Dijeli putem

Pohrana podataka i upravljanje na platformi Power Platform

  • Članak

Kao prvo, važno je napraviti razliku između osobnih podataka i podataka o klijentima.

  • Osobni podaci su informacije o osobama koje se mogu koristiti za njihovu identifikaciju.

  • Podaci o klijentima uključuju osobne podatke i druge podatke o klijentima, uključujući URL-ove, metapodatke i podatke za provjeru autentičnosti zaposlenika, kao što su DNS nazivi.

Mjesto pohrane podataka

Stanar Microsoft Entra čuva informacije koje su relevantne za organizaciju i njezinu sigurnost. Kada Microsoft Entra se klijent prijavi za Power Platform usluge, odabrana država ili regija klijenta mapira se na najprikladniju zemljopisnu lokaciju Azure u kojoj Power Platform postoji implementacija. Power Platform pohranjuje podatke o klijentima u Azure geografiji dodijeljenoj klijentu ili matičnoj geografiji, osim kada tvrtke ili usluge implementiraju usluge u više regija.

Neke su tvrtke ili usluge globalno prisutne. Na primjer, tvrtka može imati sjedište u Sjedinjenim Američkim Državama, ali poslovati u Australiji. Možda će biti potrebno da određeni Power Platform podaci budu pohranjeni u Australiji radi usklađivanja s lokalnim propisima. Kada su Power Platform usluge implementirane u više od jedne Azure geografije, to se naziva multi-geo implementacija. U ovom slučaju, samo se metapodaci koji se odnose na okruženje pohranjuju u matičnoj geografiji. Svi metapodaci i podaci o proizvodu u tom okruženju pohranjuju se u udaljenu geografiju.

Microsoft može replicirati podatke u druge regije radi otpornosti podataka. Međutim, ne repliciramo niti premještamo osobne podatke izvan geografije. Podaci replicirani u druge regije mogu uključivati neosobne podatke kao što su podaci za provjeru autentičnosti zaposlenika.

Power Platform usluge dostupne su u određenim Azure geografijama. Dodatne informacije o tome gdje Power Platform su usluge dostupne, gdje se pohranjuju vaši podaci i kako se upotrebljavaju potražite u Microsoft centru za pouzdanost. Obveze u vezi s lokacijom korisničkih podataka u mirovanju navedene su u Uvjetima obrade podataka u Microsoft Uvjetima online usluga. Microsoft također pruža podatkovne centre za suverene subjekte.

Postupanje s podacima

Ovaj odjeljak opisuje kako Power Platform pohranjuje, obrađuje i prenosi podatke o klijentima.

Podaci u mirovanju

Osim ako nije drugačije navedeno u dokumentaciji, podaci o klijentima ostaju u izvornom izvoru (na primjer, Dataverse ili SharePoint). Power Platform aplikacija pohranjena je u Azure Storage kao dio okruženja. Podaci koji se koriste u mobilnim aplikacijama šifrirani su i pohranjeni u SQL Expressu. U većini slučajeva aplikacije koriste Azure Storage za zadržavanje Power Platform podataka usluge i Azure SQL bazu podataka za zadržavanje metapodataka usluge. Podaci koje unesu korisnici aplikacije pohranjuju se u odgovarajući izvor podataka za uslugu, kao što je Dataverse.

Svi podaci koji se zadržavaju Power Platform šifrirani su prema zadanim postavkama pomoću Microsoft upravljanih ključeva. Podaci o klijentima pohranjeni u bazi podataka Azure SQL u potpunosti su šifrirani s pomoću tehnologije Transparent Data Encryption (TDE) Azure SQL. Podaci o klijentima pohranjeni u pohrani Azure Blob šifrirani su s pomoću Azure Storage Encryption.

Podaci u obradi

Podaci su u obradi kada se koriste kao dio interaktivnog scenarija ili kada ih dodirne pozadinski proces, poput osvježavanja. Power Platform učitava podatke u obradi u memorijski prostor jednog ili više radnih opterećenja usluge. Kako bi se olakšala funkcionalnost radnog opterećenja, podaci koji su pohranjeni u memoriji nisu šifrirani.

Podaci u prijenosu

Power Platform zahtijeva da sav dolazni HTTP promet bude šifriran s pomoću TLS-a 1.2 ili novijeg. Zahtjevi koji pokušavaju koristiti TLS 1.1 ili nižu verziju odbijaju se.

Napredne značajke sigurnosti

Neke od Power Platform naprednih značajki sigurnosti imaju posebne zahtjeve za licenciranje.

Oznake usluge

Oznaka usluge predstavlja grupu prefiksa IP adresa iz određene Azure usluge. Oznake usluge možete koristiti za definiranje kontrola pristupa mreži u mrežnim sigurnosnim grupama ili Azure vatrozidu.

Oznake usluge pomažu minimizirati složenost čestih ažuriranja mrežnih sigurnosnih pravila. Možete koristiti oznake usluge umjesto određenih IP adresa kada stvarate sigurnosna pravila koja, na primjer, dopuštaju ili zabranjuju promet za odgovarajuću uslugu.

Microsoft Upravlja prefiksima adresa obuhvaćenima servisnom oznakom i automatski ažurira servisnu oznaku kako se adrese mijenjaju. Za više informacija pogledajte Azure IP rasponi i oznake usluge – javni oblak.

Sprečavanje gubitka podataka

Power Platform ima opsežan skup značajki sprečavanja gubitka podataka (DLP) koje vam pomažu u upravljanju sigurnošću vaših podataka.

Ograničenje IP adrese za pohranu (SAS)

Napomena

Prije aktiviranja bilo koje od ovih značajki SAS-a, korisnici prvo moraju dopustiti pristup domeni https://*.api.powerplatformusercontent.com ili većina SAS funkcionalnosti neće raditi.

Ovaj skup značajki funkcija je specifična za klijenta koja ograničava tokene potpisa zajedničkog pristupa pohrane (SAS) i kontrolira se putem izbornika u centru Power Platform zaadministratore. Ova postavka ograničava tko na temelju IP-a (IPv4 i IPv6) može koristiti SAS tokene tvrtke.

Te se postavke mogu pronaći u postavkama Privatnost + sigurnost okruženja u centru za administratore. Morate uključiti mogućnost Omogući pravilo SAS-a (SAS) za pohranu na temelju IP adrese.

Administratori mogu dopustiti jednu od ove četiri mogućnosti za tu postavku:

Mogućnost Postavka Opis
1 Samo IP obvezivanje Time se SAS ključevi ograničavaju na IP adresu podnositelja zahtjeva.
2 Samo IP vatrozid Time se ograničava korištenje SAS ključeva samo za rad unutar raspona koji je odredio administrator.
3 IP povezivanje i vatrozid Ovo ograničava korištenje SAS ključeva za rad unutar raspona koji je odredio administrator i samo na IP podnositelja zahtjeva.
4 IP povezivanje ili vatrozid Omogućuje korištenje SAS ključeva unutar navedenog raspona. Ako zahtjev dolazi izvan raspona, primjenjuje se IP povezivanje.

Napomena

Administratori koji su odlučili dopustiti IP vatrozid (opcije 2, 3 i 4 navedene u gornjoj tablici) moraju unijeti i IPv4 i IPv6 raspone svojih mreža kako bi osigurali odgovarajuću pokrivenost svojih korisnika.

Proizvodi koji provode IP Binding kada je omogućeno:

  • Dataverse
  • Power Automate
  • Prilagođeni poveznici
  • Power Apps

Utjecaj na korisničko iskustvo

  • Kada korisnik, koji ne ispunjava ograničenja IP adrese okruženja, otvori aplikaciju: korisnici dobivaju poruku o pogrešci koja navodi generički problem s IP adresom.

  • Kada korisnik, koji ispunjava ograničenja IP adrese, otvori aplikaciju: Događaju se sljedeći događaji:

    • Korisnici mogu dobiti banner koji će brzo nestati obavještavajući korisnike da je postavljena IP postavka i da kontaktiraju administratora za detalje ili da osvježe sve stranice koje izgube vezu.
    • Što je još važnije, zbog provjere valjanosti IP-a koju koristi ova sigurnosna postavka, neke funkcije mogu raditi sporije nego da su isključene.

Programsko ažurirajte postavke

Administratori mogu koristiti automatizaciju za postavljanje i ažuriranje IP povezivanja u odnosu na postavku vatrozida, IP raspon koji je naveden na popisu dopuštenih i prekidač za zapisivanje . Saznajte više u Vodiču: Stvaranje, ažuriranje i popis postavki upravljanja okruženjem.

Bilježenje SAS poziva

Ova postavka omogućuje da se svi SAS pozivi unutar Power Platform prijave u Purview. Ovo zapisivanje prikazuje relevantne metapodatke za sve događaje stvaranja i korištenja i može se omogućiti neovisno o gore navedenim ograničenjima SAS IP-a. Power Platform usluge trenutno uključuju SAS pozive 2024. godine.

Naziv polja Opis polja
response.status_message Obavještavanje o tome je li događaj bio uspješan ili ne: SASSuccess ili SASAuthorizationError.
response.status_code Obavještavanje o tome je li događaj bio uspješan ili ne: 200, 401 ili 500.
ip_binding_mode Način povezivanja IP-a koji je postavio administrator klijenta, ako je uključen. Odnosi se samo na događaje stvaranja SAS-a.
admin_provided_ip_ranges IP rasponi koje je postavio administrator klijenta, ako postoji. Odnosi se samo na događaje stvaranja SAS-a.
computed_ip_filters Konačni skup IP filtara vezanih za SAS URI-je na temelju načina povezivanja IP-a i raspona koje je postavio administrator klijenta. Primjenjuje se na događaje stvaranja i korištenja SAS-a.
analitika.resurs.sas.uri Podaci kojima se pokušavalo pristupiti ili ih stvoriti.
enduser.ip_address Javna IP adresa pozivatelja.
analytics.resource.sas.operation_id Jedinstveni identifikator iz događaja stvaranja. Pretraživanje po ovome prikazuje sve događaje korištenja i stvaranja povezane sa SAS pozivima iz događaja stvaranja. Preslikano na zaglavlje odgovor "x-ms-sas-operation-id".
request.service_request_id Jedinstveni identifikator iz zahtjeva ili odgovor i može se koristiti za traženje jednog zapisa. Mapirano na zaglavlje odgovor "x-ms-service-request-id".
verzija Verzija ove sheme dnevnika.
vrsta Generički odgovor.
analytics.activity.name Vrsta aktivnosti ovog događaja bila je: Stvaranje ili Upotreba.
analytics.activity.id Jedinstveni ID zapisa u Purviewu.
analytics.resource.organization.id ID tvrtke ili ustanove
analytics.resource.environment.id ID okruženja
analytics.resource.tenant.id ID klijenta sustava
enduser.id GUID iz Microsoft Entra ID-a autora iz događaja stvaranja.
enduser.principal_name UPN/adresa e-pošte autora. Za događaje upotrebe ovo je generički odgovor: "system@powerplatform".
Krajnji korisnik.uloga Generički odgovor: Redovito za događaje stvaranja i Sustav za događaje korištenja.

Uključivanje zapisivanja nadzora Purviewa

Da bi se zapisnici prikazali u vašoj instanci Purview, prvo se morate odlučiti za svako okruženje za koje želite zapisnike. Ovu postavku administrator Power Platform klijenta može ažurirati u centru za administratore.

  1. Idite u centar Power Platform za administratore i prijavite se s vjerodajnicama administratora klijenta.
  2. U lijevom navigacijskom oknu odaberite Okruženja.
  3. Odaberite okruženje za koje želite uključiti zapisivanje administratora.
  4. Odaberite Postavke na naredbenoj traci.
  5. Odaberite Privatnost proizvoda>+ sigurnost.
  6. U odjeljku Sigurnosne postavke potpisa zajedničkog pristupa pohrane (SAS) (pretpregled) uključite značajku Omogući zapisivanje SAS-a u Purviewu .

Pretraživanje zapisnika nadzora

Administratori klijenta mogu koristiti Purview za prikaz zapisnika nadzora emitiranih za SAS operacije i mogu sami dijagnosticirati pogreške koje se mogu vratiti u problemima s provjerom valjanosti IP-a. Zapisnici u Purviewu najpouzdanije su rješenje.

Slijedite sljedeće korake da biste dijagnosticirali probleme ili bolje razumjeli obrasce korištenja SAS-a unutar klijenta.

  1. Provjerite je li zapisivanje nadzora uključeno za okruženje. Pogledajte Uključivanje zapisivanja nadzora Purviewa.

  2. Idite na Microsoft portal za usklađenost Purview i prijavite se s vjerodajnicama administratora klijenta.

  3. U lijevom navigacijskom oknu odaberite Nadzor. Ako vam ta opcija nije dostupna, to znači da prijavljeni korisnik nema administratorski pristup za upite zapisnika nadzora.

  4. Odaberite raspon datuma i vremena u UTC-u kada pokušavate potražiti zapisnike. Na primjer, kada je vraćena pogreška 403 Zabranjeno s kodom pogreške unauthorized_caller .

  5. Na padajućem popisu Aktivnosti - prijateljski nazivi potražite operacije Power Platform pohrane i odaberite Stvoreni SAS URI i Korišteni SAS URI.

  6. Navedite ključnu riječ u pretraživanju ključnih riječi. Pogledajte Početak rada s pretraživanjem u dokumentaciji Purviewa da biste saznali više o ovom polju. Možete upotrijebiti vrijednost iz bilo kojeg polja opisanog u gornjoj tablici, ovisno o vašem scenariju, ali u nastavku su preporučena polja za pretraživanje (prema redoslijedu preferencija):

    • Vrijednost zaglavlja x-ms-service-request-id odgovor. Ovo filtrira rezultate u jedan događaj stvaranja SAS URI-ja ili jedan događaj korištenja SAS URI-ja, ovisno o vrsti zahtjeva iz koje je zaglavlje. Korisno je kada istražujete pogrešku 403 Forbidden vraćenu korisniku. Također se može koristiti za hvatanje powerplatform.analytics.resource.sas.operation_id vrijednosti.
    • Vrijednost zaglavlja x-ms-sas-operation-id odgovor. Time se rezultati filtriraju na jedan događaj stvaranja SAS URI-ja i jedan ili više događaja korištenja za taj SAS URI, ovisno o tome koliko mu se puta pristupilo. Preslikava se na powerplatform.analytics.resource.sas.operation_id polje.
    • Potpuni ili djelomični SAS URI, minus potpis. To može vratiti mnoge kreacije SAS URI-ja i mnoge događaje korištenja SAS URI-ja jer je moguće da se isti URI zatraži za generiranje onoliko puta koliko je potrebno.
    • IP adresa pozivatelja. Vraća sve događaje stvaranja i korištenja za tu IP adresu.
    • ID okruženja. To može vratiti veliki skup podataka koji se mogu protezati kroz mnogo različitih ponuda, stoga izbjegavajte Power Platform ako je moguće ili razmislite o sužavanju prozora za pretraživanje.

    Upozorenje

    Ne preporučujemo traženje glavnog imena korisnika ili ID-a objekta jer se oni propagiraju samo na događaje stvaranja, a ne na događaje upotrebe.

  7. Odaberite Pretraživanje i pričekajte da se prikažu rezultati.

    Novo pretraživanje

Upozorenje

Unos dnevnika u Purview može se odgoditi do sat vremena ili više, pa to imajte na umu kada tražite najnovije događaje.

Otklanjanje pogreške 403 Zabranjeno/unauthorized_caller

Pomoću zapisnika stvaranja i korištenja možete utvrditi zašto bi poziv rezultirao pogreškom 403 Zabranjeno s kodom pogreške unauthorized_caller .

  1. Pronađite zapisnike u Purviewu kao što je opisano u prethodnom odjeljku. Razmislite o korištenju x-ms-service-request-id ili x-ms-sas-operation-id iz zaglavlja odgovor kao ključne riječi za pretraživanje.
  2. Otvorite događaj upotrebe,Korišteni SAS URI i potražite polje powerplatform.analytics.resource.sas.computed_ip_filters u odjeljku PropertyCollection. Ovaj raspon IP adresa koristi poziv SAS-a da bi utvrdio je li zahtjev ovlašten za nastavak ili ne.
  3. Usporedite ovu vrijednost s poljem IP adresa zapisnika, što bi trebalo biti dovoljno za utvrđivanje zašto zahtjev nije uspio.
  4. Ako mislite da je vrijednost powerplatform.analytics.resource.sas.computed_ip_filters netočna, nastavite sa sljedećim koracima.
  5. Otvorite događaj stvaranja,Stvoreni SAS URI, pretraživanjem pomoću vrijednosti zaglavlja x-ms-sas-operation-id odgovor (ili vrijednosti polja powerplatform.analytics.resource.sas.operation_id iz zapisnika stvaranja).
  6. Dobijte vrijednost powerplatform.analytics.resource.sas.ip_binding_mode polja. Ako nedostaje ili je prazan, to znači da IP povezivanje nije bilo uključeno za to okruženje u trenutku tog određenog zahtjeva.
  7. Ostvarite vrijednost powerplatform.analytics.resource.sas.admin_provided_ip_ranges. Ako nedostaje ili je prazan, to znači da rasponi IP vatrozida nisu navedeni za to okruženje u trenutku tog određenog zahtjeva.
  8. Dobijte vrijednost powerplatform.analytics.resource.sas.computed_ip_filters, koja bi trebala biti identična događaju upotrebe i izvedena je na temelju načina povezivanja IP-a i raspona IP vatrozida koje je osigurao administrator. Pogledajte logiku izvođenja u odjeljku Pohrana podataka i upravljanje u Power Platform.

To bi trebalo dati administratorima klijenta dovoljno informacija da isprave bilo kakvu pogrešnu konfiguraciju okruženja za postavke IP povezivanja.

Upozorenje

Promjene postavki okruženja za povezivanje SAS IP adrese mogu potrajati najmanje 30 minuta da stupe na snagu. Moglo bi biti i više ako partnerski timovi imaju vlastitu predmemoriju.

Sigurnost u Microsoft Power Platform
Autentifikacija za Power Platform usluge
Povezivanje i provjera autentičnosti s izvorima podataka
Power Platform Često postavljana pitanja o sigurnosti

Pogledajte