Megjegyzés
Az oldalhoz való hozzáféréshez engedély szükséges. Megpróbálhat bejelentkezni vagy módosítani a címtárat.
Az oldalhoz való hozzáféréshez engedély szükséges. Megpróbálhatja módosítani a címtárat.
Power Platform személyes adatokat és ügyféladatokat egyaránt kezel. A személyes adatokról és az ügyféladatokról az Microsoft Adatvédelmi központból tudhat meg többet.
Adattárolási hely
A Microsoft Entra bérlő a szervezet és annak biztonsága szempontjából releváns információkat tárol. Amikor egy Microsoft Entra-bérlő regisztrál a Power Platform-szolgáltatásokra, a bérlő kiválasztott makrórégiója a legmegfelelőbb Azure makrórégió földrajzi helyére van leképezve, ahol a Power Platform üzemel. A Power Platform az ügyféladatokat a bérlő által hozzárendelt Azure makrórégióban vagy otthoni földrajzi helyen tárolja, kivéve, ha a szervezetek több régióban helyeznek üzembe szolgáltatásokat. A makrórégió földrajza az adattárolási határt jelöli, amely egy adott földrajzi hely adattárolási törvényeihez igazodik. Az adott makrórégióban elérhető régiókról a Power Platform és Dynamics 365 makrórégió földrajzi helyéről tájékozódhat.
Rendszergazdaként kijelölhet egy makrórégiót, például Észak-Amerikát, Európát vagy Asia-Pacific egy adott adatközpont-régió helyett. A platform ezután automatikusan hozzárendeli az optimális adatközpont-régiót a kiválasztott makrórégió földrajzi helyéhez a kapacitás, a rendelkezésre állás és a teljesítmény szempontjai alapján. Ez a megközelítés segít skálázhatóbb, rugalmasabb és teljesíthetőbb élményt biztosítani minden ügyfél számára, miközben továbbra is tiszteletben tartja az adattárolási kötelezettségvállalásokat. Az intelligens régió kiválasztása biztosítja, hogy a környezetek optimális kapacitással és állapottal rendelkező régiókba kerüljenek, ezáltal javítva az üzemidőt és a válaszkészséget.
Egyes szervezetek globálisan vannak jelen. Előfordulhat például, hogy egy vállalkozás székhelye az Egyesült Államokban van, de Ausztráliában folytat üzleti tevékenységet. Előfordulhat, hogy bizonyos Power Platform-adatokat Ausztráliában kell tárolni a helyi előírásoknak való megfelelés érdekében. Ha a Power Platform-szolgáltatások egynél több Azure földrajzi régióban vannak telepítve, azt multi-geo telepítésnek nevezzük. Ebben az esetben a rendszer csak a környezethez kapcsolódó metaadatokat tárolja az otthoni makró geomappájában. A környezet összes metaadatát és termékadatait a távoli makró-geo tárolja.
Power Platform szolgáltatások bizonyos Azure-földrajzi helyeken érhetők el. A Power Platform szolgáltatásainak elérhetőségéről, az adatok rugalmassági célú tárolásáról és replikálásáról, valamint a használatuk módjáról az Microsoft Adatvédelmi központ nyújt további információt. Az inaktív ügyféladatok helyére vonatkozó kötelezettségeket a Microsoft Online Services Feltételeinek Adatfeldolgozásifeltételei tartalmazzák. A Microsoft önálló jogi személyek számára is biztosít adatközpontokat.
Adatok kezelése
Ez a szakasz azt ismerteti, hogy a Power Platform miként tárolja, kezeli és továbbítja az ügyféladatokat.
Inaktív adatok
Hacsak a dokumentáció másképp nem rendelkezik, az ügyféladatok tárolása az eredeti forrásban történi (például Dataverse vagy SharePoint). Power Platform Az alkalmazások az Azure Storage-ban vannak tárolva egy környezet részeként. A mobilalkalmazás-adatok titkosítva vannak és SQL Express tárolódnak. A legtöbb esetben az alkalmazások az Azure Storage használatával tárolják a Power Platform szolgáltatási adatokat, és az Azure SQL Database használatával tárolják a szolgáltatás metaadatait. Az alkalmazás felhasználói által megadott adatokat a szolgáltatás megfelelő adatforrásában, például a Dataverse-ben tárolja a rendszer.
Power Platform alapértelmezés szerint titkosítja az összes megőrzött adatot a Microsoft által felügyelt kulcsokkal. Az Azure SQL Database minden tárolt ügyféladatot teljes mértékben titkosít az Azure SQL transzparens adattitkosítási (TDE) technológiával. Az Azure Blob Storage szolgáltatásban tárolt ügyféladatok az Azure Storage titkosítása használatával vannak titkosítva.
Az adatok feldolgozása
Az adatok feldolgozás alatt vannak, ha interaktív forgatókönyv részeként használják azokat, vagy ha egy háttérfolyamat, például a frissítés, érinti azokat. A Power Platform a feldolgozás alatt lévő adatokat egy vagy több szolgáltatás számítási feladatának memóriájába tölti be. A számítási feladat működésének megkönnyítése érdekében a memóriában tárolt adatok nem titkosítottak.
Adatok továbbítása
A Power Platform a TLS 1.2 vagy újabb verziójával titkosítja az összes bejövő HTTP-forgalmat. A platform elutasítja a TLS 1.1-et vagy annál alacsonyabb verziót használó kérelmeket.
Speciális biztonsági funkciók
A Power Platform néhány speciális biztonsági funkciója speciális licenceket igényel.
Szolgáltatáscímkék
A szolgáltatáscímke egy adott Azure-szolgáltatásból származó IP-címelőtagok csoportja. A szolgáltatáscímkék segítségével hálózati hozzáférési vezérlőket határozhat meg a hálózati biztonsági csoportok vagy az Azure Firewall számára.
A szolgáltatáscímkék segítenek minimalizálni a hálózati biztonsági szabályok gyakori frissítéseinek összetettségét. Adott IP-címek helyett használjon szolgáltatáscímkéket olyan biztonsági szabályok létrehozásakor, amelyek például engedélyezik vagy tiltják a megfelelő szolgáltatás forgalmát.
A Microsoft kezeli a címcímkében található címelőtagokat, és automatikusan frissíti azokat a címek változásával. További információ: Azure IP-tartományok és szolgáltatáscímkék – nyilvános felhő.
Adatirányelvek
A Power Platform széles körű adatszabályzat-funkciókat tartalmaz az adatbiztonság kezeléséhez.
Storage közös hozzáférésű jogosultságkód (SAS) IP-korlátozása
Feljegyzés
Az SAS-funkciók aktiválása előtt az ügyfeleknek először engedélyezniük kell a https://*.api.powerplatformusercontent.com tartományhoz való hozzáférést, különben a legtöbb SAS-funkció nem fog működni.
Ez a szolgáltatáskészlet egy bérlőspecifikus funkció, amely korlátozza a Storage közös hozzáférésű jogosultságkód (SAS) jogkivonatait, és a Power Platform felügyeleti központ menüjén keresztül vezérelhető. Ez a beállítás korlátozza, hogy az IP-cím (IPv4 és IPv6) alapján ki használhat vállalati SAS-jogkivonatokat.
Ezeket a beállításokat a felügyeleti központban, a környezet Adatvédelmi és biztonsági beállításai között találja. Kapcsolja be az IP-címalapú tároló megosztott hozzáférésű jogosultságkód (SAS) szabályának engedélyezését .
A rendszergazdák az alábbi négy lehetőség közül választhatnak ehhez a beállításhoz:
| Beállítás | Beállítás | Description |
|---|---|---|
| 0 | Csak IP-kötés | Ez a beállítás az SAS-kulcsokat a kérelmező IP-címére korlátozza. |
| 2 | Csak IP-tűzfal | Ez korlátozza az SAS-kulcsok használatát, hogy csak a rendszergazda által megadott tartományon belül működjön. |
| 3 | IP-kötés és tűzfal | Ez korlátozza az SAS-kulcsok használatát a rendszergazda által megadott tartományon belül, és csak a kérelmező IP-címére. |
| 4 | IP-kötés vagy tűzfal | Lehetővé teszi az SAS-kulcsok használatát a megadott tartományon belül. Ha a kérés a tartományon kívülről érkezik, a rendszer IP-kötést alkalmaz. |
Feljegyzés
Azoknak a rendszergazdáknak, akik úgy döntenek, hogy engedélyezik az IP-tűzfalat (a fenti táblázatban felsorolt 2., 3. és 4. lehetőség), meg kell adniuk hálózatuk IPv4- és IPv6-tartományát is , hogy biztosítsák a felhasználók megfelelő lefedettségét.
Figyelmeztetés:
Az 1. és 3. lehetőség IP-kötést használ, amely nem működik megfelelően, ha az ügyfelek IP-készletekkel, fordított proxyval vagy hálózati címfordítással (NAT) kompatibilis átjárókkal rendelkeznek a hálózatukon belül. Ez azt eredményezi, hogy a felhasználó IP-címe túl gyakran változik ahhoz, hogy a kérelmező megbízhatóan ugyanazt az IP-címet használja az SAS olvasási/írási műveletei között.
A 2. és 4. lehetőség rendeltetésszerűen működik.
Az IP-kötést kényszerítő termékek, ha engedélyezve vannak:
- Dataverse
- Power Automate
- Egyéni összekötők
- Power Apps
Hatás a felhasználói élményre
Amikor egy felhasználó, aki nem felel meg a környezet IP-címkorlátozásainak, megnyit egy alkalmazást: A felhasználók egy általános IP-problémára hivatkozó hibaüzenetet kapnak.
Amikor egy olyan felhasználó, aki megfelel az IP-címre vonatkozó korlátozásoknak, megnyit egy alkalmazást: A következő események történnek:
- A felhasználók gyorsan eltűnő szalaghirdetést kaphatnak, amely tájékoztatja a felhasználókat arról, hogy az IP-beállítás be van állítva, és kapcsolatba léphetnek az adminisztrátorral a részletekért, vagy frissíthetik a kapcsolatot megszakító oldalakat.
- Ennél is fontosabb, hogy a biztonsági beállítás által használt IP-érvényesítés miatt egyes funkciók lassabban működhetnek, mintha ki lennének kapcsolva.
Beállítások programozott frissítése
A rendszergazdák automatizálással állíthatják be és frissíthetik az IP-kötés és a tűzfal beállítását, az engedélyezett IP-címtartományt és a naplózási kapcsolót. További információ: Oktatóanyag: Környezetkezelési beállítások létrehozása, frissítése és listázása.
SAS-hívások naplózása
Ez a beállítás lehetővé teszi, hogy az összes SAS-hívás Power Platform bejelentkezzen a Purview-ba. Ez a naplózás az összes létrehozási és használati esemény releváns metaadatait jeleníti meg, és a fenti SAS IP-korlátozásoktól függetlenül engedélyezhető. Power Platform a szolgáltatások jelenleg 2024-ben veszik fel a SAS-hívásokat.
| Mező neve | Mező leírása |
|---|---|
response.status_message |
Azt jelzi, hogy az esemény sikeres volt-e vagy sem: SASSuccess vagy SASAuthorizationError. |
response.status_code |
Azt jelzi, hogy az esemény sikeres volt-e, vagy sem: 200, 401 vagy 500. |
ip_binding_mode |
A bérlői rendszergazda által beállított IP-kötési mód, ha be van kapcsolva. Csak az SAS-létrehozási eseményekre vonatkozik. |
admin_provided_ip_ranges |
A bérlői rendszergazda által beállított IP-címtartományok, ha vannak ilyenek. Csak az SAS-létrehozási eseményekre vonatkozik. |
computed_ip_filters |
Az SAS URI-khoz kötött IP-szűrők végső készlete az IP-kötési mód és a bérlői rendszergazda által beállított tartományok alapján. Az SAS létrehozási és használati eseményeire egyaránt vonatkozik. |
analytics.resource.sas.uri |
Az elérni vagy létrehozni kívánt adatok. |
enduser.ip_address |
A hívó fél nyilvános IP-címe. |
analytics.resource.sas.operation_id |
A létrehozási esemény egyedi azonosítója. A keresés alapján megjeleníti a létrehozási esemény SAS-hívásaihoz kapcsolódó összes használati és létrehozási eseményt. Megfeleltetve a x-ms-sas-operation-id válaszfejlécre. |
request.service_request_id |
A kérés vagy válasz egyedi azonosítója, amely egyetlen rekord keresésére használható. Megfeleltetve a x-ms-service-request-id válaszfejlécre. |
version |
A naplóséma verziója. |
type |
Általános válasz. |
analytics.activity.name |
Az esemény tevékenységének típusa: Létrehozás vagy Használat. |
analytics.activity.id |
A rekord egyedi azonosítója a Purview-ban. |
analytics.resource.organization.id |
Szervezeti azonosító |
analytics.resource.environment.id |
Környezet azonosítója |
analytics.resource.tenant.id |
Bérlő azonosító |
enduser.id |
A létrehozási esemény létrehozójának azonosítójából származó Microsoft Entra GUID azonosító. |
enduser.principal_name |
Az alkotó UPN-je/e-mail-címe. Használati események esetén ez egy általános válasz: "system@powerplatform". |
enduser.role |
Általános válasz: Rendszeres a létrehozási eseményekhez és a rendszer a használati eseményekhez. |
A Purview naplózás bekapcsolása
Ahhoz, hogy a naplók megjelenjenek a Purview-példányban, először minden olyan környezethez be kell jelentkeznie, amelyhez naplókat szeretne. Ezt a beállítást Power Platform a felügyeleti központban frissítheti egy bérlői rendszergazda.
- Jelentkezzen be a Power Platform felügyeleti központjába bérlői rendszergazdai hitelesítő adatokkal.
- A navigációs panelen válassza a Kezelés lehetőséget.
- A Kezelés panelen válassza a Környezetek lehetőséget.
- Válassza ki azt a környezetet, amelyhez be szeretné kapcsolni a rendszergazdai naplózást.
- Válassza a Beállítások lehetőséget a parancssávon.
- Válassza a Termékadatvédelem + biztonság> lehetőséget.
- A Storage közös hozzáférésű jogosultságkód (SAS) biztonsági beállításai (előzetes verzió) alatt kapcsolja be az SAS-naplózás engedélyezése a Purview-ban funkciót.
Keresés az auditnaplókban
A bérlői rendszergazdák a Purview használatával megtekinthetik az SAS-műveletekhez kibocsátott auditnaplókat, és öndiagnosztizálhatják az IP-érvényesítési problémák esetén visszaadott hibákat. A Purview-naplók a legmegbízhatóbb megoldás.
Az alábbi lépésekkel diagnosztizálhatja a problémákat, vagy jobban megismerheti az SAS-használati mintákat a bérlőn belül.
Győződjön meg arról, hogy a naplózás be van kapcsolva a környezetben. Lásd: A Purview naplózás bekapcsolása.
Nyissa meg a Microsoft Purview megfelelőségi portál , és jelentkezzen be bérlői rendszergazdai hitelesítő adatokkal.
A bal oldali navigációs panelen válassza a Naplózás lehetőséget. Ha ez a beállítás nem érhető el az Ön számára, az azt jelenti, hogy a bejelentkezett felhasználó nem rendelkezik rendszergazdai hozzáféréssel az auditnaplók lekérdezéséhez.
Válassza ki a dátum- és időtartományt UTC-ben a naplók kereséséhez. Például ha egy 403-as tiltott hibát adott vissza unauthorized_caller hibakóddal.
A legördülő listában keresse meg a Power Platform tárolási műveleteit, és válassza a
Activities - friendly namesLétrehozott SAS URI és a Használt SAS URI lehetőséget.Adjon meg egy kulcsszót a kulcsszókeresésben . További információ erről a mezőről: Első lépések a kereséssel a Purview dokumentációjában. A fenti táblázatban leírt mezők bármelyikének értékét használhatja a forgatókönyvtől függően, de az alábbiakban felsoroljuk az ajánlott mezőket a kereséshez (preferenciasorrendben):
- A válaszfejléc értéke
x-ms-service-request-id. Ez az érték egy SAS URI létrehozási eseményre vagy egy SAS URI használati eseményre szűri az eredményeket attól függően, hogy a fejléc melyik kérelemtípusból származik. Ez akkor hasznos, ha a felhasználónak visszaadott 403 tiltott hibát vizsgál. Azt is használhatja, hogy megragadja azpowerplatform.analytics.resource.sas.operation_idértéket. - A válaszfejléc értéke
x-ms-sas-operation-id. Ez az érték egy SAS URI létrehozási eseményre és egy vagy több használati eseményre szűri az eredményeket az adott SAS URI-hoz attól függően, hogy hányszor fért hozzá. Ez megfelel a mezőnekpowerplatform.analytics.resource.sas.operation_id. - Teljes vagy részleges SAS URI, mínusz az aláírás. Ez számos SAS URI-létrehozást és számos SAS URI-használati eseményt adhat vissza, mert előfordulhat, hogy ugyanaz az URI annyiszor lesz kérve a létrehozáshoz, ahányszor szükséges.
- Hívó fél IP-címe. Az adott IP-cím összes létrehozási és használati eseményét visszaadja.
- Környezeti azonosító. Ez nagy adathalmazt adhat vissza, amely számos különböző ajánlatra Power Platform kiterjedhet, ezért lehetőség szerint kerülje el, vagy fontolja meg a keresési ablak szűkítését.
Figyelmeztetés:
Ne keressen felhasználónevet vagy objektumazonosítót, mert ezek az értékek csak létrehozási eseményekre propagálnak, nem használati eseményekre.
- A válaszfejléc értéke
Válassza a Keresés lehetőséget , és várja meg, amíg megjelennek az eredmények.
Figyelmeztetés:
A Purview-ba való bejelentkezés akár egy órával vagy tovább is késhet, ezért ezt tartsa szem előtt a legutóbbi események keresésekor.
A 403-as tiltott/unauthorized_caller hiba elhárítása
A létrehozási és használati naplók segítségével megállapíthatja, hogy egy hívás miért eredményez 403 tiltott hibát unauthorized_caller hibakóddal.
- Keresse meg a naplókat a Purview-ban az előző szakaszban leírtak szerint. Fontolja meg a válaszfejlécek x-ms-service-request-id vagy x-ms-sas-operation-idhasználatát keresési kulcsszóként.
- Nyissa meg a usage eseményt,Used SAS URI-t, és keresse meg a powerplatform.analytics.resource.sas.computed_ip_filters mezőt a PropertyCollection alatt. Ezt az IP-címtartományt használja az SAS-hívás annak meghatározására, hogy a kérés jogosult-e a folytatásra.
- Hasonlítsa össze ezt az értéket a napló IP-cím mezőjével, amely elegendő a kérés sikertelenségének megállapításához.
- Ha úgy gondolja, hogy a powerplatform.analytics.resource.sas.computed_ip_filters értéke helytelen, folytassa a következő lépésekkel.
- Nyissa meg a létrehozási eseményt,Created SAS URI a x-ms-sas-operation-id válaszfejléc értékével (vagy a létrehozási napló mezőjének érték powerplatform.analytics.resource.sas.operation_id ével ).
- Szerezze be powerplatform.analytics.resource.sas.ip_binding_mode mező értékét . Ha hiányzik vagy üres, az azt jelenti, hogy az IP-kötés nem volt bekapcsolva az adott környezetben az adott kérés időpontjában.
- Szerezze meg a powerplatform.analytics.resource.sas.admin_provided_ip_ranges értékét. Ha hiányzik vagy üres, az azt jelenti, hogy az adott kérés időpontjában nem voltak megadva az adott környezethez tartozó IP-tűzfaltartományok.
- Szerezze be a powerplatform.analytics.resource.sas.computed_ip_filters értékét, amelynek meg kell egyeznie a használati eseménnyel, és az IP-kötési mód és a rendszergazda által biztosított IP-tűzfaltartományok alapján származik. Lásd a származtatási logikát az Adattárolás és -irányítás című témakörben Power Platform.
Ezek az információk segítenek a bérlői rendszergazdáknak kijavítani a környezet IP-kötési beállításainak hibás konfigurációját.
Figyelmeztetés:
Az SAS IP-kötés környezeti beállításainak módosítása legalább 30 percet igénybe vehet. Több is lehet, ha a partnercsapatok saját gyorsítótárral rendelkeznek.
Kapcsolódó cikkek
Biztonsági áttekintés
Hitelesítés a szolgáltatásokhoz Power Platform
Csatlakozás és hitelesítés adatforrásokhoz
Power Platform Biztonsági GYIK