Controles de acceso para Dataverse y Power Platform
Dataverse y Power Platform proporcionan un control de acceso multinivel y detallado que puede ayudar a los administradores a garantizar que sus usuarios y aplicaciones cumplen los requisitos de soberanía. Estos controles se describen en este artículo.
Control de acceso basado en roles (RBAC)
Control de acceso basado en roles (RBAC), también conocida como seguridad basada en roles, es un método que otorga permisos a los usuarios finales en función de su rol en su organización. Le ayuda a administrar el acceso de forma sencilla y manejable. También reduce los errores que pueden producirse cuando se asignan permisos de forma individual.
Los controles de RBAC detallados en Dataverse pueden garantizar que los usuarios tengan precisamente los permisos requeridos para sus roles. Los permisos pueden concederse en los niveles de entorno, rol, base de datos, tabla, fila y columna. Las organizaciones pueden definir quién puede leer, escribir, eliminar o modificar registros, campos o aplicaciones específicos. Esta granularidad contribuye a respetar la soberanía de los datos de los clientes. Para obtener más información, consulte Configurar la seguridad de los usuarios en un entorno - Power Platform | Microsoft Learn.
Los entornos de Dataverse incorporan roles de seguridad predefinidos que siguen el principio de acceso mínimo requerido. Estos roles dan a los usuarios el mínimo acceso que necesitan para realizar sus tareas en aplicaciones específicas. Los roles disponibles dependen del tipo de entorno y de las aplicaciones instaladas.
Si un entorno tiene una base de datos de Dataverse, siga los principios de acceso mínimo requerido y reduzca al mínimo el número de usuarios con acceso al rol Administrador del sistema.
Para entornos sin base de datos de Dataverse, existen dos roles predefinidos:
Administrador de entorno: realiza acciones administrativas, prepara bases de datos, gestiona recursos y crea políticas de prevención de pérdida de datos.
Creador de entorno: crea recursos (aplicaciones, conexiones, API, etc.) pero carece de privilegios de acceso a los datos.
Para controlar el acceso a ambas aplicaciones y Dataverse a través de Power Apps, siga las orientaciones que se dan en Cómo controlar el acceso a las aplicaciones y a Dataverse - Comunidad de Power Platform (microsoft.com).
Privileged Identity Management (PIM)
PIM es un servicio en Microsoft Entra ID que le ayuda a administrar el control y supervisar el acceso a recursos importantes. Puede usarlo para proteger los datos de Dataverse soberanos del riesgo de acceso por parte de una persona malintencionada o de un proveedor de Microsoft Cloud malintencionado. Estas son algunas características de PIM que pueden ayudarle:
Acceso just-in-time: PIM ofrece a los usuarios acceso con privilegios just-in-time a los recursos de Microsoft Entra ID y Azure. Esto significa que los usuarios reciben permisos temporales para realizar tareas con privilegios, lo que impide que usuarios malintencionados o no autorizados obtengan acceso una vez caducados los permisos.
Acceso con límite temporal: puede establecer un acceso temporal a los recursos mediante fechas de inicio y finalización. Este tipo de acceso limita el tiempo que un usuario puede acceder a datos sensibles, lo que reduce el riesgo de exposición.
Activación de rol basada en aprobación: PIM requiere aprobación para activar roles con privilegios. Este paso agrega una capa adicional de control y transparencia al asegurarse de que una autoridad superior aprueba la activación de los roles.
Autenticación multifactor: PIM hace cumplir la autenticación multifactor para activar cualquier rol. Este proceso solicita al usuario que corrobore su identidad mediante un mínimo de dos formas distintas de verificación.
Revisiones de acceso: PIM le permite realizar revisiones de acceso para asegurarse de que los usuarios siguen necesitando los roles asignados. Las revisiones le ayudarán a quitar derechos de acceso innecesarios y a reducir el riesgo de amenazas internas.
Con otros controles de acceso condicional y de conocimiento de la ubicación de Entra, PIM puede ayudarle a controlar el acceso a entornos permitiendo solo dispositivos, ubicaciones y otras condiciones de confianza, que pueden evaluarse para la autenticación. Puede usar estas características de PIM para reducir el riesgo de que una persona malintencionada o un proveedor de Microsoft Cloud comprometido acceda a sus datos almacenados en la nube de Dynamics. Para obtener más información sobre PIM, consulte ¿Qué es la administración de identidades con privilegios? - Gobernanza de Microsoft Entra ID | Microsoft Learn.
Roles de seguridad
Puede proteger sus datos y asegurarse de que los usuarios tienen los mínimos privilegios necesarios usando la autorización de Dataverse y los roles de seguridad en el nivel de datos que definen la protección de filas, campos, jerarquías y grupos. Estos roles le ofrecen la posibilidad de especificar una seguridad granular en el nivel de campo. Dataverse implementa tanto comprobaciones de privilegios como de acceso para ayudarle a mantener este control. Los privilegios se administran a través de roles de seguridad o asignaciones de equipo, y los controles de acceso se administran a través de la propiedad, el acceso de rol, el acceso compartido o el acceso de jerarquía.
Por ejemplo, para reducir el riesgo de divulgación accidental de datos y garantizar que solo el personal autorizado pueda realizar transferencias de datos, establezca permisos de usuario para restringir las cuentas de usuario invitado de Entra a la hora de crear Power Apps. Asegúrese de que cuando asigna privilegios y herencias a un usuario o equipo, cada individuo solo obtiene el nivel apropiado de privilegios.
Puede obtener más información sobre los roles y privilegios de seguridad de Dataverse para asegurarse de que solo los usuarios autorizados pueden acceder a sus activos soberanos.
Unidades de negocio
Cada base de datos de Dataverse tiene una sola unidad de negocio raíz. Esta unidad de negocio define un límite de seguridad, que funciona con la seguridad basada en roles, para administrar a los usuarios y los datos a los que pueden acceder. Estos pueden facilitar controles soberanos especialmente en organizaciones grandes o complejas con múltiples unidades de negocio que tienen diferentes niveles de acceso y restricciones. La creación de unidades de negocio secundarias y el suministro de roles con los permisos de acceso mínimos necesarios sirven de barrera de seguridad para proteger la soberanía de los datos. Las unidades de negocio son específicas de un entorno y pueden administrarse a través de los controles de entorno del centro de administración.
Dataverse también usa los controles de los mecanismos de gestión de Microsoft Entra para ayudar a garantizar que solo los usuarios autorizados puedan obtener acceso al entorno, los datos y los informes. Además, como Dataverse está construido en Azure, se beneficia de las potentes tecnologías de seguridad de la plataforma Azure.
Cifrado y administración de claves
Dynamics 365 se ejecuta en Azure como un servicio multiempresa. Esto significa que las implementaciones, las máquinas virtuales y los datos de varios clientes se almacenan en el mismo hardware físico. Azure usa controles lógicos para proporcionar la escala y los beneficios económicos de los servicios multiempresa al mismo tiempo que evita que los clientes accedan a los datos de los demás.
Los datos de los clientes en Dataverse permanecen en su origen (por ejemplo, Dataverse o SharePoint). Las aplicaciones de Power Platform usan Azure Storage y Azure SQL Database para la persistencia de datos. Los datos usados en aplicaciones móviles se cifran y almacenan en SQL Express.
Dataverse cifra los datos en el disco en tiempo real con el cifrado de datos transparente (TDE) de SQL Server utilizando claves robustas que administra Microsoft. Azure Storage Encryption cifra los datos de los clientes almacenados en Azure Blob Storage. De forma predeterminada, Power Platform cifra todos los datos que guarda utilizando claves que administra Microsoft. Los clientes del entorno administrado de Dynamics que dispongan de las licencias y suscripciones adecuadas deberían usar las claves administradas por el cliente siempre que puedan. Las claves administradas por el cliente funcionan con Dataverse y la mayoría de las aplicaciones de Dynamics 365.
Precaución
Tenga en cuenta que si las claves administradas por el cliente se aplican a un entorno que ya tiene flujos de Power Automate existentes, los datos de los flujos se seguirán cifrando con la clave administrada por Microsoft, no con la clave del cliente. Además, las claves administradas por el cliente cifrarán solo los datos almacenados en Microsoft Dataverse; cualquier dato que no pertenezca a Dataverse y todas las opciones del conector se cifrarán mediante la clave administrada por Microsoft.Tenga en cuenta que el cifrado en disco no detiene el acceso del operador mientras los datos están en uso.
Para Power BI, las claves administradas por Microsoft cifran los datos en reposo y en proceso de forma predeterminada. Para cumplir mejor los requisitos de soberanía, debería, si es posible, llevar su propia clave (BYOK) para administrar los datos de modelo semántico cargados desde el archivo de Power BI Desktop (.pbix). En función de sus necesidades específicas, puede guardar sus claves administradas por el cliente o sus claves BYOK en Azure Key Vault, o en su propio módulo de seguridad de hardware (HSM) local. Para dar más control de acceso y transparencia, Azure Key Vault registra cada acceso correcto o intentado. La compatibilidad de Azure Managed HSM (mHSM) con Dataverse está en versión preliminar. Esto le permite revocar el acceso de Microsoft a las claves si lo necesita.
Para obtener más información, consulte Administrar la clave de cifrado administrada por el cliente en Power Platform - Power Platform | Microsoft Learn.