Udostępnij za pośrednictwem

Bezpieczny dostęp do danych klienta za pomocą skrytki klienta w Power Platform i Dynamics 365

  • Artykuł

Większość operacji, pomocy technicznej i rozwiązywania problemów wykonywanych przez Microsoft personel (w tym podwykonawców przetwarzania) nie wymaga dostępu do danych klientów. Dzięki Power Platform skrytce klienta zapewniamy klientom interfejs do przeglądania i zatwierdzania (lub odrzucania) żądań dostępu do danych w rzadkich przypadkach, gdy dostęp do danych klienta jest potrzebny. Jest on używany w przypadkach, gdy Microsoft inżynier musi uzyskać dostęp do danych klienta, czy to w odpowiedzi na zgłoszenie pomocy technicznej zainicjowane przez klienta, czy problem zidentyfikowany przez Microsoft.

W tym artykule omówiono, jak włączyć skrytkę klienta i jak żądania skrytki są inicjowane, śledzone i przechowywane do późniejszych przeglądów i audytów.

Uwaga

Usługa Skrytka klienta jest dostępna w chmurze publicznej oraz w usługach regionów US Government Community Cloud (GCC, GCC High) i Department of Defense (DoD).

Podsumowanie

Skrzynkę blokowania klientów można włączyć dla źródeł danych w ramach dzierżawcy. Włączenie funkcji Skrytka klienta będzie wymuszać zasady tylko w środowiskach aktywowanych w Środowiskach zarządzanych. Power Platform Administratorzy mogą włączyć zasady skrytki.

Aby uzyskać więcej informacji, przejdź do tematu Włączanie zasad skrzynki odbiorczej.

W rzadkich przypadkach, gdy Microsoft podejmowane są próby uzyskania dostępu do danych klienta, które są w nim przechowywane Power Platform (na przykład), Dataverse żądanie skrytki jest wysyłane do administratorów Power Platform w celu zatwierdzenia. Aby uzyskać więcej informacji, przejdź do Przejrzyj prośbę o skrytkę.

Wszystkie aktualizacje żądania skrzynki odbiorczej są rejestrowane i udostępniane organizacji jako dzienniki inspekcji. Aby uzyskać więcej informacji, przejdź do Kontrola prośby o skrytkę.

Aplikacje Power Platform i Dynamics 365 przechowują dane klientów w kilku technologiach magazynu Azure. Po włączeniu pola Customer Lockbox dla środowiska dane klientów skojarzone z odpowiednim środowiskiem są chronione przez zasady skrzynki odbiorczej, niezależnie od typu magazynu.

Uwaga

  • Obecnie aplikacje i usługi, w których zasady skrytki będą egzekwowane po włączeniu, to Power Apps (z wyłączeniem Karty dla Power Apps), AI Builder, Power Pages, Power Automate,( Microsoft Copilot Studio z wyłączeniem funkcji GPT AI i Agent Builder), Dataverse, Customer Insights, obsługa klienta, społeczności, przewodniki, Connected Spaces, Finanse (z wyjątkiem Lifecycle Services), Project Operations (z wyjątkiem Lifecycle Services), Zarządzanie łańcuchem dostaw (z wyjątkiem usług Lifecycle Services) oraz obszar funkcji marketingu w czasie rzeczywistym w aplikacji Marketing.
  • Funkcje obsługiwane przez usługę Azure OpenAI są wyłączone z wymuszania zasad skrytki, chyba że dokumentacja produktu dla danej funkcji stanowi, że stosowana jest skrytka.
  • Funkcje obsługiwane przez usługę konwersacji Nuance IVR są wyłączone z wymuszania zasad skrytki, chyba że dokumentacja produktu dla danej funkcji stanowi, że stosowana jest skrytka.
  • Zawartość powitalna twórcy jest wyłączona z egzekwowania zasad skrytki.
  • Należy wyłączyć wyszukiwanie Lucene.NET w witrynie i przejść do wyszukiwania Dataverse, by włączyć Skrytkę klienta. Więcej informacji: Wyszukiwanie w portalach przy użyciu Lucene.NET jest przestarzałe.

Przepływ

  1. Twoja organizacja ma problem z Microsoft Power Platform wnioskiem o pomoc techniczną i otwiera go w Microsoft ramach pomocy technicznej. Alternatywnie, Microsoft proaktywnie identyfikuje problem (na przykład wyzwalane jest proaktywne powiadomienie), a zdarzenie zainicjowane przez A Microsoft jest otwierane w celu zbadania i złagodzenia lub naprawienia głównej przyczyny.

  2. Operator Microsoft przegląda żądanie/zdarzenie pomocy technicznej i próbuje rozwiązać problem przy użyciu standardowych narzędzi i telemetrii. Jeśli dostęp do danych klienta jest potrzebny do dalszego rozwiązywania problemów, Microsoft inżynier uruchamia wewnętrzny proces zatwierdzania dostępu do danych klienta, niezależnie od tego, czy zasada skrytki jest włączona, czy nie.

  3. Ponadto żądanie skrzynki odbiorczej jest generowane, jeśli odpowiedni magazyn danych jest skojarzony ze środowiskiem chronionym zgodnie z włączeniem zasad skrzynki odbiorczej. Do wyznaczonych osób zatwierdzających (Power Platform administratorów) zostanie wysłane powiadomienie e-mail o oczekującym żądaniu dostępu do Microsoft danych.

    Ważne

    Inżynier Microsoft nie będzie mógł kontynuować badania, dopóki żądanie skrytki nie zostanie zatwierdzone przez klienta. Może to spowodować opóźnienia w adresie biletu pomocy technicznej lub spowodować uszkodzenie. Należy monitorować powiadomienia pocztą e-mail i/lub żądania skrzynki odbiorczej w centrum administracyjnym Power Platform i w sposób terminowy odpowiadać, aby uniknąć przerw w pracy z usługami.

    Przykładowe żądanie skrzynki odbiorczej.

  4. Osoba zatwierdzająca podpisuje się w Power Platform centrum administracyjnym i zatwierdzi żądanie. Jeśli żądanie zostanie odrzucone lub nie zostanie zatwierdzone w ciągu czterech dni, wygasa, a inżynier nie ma Microsoft dostępu.

  5. Gdy osoba zatwierdzająca z organizacji zatwierdzi żądanie, inżynier uzyskuje podwyższony poziom uprawnień, o który początkowo wnioskowano, Microsoft i rozwiązuje problem. Microsoft Inżynierowie mają określony czas - 8 godzin - na rozwiązanie problemu, po czym dostęp jest automatycznie odbierany.

Włączanie zasad blokowania

Power Platform Administratorzy mogą tworzyć lub aktualizować zasady skrytki w centrum administracyjnym Power Platform . Włączenie zasad poziomu dzierżawcy będzie mieć zastosowanie tylko w środowiskach aktywowanych w Środowiskach zarządzanych. Wdrożenie wszystkich źródeł danych i wszystkich środowisk z Customer Lockbox może zająć do 24 godzin.

  1. Zaloguj się w Centrum administracyjnym Power Platform.

  2. Strona Ustawienia dzierżawcy używa do przeglądania ustawień na poziomie dzierżawcy i zarządzania nimi. Aby wyświetlić ustawienia na poziomie dzierżawcy, wybierz ikonę Koło zębate (Ikona koła zębatego.) w prawym górnym rogu witryny Microsoft Power Platform i wybierz Ustawienia Power Platform>Ustawienia>Ustawienia dzierżawcy w okienku nawigacyjnym po lewej stronie.

  3. Ustaw funkcję Skrytka klienta na Włączone.

    Włączanie zasad skrzynki.

Przejrzyj prośbę o skrytkę

  1. Zaloguj się w Centrum administracyjnym Power Platform.

  2. Wybierz Zasady>Skrytka klienta.

  3. Przejrzyj szczegóły żądania.

    Pole opis
    Identyfikator żądania pomocy technicznej Identyfikator biletu pomocy technicznej skojarzonego z żądaniem skrzynki odbiorczej. Jeśli żądanie jest wynikiem zainicjowanego alertu Microsoft wewnętrznego, wartość będzie "Microsoft zainicjowana".
    Environment To wyświetlana nazwa środowiska, w którym jest żądany dostęp do danych.
    Stan Stan żądania skrytki.
    • Wymagana akcja: oczekiwanie na zatwierdzenie przez klienta
    • Wygasłe: Nie otrzymano zatwierdzenia od klienta
    • Zatwierdzone: Zatwierdzone przez klienta
    • Odmowa: odmowa klienta
    Zażądano Czas, Microsoft w którym inżynier zażądał dostępu do danych klienta w środowisku klienta.
    Wygaśnięcie żądania Czas, w którym klient musi zatwierdzić żądanie skrzynki odbiorczej. Stan żądania zmieni się na Wygasły, jeśli w tym czasie nie zostanie podana żadna zatwierdzenie.
    Okres dostępu Czas, przez który żądanie chce uzyskać dostęp do danych klienta. Ta wartość wynosi domyślnie 8 godzin i nie można jej zmienić.
    Wygaśnięcie dostępu Jeśli dostęp zostanie przyznany, jest to czas, do którego Microsoft inżynier ma dostęp do danych klienta.

  4. Wybierz żądanie skrzynki odbiorczej, a następnie wybierz opcję Zatwierdzanie lub Odmowa.

    Zatwierdzanie i odrzucanie żądań blokowania

    Uwaga

    Żądania skrzynki odbiorczej, które wystąpiły w ciągu ostatnich 28 dni, są wyświetlane w tabeli Ostatnie.

    Po zatwierdzeniu żądania nie można go cofnąć na cały czas trwania 8 godzin.

Kontrola prośby o skrytkę

Ostrzeżenie

Schemat udokumentowany w tej sekcji dla zdarzeń inspekcji skrytki jest przestarzały i nie będzie dostępny od lipca 2024 r. Zdarzenia funkcji Skrytki klienta można inspekcji, korzystając z nowego schematu dostępnego w Kategorii działania: operacje skrytki.

Akcje związane z akceptowaniem, odrzucaniem lub wygaśnięciu żądania skrzynki odbiorczej są rejestrowane automatycznie w Microsoft 365 Defender.

Strona Microsoft 365 Defender.

Śledzenie inspekcji obejmuje następujące i inne pola dla każdego żądania skrzynki odbiorczej:

  • Unikalny identyfikator żądania
  • Czas utworzenia żądania
  • Identyfikator organizacji
  • Identyfikator użytkownika (unikalny identyfikator operatora Microsoft realizującego żądanie)
  • Stan żądania
  • Powiązany identyfikator zgłoszenia pomocy technicznej
  • Czas wygaśnięcia żądania
  • Czas wygaśnięcia dostępu do danych
  • Identyfikator środowiska
  • Poproś o uzasadnienie

Karta Microsoft 365 Inspekcja umożliwia administratorom wyszukiwanie zdarzeń skojarzonych z sesji skrzynki odbiorczej. Wyświetlanie kategorii Power Platform skrytki dla pokrewnych zdarzeń Power Platform dotyczących skrytki.

Wybierz kategorię skrytki Power Platform.

Administratorzy mogą bezpośrednio eksportować zestaw wyników na podstawie kryteriów filtrowania.

Skrytka klienta tworzy dwa typy dzienników inspekcji:

  1. Dzienniki, które są inicjowane przez Microsoft tworzenie żądania skrytki i odpowiadają mu, które wygasły lub gdy sesje dostępu się kończą. Ten zestaw dzienników inspekcji nie odpowiada określonemu identyfikatorowi użytkownika, ponieważ akcje są inicjowane przez Microsoft.
  2. Dzienniki zainicjowane przez akcje użytkownika końcowego, na przykład kiedy użytkownik zatwierdzi lub odmówi żądaniu skrytki. Jeśli użytkownik wykonujący te operacje nie ma przypisanej licencji E5, dzienniki są odfiltrowywowane i nie są wyświetlane w dziennikach inspekcji.

Domyślnie dzienniki inspekcji są przechowywane przez jeden rok. Do zachowania rekordów inspekcji przez 10 lat jest potrzebna 10-letnia licencja na przechowywanie dzienników inspekcji. Zobacz Inspekcja (Premium), aby uzyskać więcej szczegółowych informacji o przechowywaniu dzienników inspekcji.

Wymagania licencyjne dotyczące Skrytki klienta

Zasady skrytek klientów będą wymuszane tylko w środowiskach, w których aktywowano obsługę aplikacji Środowiska zarządzane. Środowiska zarządzane są uwzględnione jako uprawnienie w autonomicznych licencjach Power Apps, Power Automate, Microsoft Copilot Studio, Power Pages i Dynamics 365, które dają prawa do użytkowania premium. Aby dowiedzieć się więcej o licencjonowaniu środowiska zarządzanego, zobacz Licencjonowanie i Omówienie licencjonowania dla Microsoft Power Platform.

Ponadto dostęp do Sktrytki klienta dla Microsoft Power Platform i Dynamics 365 wymaga, aby użytkownicy w środowiskach, w których są wymuszane zasady skrytki, mieli dowolną z tych subskrypcji:

  • Microsoft 365 lub Office 365 A5/E5/G5
  • Zgodność Microsoft 365 A5/E5/F5/G5
  • Microsoft 365 F5 — zabezpieczenia i zgodność
  • Microsoft 365 A5/E5/F5/G5 – Zarządzanie ryzykiem związanym z wykorzystaniem informacji poufnych
  • Microsoft 365 A5/E5/F5/G5 Ochrona i zarządzanie informacjami Dowiedz się więcej na temat obowiązujących licencji.

Wykluczenia

  • Żądania skrzynki odbiorczej nie są wyzwalane w następujących scenariuszach pomocy technicznej:

    • Scenariusze, które nie są standardowymi procedurami operacyjnymi, na przykład głównymi awarii usług, które wymagają natychmiastowej uwagi w celu odzyskiwania i przywracania usług w nieoczekiwanych lub nieprzewidywnych przypadkach. Te zdarzenia „tłuczenia szkła” są rzadkie i w większości przypadków nie wymagają dostępu do danych klientów, aby je rozwiązać.

    • Inżynier uzyskuje dostęp do podstawowej platformy w ramach rozwiązywania problemów i jest nieumyślnie narażony Microsoft na dane klienta. Zdarza się, że takie scenariusze powinny powodować dostęp do znaczących ilości danych klientów.

  • Żądania usługi Customer Lockbox nie są również wyzwalane przez zewnętrzne wymagania prawne dotyczące danych. Aby uzyskać szczegółowe informacje, zapoznaj się z omówieniem rządowych wniosków o udostępnienie danych w Microsoft Centrum zaufania.

  • Skrytka klienta nie będzie mieć zastosowania do dostępu i ręcznego przeglądu danych klienta udostępnianych dla funkcji AI Copilot. Skrytka klienta pozostanie dostępna dla wszystkich danych z zakresu.

Znane problemy

  • Migracja dzierżawcy z dzierżawą nie jest obsługiwana, gdy jest włączone Pole blokowania klientów. Aby przenieść środowisko do innej dzierżawy, należy wyłączyć funkcję Skrytki klienta. Po zakończeniu migracji można ponownie włączyć pole skrytki klienta.