Dijeli putem

Vodič za zajedničko korištenje tijeka u oblaku i dozvole

Ovaj vodič može pomoći u identificiranju odgovarajućih scenarija dijeljenja toka i uspostavljanju dozvola za upravljanje korisničkim pristupom i osiguravanje sigurnosti.

Upravljanje dozvolama i ulogama u Power Automate okruženjima

Upravljanje tko može stvarati, uređivati ili samo izvršavati tijekove ključno je za održavanje sigurnog i urednog Power Automate okruženja. Power AutomateSigurnosni model funkcionira na više razina dozvola:

  • Uloge na razini okruženja (kao što su Administrator okruženja i Izrađivač okruženja): Upravljaju korisnikovom sposobnošću upravljanja resursima ili stvaranja resursa u određenom okruženju.
  • Dataverse sigurnosne uloge (ako okruženje ima bazu Dataverse podataka): kao što su osnovni korisnik, alat za prilagodbu sustava i druge, koji kontroliraju pristup podacima i entitetima. Na primjer, korisnicima je obično potrebna barem uloga osnovnog korisnika za pokretanje aplikacija ili tijekova koji koriste Dataverse podatke.
  • Dozvole na razini tijeka: dijelite postavke na pojedinačnim tijekovima koje druge korisnike čine suvlasnicima (s pravima uređivanja) ili korisnicima samo za izvođenje.

Uloge okruženja i sigurnost

U svakom okruženju samo korisnici s odgovarajućim ulogama mogu stvarati resurse ili upravljati njima.

  • Administrator okruženja: Ima potpunu administrativnu kontrolu nad okruženjem. Administrator okruženja može upravljati svim resursima, uključujući prikaz svih tijekova, dodavanje i uklanjanje korisnika te postavljanje pravila. U okruženjima bez njega Dataverse, samo ova uloga može obavljati administratorske zadatke. U Dataverse omogućenim okruženjima, uloga administratora sustava služi Dataverse sličnoj svrsi za podatkovne operacije.

  • Izrađivač okruženja: Ova uloga omogućuje korisnicima stvaranje novih resursa kao što su tijekovi, aplikacije i veze u okruženju. Uloga Izrađivač okruženja ne odobrava pristup postojećim podacima – Dataverse ona samo daje mogućnost stvaranja i zajedničkog korištenja artefakata. Microsoft slijedi model s najmanjim privilegijama za unaprijed definirane uloge: Environment Maker ima minimalni pristup potreban za stvaranje aplikacija/tijekova bez izlaganja podataka koje ne smiju prikazati. Proizvođači mogu prema potrebi dijeliti aplikacije/tijekove koje izrađuju s drugima u tvrtki ili ustanovi, ali ne mogu podići vlastite privilegije za čitanje podataka osim ako im se ne daju dodatne Dataverse uloge.

  • Korisnik okruženja (osnovni korisnik): u okruženjima s Dataverse podlogom, običnim krajnjim korisnicima mora se dodijeliti sigurnosna uloga osnovnog korisnika (ponekad se naziva Common Data Service i korisnik) za pokretanje aplikacija ili korištenje tijekova koji komuniciraju s Dataverse podacima. Prema zadanim postavkama, dodavanje korisnika u okruženje, posebno ako okruženje ima bazu Dataverse podataka, može zahtijevati izričito dodjeljivanje takve uloge. To osigurava da mogu pokretati rješenja, ali samo s osnovnim privilegijama na podacima. U okruženjima bez, Dataverse ako se korisnik dijeli tijek samo za izvođenje, možda se neće pojaviti na popisu korisnika okruženja osim ako se ručno ne doda. Njihove dozvole su isključivo putem dijeljenja tijeka.

Dozvole za zajedničko korištenje na razini tijeka

Na razini pojedinačnog tijeka, vlasnici mogu dijeliti tijek u oblaku na dva glavna načina: dodajte suvlasnike ili dodijelite korisnike samo za izvođenje. Bitno je razumjeti razliku.

  • Vlasnik/suvlasnik: Suvlasnik u biti ima iste privilegije kao i izvorni autor tijeka. Suvlasnici mogu pregledavati povijest izvođenja, uređivati dizajn tijeka, mijenjati njegove postavke, pokretati i zaustavljati tijek, upravljati vezama te dodavati ili uklanjati druge vlasnike. Drugim riječima, potpuna kontrola dana je svakom suvlasniku, osim što ne može ukloniti izvornog autora. Suvlasnici također prikazuju tijek na popisu tijekova tima i mogu njime upravljati kao i bilo kojim tijekom koji su sami napravili. Zbog širine tih dozvola, samo pouzdani pojedinci ili grupe trebaju biti dodani kao suvlasnici.

    Primjer: Ako je Alice suvlasnica Bobovog tijeka, Alice može izmijeniti taj tijek ili ga izbrisati, tako da bi Bobov tim trebao dodati Alice samo ako je takav pristup namijenjen.

  • Korisnik samo za izvođenje: Korisnik samo za pokretanje ograničen je na izvršavanje tijeka, obično putem ručnog okidača kao što je gumb ili SharePoint okidač stavke. Ne mogu otvoriti tijek u načinu uređivanja, vidjeti njegovu internu logiku ili pregledati prošlu povijest izvođenja. Ovo je idealno za scenarije u kojima se želi da kolege imaju koristi od automatizacije. Na primjer, pokrenite tijek gumba ili zadatak trenutne obrade podataka bez davanja privilegija dizajna. Korisnici samo za pokretanje prikazuju naziv tijeka i mogu ga pokrenuti, ali ako pokušaju pregledati detalje, imaju ograničenu vidljivost. Također ne mogu dodavati druge ili mijenjati tijek na bilo koji način.

    Primjer: Služba za pomoć ima tijek gumba Power Automate za Stvori tiket i pošalji potvrdu. Svi zaposlenici za izravnu komunikaciju s klijentima dodaju se kao korisnici samo za pokretanje kako bi mogli pokrenuti tijek sa svojih uređaja, ali ne mogu promijeniti ono što tijek radi.

Sigurnosne uloge specifične za resurse u odnosu na okruženje

Uloge okruženja i dozvole za zajedničko korištenje tijeka rade u tandemu. Biti administrator okruženja ili imati određene Dataverse privilegije može omogućiti korisnicima da vide ili mijenjaju tijekove bez obzira na eksplicitno dijeljenje, zbog njihovog širokog pristupa.

  • Power Platform Administrator ili administrator okruženja inherentno može prikazati i upravljati svim tijekovima u okruženju, čak i ako se pojedinačno ne dijeli s njima. Na primjer, globalni administrator može se dodati kao vlasnik u bilo koji tijek ako je potrebno.
  • Nasuprot tome, korisniku bez uloge okruženja može se dati pristup određenom tijeku putem dijeljenja. U tom slučaju taj korisnik postaje sudionik posebnog slučaja u tom jednom tijeku, ali možda neće imati pristup drugim resursima u okruženju.

Da bi učinkovito upravljale dozvolama, organizacije bi trebale formalizirati koji su korisnici kreatori protoka (kreatori), a koji su potrošači protoka* (trkači), a zatim primijeniti uloge u skladu s tim. Sljedeći odjeljci objašnjavaju najbolje prakse za implementaciju ovih razlika i minimiziranje rizika.

Razine dozvola u Power Automate – vlasnici naspram korisnika samo za pokretanje

Ključni aspekt upravljanja sigurnošću tijeka je razumijevanje mogućnosti različitih razina dozvola za dijeljenje. U sljedećoj tablici sažete su razlike između suvlasnika i korisnika samo za pokretanje tijeka u oblaku. Uspoređuje suvlasnika tijeka u odnosu na korisničke dozvole i mogućnosti Power Automate samo za izvođenje.

Mogućnost / Pristup Suvlasnik (može uređivati) Korisnik samo za pokretanje (može pokrenuti)
Prikaz i uređivanje definicije tijeka Da. Ima potpuni pristup za prikaz i izmjenu koraka, postavki i veza tijeka. Ne. Ne mogu otvoriti tijek u uređivaču ili dobiti njegovu konfiguraciju. Dobivaju samo sučelje za pokretanje.
Pokreni/pokreni tijek Da. Može ručno pokrenuti tijek i izmijeniti okidače. Da. Može pokrenuti tijek (na primjer, odabrati gumb ili upotrijebiti određenu radnju okidača) kako je dopuštao vlasnik tijeka.
Prikaz povijesti izvođenja (zapisnici izvršenja) Da. Može pregledati prošla izvođenja, status uspjeha i neuspjeha te rezultate u povijesti izvođenja. Ne. Ne može se prikazati povijest izvođenja tijeka ili pojedinosti o prošlim izvršenjima.
Upravljanje tijekom (omogućavanje/onemogućavanje, preimenovanje, brisanje) Da. Može promijeniti svojstva tijeka, uključiti ga ili isključiti, ažurirati veze i u potpunosti izbrisati tijek. Ne. Ne mogu mijenjati status ili postavke tijeka. Imaju samo dopuštenje da ga pozovu.
Dijeljenje tijeka s drugima Da. Može dodavati ili uklanjati druge suvlasnike, osim što ne mogu ukloniti izvornog autora. Također može dodijeliti korisnike samo za izvođenje. Ne. Ne mogu dijeliti tijek ni s kim drugim. Oni su korisnik pristupa, a ne davatelj pristupa.
Koristite vlastite veze (invoker) N/A. Suvlasnici koriste definirane veze toka. Oni mogu ažurirati veze ako je potrebno. Ovisi o. Korisnici samo za pokretanje možda će morati koristiti vlastite veze prilikom pokretanja ako je tijek konfiguriran s Pruža korisnik samo za pokretanje za poveznik. U suprotnom, tijek koristi veze vlasnika.
Vidljivost u korisničkom sučelju Power Automate Pojavljuje se u odjeljku Tijekovi tima za sve vlasnike. Ime suvlasnika navedeno je na popisu vlasnika . Pojavljuje se na popisu korisnika samo za pokretanje tijeka (stranica s pojedinostima o tijeku) za vlasnike; međutim, korisnici samo za pokretanje dobivaju tijek samo u kontekstima u kojima ga mogu pokrenuti (na primjer, na gumbu ili unutar aplikacije; nije naveden u njihovim vlasništvu ili timskim tijekovima).

U praksi te razlike znače da bi suvlasnici trebali biti ograničeni na korisnike koji doista trebaju surađivati na dizajnu ili održavanju tijeka, dok se za široku distribuciju funkcionalnosti toka prednost daje samo izvođenju. Microsoftove smjernice to potvrđuju: "Dodajte suvlasnike za suradnju tijeka samo po potrebi. U većini slučajeva, ako tijek treba dijeliti, podijelite ga s dozvolama samo za izvođenje." To osigurava da korisnici mogu imati koristi od automatizacije bez rizika od neovlaštenih izmjena ili izlaganja unutarnjih dijelova protoka.

Ublažiti rizike dijeljenja tokova izvan svog okruženja

Dopuštanje pristupa tijekovima korisnicima koji nisu članovi okruženja može unijeti neke rizike:

  • Slijepe točke upravljanja: Administratori možda ne shvaćaju tko ima pristup.
  • Potencijalna izloženost podacima: ako tokovi obrađuju osjetljive podatke.
  • Pristup samo za pokretanje: Mogao bi biti zabrinjavajući ako okidači dopuštaju vidljivost ulaza ili izlaza parametara i gubitak kontrole promjena. To je kada suvlasnici izvan tima naprave nenamjerne izmjene.

Kako bi ublažile ove rizike, organizacije bi trebale usvojiti kombinaciju politike, tehničkih kontrola i nadzora.

  • Nametanje kontrola pristupa okruženju: Temeljna najbolja praksa je ograničavanje članstva u okruženju pomoću sigurnosnih grupa ( Microsoft Entra Azure AD). Povezivanjem sigurnosne grupe s okruženjem u uloge okruženja mogu se dodatisamo korisnici u toj grupi. To znači da čak i ako autor pokuša podijeliti tijek s nekim izvan grupe, ta se osoba ne dodaje automatski u okruženje. U okruženjima s pridruženom sigurnosnom grupom svaki korisnik koji nije u grupi u biti je vanjski i ima ograničene mogućnosti dok administrator ne odobri pristup. Ova postavka blokira vanjske strane da pristupe resursima okruženja, osim ako ih administrator izričito ne doda dodavanjem u sigurnosnu grupu po pravilu.

    Na primjer, ako je okruženje HR Apps tvrtke Contoso povezano sa sigurnosnom grupom HR-Team , korisnik iz Financea ne može postati suvlasnik tijeka osim HR Apps ako ga administrator prvo ne doda u grupu HR-Team . Korištenje sigurnosnih grupa na ovaj način pomaže tvrtkama i ustanovama da zadrže jasnu granicu tko je odobren za korištenje svakog okruženja.

  • Pregledajte i ograničite suvlasništvo : Dijeljenje tokova sa suvlasnicima treba obavljati štedljivo. Svaki suvlasnik efektivno postaje punopravni vlasnik toka, stoga ograničite broj suvlasnika samo na one potrebne. Ako je tijek podijeljen s vanjskom osobom, na primjer, razvojnim inženjerom ili konzultantom iz drugog tima radi otklanjanja poteškoća, pobrinite se da uklonite njihovo suvlasništvo nakon što se problem riješi. Učinite to osim ako ne postoji stalna potreba. Tvrtke ili ustanove mogu implementirati procese upravljanja u kojima dodavanje suvlasnika izvan okruženja pokreće upozorenje ili zahtijeva odobrenje. To se može postići korištenjem Power Automate alata za upravljanje (na primjer, tijek administratora koji koristi administrativne Power Platform poveznike za otkrivanje kada je novi vlasnik dodan u tijek). Zatim obavještavaju IT ili Power Platform tim Centra izvrsnosti.

  • Preferirajte dijeljenje samo za pokretanje za vanjske korisnike: Ako je dijeljenje s korisnicima koji nisu članovi okruženja neizbježno ili opravdano, koristite dopuštenja samo za pokretanje kad god je to moguće umjesto punih prava na uređivanje. Pristup samo za pokretanje značajno smanjuje rizik: korisnik ne može vidjeti logiku tijeka ili je mijenjati, a dobiva podatke o izvođenju koji mogu sadržavati osjetljive korisne sadržaje.

    Na primjer, ako tijek šalje podatke o klijentima putem e-pošte, korisnik samo za pokretanje može pokrenuti to slanje e-pošte, ali ne može otvoriti tijek da bi dobio podatke o klijentu koji su jučer obrađeni. Ovo je načelo usklađeno s najmanjim privilegijama – dajte minimalni pristup potreban za korisnikovu ulogu. Dijeljenje samo za pokretanje često može postići poslovni zahtjev dopuštanja nekome da pokrene ili iskoristi tijek bez predaje kontrole.

  • Koristite sigurnosne uloge za segmentiranje dužnosti: Osigurajte da korisnici koji su namijenjeni samo pokretanju tijekova, ali ih ne i stvaraju, nemaju ulogu Tvorac okruženja. Zadržavanjem tih korisnika kao osnovnih korisnika okruženja ili potpuno izvan okruženja s pristupom tijeku samo za izvođenje, smanjujete mogućnost da mogu stvoriti ili uvesti lažne tijekove. Samo određeni proizvođači trebaju imati privilegije autora, dok drugi mogu trošiti samo izlaze tokova.

    Saznajte više u članku Korištenje sigurnosnih uloga i grupa: Upravljanje autorima u odnosu na korisnike samo za izvođenje.

  • Implementirajte pravila za sprječavanje gubitka podataka (DLP): iako se pravila DLP-a više odnose na kontrolu korištenja poveznika, neizravno pomažu u ublažavanju rizika sprječavanjem zajedničkih tokova da koriste zabranjene poveznike. Na primjer, ako se vanjskoj osobi omogući pristup tijeku samo za izvođenje, stroga pravila DLP-a osiguravaju da tijek ne može iznenada početi prosljeđivati podatke neovlaštenoj usluzi. DLP ne zaustavlja samo dijeljenje, ali ograničava potencijalnu štetu ako se tijek slučajno ili namjerno zloupotrijebi. Kao najbolju praksu klasificirajte poveznike u poslovne i neposlovne kategorije i blokirajte sve opasne kombinacije. Na taj način, čak i ako se tokovi široko dijele, neće procuriti podaci na neodobrene krajnje točke.

  • Redovita revizija i praćenje: uspostavite rutinu (na primjer, mjesečno ili tromjesečno) za reviziju dozvola za tijek. U sklopu ovog pregleda identificirajte sve tijekove koji imaju neuobičajeno zajedničko korištenje, posebno one s vanjskim vlasnicima ili velikim popisima korisnika samo za izvođenje. Pregledajte ih ako su i dalje potrebne. Microsoftova dokumentacija potiče periodične preglede dozvola kako bi se osiguralo da su u skladu s trenutnim poslovnim potrebama i kako bi se uklonio pristup korisnicima kojima više nije potreban.

    Nadzor se može automatizirati. Na primjer, administrator može postaviti Power Automate tijek pomoću administratorskog poveznika koji šalje izvješće o svim tijekovima s njihovim vlasnicima i datumima posljednje izmjene. Tijek ističe tijekove koji imaju vlasnike izvan određenog popisa odobrenih pojedinaca. Osim toga, razmislite o korištenju Power Platform nadzornih ploča Admin Analytics. Može prikazati ukupnu upotrebu i potencijalno se filtrirati kako bi se saznalo koliko korisnika pokreće svaki tijek.

  • Educirajte kreatore i provodite politike: Ponekad je rizik uveden nedostatkom svijesti. Dokumentirajte i priopćite jasnu politiku oko dijeljenja, na primjer, nemojte dodavati korisnike izvan okruženja X kao suvlasnike bez odobrenja. Koristite pristup samo za pokretanje ako je to potrebno za korisnike izvan tima. Obučavanjem Power Automate autora o ovim smjernicama smanjujete slučajno izlaganje. Ako vaša tvrtka ili ustanova ima internu Power Platform zajednicu ili mrežu prvaka, općenito zajednički koristite podsjetnike o implikacijama tijekova zajedničkog korištenja. U konačnici, korisnici bi trebali razumjeti da, iako Power Automate dijeljenje olakšava, postoje koraci usklađenosti i sigurnosti koje se moraju slijediti za bilo kakvu suradnju među okruženjima.

  • Koristite zasebna okruženja za široko dijeljenje: U nekim slučajevima moglo bi biti razborito imati namjensko okruženje za tijekove koje treba koristiti široka publika. Na primjer, tvrtka ili ustanova može stvoriti okruženje zajedničkih usluga koje je otvoreno za mnoge korisnike s odgovarajućom sigurnosnom grupom. Tokovi koji su namijenjeni širokoj potrošnji mogu se tamo razviti i smjestiti, umjesto da ih dijele iz ograničenijeg okruženja. Na taj se način održavaju granice okoliša. Vaša visoko kontrolirana okruženja ostaju stroga, a otvoreno okruženje određeno je za međufunkcionalno dijeljenje uz odgovarajući nadzor. Ako usvojite ovu strategiju, osigurajte da otvoreno okruženje i dalje ima snažne DLP politike i nadzor, jer po dizajnu ima veću bazu korisnika.

  • Razmislite o kopiranju tijekova umjesto izravnog dijeljenja: Ako korisnici u drugom okruženju trebaju funkcionalnost tijeka, drugi pristup je izvoz tijeka kao paketa i dijeljenje paketa umjesto dijeljenja tijeka uživo. Microsoft preporučuje ovaj pristup u scenarijima u kojima korisnik nije član vašeg Power Automate okruženja – možete mu poslati kopiju tijeka koji uvozi u vlastito okruženje. Primatelj zatim postavlja vlastite veze i samostalno pokreće tijek. Time se smanjuje rizik izbjegavanjem bilo kakvog izravnog pristupa izvornom tijeku okoliša. U biti im daje rješenje bez da im daje uporište u vašem okruženju. Kompromis je u tome što se ažuriranja tijeka neće automatski sinkronizirati jer se radi o zasebnoj kopiji. Međutim, za jednokratne potrebe ili dijeljenje s vanjskim timovima, ova metoda osigurava čisto razdvajanje.

Ukratko, ublažavanje rizika povezanih s tokovima dijeljenja općenito se svodi na strogu kontrolu pristupa okolišu, razboritu upotrebu opcija dijeljenja i budni nadzor. Kombiniranjem tehničkih zaštitnih mjera (kao što su okruženja kojima upravlja sigurnosna grupa i pravila DLP-a) sa zaštitnim mjerama procesa (kao što su odobrenja za dodavanje vlasnika i periodične revizije), organizacije mogu uživati u suradničkim prednostima Power Automate uz minimiziranje problema sa sigurnošću i usklađenošću.

Sljedeći odjeljak usredotočuje se na specifičan aspekt upravljanja: korištenje uloga i grupa za definiranje tko je kreator, a tko je samo trkač tokova.

Korištenje sigurnosnih uloga i grupa: upravljanje autorima u odnosu na korisnike samo za pokretanje

Ključna odluka o upravljanju je odrediti koji bi korisnici trebali biti kreatori, tko može stvarati i posjedovati tijekove, a koji bi trebali biti ograničeni na pokretanje tijekova, tko možda može konzumirati rezultate. Power Automate i Power Platform nude nekoliko mehanizama za provođenje ove razlike, prvenstveno kroz sigurnosne uloge i sigurnosne grupe.

Razlikovati proizvođače od onih koji nisu proizvođači

U poslovnom scenariju ne bi svaki korisnik s licencom Power Automate trebao nužno graditi tijekove u svakom okruženju. Po dizajnu, Environment Maker može stvarati tijekove i druge resurse u tom okruženju. Za namjenska okruženja trebali biste namjerno dodijeliti ulogu Izrađivač okruženja samo onim korisnicima ili grupama koji su odgovorni za izradu rješenja. Na primjer, možete odlučiti da u okruženju Finance Automation samo IT tim za financije i nekoliko naprednih korisnika imaju dozvole za proizvođača.

Provedite to na sljedeći način:

  • Dodijelite sigurnosnu ulogu Environment Maker izravno određenim korisnicima u postavkama okruženja.
  • Koristite sigurnosnu grupu Azure Active Directory (AD). Dodajte sve predviđene autore u grupu (na primjer, Grupa proizvođača financija) i ako okruženje nema Dataverse, dodijelite cijeloj grupi ulogu Izrađivač okruženja. U Dataverse omogućenim okruženjima možda ćete morati pojedinačno dodati članove grupe ili koristiti grupne timove sa sigurnosnim ulogama.
  • Za široku kontrolu povežite okruženje sa sigurnosnom grupom tako da samo članovi mogu biti u okruženju. Zatim unutar toga dodijelite Maker uloge odgovarajućem podskupu. Ovaj dvoslojni pristup znači da autsajderi ne mogu biti neotkriveni kao kreatori, a među insajderima samo neki imaju ulogu kreatora. Ugledne smjernice predlažu primjenu značajke grupe sigurnosti okruženja na sva proizvodna i osjetljiva okruženja kako bi se spriječila neželjena prisutnost korisnika.

Korištenje sigurnosnih grupa za pristup samo za pokretanje

Iako ne postoji uloga samo za pokretanje okruženja, možete upravljati dozvolama samo za pokretanje u velikoj mjeri pomoću grupa. Prilikom zajedničkog korištenja tijeka vlasnici mogu unijeti naziv grupe umjesto pojedinačnih korisnika za suvlasnika ili pristup samo za izvođenje. To znači da možete stvoriti sigurnosnu grupu kao što su Izvješća o prodaji, Korisnici tijeka i dodijeliti tu grupu kao korisnika samo za pokretanje u relevantnim tijekovima. Svi članovi grupe tada bi naslijedili dozvolu za pokretanje za te tijekove. Upravljanje postaje lakše. Da biste opozvali pristup određenom korisniku, uklonite ga iz grupe. Izgube pristup pokretanju svim tijekovima kojima je grupa dodijeljena. Isto tako, da biste novoj osobi dodijelili pristup pokretanju više tijekova, dodajte ih u grupu. Sigurnosne grupe tako pojednostavljuju upravljanje dozvolama eksternalizacijom.

Power Automate Tijekovi ne moraju navesti 50 korisnika kao samo za izvođenje; Oni navode jednu grupu, a vaš Azure AD ili Microsoft 365 administrator obrađuje članstvo.

Napomena

Ako je samo okruženje zaključano na sigurnosnu grupu, grupa koja se koristi za zajedničko korištenje tijeka trebala bi biti ista ili podskup. Ako tijek dijelite s grupom koja sadrži osobe izvan dopuštenih korisnika okruženja, oni ga možda neće moći pokrenuti, ovisno o postavkama okruženja. Trebali biste koordinirati korištenje grupe s pravilima pristupa okruženju.

Dodjela uloga za autore naspram trkača

U Dataverse okruženjima se sigurnosne uloge mogu slojeviti kako bi se fino prilagodilo što proizvođači mogu učiniti u odnosu na korisnike koji koriste samo pokretanje.

  • Makers: Barem im je potrebna uloga Environment Maker za stvaranje tijekova. Ako njihovi tijekovi stupaju u interakciju s Dataverse tablicama, možda će im trebati i dodatne Dataverse uloge kao što je alat za prilagodbu sustava ili privilegije na određenim tablicama kako bi ih pravilno dizajnirali i testirali. Kombinacija Environment Makera i uloge koja omogućuje pristup podacima (ako je potrebno) omogućuje im izgradnju cjelovitih rješenja. Najbolja je praksa dati proizvođačima samo privilegije koje su im potrebne. Na primjer, ako proizvođač samo automatizira i šalje SharePoint e-poštu, možda mu uopće neće trebati Dataverse uloga osim što je prisutan u okruženju. Međutim, ako proizvođač izradi tijek za ažuriranje zapisa Dataverse , potrebna mu je dozvola za tu tablicu. Planirajte svoje sigurnosne uloge tako da proizvođači dobiju zasebnu ulogu proizvođača podataka ako je potrebno, umjesto da im daju pretjerano široke uloge.
  • Korisnici samo za izvođenje: Tim korisnicima nije potreban Environment Maker. Ako okruženje ima bazu Dataverse podataka, a tijek dodiruje Dataverse podatke, možda će im biti potrebna uloga osnovnog korisnika (ili neka druga uloga) kako bi imali pristup za čitanje/pisanje temeljnim podacima kada se tijek izvodi u njihovom kontekstu. Na primjer, tijek ručnog okidača može stvoriti Dataverse zapis u ime pokretača. Ako je tako, trkaču je potrebna dozvola za stvaranje tog zapisa. Kada koristite opciju Korisnik samo za pokretanje pruža vezu , tijek se izvršava u kontekstu vjerodajnica korisnika samo za izvođenje. U takvim slučajevima morate osigurati da ti korisnici imaju minimalna prava potrebna putem Dataverse uloga ili relevantnih dozvola sustava za izvođenje radnji koje tijek izvršava. Ako tijek uvijek koristi vezu vlasnika, korisnik samo za pokretanje možda neće trebati nikakvu posebnu ulogu – Dataverse pritišće gumb i tijek koristi privilegiju vlasnika. Ovu nijansu treba pažljivo razmotriti. Siguran pristup je dati korisnicima samo za pokretanje pristup za čitanje podataka koje mogu prikazati i ništa više. Mnoge tvrtke stvaraju prilagođenu Dataverse ulogu ili koriste osnovnog korisnika s minimalnim pravima čitanja i dodjeljuju je svim krajnjim korisnicima kako bi zadovoljile ovaj zahtjev za pokretanje aplikacija i tijekova.

Upravljanje ulogama imajući na umu upravljanje

Pratite tko ima koju ulogu. Administrator Power Platform može navesti sve korisnike u okruženju i njihove dodijeljene sigurnosne uloge iz centra za administratore ili putem PowerShell-a. To se može uspoređivati s očekivanim popisom proizvođača. Najbolja je praksa upravljanja održavati inventar, na primjer, kreatori Environment X: Alice, Bob, Carol; Okruženje X samo za izvođenje/potrošače: Svi korisnici u Odjelu za marketing Imajući jasnoću o tome, kada dođe zahtjev za dodavanje novog proizvođača, možete provjeriti jesu li odobreni od strane grupe ili dobiti potrebna odobrenja za proširenje kruga.

Scenariji i primjeri

Na sljedećem popisu objašnjeni su neki scenariji i primjeri rješenja za njih.

  • Scenarij: Okruženje odjela u kojem bi samo mali tim trebao graditi tokove, ali ih mnogi u odjelu vode.
  • Rješenje: IT voditelj odjela dobiva Environment Admin. Grupa Azure AD Dept Makers sadrži pet osoba koje stvaraju aplikacije i tijekove. Ta se grupa dodaje u ulogu Tvorac okruženja. To se radi izravno ili se pojedincima dodjeljuje ako grupni zadatak nije dostupan. Svi u odjelu su u grupi Korisnici odjela, koja je povezana s okruženjem, tako da svi imaju pristup da budu korisnici. Tijekovi stvoreni u okruženju koje treba pokrenuti cijeli odjel dijele se s grupom Korisnici odjela kao samo za izvođenje. Na taj način kreatori grade i dijele. Član odjela može trčati, ali osobe koje nisu u odjelu ne mogu pristupiti jer nisu u grupi okruženja.
  • Scenarij: proizvodno okruženje s osjetljivim tijekovima koje ne bi trebao uređivati nitko osim dva vlasnika rješenja.
  • Rješenje: Samo su te dvije osobe Kreatori okoliša. Nitko drugi nema ulogu kreatora. Ako drugi korisnici trebaju pokrenuti tijekove, dobivaju pristup samo za izvođenje. Moguće je da je namjenski račun usluge ili upravitelj usluge zapravo vlasnik tokova za stabilnost, a dva vlasnika su suvlasnici za održavanje. Korištenje upravitelja usluge kao primarnog vlasnika poboljšava upravljanje kritičnim tijekovima. Svi redovni zaposlenici ili nisu u tom okruženju ili imaju samo korisničku ulogu. Okruženje bi moglo biti povezano sa sigurnosnom grupom koja sadrži samo potrebne račune kako bi se dodatno osigurala ekskluzivnost.
  • Scenarij: Okruženje Centra izvrsnosti u kojem upravljački timovi grade tijekove praćenja u svim okruženjima.
  • Rješenje: Pristup ima samo tim Centra izvrsnosti. Oni su kreatori okoliša po ulozi. Nije potrebno zajedničko korištenje samo za pokretanje jer su ti tijekovi više interni. Ovdje njegovi ključni ljudi iz Centra izvrsnosti možda imaju ulogu administratora Power Platform na razini stanara, što im implicitno daje prava u svim okruženjima.

Prednosti razdvajanja uloga

Jasnim razgraničenjem proizvođača naspram trkača postižete sljedeće:

  • Najmanja privilegija: korisnici dobivaju samo dopuštenja koja su im potrebna. Korisnik samo za pokretanje ne može odjednom početi stvarati tijekove koji zaobilaze IT nadzor jer mu nedostaje ta uloga. Kreatori dobivaju slobodu stvaranja, ali budući da je ta populacija manja i poznata, možete ih lakše trenirati i paziti na njih.
  • Pojednostavljeno upravljanje životnim ciklusom: kada zaposlenik napusti ili promijeni uloge, lakše je ažurirati pristup. Na primjer, ako je Joe bio proizvođač i odlazi iz tima, uklanjate ga iz sigurnosne grupe Makers. Trenutno gubi mogućnost stvaranja i uređivanja u tom okruženju, zadržavajući pristup pokretanju ako ostane u grupi korisnika. Tada možete dodati njegovu zamjenu u grupu Makers. Ovo održavanje temeljeno na grupi čišće je od ručnog dodavanja i uklanjanja desetaka dozvola za tijek.
  • Usklađivanje usklađenosti: Mnogi propisi zahtijevaju kontrolirani pristup. Mogućnost da se revizoru pokaže da samo ti specifični pojedinci mogu modificirati automatizaciju u ovom okruženju; svi ostali mogu samo pokrenuti odobrene tokove , može pomoći u demonstraciji snažnih internih kontrola. Revizori također mogu dobiti dodjelu uloga u okruženju kao dokaz provedbe.
  • Izbjegnite zabunu: Kad bi svi imali prava autora, manje tehničkih korisnika moglo bi nenamjerno stvoriti ili izmijeniti tijekove ili ih sučelje Power Automate zbuniti. Ograničavanjem uloge proizvođača osiguravate da samo obučeno osoblje dizajnira tokove, što može smanjiti pogreške.

Te bi mjere trebalo povremeno preispitivati. Kako se poslovne potrebe mijenjaju, netko tko je potrošač možda će morati postati proizvođač (na primjer, napredni korisnik pojavljuje se u novom timu) ili će proizvođač možda morati postati potrošač. Model upravljanja trebao bi biti dovoljno fleksibilan da se tome prilagodi odgovarajućim odobrenjima. Dokumentirajte kriterije za dodjelu privilegija Environment Makera i postupak za njihovo traženje, tako da postoji transparentnost i dosljednost. Slično tome, definirajte koji uvjeti mogu potaknuti opoziv pristupa proizvođaču, na primjer, premještanje u drugi odjel.

Korištenjem sigurnosnih uloga i grupa u tandemu, organizacije mogu postići jasnu i održivu razluku između onih koji izrađuju automatizaciju i onih koji koriste automatizaciju. To poboljšava sigurnost i produktivnost u Power Automate okruženjima.