数据加密建议
适用于 Power Platform Well-Architected Security 检查清单建议：
| 东南：06 | 使用现代行业标准方法来加密数据，以保护机密性和完整性。 使加密范围与数据分类保持一致；确定本机平台加密方法的优先级。 |
|---|
如果数据不受保护，则可能会受到恶意修改，从而导致丢失完整性和机密性。
本指南介绍加密和保护数据的建议。 加密是使用加密算法使数据不可读并使用密钥锁定数据的过程。 在加密状态下，无法解密数据。 只能使用与加密密钥配对的密钥来解密。
定义
| 术语 | 定义 |
|---|---|
| 证书 | 保存用于加密或解密的公钥的数字文件。 |
| 解密 | 使用机密代码解锁加密数据的过程。 |
| 加密 | 使用机密代码使数据不可读和锁定的过程。 |
| 密钥 | 用于锁定或解锁加密数据的机密代码。 |
关键设计策略
组织要求或法规要求可能会强制实施加密机制。 例如，可能要求数据必须仅保留在所选区域中，并且数据的副本将保留在该区域中。
这些要求通常是最低要求。 争取更高级别的保护。 无论是外部用户数据还是员工数据，您都有责任防止机密性泄露和敏感数据篡改。
数据是组织最有价值的不可替代的资产，加密是多层数据安全策略中最后也是最坚固的防线。 Microsoft 企业云服务和产品使用加密来保护客户数据，帮助您保持对数据的控制。
加密场景
加密机制可能需要分三个阶段保护数据：
静态 数据是存储在存储对象中的所有信息。 默认情况下，Microsoft 使用 Microsoft 托管密钥存储和管理您的环境的数据库加密密钥。 但是，Power Platform 也提供客户管理的加密密钥 (CMK) 来实现更高的数据保护控制，这种情况下您可以自行管理数据库加密密钥。
正在处理 的数据是用作交互式方案的一部分的数据，或者当后台进程（如刷新）接触它时使用的数据。 Power Platform 将处理中的数据加载到一个或多个服务工作负载的内存空间中。 为了促进工作负荷的功能，存储在内存中的数据不会加密。
传输 中的数据是在组件、位置或程序之间传输的信息。 Azure 在用户设备和 Microsoft 数据中心之间以及数据中心内部使用行业标准传输协议，如传输层安全性 (TLS)。
本机加密机制
默认情况下，Microsoft 使用 Microsoft 托管密钥存储和管理您的环境的数据库加密密钥。 但是，Power Platform 也提供客户管理的加密密钥 (CMK) 来实现更高的数据保护控制，这种情况下您可以自行管理数据库加密密钥。 加密密钥驻留在您自己的 Azure 密钥保管库中，因此您可以按需对加密密钥进行轮换。 此外，您还可以通过随时撤消对我们的服务的密钥访问权限，来阻止 Microsoft 访问您的客户数据。
加密密钥
默认情况下，Power Platform 服务使用 Microsoft 托管的加密密钥来加密和解密数据。 Azure 负责密钥管理。
可以选择客户管理的密钥。 Power Platform 仍然使用您的密钥，但是您要对密钥操作负责。
Power Platform 简化
以下部分介绍了可用于加密数据的 Power Platform 特性和功能。
客户管理密钥
默认情况下，存储在 Power Platform 中的所有客户数据都使用强 Microsoft 管理加密密钥进行加密。 如果组织具有数据隐私和法规遵从性要求，以保护其数据并管理自己的密钥，则可以使用客户管理密钥功能。 客户管理密钥提供额外的数据保护，您可以自行管理与您的 Dataverse 环境相关的数据加密密钥。 使用此功能，您可以按需轮换或交换加密密钥。 此外，当您从服务中撤销密钥时，会阻止 Microsoft 访问您的数据。 有关详细信息，请参阅管理客户管理的加密密钥。
数据驻留
Azure Active Directory (Azure AD) 租户保留与组织及其安全性相关的信息。 当 Azure AD 租户注册 Power Platform 服务时，租户选择的国家或地区将映射到存在 Power Platform 部署的最合适的 Azure 地理位置。 Power Platform 将客户数据存储在租户被分配的 Azure 地理位置或主地理位置，除非组织在多个区域部署服务。
Power Platform 服务在特定的 Azure 地理区域可用。 有关 Power Platform 服务在哪里可用、您的数据存储在哪里以及数据如何使用的详细信息，请参阅 Microsoft 信任中心。 在 Microsoft 在线服务条款的“数据处理条款”中指定了有关静态客户数据位置的承诺使用量。 Microsoft 还为主权实体提供数据中心。
从美国以外的区域访问 Copilot Studio 生成式 AI 功能会导致 数据跨区域边界移动。 该数据移动可以在 Power Platform 中启用和禁用。 在涉及 Copilot 和生成式 AI 功能 的区域中了解更多信息。 Microsoft Copilot Studio 中的地理数据驻留为确保数据安全性和遵守当地法规提供了一个强大的框架。 除了自身的原生安全功能外， Copilot Studio 还利用 Azure 基础设施提供安全合规的数据驻留选项。 了解有关数据驻留的详细信息，以及 Copilot Studio 地理数据驻留 Copilot Studio 和 安全和地理数据驻留 Copilot Studio。
静态数据
除非文档中另有说明，否则客户数据将保留在其原始来源中（例如，Dataverse 或 SharePoint）。 Power Platform 保留的所有数据默认都使用 Microsoft 托管密钥进行加密。
处理中的数据
当数据被用作交互场景的一部分时，或者当后台进程（如刷新）触及数据时，数据正在被处理。 Power Platform 将处理中的数据加载到一个或多个服务工作负载的内存空间中。 为了促进工作负荷的功能，存储在内存中的数据不会加密。
传输中的数据
Power Platform 要求所有传入的 HTTP 流量都使用 TLS 1.2 或更高版本进行加密。 尝试使用 TLS 1.1 或更低版本的请求会被拒绝。
有关更多信息，请参见关于 Power Platform 中的数据加密和 Power Platform中的数据存储和管理。
相关信息
安全清单
请参考整套建议。