Datenspeicherung und Governance in Power Platform
Zunächst ist es wichtig, zwischen persönlichen Daten und Kundendaten zu unterscheiden.
Persönliche Daten sind Informationen über Personen, anhand derer diese identifiziert werden können.
Kundendaten umfassen persönliche und andere Kundendaten, darunter URLs, Metadaten und Mitarbeiterauthentifizierungsinformationen wie DNS-Namen.
Datenresidenz
Ein Microsoft Entra-Mandant enthält Informationen, die für eine Organisation und ihre Sicherheit relevant sind. Wenn sich ein Microsoft Entra-Mandant bei Power Platform-Diensten anmeldet, wird das ausgewählte Land oder die ausgewählte Region des Mandanten der am besten geeigneten Azure-Geografie zugeordnet, in der eine Power Platform-Bereitstellung besteht. Power Platform speichert Kundendaten in der dem Mandanten zugewiesenen Azure-Geografie, oder Start-Geo, außer wenn Organisationen Dienste in mehreren Regionen bereitstellen.
Einige Organisationen sind weltweit präsent. Beispielsweise kann ein Unternehmen seinen Hauptsitz in den Vereinigten Staaten haben, aber in Australien geschäftlich tätig sein. Es kann bestimmte Power Platform Daten brauchen, die in Australien gespeichert werden, um den lokalen Vorschriften zu entsprechen. Wenn Power Platform Dienste in mehr als einer Azure-Geografie bereitgestellt werden, wird dies als Multi-Geo-Bereitstellung bezeichnet. In diesem Fall werden in der Start-Geo nur mit der Umgebung verbundene Metadaten gespeichert. Alle Metadaten und Produktdaten in dieser Umgebung werden in der Remote-Geo gespeichert.
Microsoft kann Daten aus Gründen der Datenresilienz in andere Regionen replizieren. Wir replizieren oder verschieben jedoch keine personenbezogenen Daten außerhalb der Geo. Daten, die in andere Regionen repliziert werden, können nicht personenbezogene Daten wie Mitarbeiterauthentifizierungsinformationen enthalten.
Power Platform-Dienste sind in bestimmten Azure-Geografien verfügbar. Weitere Informationen dazu, wo Power Platform-Dienste zur Verfügung stehen, wo Ihre Daten gespeichert werden und wie sie genutzt werden, finden Sie im Microsoft Trust Center. Verpflichtungen im Hinblick auf den Speicherort ruhender Kundendaten sind in den Bedingungen zur Datenverarbeitung der Bestimmungen für Onlinedienste von Microsoft angegeben. Microsoft bietet auch Rechenzentren für unabhängige Entitäten an.
Datenhandhabung
Dieser Abschnitt beschreibt, wie Power Platform Kundendaten speichert, verarbeitet und übermittelt.
Ruhende Daten
Sofern in der Dokumentation nicht anders angegeben, verbleiben Kundendaten in ihrer ursprünglichen Quelle (z. B. Dataverse oder SharePoint). Eine Power Platform-App wird als Teil einer Umgebung in Azure Storage gespeichert. In mobilen Apps verwendete Daten werden Daten verschlüsselt und in SQL Express gespeichert. In den meisten Fällen verwenden Apps Azure Storage, um Power Platform-Dienstdaten beizubehalten und Azure SQL-Datenbank, um Dienstmetadaten beizubehalten. Von App-Benutzern eingegebene Daten werden in der jeweiligen Datenquelle für den Dienst gespeichert, wie z. B. Dataverse.
Alle Daten, die von Power Platform beibehalten werden, werden standardmäßig mit von Microsoft verwalteten Schlüsseln verschlüsselt. In der Azure SQL-Datenbank gespeicherte Kundendaten werden mithilfe der integrierten Transparent-Data-Encryption-Technologie vollständig verschlüsselt. In Azure Blob Storage gespeicherte Kundendaten werden mit der Azure Storage-Verschlüsselung verschlüsselt.
Daten in Verarbeitung
Daten werden verarbeitet, wenn sie in einem interaktiven Szenario verwendet werden oder wenn ein Hintergrundprozess wie eine Aktualisierung diese berührt. Power Platform lädt aktiv Daten in Verarbeitung in den Speicherplatz eines oder mehrerer Service-Workloads. Um die Funktionalität des Workloads zu erleichtern, werden im Arbeitsspeicher gespeicherte Daten nicht verschlüsselt.
In Transit befindliche Daten
Power Platform verlangt, dass der gesamte eingehende HTTP-Datenverkehr mit TLS 1.2 oder höher verschlüsselt wird. Anforderungen, die versuchen, TLS 1.1 oder niedriger zu verwenden, werden abgelehnt.
Erweiterte Sicherheitsfunktionen
Für einige der erweiterten Sicherheitsfunktionen von Power Platform gelten bestimmte Lizenzanforderungen.
Diensttags
Ein Diensttag stellt eine Gruppe von IP-Adresspräfixen aus einem bestimmten Azure-Dienst dar. Sie können Diensttags verwenden, um Netzwerkzugriffssteuerungen für Netzwerksicherheitsgruppen oder Azure Firewall zu definieren.
Diensttags tragen dazu bei, die Komplexität häufiger Aktualisierungen von Netzwerksicherheitsregeln zu minimieren. Sie können Diensttags anstelle bestimmter IP-Adressen verwenden, wenn Sie Sicherheitsregeln erstellen, die beispielsweise Datenverkehr für den entsprechenden Dienst zulassen oder verweigern.
Microsoft verwaltet die vom Diensttag umfassten Adresspräfixe und aktualisiert den Diensttag automatisch, wenn sich Adressen ändern. Weitere Informationen finden Sie unter Azure-IP-Adressbereiche und Diensttags – öffentliche Cloud.
Verhinderung von Datenverlusten
Power Platform verfügt über eine umfangreiches Palette an Funktionen zur Verhinderung von Datenverlusten (DLP), die Ihnen helfen, die Sicherheit Ihrer Daten zu managen.
IP-Einschränkung für Storage Shared Access Signature (SAS)
Anmerkung
Vor der Aktivierung einer dieser SAS-Funktionen muss die Kundschaft zunächst den Zugriff auf die https://*.api.powerplatformusercontent.com
-Domäne zulassen oder die meisten SAS-Funktionen funktionieren nicht.
Bei dieser Featuregruppe handelt es sich um mandantenspezifische Funktionen, die SAS-Speichertoken (Shared Access Signature) einschränken und über ein Menü im Power Platform Admin Center gesteuert werden. Diese Einstellung schränkt ein, wer basierend auf der IP Unternehmens-SAS-Token verwenden kann.
Diese Funktion ist aktuell in der privaten Vorschau. Die öffentliche Vorschauversion ist für später im Frühjahr geplant, die allgemeine Verfügbarkeit ist für Sommer 2024 geplant. Weitere Informationen finden Sie unter Release-Planer.
Sie finden diese Einstellungen im Admin Center in den Einstellungen Datenschutz + Sicherheit einer Umgebung. Sie müssen die Option IP-Adressen-basierte SAS-Speicherregel (Shared Access Signature) aktivieren einschalten.
Administratoren können eine dieser vier Konfigurationen für diese Einstellung aktivieren:
Einstellungen | Beschreibung |
---|---|
Nur IP-Bindung | Dadurch werden SAS-Schlüssel auf die IP des Anforderers beschränkt. |
Nur IP-Firewall | Dadurch wird die Verwendung von SAS-Schlüsseln darauf beschränkt, nur innerhalb eines vom Administrierenden angegebenen Bereichs zu funktionieren. |
IP-Bindung und -Firewall | Dadurch wird die Verwendung von SAS-Schlüsseln darauf beschränkt, innerhalb eines vom Administrierenden angegebenen Bereichs und nur mit der IP des Anfordernden zu funktionieren. |
IP-Bindung oder -Firewall | Ermöglicht die Verwendung von SAS-Schlüsseln innerhalb des angegebenen Bereichs. Wenn die Anforderung von außerhalb des Bereichs kommt, wird IP-Bindung angewendet. |
Produkte, die bei Aktivierung die IP-Bindung erzwingen:
- Dataverse
- Power Automate
- Benutzerdefinierte Connectors
- Power Apps
Auswirkungen auf die Benutzererfahrung
Wenn Benutzende, welche die IP-Adressbeschränkungen einer Umgebung nicht erfüllen, eine App öffnen: Benutzende erhalten eine Fehlermeldung wegen eines allgemeinen IP-Problems.
Wenn ein Benutzender, der die IP-Adressbeschränkungen erfüllt, eine App öffnet: Die folgenden Ereignisse treten auf:
- Benutzenden wird möglicherweise ein Banner angezeigt, das schnell wieder verschwindet und sie darüber informiert, dass eine IP-Einstellung festgelegt wurde. Sie werden aufgefordert, sich wegen weiterer Einzelheiten an die Administration zu wenden oder alle Seiten zu aktualisieren, deren Verbindung verloren gehen.
- Noch schwerwiegender ist, dass aufgrund der von dieser Sicherheitseinstellung verwendeten IP-Überprüfung einige Funktionen eventuell langsamer ausgeführt werden als im Falle einer Deaktivierung.
Protokollierung von SAS-Aufrufen
Mit dieser Einstellung können alle SAS-Aufrufe innerhalb von Power Platform in Purview protokolliert werden. Diese Protokollierung zeigt die relevanten Metadaten für alle Erstellungs- und Nutzungsereignisse und kann unabhängig von den oben genannten SAS-IP-Einschränkungen aktiviert werden. Die Power Platform-Dienste nehmen derzeit SAS-Aufrufe im Jahr 2024 auf.
Feldname | Feldbeschreibung |
---|---|
response.status_message | Informiert, ob das Ereignis erfolgreich war oder nicht: „SASSuccess“ oder „SASAuthorizationError“. |
response.status_code | Informiert, ob das Ereignis erfolgreich war oder nicht: 200, 401 oder 500. |
ip_binding_mode | Der IP-Bindungsmodus wird, sofern aktiviert, von der Mandantenadministration festgelegt. Gilt nur für SAS-Erstellungsereignisse. |
admin_provided_ip_ranges | Gegebenenfalls von der Mandantenadministration festgelegte IP-Adressbereiche. Gilt nur für SAS-Erstellungsereignisse. |
computed_ip_filters | Endgültiger Satz von IP-Filtern, die an SAS-URIs gebunden sind, und auf dem IP-Bindungsmodus sowie auf den von der Mandantenadministration festgelegten Bereichen basieren. Gilt sowohl für SAS-Erstellungs- als auch für SAS-Nutzungsereignisse. |
analytics.resource.sas.uri | Die Daten, auf die zugegriffen oder die erstellt werden sollten. |
enduser.ip_address | Die öffentliche IP-Adresse des Anrufenden. |
analytics.resource.sas.operation_id | Der eindeutige Bezeichner aus dem Erstellungsereignis. Bei einer Suche danach werden alle Verwendungs- und Erstellungsereignisse angezeigt, die mit den SAS-Aufrufen aus dem Erstellungsereignis in Zusammenhang stehen. Dem Antwortheader „x-ms-sas-operation-id“ zugeordnet. |
request.service_request_id | Der eindeutige Bezeichner aus der Anforderung oder Antwort, die zum Nachschlagen eines einzelnen Datensatzes verwendet werden kann. Dem Antwortheader „x-ms-service-request-id“ zugeordnet. |
version | Version dieses Protokollschemas. |
Type | Generische Antwort. |
analytics.activity.name | Der Aktivitätstyp dieses Ereignisses war: „Erstellung“ oder „Verwendung“. |
analytics.activity.id | Eindeutige ID des Datensatzes in Purview. |
analytics.resource.organization.id | Organisations-ID |
analytics.resource.environment.id | Umgebungs-ID |
analytics.resource.tenant.id | Mandanten-ID |
enduser.id | Die GUID aus Microsoft Entra ID des Erstellenden aus dem Erstellungsereignis. |
enduser.principal_name | Die UPN/E-Mail-Adresse des Erstellenden. Bei Verwendungsereignissen ist dies eine allgemeine Antwort: „system@powerplatform“. |
enduser.role | Allgemeine Antwort: Normal für Erstellungsereignisse und System für Verwendungsereignisse. |
Ähnliche Artikel
Sicherheit in Microsoft Power Platform
Authentifizierung für Power Platform-Dienste
Mit Datenquellen verbinden und authentifizieren
Häufig gestellte Fragen zur Sicherheit in Power Platform
Siehe auch
Feedback
https://aka.ms/ContentUserFeedback.
Bald verfügbar: Im Laufe des Jahres 2024 werden wir GitHub-Issues stufenweise als Feedbackmechanismus für Inhalte abbauen und durch ein neues Feedbacksystem ersetzen. Weitere Informationen finden Sie unterFeedback senden und anzeigen für