i korzyści biznesowych wynikających z usług wielo podmiotów, jednocześnie uniemożliwiając klientom uzyskiwanie sobie dostępu do danych.
Dane klienta w Dataverse pozostają w oryginalnym źródle (na przykład Dataverse lub SharePoint). Aplikacje Power Platform korzystają z Magazynu Azure i Bazy danych Azure SQL Database w celu utrwalenia danych. Dane używane w aplikacjach mobilnych są zaszyfrowane i przechowywane w SQL Express.
Dataverse szyfruje dane na dysku w czasie rzeczywistym za pomocą Transparent Data Encryption (TDE) serwera SQL Service przy użyciu silnych kluczy, którymi zarządza firma Microsoft. Szyfrowanie magazynu Azure służy do szyfrowania danych klientów przechowywanych w magazynie obiektów blob Azure Blob Storage. Power Platform szyfruje wszystkie dane, które są domyślnie zapisuje przy użyciu kluczy, których zarządza firma Microsoft. Klienci środowiska zarządzanego Dynamics, którzy mają odpowiednie licencje i subskrypcje, powinni w razie potrzeby używać funkcji Klucze zarządzane przez klienta. Klucze zarządzane przez klienta działają z Dataverse i większością aplikacji usługi Dynamics 365.
Uwaga
Należy pamiętać, że jeśli klucze zarządzane przez klienta są stosowane do środowiska, które już ma istniejące przepływy Power Automate, dane przepływów będą nadal szyfrowane za pomocą klucza zarządzanego Microsoft, a nie z kluczem klienta. Ponadto klucze zarządzane przez klienta będą szyfrować tylko przechowywane w Microsoft Dataverse, wszystkie ustawienia inne niż dane Dataverse oraz wszystkie ustawienia łącznika są szyfrowane za pomocą klucza zarządzanego firmy Microsoft.Należy zauważyć, że szyfrowanie na dysku nie powoduje zatrzymania dostępu operatora w czasie, gdy są wykorzystywane dane.
Dla Power BI w przypadku kluczy zarządzanych firmy Microsoft dane są domyślnie szyfrowane podczas przechowywania i w procesie. Aby lepiej spełniać wymagania programowe, należy w miarę możliwości przekazać własny klucz (BYOK) do zarządzania danymi modelowymi przekazanymi z pliku Power BI Desktop (.pbix). W zależności od konkretnych potrzeb klucze zarządzane przez klienta lub klucze BYOK mogą być dostępne w Azure Key Vault lub we własnym lokalnym module sprzętowym zabezpieczeń (HSM). Aby nadać większą kontrolę dostępu i dostęp do danych, usługa Azure Key Vault rejestruje każdy pomyślny lub próbny dostęp. Obsługa zarządzanego modułu Azure (mHSM) dla Dataverse jest w wersji zapoznawczej. W razie potrzeby można cofnąć dostęp firmy Microsoft do kluczy.
Aby uzyskać więcej informacji, zobacz temat Zarządzanie kluczem szyfrowania zarządzanym przez klienta w Power Platform - Power Platform | Microsoft Learn.