Implantações seguras
Um elemento essencial da administração de uma implantação do Power Platform é considerar a segurança. A segurança é crucial para garantir que todos tenham acesso apenas aos dados de que precisam e também para garantir que os dados de negócios não sejam acessados por pessoas ou aplicativos que não devem fazê-lo.
Estabelecer uma estratégia de DLP
Um dos primeiros itens que você deve considerar ao implantar uma solução do Power Platform é estabelecer uma política de DLP (Prevenção contra perda de dados). As políticas de DLP atuam como proteções para ajudar a impedir que os usuários exponham involuntariamente dados organizacionais e proteger a segurança das informações no locatário. As políticas de DLP controlam se um conector está habilitado em cada ambiente e quais conectores podem ser usados juntos. Os conectores são classificados como somente dados corporativos, dados corporativos não permitidos ou bloqueados. Um conector no grupo somente de dados de negócios só pode ser usado em um aplicativo ou fluxo com outros conectores do grupo de dados de negócios. Por exemplo, convém criar um aplicativo que use o conector do Microsoft Dataverse e um conector de terceiros. Se você classificar o conector do Microsoft Dataverse como um conector de dados de negócios, só poderá usar o conector de terceiros no mesmo aplicativo se ele também for classificado como um conector de dados de negócios.
O estabelecimento de suas políticas de DLP é indissociável de sua estratégia de ambiente.
Classificação do conector
Classificações de negócios e não negócios criam limites em torno dos conectores e definem quais conectores podem ser usados juntos em determinado aplicativo ou fluxo. Os conectores podem ser classificados nos seguintes grupos usando políticas de DLP:
Negócios: um fluxo do Power Automate ou Power App pode usar um ou mais conectores de um grupo de negócios. Se um fluxo do Power Automate ou Power App usar um conector de negócios, não poderá usar nenhum conector que não seja de negócios.
Não negócios: um fluxo do Power Automate ou Power App pode usar um ou mais conectores de um grupo que não seja de negócios. Se um fluxo do Power Automate ou Power App usar um conector que não seja de negócios, não poderá usar nenhum conector de negócios.
Bloqueado: nenhum fluxo do Power Automate ou Power App pode usar um conector bloqueado. Podem ser bloqueados todos os conectores Premium da Microsoft e conectores de terceiros (padrão e premium). No entanto, conectores padrão de propriedade da Microsoft e conectores do Common Data Service não podem ser bloqueados.
Estratégias para criar políticas de DLP
Conforme discutido anteriormente, como administrador que assume o controle de um ambiente ou começa a dar suporte ao uso do Power Apps e do Power Automate, as políticas de DLP devem ser um dos primeiros itens que você deve configurar. Isso garante que um conjunto básico de políticas esteja em vigor. Você pode então se concentrar em lidar com exceções e criar políticas de DLP direcionadas que implementem exceções aprovadas.
Recomendamos o seguinte ponto de partida para as políticas de DLP em ambientes compartilhados de produtividade de usuários e equipes:
Crie uma DLP que abranja todos os ambientes, exceto os selecionados (por exemplo, seus ambientes de produção). Com essa DLP, limite os conectores disponíveis ao Office 365 e outros microsserviços padrão e bloqueie o acesso a todos os outros conectores. Aplique essa DLP aos ambientes de treinamento padrão e a quaisquer novos ambientes que sejam criados.
Crie políticas de DLP mais permissivas, apropriadas à sua organização, para seus ambientes de produtividade de equipe e usuários compartilhados. Essas DLPs podem permitir que os criadores usem conectores como os serviços do Azure, além dos serviços do Office 365. Os conectores disponíveis nesses ambientes dependem de sua organização e de onde ela armazena dados de negócios.
Recomendamos o seguinte ponto de partida para políticas de DLP em ambientes de produção (unidade de negócios e projeto):
Exclua esses ambientes de suas políticas de DLP de produtividade de equipe e usuários compartilhados.
Trabalhe com as unidades de negócios para estabelecer quais conectores e combinações de conectores elas usam e crie uma política de locatário para incluir apenas os ambientes selecionados.
Os administradores de ambiente podem usar políticas de DLP de ambiente para categorizar conectores personalizados como dados de negócios, somente quando necessário.
Além disso, também recomendamos:
Criar um número mínimo de políticas de DLP por ambiente. Não há uma hierarquia rígida entre as políticas de locatário e de ambiente. No design e no runtime, todas as políticas de DLP para o ambiente de um aplicativo ou fluxo são avaliadas em conjunto para determinar se o aplicativo ou fluxo está em conformidade com as políticas de DLP. Várias políticas de DLP aplicadas a um ambiente fragmentarão seu espaço de conectores de maneiras complicadas e podem dificultar a compreensão dos problemas que seus criadores estão enfrentando.
Usar políticas de DLP em nível de locatário para gerenciamento central sempre que possível; usar políticas de ambiente apenas para categorizar conectores personalizados ou por exceção.
Com isso em vigor, decida como você lidará com as exceções. Você pode:
Negue a solicitação.
Adicione o conector à política de DLP padrão.
Adicione o ambiente à lista Todos Exceto da DLP padrão global e crie uma política de DLP específica para o caso de uso com a exceção incluída.
Exemplo: estratégia de DLP da Contoso
Vamos ver como a Contoso Corporation, uma organização de exemplo, configurou suas políticas de DLP. A configuração da políticas de DLP da Contoso está intimamente ligada a sua estratégia de ambiente. Os administradores da Contoso desejam dar suporte a cenários de produtividade de usuários e equipes, bem como a aplicativos de negócios, além de gerenciar atividades do CoE (Centro de Excelência).
O ambiente e a estratégia de DLP da Contoso consistem no seguinte para criar uma abordagem em camadas:
Uma política de DLP restritiva para todo o locatário que se aplica a todos os ambientes do locatário, exceto alguns ambientes específicos que foram excluídos. Essa política também se aplica ao ambiente padrão. Os administradores da Contoso limitam os conectores disponíveis nessa política ao Office 365 e outros microsserviços padrão; eles bloqueiam o acesso a todos os outros conectores.
Os administradores da Contoso criaram um ambiente compartilhado em que os usuários podem criar aplicativos para casos de uso de produtividade de usuários e equipes. Esse ambiente tem uma política de DLP associada no nível do locatário que não é tão restritiva quanto a política padrão; permite que os criadores usem conectores como os serviços do Azure, além dos serviços do Office 365. Como esse é um ambiente não padrão, os administradores podem controlar ativamente quem tem acesso ao ambiente.
Além disso, para as unidades de negócios criarem aplicativos de linha de negócios, elas criaram ambientes de desenvolvimento, teste e produção para suas subsidiárias fiscais e de auditoria em vários países/regiões. O acesso do criador de ambiente a esses ambientes é cuidadosamente gerenciado, e os conectores internos e de terceiros apropriados são disponibilizados por meio de políticas DLP no nível de locatário, em consulta com os participantes da unidade de negócios.
Da mesma forma, ambientes de desenvolvimento/teste/produção são criados para que a TI Central desenvolva e implante aplicativos. Geralmente, esses cenários de aplicativos de negócios têm um conjunto bem definido de conectores que precisam ser disponibilizados a fabricantes, testadores e usuários nos ambientes. O acesso a esses conectores é gerenciado por meio de uma política de nível de locatário dedicada.
A Contoso também tem um ambiente especial dedicado às atividades do CoE. A política de DLP para esse ambiente continua sendo de alto nível, devido à natureza experimental do trabalho da equipe teórica. Os administradores de locatários delegaram o gerenciamento de DLP para esse ambiente diretamente a um administrador de ambiente confiável da equipe do CoE, excluindo-o de todas as políticas em nível de locatário. Esse ambiente é gerenciado exclusivamente pela política de DLP em nível de ambiente, o que é uma exceção, não a regra na Contoso.
Como esperado, todos os novos ambientes criados na Contoso são mapeados para a política original de todos os ambientes.
Essa configuração de políticas de DLP centradas no locatário não impede que os administradores de ambiente criem suas próprias políticas de DLP em nível de ambiente, caso queiram introduzir outras restrições ou classificar conectores personalizados.
Você pode saber mais sobre como criar políticas de DLP aqui: Planejar e gerenciar seu ambiente do Microsoft Power Platform.