Accéder en toute sécurité aux données client à l’aide de Customer Lockbox dans Power Platform et Dynamics 365

La majeure partie des opérations, de l’assistance et du dépannage effectués par le personnel Microsoft (y compris les sous-traitants) ne nécessite pas d’accéder aux données client. Avec Power Platform Customer Lockbox, nous offrons aux clients une interface pour qu’ils puissent examiner et approuver (ou rejeter) les demandes d’accès aux données dans les rares occasions où l’accès aux données des clients est nécessaire. Elle est utilisée dans les cas où un ingénieur Microsoft a besoin d’accéder aux données client, que ce soit en réponse à un ticket de support initié par le client ou à un problème identifié par Microsoft.

Cet article explique comment activer Customer Lockbox et comment les demandes de requêtes Lockbox sont initiées, suivies et stockées aux fins d’examen et d’audit ultérieures.

Note

Customer Lockbox est disponible dans les cloud publics et dans les régions US Government Community Cloud (GCC), GCC High et Department of Defense (DoD).

Synthèse

Vous pouvez activer Customer Lockbox pour vos sources de données au sein de votre locataire. L’activation de Customer Lockbox appliquera la politique uniquement pour les environnements qui sont activés pour les Environnements gérés. Les administrateurs généraux et les administrateurs Power Platform peuvent activer la stratégie Lockbox.

Pour plus d’informations, consultez Activer la stratégie Lockbox.

Dans les rares cas où Microsoft tente d’accéder aux données client stockées dans Power Platform (par exemple, Dataverse), une requête Lockbox est envoyée aux administrateurs généraux et aux administrateurs Power Platform aux fins d’approbation. Pour plus d’informations, consultez Examiner une requête Lockbox.

Toutes les mises à jour d’une requête Lockbox sont enregistrées et mises à la disposition de votre organisation sous forme de journaux d’audit. Pour plus d’informations, consultez Audit des requêtes Lockbox.

Les applications et services Power Platform et Dynamics 365 stockent les données des clients dans plusieurs technologies de stockage Azure. Lorsque vous activez Customer Lockbox pour un environnement, les données client associées à l’environnement respectif sont protégées par la stratégie Lockbox, quel que soit le type de stockage.

Note

• Actuellement, les applications et services pour lesquels la politique de verrouillage sera appliquée une fois activés sont Power Apps (à l’exception des cartes pour Power Apps), AI Builder, Power Pages, Power Automate, Power Virtual Agents (hormis les fonctionnalités d’IA GPT), Dataverse, Customer Insights, Customer Service, Communities, Guides, Connected Spaces, Finance (à l’exception de Lifecycle Services), Project Operations (à l’exception de Lifecycle Services), Supply Chain Management (à l’exception de Lifecycle Services) et la zone de fonctionnalités de marketing en temps réel de l’application Marketing.
• Les fonctionnalités optimisées par le service Azure OpenAI sont exclues de l’application des stratégies Lockbox, sauf si la documentation produit d’une fonctionnalité donnée indique que Lockbox s’applique.
• Nuance Conversational IVR est exclu de l’application des stratégies Lockbox, sauf si la documentation produit d’une fonctionnalité donnée indique que Lockbox s’applique.
• Le contenu d’accueil du créateur est exclu de l’application des stratégies Lockbox.
• Vous devez désactiver la recherche Lucene.NET sur votre site Web et passer à la Recherche Dataverse pour pouvoir utiliser Customer Lockbox. Plus d’informations : La recherche de portails à l’aide de la recherche Lucene.NET est obsolète.

Flux de travail

1. Votre organisation a un problème avec Microsoft Power Platform et ouvre une demande de support auprès du support Microsoft. Autrement, Microsoft identifie de manière proactive un problème (par exemple, une notification proactive est déclenchée) et un événement initié par Microsoft est ouvert pour enquêter et atténuer ou corriger la cause première.

2. Un opérateur Microsoft examine la demande de support/l’événement et tente de résoudre le problème à l’aide d’outils standard et de la télémétrie. Si l’accès aux données client est nécessaire pour aller plus loin dans la résolution du problème, un ingénieur Microsoft déclenche un processus d’approbation interne pour accéder aux données client, que la stratégie Lockbox soit activée ou non.

3. De plus, une requête Lockbox est générée si le magasin de données respectif est associé à un environnement protégé conformément à l’activation de la stratégie Lockbox. Une notification par e-mail est envoyée aux approbateurs désignés (administrateurs généraux et administrateurs Power Platform) concernant la demande d’accès aux données en attente de Microsoft.

   Important

   L’ingénieur Microsoft ne pourra pas poursuivre son enquête tant que la requête Lockbox n’aura pas été approuvée par le client. Cela pourrait entraîner des retards dans le traitement du ticket de support ou une interruption de service prolongée. Assurez-vous de surveiller les notifications par e-mail et/ou les requêtes Lockbox dans le centre d’administration de Power Platform et d’y répondre en temps opportun pour éviter les interruptions de service.

   

4. L’approbateur se connecte au centre d’administration de Power Platform et approuve la demande. Si la demande est rejetée ou non approuvée dans les quatre jours, elle expire et aucun accès n’est accordé à l’ingénieur Microsoft.

5. Une fois que l’approbateur de votre organisation a approuvé la demande, l’ingénieur Microsoft obtient les autorisations élevées initialement demandées et résout votre problème. Les ingénieurs de Microsoft disposent d’un délai défini - 8 heures - pour résoudre le problème, après quoi l’accès est automatiquement révoqué.

Activer la stratégie Lockbox

Les administrateurs généraux ou les administrateurs Power Platform peuvent créer ou mettre à jour la stratégie lockbox dans le centre d’administration de Power Platform. L’activation de la politique au niveau du client s’appliquera uniquement aux environnements activés pour les Environnements gérés. Il peut falloir jusqu’à 24 heures pour que toutes les sources de données et tous les environnements soient mis en œuvre avec Customer Lockbox.

1. Connectez-vous au centre d’administration Power Platform.

2. Utilisez la page Paramètres du client pour examiner et gérer les paramètres au niveau du client. Pour afficher les paramètres au niveau du client, sélectionnez l'icône Engrenage () dans le coin supérieur droit du site de Microsoft Power Platform et sélectionnez Paramètres de Power Platform>Paramètres>Paramètres du client dans le volet de navigation de gauche.

3. Définissez Customer Lockbox sur Activer.

   

Examiner une requête Lockbox

1. Connectez-vous au centre d’administration Power Platform.

2. Sélectionnez Politiques>Customer Lockbox.

3. Examinez les détails de la demande.

   Champ	Description
   ID de demande de support	ID du ticket de support associé à la requête Lockbox. Si la demande est le résultat d’une alerte interne initiée par Microsoft, la valeur sera « Initié par Microsoft ».
   Environnement	Le nom complet de l’environnement dans lequel l’accès aux données est demandé.
   Statut	Le statut de la requête Lockbox. Action nécessaire : En attente d’approbation du client Expiré : Aucune approbation reçue du client Approuvé : Approuvé par le client Refusé : Refusé par le client
   Demandé	Heure à laquelle l’ingénieur Microsoft a demandé l’accès aux données client dans l’environnement du client.
   Expiration de la demande	L’heure à laquelle le client doit approuver la requête Lockbox. Le statut de la demande passera à Expiré si aucune approbation n’est donnée à ce moment-là.
   Période d’accès	La durée pendant laquelle le demandeur souhaite accéder aux données client. Cette valeur est par défaut de 8 heures et ne peut pas être modifiée.
   Expiration de l’accès	Si l’accès est accordé, il s’agit de l’heure jusqu’à laquelle l’ingénieur Microsoft a accès aux données client.

4. Sélectionnez une requête Lockbox, puis sélectionnez Approuver ou Refuser.

   

   Note

   Les requêtes Lockbox qui ont eu lieu au cours des 28 derniers jours sont affichées dans la table Récent.

   Une fois qu’une demande est approuvée, elle ne peut être révoquée pendant toute la durée de la période d’accès de 8 heures.

Audit des requêtes Lockbox

Les actions liées à l’acceptation, au refus ou à l’expiration d’une requête Lockbox sont enregistrées automatiquement dans Microsoft 365 Defender.

Les traces d’audit incluent ces champs et d’autres pour chaque requête Lockbox :

• Identificateur unique de la requête
• Heure de création de la requête
• ID d’organisation
• ID utilisateur (identifiant unique de l’opérateur Microsoft effectuant la demande)
• Statut de la requête
• ID du ticket de support associé
• Heure d’expiration de la requête
• Heure d’expiration de l’accès aux données
• ID environnement
• Justification de la requête

L’onglet Microsoft 365 Audit permet aux administrateurs de rechercher des événements associés aux sessions Lockbox. Affichez la catégorie Power Platform Lockbox pour voir les événements Lockbox associés à Power Platform.

Les administrateurs peuvent exporter directement l’ensemble des résultats en fonction des critères de filtre.

Customer Lockbox produit deux types de journaux d’audit :

1. Journaux initiés par Microsoft et correspondant à la création, à l’expiration ou à la fin des sessions d’accès d’une requête Lockbox. Cet ensemble de journaux d’audit ne correspond pas à un ID utilisateur spécifique puisque les actions sont lancées par Microsoft.
2. Journaux initiés par les actions de l’utilisateur final, par exemple lorsqu’un utilisateur approuve ou refuse une requête Lockbox. Si l’utilisateur qui effectue ces opérations n’a pas de licence E5 attribuée, les journaux sont filtrés et ne s’affichent pas dans les journaux d’audit.

Par défaut, les journaux d’audit sont conservés pendant une durée d’un an. Vous avez besoin d’une licence complémentaire de conservation des journaux d’audit de 10 ans pour conserver les enregistrements d’audit pendant 10 ans. Voir Audit (Premium) pour plus de détails sur la conservation des journaux d’audit.

Exigences de licence pour Customer Lockbox

La stratégie Customer Lockbox ne sera appliquée qu’aux environnements activés pour les environnements managés. Environnements gérés est inclus en tant que droit dans la version autonome de Power Apps, Power Automate, Power Virtual Agents, Power Pages et les licences Dynamics 365 qui donnent des droits d’utilisation premium. Pour en savoir plus sur les licences d’Environnements gérés, voir Licences et Vue d’ensemble des licences pour Microsoft Power Platform.

De plus, l’accès à Customer Lockbox pour Microsoft Power Platform et Dynamics 365 nécessite que les utilisateurs dans les environnements où la politique Lockbox est appliquée aient l’un de ces abonnements :

• Microsoft 365 ou Office 365 A5/E5/G5
• Conformité à Microsoft 365 A5/E5/F5/G5
• Sécurité et conformité de Microsoft 365 F5
• Gestion des risques internes pour Microsoft 365 A5/E5/F5/G5
• Protection et gouvernance des informations pour Microsoft 365 A5/E5/F5/G5En savoir plus sur les licences applicables.

Exclusions

• Les requêtes Lockbox ne sont pas déclenchées dans les scénarios de support technique suivants :

  • Les scénarios d’urgence qui ne relèvent pas des procédures d’exploitation standard, comme une interruption de service majeure nécessitant une attention immédiate pour récupérer ou restaurer les services dans des cas inattendus ou imprévisibles. Ces événements d’extrême urgence sont rares et, dans la plupart des cas, ne nécessitent aucun accès aux données client pour être résolus.

  • Un ingénieur Microsoft accède à la plateforme sous-jacente dans le cadre d’un dépannage et est par inadvertance exposé aux données client. Il est rare que de tels scénarios conduisent à accéder à des quantités significatives de données client.

• Les requêtes Customer Lockbox ne sont pas non plus déclenchées par des demandes légales externes de données. Pour plus de détails, reportez-vous à la discussion sur les demandes de données du gouvernement dans le Centre de gestion de la confidentialité Microsoft.

• Customer Lockbox ne s’applique pas à l’accès et à la révision manuelle des données des clients partagées pour les fonctionnalités d’IA de Copilot. Customer Lockbox reste activé pour toutes les données concernées.

Problèmes connus

• La migration de locataire à locataire n’est pas prise en charge quand Customer Lockbox est autorisé. Vous devez désactiver Customer Lockbox pour déplacer un environnement vers un autre locataire. Vous pouvez réactiver Customer Lockbox une fois la migration terminée.