Stockage et gouvernance de données dans Power Platform
Tout d’abord, il est important de faire la distinction entre données personnelles et données client.
Les Données personnelles sont des informations sur des personnes qui peuvent être utilisées pour les identifier.
Les données client incluent des données personnelles et autres informations client, dont les URL, les métadonnées et les informations d’authentification des employés telles que les noms DNS.
Résidence des données
Un client Microsoft Entra héberge des informations pertinentes pour une organisation et sa sécurité. Quand un client Microsoft Entra s’inscrit pour les services Power Platform, le pays ou la région sélectionné par le client est mappé à la région géographique Azure la plus appropriée où un déploiement Power Platform existe. Power Platform stocke les données client dans la géographie Azure attribuée au client, ou emplacement géographique, sauf lorsque les organisations déploient des services dans plusieurs régions.
Certaines organisations ont une présence mondiale. Par exemple, une entreprise peut avoir son siège social aux États-Unis, mais faire des affaires en Australie. Il peut avoir besoin de certaines données Power Platform à stocker en Australie pour se conformer aux réglementations locales. Lorsque les services Power Platform sont déployés dans plusieurs zones géographiques Azure, on parle alors de déploiement multi-régions. Dans ce cas, seules les métadonnées liées à l’environnement sont stockées dans l’emplacement géographique. Toutes les métadonnées et les données produit de cet environnement sont stockées dans la géolocalisation distante.
Microsoft peut répliquer des données vers d’autres régions pour la résilience des données. Cependant, nous ne reproduisons ni ne déplaçons les données personnelles en dehors de la zone géographique. Les données répliquées dans d’autres régions peuvent inclure des données non personnelles telles que les informations d’authentification des employés.
Les services Power Platform sont disponibles dans des régions Azure spécifiques. Pour plus d’informations sur l’emplacement où sont disponibles les services Power Platform, où sont stockées vos données et sur la façon dont elles sont utilisées, accédez à la rubrique Centre de gestion de la confidentialité Microsoft. Les engagements concernant l’emplacement des données des clients au repos sont spécifiés dans les modalités relatives au traitement des données dans les Conditions d’utilisation de Microsoft Online Services. Microsoft fournit également des centres de données pour des entités souveraines.
Gestion des données
Cette section explique comment Power Platform stocke, traite et transfère les données des clients.
Données au repos
Sauf indication contraire dans la documentation, les données client restent dans leur source d’origine (par exemple, Dataverse ou SharePoint). Une application Power Platform est stockée dans Azure Storage dans le cadre d’un environnement. Les données utilisées dans les applications mobiles sont chiffrées et stockées dans SQL Express. Dans la plupart des cas, les applications utilisent Azure Storage pour conserver les données de service Power Platform et Azure SQL Database pour conserver les métadonnées de service. Les données saisies par les utilisateurs de l’application sont stockées dans la source de données correspondant à chaque service, par exemple, Dataverse.
Toutes les données conservées par Power Platform sont chiffrées par défaut à l’aide de clés gérées par Microsoft. Les données client stockées dans la base de données Azure SQL sont entièrement chiffrées à l’aide de la technologie TDE (Transparent Data Encryption) d’Azure SQL. Les données client stockées dans le stockage Blob Azure =sont chiffrées à l’aide du chiffrement du stockage Azure.
Données en cours de traitement
Les données sont en cours de traitement lorsqu’elles sont utilisées dans le cadre d’un scénario interactif ou lorsqu’un processus en arrière-plan, tel que l’actualisation, accède à ces données. Power Platform charge les données en cours de traitement dans l’espace mémoire d’une ou de plusieurs charges de travail de service. Pour faciliter la fonctionnalité de la charge de travail, les données stockées en mémoire ne sont pas chiffrées.
Données en transit
Power Platform nécessite que tout le trafic HTTP entrant soit chiffré à l’aide de TLS 1.2 ou version supérieure. Les demandes qui tentent d’utiliser TLS 1.1 ou une version antérieure sont rejetées.
Fonctionnalités de la sécurité avancée
Certaines des fonctionnalités de sécurité avancée Power Platform ont des exigences de licence spécifiques.
Étiquettes de service
Une balise de service représente un groupe de préfixes d’adresses IP d’un service Azure spécifié. Vous pouvez utiliser des étiquettes de service pour définir des contrôles d’accès au réseau sur les groupes de sécurité réseau ou le pare-feu Azure.
Les balises de service contribuent à minimiser la complexité des mises à jour fréquentes des règles de sécurité du réseau. Vous pouvez utiliser des balises de service à la place d’adresses IP spécifiques lorsque vous créez des règles de sécurité qui, par exemple, autorisent ou refusent le trafic pour le service correspondant.
Microsoft gère les préfixes d’adresse englobés par l’étiquette de service et met automatiquement à jour l’étiquette de service lorsque les adresses changent. Pour en savoir plus, voir Plages d’adresses IP et étiquettes de service Azure – Cloud du secteur public.
Protection contre la perte de données
Power Platform dispose d’un vaste ensemble de fonctionnalités de prévention contre la perte des données (DLP) pour vous aider à gérer la sécurité de vos données.
Restriction IP de la signature d’accès partagé au stockage (SAS)
Note
Avant d’activer l’une de ces fonctionnalités SAS, les clients doivent d’abord autoriser l’accès au domaine https://*.api.powerplatformusercontent.com sinon la plupart des fonctionnalités SAS ne fonctionneront pas.
Cet ensemble de fonctions est une fonctionnalité spécifique au locataire qui limite les jetons de signature d’accès partagé (SAS) de stockage et est contrôlée via un menu dans le Centre d’administration Power Platform. Ce paramètre restreint qui, en fonction de l’adresse IP, peut utiliser les jetons SAS d’entreprise.
Cette fonctionnalité est actuellement en version préliminaire privée. La version préliminaire publique est prévue plus tard ce printemps, avec une disponibilité générale en été 2024. Pour plus d’informations, consultez Planificateur de versions.
Ces paramètres se trouvent dans les paramètres Confidentialité + Sécurité d’un environnement Dataverse dans le centre d’administration. Vous devez activer l’option Activer la règle de signature d’accès partagé (SAS) de stockage basée sur l’adresse IP.
Les administrateurs peuvent activer l’une de ces quatre configurations pour ce paramètre :
| Paramètre | Description |
|---|---|
| Liaison IP uniquement | Cela restreint les clés SAS à l’adresse IP du demandeur. |
| Pare-feu IP uniquement | Cela restreint l’utilisation des clés SAS pour fonctionner uniquement dans une plage spécifiée par l’administrateur. |
| Liaison et pare-feu IP | Cela restreint l’utilisation des clés SAS pour fonctionner dans une plage spécifiée par l’administrateur et uniquement à l’adresse IP du demandeur. |
| Liaison ou pare-feu IP | Autorise l’utilisation des clés SAS dans la plage spécifiée. Si la demande provient de l’extérieur de la plage, la liaison IP est appliquée. |
Produits appliquant la liaison IP lorsqu’elle est activée :
- Dataverse
- Power Automate
- Connecteurs personnalisés
- Power Apps
Impact sur les expériences Power App
Notez l’impact suivant sur les utilisateurs :
Lorsqu’un utilisateur qui ne respecte pas les restrictions d’adresse IP d’un environnement ouvre une application : le message suivant s’affiche : « Cette application ne fonctionne plus. Essayez d’actualiser votre navigateur. » Il est prévu de mettre à jour cette expérience pour fournir plus d’informations contextuelles à l’utilisateur sur les raisons pour lesquelles l’application n’a pas pu être lancée.
Lorsqu’un utilisateur qui respecte les restrictions d’adresse IP ouvre une application : les événements suivants se produisent :
- Une bannière avec le message suivant s’affiche : « Votre organisation a configuré des restrictions d’adresse IP limitant où Power Apps est accessible. Il se peut que cette application ne soit pas accessible lorsque vous utilisez un autre réseau. Contactez votre administrateur pour plus de détails. » Cette bannière apparaît pendant quelques secondes puis disparaît.
- L’application peut se charger plus lentement que si les restrictions d’adresse IP n’étaient pas en place. Les restrictions d’adresse IP empêchent la plateforme d’utiliser certaines fonctionnalités de performances qui permettent des temps de chargement plus rapides.
Si un utilisateur ouvre une application, tout en répondant aux exigences d’adresse IP, puis passe à un nouveau réseau qui ne répond plus aux exigences d’adresse IP, l’utilisateur peut observer que le contenu de l’application, tel que les images, les médias intégrés et les liens, peuvent ne pas se charger ou être accessibles.
Enregistrement des appels SAS
Ce paramètre permet d’enregistrer tous les appels SAS dans Power Platform dans Purview. Cet enregistrement affiche les métadonnées pertinentes pour tous les événements de création et d’utilisation et peut être activé indépendamment des restrictions IP SAS ci-dessus. Les services Power Platform intègrent actuellement les appels SAS en 2024.
Articles associés
Sécurité dans Microsoft Power Platform
Authentification auprès des services Power Platform
Connexion et authentification aux sources de données
Questions fréquentes (FAQ) sur la sécurité de Power Platform