Emmagatzematge i govern de dades al Power Platform

Power Platform Tracta tant dades personals comdades de clients. Per saber-ne més sobre dades personals i dades de clients, consulteu el Microsoft Trust Center.

Residència de dades

Un Microsoft Entra inquilí emmagatzema informació rellevant per a una organització i la seva seguretat. Quan un llogater de Microsoft Entra es registra als serveis de Power Platform, la macro regió seleccionada pel llogater s'assigna a la geografia macro d'Azure més adequada on existeix un desplegament de Power Platform. Power Platform emmagatzema les dades dels clients a la macro regió d'Azure assignada al llogater, o a la geogràfica principal, tret que les organitzacions despleguin serveis en diverses regions. Una geografia de macro regió representa el límit de residència de dades que s'alinea amb les lleis de residència de dades per a una geografia determinada. Per aprendre sobre les regions disponibles en una geografia macro específica de la regió, consulteu Power Platform i Dynamics 365 macro region geography.

Com a administrador, pots seleccionar una geografia de macroregió, com Amèrica del Nord, Europa o Asia-Pacific en lloc d'una regió específica del centre de dades. La plataforma assigna automàticament la regió òptima del centre de dades dins la geografia de la macroregió seleccionada segons consideracions de capacitat, disponibilitat i rendiment. Aquest enfocament ajuda a garantir una experiència més escalable, resilient i eficient per a tots els clients, tot respectant els compromisos de residència de dades. La selecció intel·ligent de regions assegura que els entorns es col·loquin en regions amb capacitat i salut òptimes, millorant el temps d'activitat i la capacitat de resposta.

Algunes organitzacions tenen una presència global. Per exemple, una empresa pot tenir la seu als Estats Units però fa negocis a Austràlia. Pot ser necessari que certes dades de Power Platform s'emmagatzemin a Austràlia per complir amb la normativa local. Quan els serveis del Power Platform s'implementen a més d'una geografia de l'Azure, s'anomena implementació multigeogràfica. En aquest cas, només s'emmagatzemen les metadades relacionades amb l'entorn a la macro geogràfica d'origen. Totes les metadades i dades de producte d'aquell entorn s'emmagatzemen a la macro geo remota.

Power Platform els serveis estan disponibles en determinades geografies de l'Azure. Per a més informació sobre on estan disponibles els serveis de Power Platform, on s'emmagatzemen i es replicen les teves dades per a la resiliència i com s'utilitzen, visita el Microsoft Trust Center. Els compromisos sobre la ubicació de les dades del client en repòs es troben a les Condicions de processament de dades de les Condicions del Microsoft Online Services. Microsoft també proporciona centres de dades per a entitats sobiranes.

Gestió de les dades

Aquesta secció descriu com el Power Platform emmagatzema, tracta i transfereix les dades de clients.

Dades en repòs

Sempre que no s'especifiqui el contrari a la documentació, les dades dels clients es conserven a la seva font original (per exemple, Dataverse o SharePoint). Power Platform les aplicacions s'emmagatzemen a l'emmagatzematge de l'Azure com a part d'un entorn. Les dades de l'aplicació mòbil es xifren i s'emmagatzemen a l'SQL Express. En la majoria dels casos, les aplicacions utilitzen l'Azure Storage per conservar les dades de servei del Power Platform i Azure SQL Database per conservar les metadades de servei. Les dades que introdueixen els usuaris de l'aplicació s'emmagatzemen a la font de dades corresponent del servei, com Dataverse.

Power Platform xifra totes les dades persistides per defecte mitjançant claus administrades per Microsoft. Les dades dels clients emmagatzemades a l'Azure SQL Database estan totalment encriptades amb tecnologia Transparent Data Encryption (TDE) de l'Azure SQL. Les dades del client emmagatzemades a l'Azure Blob Storage s'encripten mitjançant Azure Storage Encryption.

Dades en tractament

Les dades estan en procés de tractament quan s'utilitzen com a part d'un escenari interactiu o quan un procés en segon terme, com ara una actualització, la toca aquestes dades. El Power Platform carrega les dades en tractament a l'espai de memòria d'una o més càrregues de treball de servei. Per facilitar la funcionalitat de la càrrega de treball, les dades emmagatzemades a la memòria no s'encripten.

Dades en trànsit

Power Platform xifra tot el trànsit HTTP entrant utilitzant TLS 1.2 o superior. La plataforma rebutja les sol·licituds que intenten utilitzar TLS 1.1 o inferior.

Característiques de seguretat avançades

Algunes de les característiques avançades de seguretat de Power Platform requereixen llicències específiques.

Etiquetes de servei

Una etiqueta de servei és un grup de prefixos d'adreces IP d'un servei específic de l'Azure. Podeu utilitzar etiquetes de servei per definir controls d'accés a la xarxa en grups de seguretat de xarxa o l'Azure Firewall.

Les etiquetes de servei ajuden a minimitzar la complexitat de les actualitzacions freqüents de les normes de seguretat de xarxa. Utilitza etiquetes de servei en lloc d'adreces IP específiques quan creïs regles de seguretat que, per exemple, permetin o denegin el trànsit del servei corresponent.

Microsoft administra els prefixos d'adreces de l'etiqueta de servei i l'actualitza automàticament a mesura que canvien les adreces. Per obtenir més informació, vegeu Intervals d'IP i etiquetes de servei de l'Azure: núvol públic.

Normes de les dades

El Power Platform inclou característiques de política de dades àmplies per ajudar a administrar la seguretat de les dades.

Restricció d'IP de la signatura d'accés compartit (SAS) d'emmagatzematge

Nota

Abans d'activar qualsevol d'aquestes característiques de SAS, els clients primer han de permetre l'accés https://*.api.powerplatformusercontent.com al domini o la majoria de les funcionalitats de SAS no funcionaran.

Aquest conjunt de característiques és una funcionalitat específica de l'inquilí que restringeix els testimonis de signatura d'accés compartit (SAS) d'emmagatzematge i es controla mitjançant un menú del centre Power Platform d'administració. Aquesta configuració restringeix qui, en funció de la IP (IPv4 i IPv6), pot utilitzar testimonis SAS empresarials.

Pots trobar aquests ajustos a la secció de Privacitat + Seguretat d'un entorn, al centre d'administració. Activa l'opció de regla Habilitar la Signatura d'Accés Compartit d'Emmagatzematge (SAS) basada en l'adreça IP .

Els administradors poden triar una d'aquestes quatre opcions per a aquesta opció de configuració:

Opció Configuració Descripció
1 Només enllaç IP Aquesta configuració restringeix les claus SAS a la IP del sol·licitant.
2 Només tallafoc IP Això restringeix l'ús de claus SAS perquè només funcioni dins d'un interval especificat per l'administrador.
3 Enllaç IP i tallafoc Això restringeix l'ús de claus SAS per treballar dins d'un interval especificat per l'administrador i només a la IP del sol·licitant.
4 Enllaç IP o tallafoc Permet utilitzar claus SAS dins de l'interval especificat. Si la sol·licitud prové de fora de l'interval, s'aplica l'enllaç d'IP.

Nota

Els administradors que decideixin permetre el tallafoc IP (opcions 2, 3 i 4 enumerades a la taula anterior) han d'introduir els rangs IPv4 i IPv6 de les seves xarxes per garantir una cobertura adequada dels seus usuaris.

Advertiment

Les opcions 1 i 3 utilitzen l'enllaç d'IP, que no funciona correctament si els clients tenen passarel·les habilitades per a grups d'IP, proxy invers o traducció d'adreces de xarxa (NAT) que s'utilitzen a les seves xarxes. Això fa que l'adreça IP d'un usuari canviï amb massa freqüència perquè un sol·licitant tingui de manera fiable la mateixa IP entre les operacions de lectura/escriptura de la SAS.

Les opcions 2 i 4 funcionen com es pretén.

Productes que apliquen l'enllaç d'IP quan està activat:

  • Dataverse
  • Power Automate
  • Connectors personalitzats
  • Power Apps

Impacte en l'experiència d'usuari

  • Quan un usuari que no compleix les restriccions d'adreça IP de l'entorn obre una aplicació: els usuaris reben un missatge d'error citant un problema genèric d'IP.

  • Quan un usuari, que compleix les restriccions d'adreça IP, obre una aplicació: es produeixen els esdeveniments següents:

    • Els usuaris poden obtenir un bàner que desapareixerà ràpidament, informant els usuaris que s'ha establert una configuració d'IP i que es posin en contacte amb l'administrador per obtenir més detalls o per actualitzar les pàgines que perdin la connexió.
    • Més important encara, a causa de la validació d'IP que utilitza aquesta configuració de seguretat, algunes funcionalitats poden funcionar més lentament que si estigués desactivada.

Actualitzar la configuració mitjançant programació

Els administradors poden utilitzar l'automatització per definir i actualitzar tant l'enllaç IP com la configuració del tallafoc, l'interval d'IP que apareix a la llista de permesos i el commutador Registre . Més informació a Tutorial: Crear, actualitzar i enumerar la configuració de l'administració de l'entorn.

Registre de trucades SAS

Aquesta configuració permet que totes les trucades SAS dins d'ells Power Platform es registrin a Purview. Aquest registre mostra les metadades rellevants per a tots els esdeveniments de creació i ús i es pot habilitar independentment de les restriccions d'IP SAS anteriors. Power Platform els serveis estan incorporant actualment les trucades SAS el 2024.

Nom del camp Descripció del camp
response.status_message Indica si l'esdeveniment va ser exitós o no: SASSuccess o SASAuthorizationError.
response.status_code Indica si l'esdeveniment va tenir èxit o no: 200, 401 o 500.
ip_binding_mode Mode d'enllaç IP definit per un administrador d'inquilins, si està activat. Només s'aplica als esdeveniments de creació de SAS.
admin_provided_ip_ranges Intervals d'IP establerts per un administrador d'inquilins, si n'hi ha. Només s'aplica als esdeveniments de creació de SAS.
computed_ip_filters Conjunt final de filtres IP vinculats a URI SAS basats en el mode d'enllaç IP i els intervals establerts per un administrador d'inquilins. S'aplica tant a la creació com als esdeveniments d'ús de SAS.
analytics.resource.sas.uri Les dades a les quals s'intentava accedir o crear.
enduser.ip_address La IP pública de la persona que truca.
analytics.resource.sas.operation_id L'identificador únic de l'esdeveniment de creació. La cerca per això mostra tots els esdeveniments d'ús i creació relacionats amb les trucades SAS de l'esdeveniment de creació. Assignat a la x-ms-sas-operation-id capçalera de la resposta.
request.service_request_id Identificador únic de la sol·licitud o resposta i es pot utilitzar per cercar un sol registre. Assignat a la x-ms-service-request-id capçalera de la resposta.
version Versió d'aquest esquema de registre.
type Resposta genèrica.
analytics.activity.name El tipus d'activitat d'aquest esdeveniment va ser: Creació o Ús.
analytics.activity.id Identificador únic del registre a Purview.
analytics.resource.organization.id ID d'org.
analytics.resource.environment.id ID de l'entorn
analytics.resource.tenant.id Identificador d'inquilí de l'
enduser.id El GUID de l'identificador del Microsoft Entra creador de l'esdeveniment de creació.
enduser.principal_name UPN/adreça electrònica del creador. Per als esdeveniments d'ús, aquesta és una resposta genèrica: "system@powerplatform".
enduser.role Resposta genèrica: Regular per a esdeveniments de creació i System per a esdeveniments d'ús.

Activar el registre d'auditoria de Purview

Per tal que els registres es mostrin a la vostra instància de Purview, primer heu d'activar-lo per a cada entorn per al qual vulgueu registres. Un administrador Power Platform d'inquilins pot actualitzar aquesta configuració al centre d'administració.

  1. Inicia sessió al centre d'administració de Power Platform amb les credencials d'administrador de llogater.
  2. A la subfinestra de navegació, seleccioneu Administra.
  3. A la subfinestra Administra , seleccioneu Entorns.
  4. Seleccioneu l'entorn per al qual voleu activar el registre d'administrador.
  5. Seleccioneu Configuració a la barra d'ordres.
  6. Seleccioneu Privadesa + seguretat> del producte.
  7. A Configuració de seguretat de la signatura d'accés compartit d'emmagatzematge (SAS) (visualització prèvia), activeu la característica Habilita el registre de SAS a Purview .

Registres d'auditoria de cerca

Els administradors d'inquilins poden utilitzar Purview per veure els registres d'auditoria emesos per a les operacions SAS i poden autodiagnosticar errors que es poden retornar en problemes de validació d'IP. Els registres de Purview són la solució més fiable.

Utilitzeu els passos següents per diagnosticar problemes o entendre millor els patrons d'ús de SAS dins del vostre inquilí.

  1. Assegureu-vos que el registre d'auditoria estigui activat per a l'entorn. Vegeu Activar el registre d'auditoria de Purview.

  2. Aneu al portal de compliment del Microsoft Purview i inicieu la sessió amb les credencials d'administrador de l'inquilí.

  3. A la subfinestra de navegació esquerra, seleccioneu Audita. Si aquesta opció no està disponible, vol dir que l'usuari que ha iniciat la sessió no té accés d'administrador per consultar els registres d'auditoria.

  4. Seleccioneu l'interval de data i hora a UTC per cercar registres. Per exemple, quan es retorna un error 403 Forbidden amb un codi d'error unauthorized_caller .

  5. Des de la Activities - friendly names llista desplegable, cerca operacions d'emmagatzematge de Power Platform i selecciona URI SAS creat i URI SAS utilitzat.

  6. Especifiqueu una paraula clau a la cerca de paraules clau. Vegeu Introducció a la cerca a la documentació de Purview per obtenir més informació sobre aquest camp. Podeu utilitzar un valor de qualsevol dels camps descrits a la taula anterior en funció del vostre escenari, però a continuació es mostren els camps recomanats per cercar (per ordre de preferència):

    • El valor de la x-ms-service-request-id capçalera de resposta. Aquest valor filtra els resultats a un esdeveniment de creació d'URI SAS o un esdeveniment d'ús d'URI SAS, depenent del tipus de sol·licitud d'on prové la capçalera. És útil quan s'investiga un error 403 Forbidden retornat a l'usuari. També el pots utilitzar per aprofitar el powerplatform.analytics.resource.sas.operation_id valor.
    • El valor de la x-ms-sas-operation-id capçalera de resposta. Aquest valor filtra els resultats a un esdeveniment de creació d'URI SAS i un o més esdeveniments d'ús per a aquest URI SAS, depenent de quantes vegades s'hi hagi accedit. S'assigna al powerplatform.analytics.resource.sas.operation_id camp.
    • URI SAS total o parcial, menys la signatura. Això pot retornar moltes creacions d'URI SAS i molts esdeveniments d'ús d'URI SAS, perquè és possible que el mateix URI es sol·liciti per a la generació tantes vegades com sigui necessari.
    • Adreça IP de la persona que truca. Retorna tots els esdeveniments de creació i ús d'aquesta IP.
    • Identificador d'entorn. Això pot retornar un gran conjunt de dades que poden abastar moltes ofertes diferents Power Platform, així que eviteu-ho si és possible o considereu reduir la finestra de cerca.

    Advertiment

    No cerquis nom principal d'usuari o ID d'objecte perquè aquests valors només es propaguen als esdeveniments de creació, no als esdeveniments d'ús.

  7. Seleccioneu Cerca i espereu que apareguin els resultats.

    Una nova cerca

Advertiment

La ingesta d'inici de sessió a Purview pot retardar-se fins a una hora o més, així que tingueu-ho en compte quan cerqueu esdeveniments recents.

Resolució de problemes de l'error 403 Prohibit/unauthorized_caller

Podeu utilitzar els registres de creació i ús per determinar per què una trucada donaria lloc a un error 403 Forbidden amb un codi d'error unauthorized_caller .

  1. Cerqueu registres a Purview tal com es descriu a la secció anterior. Penseu en utilitzar x-ms-service-request-id o x-ms-sas-operation-id de les capçaleres de resposta com a paraula clau de cerca.
  2. Obriu l'esdeveniment d'ús, Used SAS URI, i cerqueu el camp powerplatform.analytics.resource.sas.computed_ip_filters a PropertyCollection. Aquest interval d'IP és el que utilitza la trucada SAS per determinar si la sol·licitud està autoritzada a continuar o no.
  3. Compareu aquest valor amb el camp Adreça IP del registre, que hauria de ser suficient per determinar per què ha fallat la sol·licitud.
  4. Si creieu que el valor de powerplatform.analytics.resource.sas.computed_ip_filters és incorrecte, continueu amb els passos següents.
  5. Obriu l'esdeveniment de creació,URI SAS creat, cercant mitjançant el valor de capçalera de resposta x-ms-sas-operation-id (o el valor de powerplatform.analytics.resource.sas.operation_id camp del registre de creació).
  6. Obteniu el valor d'powerplatform.analytics.resource.sas.ip_binding_mode camp. Si falta o està buit, vol dir que l'enllaç d'IP no estava activat per a aquest entorn en el moment d'aquesta sol·licitud en particular.
  7. Obteniu el valor de powerplatform.analytics.resource.sas.admin_provided_ip_ranges. Si falta o està buit, vol dir que els intervals de tallafoc IP no s'han especificat per a aquest entorn en el moment d'aquesta sol·licitud en particular.
  8. Obteniu el valor de powerplatform.analytics.resource.sas.computed_ip_filters , que ha deser idèntic a l'esdeveniment d'ús i es deriva en funció del mode d'enllaç IP i dels intervals de tallafoc IP proporcionats per l'administrador. Vegeu la lògica de derivació a Emmagatzematge i governança de dades a Power Platform.

Aquesta informació ajuda els administradors d'inquilins a corregir qualsevol configuració incorrecta a la configuració d'enllaç IP de l'entorn.

Advertiment

Els canvis a la configuració de l'entorn per a l'enllaç d'IP SAS poden trigar almenys 30 minuts a tenir efecte. Podria ser més si els equips associats tinguessin la seva pròpia memòria cau.

Visió general de la seguretat
Autenticació als Power Platform serveis
Connexió i autenticació a fonts de dades
Power Platform Preguntes freqüents sobre seguretat

Consulteu també

  • Last updated on