Jagamisviis:

Pilvevoo ühiskasutuse ja õiguste juhend

See juhend aitab tuvastada sobivaid voo jagamise stsenaariume ja luua õigusi kasutajate juurdepääsu haldamiseks ja turvalisuse tagamiseks.

Keskkondade Power Automate õiguste ja rollide haldamine

Turvalise ja korrapärase Power Automate keskkonna säilitamiseks on ülioluline hallata seda, kes saavad voogusid luua, redigeerida või lihtsalt käivitada. Power AutomateTurvamudel töötab mitmel õiguste tasandil:

  • Keskkonnataseme rollid (nt keskkonnaadministraator ja keskkonnategija): reguleerivad kasutaja võimalust antud keskkonnas ressursse hallata või luua.
  • Dataverse turberollid (kui keskkonnal on Dataverse andmebaas): nagu põhikasutaja, süsteemikohandaja ja teised, mis kontrollivad juurdepääsu andmetele ja olemitele. Näiteks vajavad kasutajad andmeid kasutavate Dataverse rakenduste või voogude käitamiseks tavaliselt vähemalt põhikasutaja rolli.
  • Vootaseme õigused: jagage üksikute voogude sätteid, mis muudavad teised kasutajad kas kaasomanikeks (redigeerimisõigustega) või ainult käitatavateks kasutajateks.

Keskkonnarollid ja turvalisus

Igas keskkonnas saavad ressursse luua või hallata ainult vastavate rollidega kasutajad.

  • Keskkonna administraator: omab täielikku halduskontrolli keskkonna üle. Keskkonnaadministraator saab hallata kõiki ressursse, sealhulgas vaadata kõiki voogusid, lisada ja eemaldada kasutajaid ning määrata poliitikaid. Keskkondades, kus seda pole Dataverse, saab ainult see roll administraatoriülesandeid täita. Lubatud Dataverse keskkondades täidab süsteemiadministraatori roll Dataverse andmetoimingute jaoks sarnast eesmärki.

  • Keskkonna tegija: see roll võimaldab kasutajatel luua keskkonnas uusi ressursse, nagu vood, rakendused ja ühendused. Keskkonnategija roll ei anna juurdepääsu olemasolevatele andmetele Dataverse – see annab ainult võimaluse artefakte koostada ja jagada. Microsoft järgib eelmääratletud rollide jaoks vähimate õiguste mudelit: Environment Makeril on minimaalne juurdepääs, mis on vajalik rakenduste/voogude loomiseks ilma andmeid avaldamata, mida neil pole lubatud kuvada. Tegijad saavad koostatud rakendusi/vooge vastavalt vajadusele jagada teistega organisatsioonis, kuid nad ei saa oma andmete lugemise õigusi tõsta, kui neile pole antud täiendavaid Dataverse rolle.

  • Keskkonna kasutaja (põhikasutaja): Dataverse varundatud keskkondades tuleb tavakasutajatele anda põhikasutaja turberoll (mõnikord nimetatakse Common Data Service seda ka kasutajaks), et käitada rakendusi või kasutada andmetega suhtlevaid Dataverse voogusid. Vaikimisi võib kasutaja lisamine keskkonda, eriti kui keskkonnal on Dataverse andmebaas, nõuda sellise rolli selgesõnalist määramist. See tagab, et nad saavad lahendusi käivitada, kuid ainult andmete põhiõigustega. Kui Dataverse kasutajale antakse voog ühiskasutusse ainult töötamiseks, ei pruugita neid keskkonna kasutajate loendis kuvada, kui neid ei lisata käsitsi. Nende õigused on ainult voo jagamise kaudu.

Vootaseme ühiskasutusõigused

Üksiku voo tasemel saavad omanikud pilvevoogu jagada kahel peamisel viisil: kaasomanike lisamine või ainult käitamise kasutajate määramine. Oluline on erinevust mõista.

  • Omanik/kaasomanik: kaasomanikul on sisuliselt samad õigused kui voo algsel loojal. Kaasomanikud saavad vaadata käitusajalugu, redigeerida voo kujundust, muuta selle sätteid, käivitada ja peatada voogu, hallata ühendusi ning lisada või eemaldada teisi omanikke. Teisisõnu, täielik kontroll antakse igale kaasomanikule, välja arvatud see, et nad ei saa algset loojat eemaldada. Kaasomanikud kuvavad voo ka oma meeskonna voogude loendis ja saavad seda hallata nagu mis tahes voogu, mille nad ise tegid. Nende õiguste ulatuse tõttu tuleks kaasomanikeks lisada ainult usaldusväärseid isikuid või rühmi.

    Näide: kui Alice on Bobi voo kaasomanik, saab Alice seda voogu muuta või kustutada, nii et Bobi meeskond peaks Alice’i lisama ainult siis, kui selline juurdepääs on ette nähtud.

  • Ainult käivitatav kasutaja: ainult käivitatav kasutaja on piiratud voo käivitamisega, tavaliselt käsitsi päästiku (nt nupu või SharePoint üksuse päästiku) kaudu. Nad ei saa voogu redigeerimisrežiimis avada, selle sisemist loogikat vaadata ega varasemat käitusajalugu vaadata. See sobib ideaalselt stsenaariumide jaoks, kus soovitakse, et kolleegid saaksid automatiseerimisest kasu. Näiteks käivitage nupuvoog või kiirandmetöötlusülesanne ilma neile kujundusõigusi andmata. Ainult käitamise kasutajad kuvavad voo nime ja saavad seda käivitada, kuid kui nad proovivad üksikasju kontrollida, on nende nähtavus piiratud. Samuti ei saa nad teisi lisada ega voogu kuidagi muuta.

    Näide: Kasutajatoel on Power Automate nupuvoog pileti loomiseks ja kinnituse saatmiseks. Kõik eesliinitöötajad lisatakse ainult käitatavate kasutajatena, et nad saaksid voo käivitada oma seadmetest, kuid nad ei saa muuta voo tegevust.

Ressursipõhised turbe- ja keskkonnarollid

Keskkonnarollid ja voo ühiskasutusõigused töötavad koos. Keskkonnaadministraatoriks olemine või teatud Dataverse õiguste omamine võimaldab kasutajatel oma laialdase juurdepääsu tõttu voogusid näha või muuta olenemata selgesõnalisest ühiskasutusest.

  • Power Platform Administraator või keskkonnaadministraator saab oma olemuselt kuvada ja hallata kõiki keskkonna voogusid, isegi kui neid pole nendega eraldi jagatud. Näiteks saab üldadministraator end vajaduse korral mis tahes voo omanikuna lisada.
  • Seevastu keskkonnarollita kasutajale saab ühiskasutuse kaudu anda juurdepääsu konkreetsele voole. Sel juhul saab sellest kasutajast selle ühe voo erijuhtumi osaleja, kuid tal ei pruugi olla juurdepääsu keskkonna muudele ressurssidele.

Õiguste tõhusaks haldamiseks peaksid organisatsioonid vormistama, millised kasutajad on voo loojad (loojad) ja millised voo tarbijad* (jooksjad), ning seejärel vastavalt rolle rakendama. Järgmistes jaotistes selgitatakse nende eristuste rakendamise ja riskide minimeerimise parimaid tavasid.

Õiguste tasemed Power Automate – omanikud versus ainult käitatavad kasutajad

Voo turvalisuse haldamise põhiaspekt on erinevate ühiskasutuse õigusetasemete võimaluste mõistmine. Järgmises tabelis on kokkuvõte pilvevoo kaasomanike ja ainult käitatavate kasutajate erinevustest. See võrdleb voo kaasomaniku ja ainult käitatava kasutaja õigusi ja võimalusi Power Automate.

Võimekus / juurdepääs Kaasomanik (saab redigeerida) Ainult käitatav kasutaja (saab käivitada)
Voo definitsiooni vaatamine ja redigeerimine Jah. Tal on täielik juurdepääs voo etappide, sätete ja ühenduste vaatamiseks ja muutmiseks. Ei. Voogu ei saa redaktoris avada ega selle konfiguratsiooni hankida. Nad saavad ainult käivitusliidese.
Käivitage/käivitage voog Jah. Saab voogu käsitsi käivitada ja päästikuid muuta. Jah. Saab käivitada voo (nt valida nupu või kasutada määratud päästikutoimingut) vastavalt voo omaniku loale.
Käitamisajaloo vaatamine (täitmislogid) Jah. Saab vaadata varasemaid käitamisi, õnnestumise ja ebaõnnestumise olekut ning väljundeid käitamise ajaloos. Ei. Ei saa kuvada voo käitamise ajalugu ega varasemate täitmiste üksikasju.
Voo haldamine (lubamine/keelamine, ümbernimetamine, kustutamine) Jah. Saab muuta voo atribuute, lülitada selle sisse või välja, värskendada ühendusi ja kustutada voo täielikult. Ei. Voo olekut ega sätteid ei saa muuta. Neil on ainult luba seda kasutada.
Voo jagamine teistega Jah. Saab lisada või eemaldada teisi kaasomanikke, välja arvatud juhul, kui nad ei saa algset loojat eemaldada. Saab määrata ka ainult töötavaid kasutajaid. Ei. Ei saa voolu kellegi teisega jagada. Nad on juurdepääsu saajad, mitte juurdepääsu andjad.
Kasuta oma ühendusi (kutsuja) N/A. Kaasomanikud kasutavad voo määratletud ühendusi. Vajadusel saavad nad ühendusi värskendada. Sõltub. Ainult käitamise kasutajatelt võidakse nõuda käitamisel oma ühenduste kasutamist, kui voog on konfigureeritud konnektori jaoks ainult käitatava kasutaja pakutavaga . Vastasel juhul kasutab voog omaniku ühendusi.
Nähtavus Power Automate kasutajaliideses Kuvatakse jaotises Meeskonna vood kõigi omanike jaoks. Kaasomaniku nimi on loetletud loendis Omanikud . Kuvatakse voo loendis Ainult käitatavad kasutajad (voo üksikasjade lehel) omanike jaoks, kuid ainult käitamise kasutajad saavad voo ainult kontekstides, kus nad saavad seda käivitada (nt nupul või rakenduses; pole loetletud nende omanduses või meeskonna voogude all).

Praktikas tähendavad need eristused, et kaasomanikud peaksid piirduma kasutajatega, kellel on tõepoolest vaja voo kujundamisel või hooldamisel koostööd teha, samas kui voo funktsioonide laialdaseks levitamiseks eelistatakse ainult käitamise ühiskasutust. Microsofti juhised kinnitavad seda: "Lisage voo koostööks kaasomanikke ainult vastavalt vajadusele. Enamikul juhtudel, kui voogu on vaja ühiskasutusse anda, andke see ühiskasutusse ainult käitamisõigustega." See tagab, et kasutajad saavad automatiseerimisest kasu, riskimata volitamata muudatuste või voo sisemiste osade paljastamisega.

Riskide maandamine, mis tulenevad voogude jagamisest väljaspool nende keskkonda

Voogudele juurdepääsu lubamine kasutajatele, kes pole keskkonna liikmed, võib kaasa tuua mõningaid riske.

  • Juhtimise pimealad: administraatorid ei pruugi aru saada, kellel on juurdepääs.
  • Võimalik andmete kokkupuude: kui vood käsitlevad tundlikke andmeid.
  • Ainult käivitatav juurdepääs: võib olla murettekitav, kui päästikud võimaldavad parameetrite sisestamist või väljundi nähtavust ja muudatuste juhtimise kaotamist. See on siis, kui kaasomanikud väljaspool meeskonda teevad soovimatuid muudatusi.

Nende riskide maandamiseks peaksid organisatsioonid võtma kasutusele poliitika, tehniliste kontrollide ja järelevalve kombinatsiooni.

  • Keskkonna juurdepääsu kontrollimise jõustamine: Põhiline hea tava on piirata keskkonna liikmelisust turberühmade ( Microsoft Entra )Azure AD abil. Turberühma seostamisel keskkonnaga saab keskkonna rollidesse lisadaainult selle rühma kasutajaid. See tähendab, et isegi kui tegija proovib voogu jagada kellegagi väljaspool rühma, ei lisata seda inimest keskkonda automaatselt. Seotud turberühmaga keskkondades on iga rühma mittekuuluv kasutaja sisuliselt autsaider ja tal on piiratud võimalused, kuni administraator juurdepääsu annab. See seadistus blokeerib kõrvalistele isikutele juurdepääsu keskkonnaressurssidele, välja arvatud juhul, kui administraator lisab need selgesõnaliselt, lisades need poliitikapõhisesse turberühma.

    Näiteks kui Contoso HR Apps keskkond on turberühmaga seotud HR-Team , ei saa Finance'i kasutajat teha voo HR Apps kaasomanikuks, välja arvatud juhul, kui administraator on ta esmalt rühma lisanud HR-Team . Turberühmade kasutamine sel viisil aitab organisatsioonidel säilitada selget piiri selle kohta, kes on iga keskkonna kasutamiseks heaks kiidetud.

  • Kaasomandi ülevaatamine ja piiramine: Voogude jagamine kaasomanikega peaks toimuma säästlikult. Igast kaasomanikust saab tegelikult voo täielik omanik, seega piirake kaasomanike arvu ainult vajalikega. Kui voogu jagati tõrkeotsinguks välise isikuga, näiteks arendaja või konsultandiga teisest meeskonnast, veenduge, et eemaldaksite pärast probleemi lahendamist tema kaasomandi. Tehke seda, välja arvatud juhul, kui selleks on pidev vajadus. Organisatsioonid võivad rakendada juhtimisprotsesse, kus kaasomaniku lisamine väljaspool keskkonda käivitab hoiatuse või nõuab heakskiitu. Seda saab saavutada juhtimistööriistade abil Power Automate (nt administraatorivoog, mis kasutab Power Platform halduskonnektoreid, et tuvastada, kui voogu lisatakse uus omanik). Seejärel teavitavad nad IT-d või Power Platform tippkeskuse meeskonda.

  • Eelistage väliskasutajatele ainult käivitamise ühiskasutust: kui ühiskasutus kasutajatega, kes pole keskkonna liikmed, on vältimatu või õigustatud, kasutage täielike redigeerimisõiguste asemel võimaluse korral ainult käivitusõigusi. Ainult käitamisjuurdepääs vähendab oluliselt riski: kasutaja ei saa voo loogikat vaadata ega seda muuta ning ta saab mööda käitusandmetest, mis võivad sisaldada tundlikke kasulikke koormusi.

    Näiteks kui voog saadab kliendiandmeid meili teel, saab ainult käitamise kasutaja selle meili saatmise käivitada, kuid ei saa voogu avada, et saada eile töödeldud kliendi üksikasjad. See põhimõte on kooskõlas vähimate õigustega – andke kasutaja rolli jaoks vajalik minimaalne juurdepääs. Ainult jooksuga jagamine võib sageli saavutada ärinõude lasta kellelgi voogu käivitada või kasutada ilma kontrolli üle andmata.

  • Turberollide kasutamine kohustuste segmentimiseks: veenduge, et kasutajatel, kes on mõeldud ainult voogude käivitamiseks, kuid mitte nende loomiseks, ei oleks keskkonna tegija rolli. Kui hoiate neid kasutajaid põhikeskkonna kasutajatena või täielikult väljaspool keskkonda, kus on juurdepääs ainult käitatavale voole, vähendate võimalust, et nad saavad luua või importida petturlikke vooge. Ainult määratud tegijatel peaksid olema tegija õigused, samas kui teised võivad tarbida ainult voogude väljundeid.

    Lisateavet leiate teemast Turberollide ja -rühmade kasutamine: tegijate ja ainult käitatavate kasutajate haldamine.

  • Andmekaotsimineku vältimise (DLP) poliitikate rakendamine: Kuigi DLP-poliitikad on rohkem seotud konnektori kasutamise kontrollimisega, aitavad need kaudselt riske maandada, takistades ühisvoogudel keelatud konnektorite kasutamist. Näiteks kui kõrvalseisjale antakse voole ainult käitamisjuurdepääs, tagab range DLP-poliitika, et voog ei saa ootamatult hakata andmeid volitamata teenusesse lükkama. DLP ei peata jagamist ennast, kuid piirab võimalikku kahju, kui voogu kogemata või tahtlikult väärkasutatakse. Hea tavana liigitage konnektorid äri- ja mitteärikategooriatesse ning blokeerige kõik ohtlikud kombinatsioonid. Sel viisil, isegi kui vooge jagatakse laialdaselt, ei lekita need andmeid kinnitamata lõpp-punktidesse.

  • Regulaarne auditeerimine ja jälgimine: looge vooõiguste auditeerimiseks rutiin (näiteks kord kuus või kvartalis). Selle ülevaatuse osana tuvastage kõik vood, millel on ebatavaline ühiskasutus, eriti väliste omanike või suurte ainult käitatavate kasutajaloenditega. Vaadake need üle, kui neid on veel vaja. Microsofti dokumentatsioon julgustab õigusi perioodiliselt üle vaatama, et tagada nende vastavus praegustele ärivajadustele ja eemaldada juurdepääs kasutajatelt, kes seda enam ei vaja.

    Jälgimist saab automatiseerida. Näiteks saab administraator seadistada Power Automate voo, kasutades administraatori konnektorit, mis saadab aruande kõigi voogude kohta koos nende omanike ja viimase muutmise kuupäevadega. Voog tõstab esile vood, mille omanikud on väljaspool määratud kinnitatud isikute loendit. Lisaks kaaluge Admin Analyticsi Power Platform armatuurlaudade kasutamist. See võib näidata üldist kasutust ja seda võidakse filtreerida, et teada saada, kui palju kasutajaid iga voogu käitab.

  • Koolitage tegijaid ja jõustage poliitikaid: Mõnikord toob riski kaasa teadlikkuse puudumine. Dokumenteerige ja edastage selged ühiskasutuseeskirjad, näiteks: Ärge lisage kasutajaid väljastpoolt keskkonda X kaasomanikeks ilma nõusolekuta. Kasutage ainult käivitusjuurdepääsu, kui see on vajalik meeskonnaväliste kasutajate jaoks. Koolitades Power Automate tegijaid nende juhiste osas, vähendate juhuslikku kokkupuudet. Kui teie ettevõttel on sisemine Power Platform kogukond või tšempionide võrgustik, jagage meeldetuletusi voogude jagamise mõju kohta laiemalt. Lõppkokkuvõttes peaksid kasutajad mõistma, et kuigi Power Automate jagamine on lihtne, tuleb keskkonnaülese koostöö puhul järgida vastavus- ja turvameetmeid.

  • Kasutage laialdaseks ühiskasutuseks eraldi keskkondi: mõnel juhul võib olla mõistlik luua spetsiaalne keskkond voogude jaoks, mida peab kasutama lai vaatajaskond. Näiteks võib organisatsioon luua ühisteenuste keskkonna, mis on avatud paljudele sobiva turberühmaga kasutajatele. Laialdaseks tarbimiseks mõeldud voogusid saab seal arendada ja majutada, selle asemel, et jagada neid kitsamast keskkonnast. Nii säilivad keskkonnapiirid. Teie rangelt kontrollitud keskkonnad jäävad rangeks ja avatud keskkond on ette nähtud funktsionaalseks jagamiseks koos nõuetekohase järelevalvega. Kui võtate selle strateegia kasutusele, veenduge, et avatud keskkonnas on endiselt tugevad DLP-poliitikad ja seire, kuna sellel on suurem kasutajaskond.

  • Kaaluge voogude kopeerimist otsese ühiskasutuse asemel: kui teises keskkonnas olevad kasutajad vajavad voo funktsioone, on teine lähenemisviis eksportida voog paketina ja jagada paketti reaalajas voo jagamise asemel. Microsoft soovitab seda lähenemisviisi stsenaariumide korral, kus kasutaja pole teie Power Automate keskkonna liige – saate saata talle voo koopia, mille ta oma keskkonda impordib. Seejärel seadistab adressaat oma ühendused ja käivitab voo iseseisvalt. See vähendab riske, vältides otsest juurdepääsu algse keskkonna voolule. Sisuliselt annab see neile lahenduse, andmata neile teie keskkonnas jalgealust. Kompromiss seisneb selles, et voo värskendusi ei sünkroonita automaatselt, kuna see on eraldi koopia. Ühekordsete vajaduste või väliste meeskondadega jagamise korral tagab see meetod aga puhta eraldamise.

Kokkuvõttes taandub voogude jagamisega seotud riskide maandamine laias laastus keskkonnale juurdepääsu rangele kontrollile, jagamisvõimaluste kaalutletud kasutamisele ja valvsale järelevalvele. Kombineerides tehnilisi kaitsemeetmeid (nt turberühma juhitavad keskkonnad ja DLP-poliitikad) protsessikaitsemeetmetega (nt omanike lisamise kinnitused ja perioodilised auditid), saavad organisatsioonid nautida koostööeeliseid, Power Automate minimeerides samal ajal turbe- ja vastavusprobleeme.

Järgmine jaotis keskendub juhtimise konkreetsele aspektile: rollide ja rühmade kasutamine, et määratleda, kes on tegija ja kes on lihtsalt voogude jooksja.

Turberollide ja -rühmade kasutamine: tegijate ja ainult käitatavate kasutajate haldamine

Kriitiline juhtimisotsus on kindlaks määrata, millised kasutajad peaksid olema tegijad, kes saavad voogusid luua ja omada ning millised peaksid piirduma voogude käitamisega, kes saavad võib-olla tulemusi tarbida. Power Automate ja pakuvad mitmeid mehhanisme Power Platform selle eristuse jõustamiseks, peamiselt turvarollide ja turvarühmade kaudu.

Eristage tegijaid mittetegijatest

Ettevõtte stsenaariumi korral ei peaks iga litsentsiga Power Automate kasutaja tingimata igas keskkonnas voogusid looma. Keskkonna kujundaja saab selles keskkonnas luua voogusid ja muid ressursse. Spetsiaalsete keskkondade puhul peaksite tahtlikult määrama keskkonna looja rolli ainult neile kasutajatele või rühmadele, kes vastutavad lahenduste loomise eest. Näiteks võite otsustada, et Finance Automationi keskkonnas on tegija õigused ainult Finance’i IT-meeskonnal ja mõnel võimsal kasutajal.

Selle jõustamiseks tehke järgmist.

  • Määrake keskkonna koostaja turberoll otse konkreetsetele kasutajatele keskkonnasätetes.
  • Kasutage Azure Active Directory (AD) turberühma. Lisage rühma kõik kavandatud tegijad (nt finantstegijate grupp) ja kui keskkonnal pole Dataverse, määrake kogu sellele rühmale keskkonnategija roll. Lubatud Dataverse keskkondades peate võib-olla lisama rühma liikmed ükshaaval või kasutama turberollidega rühmameeskondi.
  • Laialdase juhtimise saamiseks seostage keskkond turberühmaga , nii et keskkonnas saavad olla ainult liikmed. Seejärel andke selle raames Makeri rollid sobivale alamhulgale. See kahetasandiline lähenemine tähendab, et autsaidereid ei saa avastamatult tegijatena sisse tuua ja insaiderite seas on tegija roll vaid mõnel. Hea mainega juhised soovitavad rakendada keskkonna turberühma funktsiooni kõigis tootmis- ja tundlikes keskkondades, et vältida soovimatute kasutajate kohalolekut.

Turberühmade kasutamine ainult käivitusjuurdepääsuks

Kuigi keskkonna ainult käitamise rolli pole, saate rühmade abil hallata ainult käitamisõigusi. Voo ühiskasutusse andmisel saavad omanikud sisestada üksikute kasutajate asemel rühma nime, et saada kas kaasomanik või ainult käitamisõigusega juurdepääs. See tähendab, et saate luua turberühma (nt Müügiaruanded, voo kasutajad ) ja määrata selle rühma vastavate voogude jaoks ainult käitatava kasutajana. Seejärel pärivad kõik rühma liikmed nende voogude käivitamisõiguse. Juhtimine muutub lihtsamaks. Konkreetse kasutaja juurdepääsu tühistamiseks eemaldage ta grupist. Nad kaotavad käitamisjuurdepääsu kõigile voogudele, millele rühm määrati. Samamoodi, kui soovite anda uuele isikule juurdepääsu mitmele voole, lisage ta rühma. Turberühmad aitavad seega lihtsustada õiguste haldamist, muutes selle väliseks.

Power Automate vood ei pea loetlema 50 kasutajat ainult käitatavatena; Nad loetlevad ühe rühma ja teie Azure AD või administraator Microsoft 365 töötleb liikmelisust.

Märkus.

Kui keskkond ise on turvarühmaga lukustatud, peaks voo ühiskasutuseks kasutatav rühm olema kas sama või alamhulk. Kui annate voo ühiskasutusse rühmaga, mis sisaldab inimesi väljaspool keskkonna lubatud kasutajaid, ei pruugi nad olenevalt keskkonnasätetest seda tegelikult käivitada. Peaksite koordineerima rühma kasutamist keskkonna juurdepääsupoliitikatega.

Rollimääramine tegijatele ja jooksjatele

Keskkondades Dataverse saab turberolle kihistada, et täpsustada, mida tegijad ja ainult käitatavad kasutajad saavad teha.

  • Tegijad: Voogude loomiseks vajavad nad vähemalt keskkonna looja rolli. Kui nende vood suhtlevad Dataverse tabelitega, võivad nad vajada ka täiendavaid Dataverse rolle, nagu süsteemikohandaja või konkreetsete tabelite õigused, et neid õigesti kujundada ja testida. Environment Makeri ja andmetele juurdepääsu andva rolli kombinatsioon (vajadusel) võimaldab neil luua täislahendusi. Parim tava on anda tegijatele ainult vajalikud privileegid. Näiteks kui tegija ainult automatiseerib ja saadab SharePoint e-kirju, ei pruugi ta peale keskkonnas viibimise üldse rolli vajada Dataverse . Kui aga tegija koostab kirje värskendamiseks Dataverse voo, vajab ta selle tabeli jaoks õigust. Planeerige oma turberollid nii, et tegijad saaksid vajaduse korral eraldi tegija andmerolli , selle asemel, et anda neile liiga laiad rollid.
  • Ainult käitatavad kasutajad: need kasutajad ei vaja keskkonnategijat. Kui keskkonnal on Dataverse andmebaas ja voog puudutab Dataverse andmeid, võivad nad vajada põhikasutaja rolli (või mõnda muud rolli), et omada lugemis-/kirjutamisõigust aluseks olevatele andmetele, kui voog töötab nende kontekstis. Näiteks võib käsitsi päästikuvoog luua jooksja nimel kirje. Dataverse Kui jah, siis peab jooksja selle rekordi loomiseks luba andma. Kui kasutate suvandit Ainult käitatav kasutaja pakub ühendust , käivitatakse voog ainult käitatava kasutaja mandaadi kontekstis. Sellistel juhtudel peate tagama, et neil kasutajatel on voo käivitatavate toimingute tegemiseks vajalikud minimaalsed õigused rollide või asjakohaste süsteemiõiguste kaudu Dataverse . Kui voog kasutab alati omaniku ühendust, ei pruugi ainult käituskasutaja vajada mingit erilist rolli Dataverse – ta vajutab nuppu ja voog kasutab omaniku õigust. Seda nüanssi tuleks hoolikalt kaaluda. Turvaline lähenemisviis on anda ainult käitatavatele kasutajatele lugemisõigus andmetele, mida nad saavad kuvada, ja mitte rohkem. Paljud ettevõtted loovad kohandatud Dataverse rolli või kasutavad minimaalsete lugemisõigustega põhikasutajat ja määravad selle kõigile lõppkasutajatele, et täita rakenduste ja voogude käitamise nõuet.

Rollide haldamine juhtimist silmas pidades

Jälgige, kellel on milline roll. Administraator Power Platform saab loetleda kõik keskkonna kasutajad ja neile määratud turberollid halduskeskusest või PowerShelli kaudu. Seda saab võrrelda eeldatava tegijate nimekirjaga. See on juhtimise parim tava inventuuri pidamiseks, näiteks,Keskkond X tegijad: Alice, Bob, Carol; Keskkond X ainult käitatav/tarbijad: kõik turundusosakonna kasutajad. Kui teil on selles selgus, saate uue tegija lisamise taotluse korral kontrollida, kas ta on rühma poolt heaks kiidetud või saada ringi laiendamiseks vajalikud kinnitused.

Stsenaariumid ja näited

Järgmises loendis selgitatakse mõningaid stsenaariume ja nende lahenduste näiteid.

  • Stsenaarium: Osakonna keskkond, kus ainult väike meeskond peaks voogusid looma, kuid paljud osakonnas juhivad neid.
  • Lahendus: Osakonna IT-juhile antakse keskkonnaadministraator. Rühm Azure AD Dept Makers sisaldab viit inimest, kes loovad rakendusi ja vooge. See rühm lisatakse keskkonna tegija rolli. Seda tehakse kas otse või määratakse isikud, kui rühma määramine pole saadaval. Kõik osakonna töötajad on keskkonnaga seostatud rühmas Osakonna kasutajad , nii et neil kõigil on juurdepääs kasutajateks. Keskkonnas loodud vood, mida peab käitama kogu osakond, jagatakse rühmaga Osakonna kasutajad ainult käitamisena. Nii saavad tegijad ehitada ja jagada. Osakonna liige saab töötada, kuid osakonnavälised inimesed ei pääse juurde, kuna nad ei kuulu keskkonna rühma.
  • Stsenaarium: tootmiskeskkond tundlike voogudega, mida ei tohiks redigeerida keegi peale kahe lahenduse omaniku.
  • Lahendus: Ainult need kaks inimest on keskkonnaloojad. Kellelgi teisel pole tegija rolli. Kui teistel kasutajatel on vaja vooge käivitada, antakse neile ainult käitamisjuurdepääs. Võimalik, et spetsiaalne teenusekonto või teenuse põhimõte on tegelikult stabiilsuse tagamiseks voogude omanik, kusjuures kaks omanikku on hoolduse kaasomanikud. Teenuse subjekti kasutamine esmase omanikuna parandab kriitiliste voogude juhtimist. Kõik tavalised töötajad kas ei ole selles keskkonnas või neil on ainult kasutajaroll. Keskkonna võiks siduda turberühmaga, mis sisaldab ainult vajalikke kontosid, et tagada eksklusiivsus.
  • Stsenaarium: tippkeskuse keskkond, kus juhtimismeeskonnad loovad jälgimisvooge kõigis keskkondades.
  • Lahendus: Juurdepääs on ainult tippkeskuse meeskonnal. Nad on rolli poolest keskkonnaloojad. Ainult käitamise ühiskasutust pole vaja, kuna need vood on sisemised. Siin on Power Platform selle üliolulisel tippkeskuse inimestel võib-olla administraatori roll üürniku tasemel, mis annab neile kaudselt õigused kõigis keskkondades.

Rollide eraldamise eelised

Tehes selge piiritlemise tegija ja jooksja, saavutate järgmise:

  • Väikseim õigus: kasutajad saavad ainult vajalikud õigused. Ainult töötav kasutaja ei saa äkki hakata looma voogusid, mis väldivad IT-järelevalvet, kuna tal puudub see roll. Tegijad saavad vabaduse luua, kuid kuna see elanikkond on väiksem ja tuntud, saate neid hõlpsamini treenida ja jälgida.
  • Lihtsustatud elutsükli haldamine: kui töötaja lahkub või vahetab rolle, on juurdepääsu lihtsam värskendada. Näiteks kui Joe oli tegija ja liigub meeskonnast välja, eemaldate ta turberühmast Tegijad. Ta kaotab koheselt võimaluse selles keskkonnas luua ja redigeerida, säilitades samal ajal käitamisõiguse, kui ta jääb kasutajate rühma. Seejärel võiksite lisada tema asendaja tegijate rühma. See rühmapõhine hooldus on puhtam kui kümnete vooõiguste käsitsi lisamine ja eemaldamine.
  • Vastavuse ühtlustamine: Paljud eeskirjad nõuavad kontrollitud juurdepääsu. Võimalus näidata audiitorile, et ainult need konkreetsed isikud saavad selles keskkonnas automatiseerimist muuta; kõik teised saavad lihtsalt käivitada heakskiidetud vooge, võib aidata näidata tugevat sisekontrolli. Audiitoritele võib anda ka keskkonna rollimääramiste eksporti jõustamise tõendina.
  • Vältige segadust: kui kõigil oleksid tegija õigused, võiks vähem tehnilisi kasutajaid tahtmatult voogusid luua või muuta või liides segadusse Power Automate ajada. Piirates tegija rolli, tagate, et voogusid kavandavad ainult koolitatud töötajad, mis võib vigu vähendada.

Neid meetmeid tuleks korrapäraselt läbi vaadata. Kuna ärivajadused muutuvad, võib tarbijast inimesest saada tegija (näiteks uues meeskonnas kerkib esile võimsa kasutaja) või tegija peab saama tarbijaks. Juhtimismudel peaks olema piisavalt paindlik, et seda nõuetekohaste kinnitustega kohandada. Dokumenteerige keskkonnategija õiguste andmise kriteeriumid ja selle taotlemise protsess, et oleks läbipaistvus ja järjepidevus. Samamoodi määratlege, millised tingimused võivad käivitada tegija juurdepääsu tühistamise, näiteks teise osakonda kolimine.

Kasutades koos turberolle ja -rühmi, saavad organisatsioonid saavutada selge ja säilitatava eralduse automatiseerimise ja automatiseerimise kasutajate vahel. See suurendab nii turvalisust kui ka tootlikkust keskkondades Power Automate .