Implantações seguras
Um elemento fundamental da administração de uma implantação do Power Platform é considerar a segurança. A segurança é crucial para garantir que todos tenham acesso apenas aos dados de que precisam, mas também para garantir que os negócios de dados não sejam acessados por pessoas ou aplicativos que não deveriam acessá-los.
Estabelecer uma estratégia de DLP
Um dos primeiros itens que você deve considerar ao implantar uma solução do Power Platform é estabelecer uma estratégia de DLP (prevenção contra perda de dados). As políticas de DLP atuam como proteções projetadas para impedir que os usuários exponham dados organizacionais involuntariamente e para proteger a segurança das informações no locatário. As políticas de DLP impõem regras sobre quais conectores são habilitados para cada ambiente e quais conectores podem ser usados em conjunto. Os conectores são classificados como somente dados corporativos, dados corporativos não permitidos ou bloqueados. Um conector no grupo somente dados corporativos apenas pode ser usado com outros conectores desse grupo no mesmo aplicativo ou fluxo. Por exemplo, alguém pode querer criar um aplicativo que aplique o conector do Microsoft Dataverse e um conector de terceiros. Se classificar o conector do Microsoft Dataverse como um conector de dados corporativos, você só poderá aplicar o conector de terceiros se ele também for classificado como um conector de dados corporativos.
O estabelecimento das políticas de DLP corresponderá à sua estratégia de ambiente.
Classificação do conector
As classificações comerciais ou não comerciais estabelecem limites sobre quais conectores podem ser usados em conjunto em determinado aplicativo ou fluxo. Os conectores podem ser classificados nos seguintes grupos usando políticas de DLP:
Comercial: determinado Power App ou recurso do Power Automate pode usar um ou mais conectores de um grupo comercial. Se um Power App ou um recurso do Power Automate usar um conector comercial, não poderá usar nenhum conector não comercial.
Não comercial: determinado Power App ou recurso do Power Automate pode usar um ou mais conectores de um grupo não comercial. Se um Power App ou um recurso do Power Automate usar um conector não comercial, não poderá usar nenhum conector comercial.
Bloqueado: nenhum Power App ou recurso do Power Automate pode usar um conector de um grupo bloqueado. Podem ser bloqueados todos os conectores de produtos Premium e conectores de terceiros (padrão e premium). Todos os conectores do Common Data Service e conectores padrão de propriedade da Microsoft não podem ser bloqueados.
Estratégias para criar políticas de DLP
Conforme mencionado anteriormente, como um administrador assumindo o controle de um ambiente ou começando a dar suporte ao uso do Power Apps e do Power Automate, as políticas de DLP devem ser um dos primeiros itens que você configurará. Isso garante que um conjunto básico de políticas esteja em vigor e você possa se concentrar no tratamento de exceções e na criação de políticas de DLP direcionadas que implementam as exceções, uma vez aprovadas.
Recomendamos o seguinte ponto de partida para as políticas de DLP em ambientes compartilhados de produtividade de usuários e equipes:
Crie uma política que abranja todos os ambientes, exceto os selecionados (por exemplo, ambientes de produção), mantenha os conectores disponíveis nessa política limitados ao Office 365 e a outros microsserviços padrão e bloqueie o acesso a todo o resto. Essa política será aplicada a seus ambiente padrão e de treinamento para executar eventos de treinamento internos. Além disso, a política também se aplicará a quaisquer novos ambientes que sejam criados.
Crie políticas de DLP apropriadas e mais permissivas para ambientes compartilhados de produtividade de usuários e equipes. Essas políticas podem permitir que os fabricantes usem conectores como serviços do Azure além dos serviços do Office 365. Os conectores disponíveis nesses ambientes dependerão de sua organização e de onde ela armazena dados corporativos.
Recomendamos o seguinte ponto de partida para políticas de DLP em ambientes de produção (unidade de negócios e projeto):
Exclua esses ambientes das políticas de produtividade compartilhadas de usuários e equipes.
Trabalhe com a unidade de negócios e o projeto para estabelecer quais conectores e combinações de conectores usarão e crie uma política de locatário para incluir apenas os ambientes selecionados.
Os administradores desses ambientes podem usar políticas de ambiente para categorizar conectores personalizados apenas como dados de negócios, se necessário.
Além dos itens acima, também recomendamos:
Criar um número mínimo de políticas por ambiente. Não há hierarquia estrita entre as políticas de locatário e ambiente e, no design e em runtime, todas as políticas aplicáveis ao ambiente em que o aplicativo ou o fluxo reside são avaliadas em conjunto para decidir se o recurso está em conformidade com as políticas DLP ou se as viola. Várias políticas de DLP aplicadas a um ambiente fragmentarão seu espaço de conector de maneiras complicadas e podem dificultar a compreensão dos problemas que os criadores enfrentam.
Gerenciar de forma centralizada as políticas de DLP usando políticas de nível de locatário e políticas de ambiente apenas para categorizar conectores personalizados ou em casos de exceção.
Com isso em vigor, planeje como lidar com exceções. Você pode:
Negue a solicitação.
Adicione o conector à política de DLP padrão.
Adicione os ambientes à lista Todos, Exceto para DLP padrão global e crie uma política de DLP específica do caso de uso com a exceção incluída.
Exemplo: estratégia de DLP da Contoso
Vamos analisar como a Contoso Corporation, nossa organização de exemplo para estas diretrizes, configurou suas políticas de DLP. A configuração das políticas de DLP está intimamente ligada à estratégia de ambiente. Os administradores da Contoso desejam dar suporte a cenários de produtividade de usuários e equipes e aplicativos de negócios, além do gerenciamento de atividades do CoE (Centro de Excelência).
O ambiente e a estratégia de DLP que os administradores da Contoso aplicaram consistem em:
Uma política de DLP restritiva em todo o locatário que se aplica a todos os ambientes nele, exceto alguns ambientes específicos que foram excluídos do escopo da política. Os administradores pretendem manter os conectores disponíveis nessa política limitados ao Office 365 e a outros microsserviços padrão, bloqueando o acesso a todo o restante. Essa política também se aplicará ao ambiente padrão.
Os administradores da Contoso criaram outro ambiente compartilhado para os usuários criarem aplicativos destinados a casos de uso de produtividade de usuários e equipes. Esse ambiente tem uma política de DLP de nível de locatário associada que não é tão avessa a riscos quanto uma política padrão e permite que os fabricantes usem conectores como serviços do Azure, além dos serviços do Office 365. Como esse é um ambiente não padrão, os administradores podem controlar ativamente a lista de criadores de ambiente para ele. Essa é uma abordagem em camadas para o ambiente compartilhado de produtividade de usuários e equipes e as configurações de DLP associadas.
Além disso, para as unidades de negócios criarem aplicativos de linha de negócios, elas criaram ambientes de desenvolvimento, teste e produção para suas subsidiárias fiscais e de auditoria em vários países/regiões. O acesso do criador de ambiente a esses ambientes é cuidadosamente gerenciado, e os conectores internos e de terceiros apropriados são disponibilizados por meio de políticas DLP no nível de locatário, em consulta com os participantes da unidade de negócios.
Da mesma forma, ambientes de desenvolvimento/teste/produção são criados para uso da TI Central, a fim de desenvolver e implementar aplicativos relevantes ou corretos. Geralmente, esses cenários de aplicativos de negócios têm um conjunto bem definido de conectores que precisam ser disponibilizados a fabricantes, testadores e usuários nos ambientes. O acesso a esses conectores é gerenciado por meio de uma política de nível de locatário dedicada.
A Contoso também tem um ambiente de finalidade especial dedicado às suas atividades de Centro de Excelência. Na Contoso, a política de DLP para o ambiente de finalidade especial permanecerá elevada, dada a natureza experimental do livro de equipes de teoria. Nesse caso, os administradores de locatários delegaram o gerenciamento de DLP desse ambiente diretamente a um administrador de ambiente confiável da equipe do CoE e o excluíram de uma escola de todas as políticas de nível de locatário. Esse ambiente é gerenciado apenas pela política de DLP de nível de ambiente, que é uma exceção e não a regra na Contoso.
Conforme esperado, os novos ambientes criados na Contoso serão mapeados para a política original de todos os ambientes.
Essa configuração de políticas de DLP centradas no locatário não impede que os administradores de ambiente criem suas próprias políticas de DLP no nível de ambiente, caso queiram introduzir outras restrições ou classificar conectores personalizados.
Você pode saber mais sobre como criar políticas de DLP aqui: Planejar e gerenciar seu ambiente do Microsoft Power Platform.