Share via

Úložiště dat a zásady správného řízení v Power Platform

  • Článek

Za prvé je důležité rozlišovat osobní údaje a údaje o zákaznících.

  • Osobní údaje jsou informace o lidech, které lze použít k jejich identifikaci.

  • Zákaznická data zahrnují osobní údaje, ale také další údaje o zákaznících, jako jsou adresy URL, metadata a ověřovací informace zaměstnanců, jako jsou názvy DNS.

Umístění dat

Klient Microsoft Entra uchovává informace, které jsou relevantní pro organizaci a její zabezpečení. Když se klient Microsoft Entra zaregistruje ke službám Power Platform, vybraná země nebo oblast klienta je mapována na nejvhodnější geografii Azure, kde existuje nasazení Power Platform. Power Platform ukládá zákaznická data v geografii Azure přidělené klientovi, popřípadě domácí geo s výjimkou případů, kdy organizace nasazují služby ve více oblastech.

Některé organizace mají globální zastoupení. Například firma může mít sídlo ve Spojených státech, ale podnikat v Austrálii. Může to vyžadovat uložení určitých údajů Power Platform v Austrálii v souladu s místními předpisy. Když jsou služby Power Platform nasazeny ve více než jedné geografické oblasti Azure, označuje se to jako nasazení ve více zeměpisných oblastech. V tomto případě jsou v domovské geografii uložena pouze metadata související s prostředím. Všechna metadata a produktová data v tomto prostředí jsou uložena ve vzdálené geografické oblasti.

Společnost Microsoft může replikovat data do jiných oblastí, aby byla zajištěna odolnost dat. Osobní údaje však nereplikujeme ani nepřesouváme mimo geografickou oblast. Data replikovaná do jiných oblastí mohou zahrnovat neosobní údaje, jako jsou informace o ověřování zaměstnanců.

Služby Power Platform jsou dostupné v konkrétních geografických oblastech Azure. Další informace o tom, kde jsou služby Power Platform dostupné, kde jsou uložena data a jak se používají, získáte v části Centrum zabezpečení společnosti Microsoft. Závazky týkající se umístění neaktivních uložených zákaznických dat najdete v části Podmínky zpracování dat v Podmínkách služeb Microsoft Online. Microsoft také poskytuje datová centra pro suverénní entity.

Manipulace s daty

Tato část popisuje jak Power Platform uchovává, zpracovává a přenáší data zákazníků.

Neaktivní uložená data

Pokud není v dokumentaci uvedeno jinak, data zákazníků zůstávají v původním zdroji (např. Dataverse nebo SharePoint). Aplikace Power Platform je uložena v Azure Storage jako součást prostředí. Data používaná v mobilních aplikacích jsou šifrována a uložena v SQL Express. Ve většině případů aplikace používají Azure Storage k zachování dat služby Power Platform a Azure SQL Database pro zachování metadat služeb. Data zadaná koncovými uživateli aplikace jsou uložena v příslušném zdroj dat pro službu (například Dataverse).

Všechna data uchovaná řešením Power Platform jsou ve výchozím nastavení šifrována pomocí klíčů spravovaných společností Microsoft. Zákaznická data uložený v databázích Azure SQL jsou plně šifrovaná technologií transparentního šifrování dat (TDE) služby Azure SQL. Zákaznická data uložená v Azure Blob Storage jsou šifrována pomocí Azure Storage Encryption.

Zpracovávaná data

Ke zpracování dat dochází, když je aktivně používá jeden nebo více uživatelů jako součást interaktivního scénáře, nebo když se těchto dat chopí proces na pozadí, například aktualizace. Power Platform načte zpracovávaná data do paměťového prostoru jedné nebo více úloh služby. Aby se usnadnila funkčnost pracovní zátěže, data uložená v paměti nejsou šifrována.

Přenášená data

Power Platform vyžaduje, aby byl veškerý příchozí provoz HTTP šifrován pomocí protokolu TLS 1.2 nebo vyššího. Požadavky, které se pokoušejí použít TLS 1.1 nebo nižší, jsou odmítnuty.

Pokročilé funkce zabezpečení

Některé funkce pokročilého zabezpečení Power Platform mají specifické licenční požadavky.

Značky služeb

Značka služby představuje skupinu předpon IP adres ze zavedené služby Azure. Pomocí značek služeb můžete definovat řízení přístupu k síti ve skupinách zabezpečení sítě nebo branách Azure Firewall.

Pomáhají minimalizovat složitost častých aktualizací pravidel zabezpečení sítě. Při vytváření pravidel zabezpečení, která například povolují nebo zakazují provoz pro odpovídající službu, můžete použít značky služeb namísto konkrétních adres IP.

Společnost Microsoft spravuje předpony adres obsažené ve značce služby a automaticky aktualizuje značku služby při změně adresy. (Více informací viz Rozsahy IP adres a značky služeb Azure – veřejný cloud).

Ochrana před únikem informací

A konečně, Power Platform má rozsáhlou sadu funkcí ochrany před únikem informací (DLP)., které vám pomohou spravovat zabezpečení dat.

Omezení IP adresy pro sdílený přístup k úložišti (SAS)

Poznámka:

Před aktivací některé z těchto funkcí SAS musí zákazníci nejprve povolit přístup k doméně https://*.api.powerplatformusercontent.com, jinak většina funkcí SAS nebude fungovat.

Tato sada funkcí je funkce specifická pro tenanta, která omezuje tokeny sdíleného přístupového podpisu (SAS) úložiště a ovládá se prostřednictvím nabídky v centru pro správu Power Platform. Toto nastavení omezuje, kdo může na základě IP adresy používat podnikové tokeny SAS.

Tato funkce je aktuálně ve verzi Private Preview. Public Preview je plánováno na konec tohoto jara s obecnou dostupností v létě 2024. Další informace naleznete v části Plánovač vydání.

Tato nastavení lze nalézt v centru pro správu nastavení Ochrana soukromí + zabezpečení prostředí Dataverse v centru pro správu. Musíte zapnout možnost Povolit pravidlo sdíleného přístupového podpisu (SAS) úložiště na základě adresy IP.

Správci mohou pro toto nastavení zapnout jednu z těchto čtyř konfigurací:

Nastavení Description
Pouze vazba IP To omezuje klíče SAS na IP adresu žadatele.
Pouze IP firewall To omezuje použití klíčů SAS, aby fungovaly pouze v rozsahu určeném správcem.
IP vazba a firewall To omezuje použití klíčů SAS, aby fungovaly v rozsahu určeném správcem a pouze pro IP adresu žadatele.
IP vazba nebo firewall Umožňuje použití klíčů SAS v určeném rozsahu. Pokud požadavek pochází mimo rozsah, použije se vazba IP adresy.

Produkty vynucující vazbu IP při zapnutí:

  • Dataverse
  • Power Automate
  • Vlastní konektory
  • Power Apps

Dopad na prostředí Power App

  • Když uživatel, který nesplňuje omezení IP adresy daného prostředí, otevře aplikaci: Zobrazí se následující zpráva: „Tato aplikace přestala fungovat. Zkuste aktualizovat prohlížeč." Plánujeme aktualizovat toto prostředí, aby uživateli poskytlo více kontextových informací, proč aplikaci nelze spustit.

  • Když uživatel, který splňuje omezení pro IP adresu, otevře aplikaci: Nastanou následující události:

    • Zobrazí se banner s následující zprávou: „Vaše organizace nakonfigurovala omezení IP adresy a omezení, kde je Power Apps přístupné. Tato aplikace nemusí být přístupná, když používáte jinou síť. Další informace získáte od svého správce.“ Tento banner se zobrazí na několik sekund a poté zmizí.
    • Aplikace se může načítat pomaleji, než kdyby omezení IP adresy nebyla zavedena. Omezení IP adresy brání platformě používat některé funkce výkonu, které umožňují rychlejší načítání.

    Pokud uživatel otevře aplikaci při splnění požadavků na IP adresu a poté se přesune do nové sítě, která již nesplňuje požadavky na IP adresu, může sledovat obsah, že aplikace, jako jsou obrázky, vložená média a odkazy se nemusí načíst nebo být přístupné.

Protokolování volání SAS

Toto nastavení umožňuje, aby všechna volání SAS v rámci Power Platform byla přihlášena k Purview. Toto protokolování zobrazuje relevantní metadata pro všechny události vytvoření a použití a lze jej povolit nezávisle na výše uvedených omezeních IP adresy pro SAS. Služby Power Platform v současné době začleňují volání SAS v roce 2024.

Název pole Popis pole
response.status_message Informování, zda byla událost úspěšná, nebo ne: SASSuccess, nebo SASAuthorizationError.
response.status_code Informování, zda byla událost úspěšná, nebo ne: 200, 401, nebo 500.
analytics.resource.sas.uri Data, která se pokoušela být zpřístupněna nebo vytvořena.
enduser.ip_address Veřejná IP adresa volajícího.
analytics.resource.sas.operation_id Jedinečný identifikátor z události vytvoření. Vyhledávání podle tohoto zobrazí všechny události použití a vytvoření související s voláními SAS z události vytvoření. Mapováno na hlavičku odpovědi „x-ms-sas-operation-id“.
request.service_request_id Jedinečný identifikátor z požadavku nebo odpovědi a lze ho použít k vyhledání jednoho záznamu. Mapováno na hlavičku odpovědi „x-ms-service-request-id“.
version Verze tohoto schématu protokolu.
type Obecná odpověď.
analytics.activity.name Typ aktivity této události byl: Vytvoření nebo Použití.
analytics.activity.id Jedinečné ID záznamu v Purview.
analytics.resource.organization.id Kód organizace
analytics.resource.environment.id ID prostředí
analytics.resource.tenant.id ID tenanta
enduser.id GUID z Microsoft Entra ID tvůrce z události vytvoření.
enduser.principal_name UPN / e-mailová adresa autora. Pro události použití je to obecná odpověď: „system@powerplatform“.
enduser.role Obecná odpověď: Normální pro události vytváření a Systém pro události použití.

Zabezpečení v Microsoft Power Platform
Ověřování pro služby Power Platform
Připojování a ověřování přístupu ke zdrojům dat
Nejčastější dotazy k zabezpečení Power Platform

Viz také