Penyimpanan dan tata kelola data di Power Platform
Pertama, membedakan antara data pribadi dan data pelanggan.
Data pribadi adalah informasi tentang orang yang dapat digunakan untuk mengidentifikasinya.
Data pelanggan mencakup data pribadi dan informasi pelanggan lainnya, termasuk URL, metadata, dan informasi otentikasi karyawan, seperti nama DNS.
Residensi data
Penyewa Microsoft Entra menyimpan informasi yang relevan dengan organisasi dan keamanannya. Saat penyewa Microsoft Entra mendaftar untuk Power Platform layanan, negara atau wilayah yang dipilih penyewa dipetakan ke geografi Azure yang paling sesuai tempat Power Platform penyebaran ada. Power Platform menyimpan data pelanggan dalam geografi Azure yang ditetapkan penyewa, atau geografis awal, kecuali jika organisasi menyebarkan layanan di beberapa kawasan.
Beberapa organisasi memiliki kehadiran global. Misalnya, bisnis mungkin berkantor pusat di Amerika Serikat namun melakukan bisnis di Australia. Ia tertentu memerlukan Power Platform tertentu disimpan di Australia agar sesuai dengan peraturan lokal. Bila layanan Power Platform disebarkan di lebih dari satu geografi Azure, layanan tersebut disebut sebagai penyebaran multi-geografis . Dalam kasus ini, hanya metadata yang terkait dengan lingkungan yang disimpan di geografis awal. Semua metadata dan data produk di lingkungan tersebut disimpan di geografis jarak jauh.
Microsoft dapat mereplikasi data ke kawasan lain untuk resiliensi data. Namun, kami tidak mereplikasi atau memindahkan data pribadi di luar geografis. Data yang direplikasi ke wilayah lain dapat mencakup data nonpribadi seperti informasi autentikasi karyawan.
Power Platform layanan tersedia di geografi Azure tertentu. Untuk informasi lebih lanjut Power Platform tentang lokasi layanan yang tersedia, tempat data Anda disimpan, dan penggunaannya, buka Microsoft Trust Center. Komitmen mengenai lokasi data pelanggan saat sedang beristirahat ditentukan dalam Persyaratan Pemrosesan Data dari Persyaratan Layanan Microsoft Online. Microsoft juga menyediakan pusat data untuk entitas berdaulat.
Menangani data
Bagian ini menjelaskan cara Power Platform menyimpan, memproses, dan memindahkan data pelanggan.
data tidak aktif
Kecuali dinyatakan lain dalam dokumentasi, data pelanggan tetap berada di sumber asli (misalnya, Dataverse atau SharePoint). Aplikasi Power Platform disimpan dalam Azure Storage sebagai bagian dari lingkungan. Data yang digunakan dalam aplikasi perangkat bergerak dienkripsi dan disimpan dalam SQL Express. Seringnya, aplikasi menggunakan Azure Storage untuk mempertahankan data layanan Power Platform dan Database Azure SQL untuk mempertahankan metadata layanan. Data yang dimasukkan oleh pengguna aplikasi disimpan dalam daftar sumber data untuk layanan, misalnya Dataverse.
Semua data yang disimpan oleh Power Platform dienkripsi secara default menggunakan kunci terkelola Microsoft. Data pelanggan yang tersimpan di Database Azure SQL dienkripsi sepenuhnya menggunakan teknologi TDE (Enkripsi Data Transparan) Azure SQL. Data pelanggan yang disimpan di Azure Blob Storage dienkripsi menggunakan enkripsi Azure Storage.
Data yang diproses
Data sedang dalam pemrosesan saat sedang digunakan sebagai bagian dari skenario interaktif atau ketika proses latar belakang, seperti refresh, menyentuhnya. Power Platform memuat data dalam pemrosesan ke ruang memori satu atau beberapa beban kerja layanan. Untuk memudahkan fungsi beban kerja, data yang tersimpan dalam memori tidak dienkripsi.
Data dalam perjalanan
Power Platform mengharuskan semua lalu lintas HTTP masuk dienkripsi menggunakan TLS 1.2 atau yang lebih tinggi. Permintaan yang mencoba menggunakan TLS 1.1 atau yang lebih rendah ditolak.
Fitur keamanan tingkat lanjut
Beberapa fitur keamanan Power Platform canggih memiliki persyaratan lisensi khusus.
Tag Layanan
Tag layanan menunjukkan grup prefiks alamat IP dari layanan Azure yang ditentukan. Anda dapat menggunakan tag layanan untuk menentukan kontrol akses jaringan di Grup Keamanan Jaringan atau Azure Firewall.
Tag layanan membantu meminimalkan kompleksitas pembaruan yang sering terjadi pada aturan keamanan jaringan. Anda dapat menggunakan tag layanan sebagai tempat alamat IP tertentu saat membuat aturan keamanan, misalnya mengizinkan atau menolak lalu lintas untuk layanan terkait.
Microsoft mengelola awalan alamat yang tercakup dalam tag layanan, dan secara otomatis memperbarui tag layanan saat alamat berubah. Untuk informasi lebih lanjut, lihat Rentang IP dan Tag Layanan Azure – Cloud Publik.
pencegahan kehilangan data
Power Platform memiliki serangkaian fitur Pencegahan Kehilangan Data (DLP) untuk membantu Anda mengelola keamanan data.
Pembatasan IP Tanda Tangan Akses Bersama (SAS) Penyimpanan
Catatan
Sebelum mengaktifkan salah satu fitur SAS ini, pelanggan harus terlebih dahulu mengizinkan akses ke https://*.api.powerplatformusercontent.com domain atau sebagian besar fungsionalitas SAS tidak akan berfungsi.
Kumpulan fitur ini adalah fungsionalitas khusus penyewa yang membatasi token Tanda Tangan Akses Bersama (SAS) Penyimpanan dan dikontrol melalui menu di Power Platform pusat admin. Pengaturan ini membatasi siapa, berdasarkan IP, dapat menggunakan token SAS perusahaan.
Fitur ini saat ini dalam pratinjau pribadi. Pratinjau umum direncanakan untuk akhir musim semi ini, dengan ketersediaan umum pada musim panas 2024. Untuk informasi selengkapnya, lihat Perencana Rilis.
Pengaturan ini dapat ditemukan di pengaturan Privasi + Keamanan lingkungan di pusat admin. Anda harus mengaktifkan opsi aturan Aktifkan Tanda Tangan Akses Bersama Penyimpanan (SAS) berbasis alamat IP.
Admin dapat mengaktifkan salah satu dari empat konfigurasi ini untuk pengaturan ini:
| Pengaturan | Description |
|---|---|
| Hanya Pengikatan IP | Ini membatasi kunci SAS ke IP pemohon. |
| Hanya Firewall IP | Ini membatasi penggunaan kunci SAS agar hanya berfungsi dalam rentang yang ditentukan admin. |
| Pengikatan IP dan Firewall | Ini membatasi penggunaan kunci SAS untuk bekerja dalam rentang yang ditentukan admin dan hanya untuk IP pemohon. |
| IP Binding atau Firewall | Mengizinkan kunci SAS digunakan dalam rentang yang ditentukan. Jika permintaan berasal dari luar rentang, IP Binding diterapkan. |
Produk yang menerapkan IP Binding saat diaktifkan:
- Dataverse
- Power Automate
- Konektor Kustom
- Power Apps
Dampak pada pengalaman pengguna
Saat pengguna, yang tidak memenuhi batasan alamat IP lingkungan, membuka aplikasi: Pengguna mendapatkan pesan kesalahan yang menyebutkan masalah IP umum.
Saat pengguna, yang memenuhi batasan alamat IP, membuka aplikasi: Peristiwa berikut terjadi:
- Pengguna mungkin mendapatkan spanduk yang akan segera menghilang memberi tahu pengguna bahwa pengaturan IP telah diatur dan menghubungi admin untuk mengetahui detail atau untuk menyegarkan halaman apa pun yang kehilangan koneksi.
- Lebih penting lagi, karena validasi IP yang digunakan pengaturan keamanan ini, beberapa fungsi mungkin bekerja lebih lambat daripada jika dimatikan.
Pencatatan panggilan SAS
Pengaturan ini memungkinkan semua panggilan SAS di dalamnya Power Platform untuk masuk ke Purview. Pengelogan ini menunjukkan metadata yang relevan untuk semua peristiwa pembuatan dan penggunaan dan dapat diaktifkan secara independen dari pembatasan IP SAS di atas. Power Platform layanan saat ini sedang melakukan panggilan SAS pada tahun 2024.
| Nama bidang | Deskripsi bidang |
|---|---|
| response.status_message | Menginformasikan apakah acara tersebut berhasil atau tidak: SASSuccess atau SASAuthorizationError. |
| response.status_code | Menginformasikan apakah acara tersebut berhasil atau tidak: 200, 401, atau 500. |
| ip_binding_mode | Mode pengikatan IP yang diatur oleh admin penyewa, jika diaktifkan. Hanya berlaku untuk peristiwa pembuatan SAS. |
| admin_provided_ip_ranges | Rentang IP yang ditetapkan oleh admin penyewa, jika ada. Hanya berlaku untuk peristiwa pembuatan SAS. |
| computed_ip_filters | Kumpulan terakhir filter IP yang terikat ke URI SAS berdasarkan mode pengikatan IP dan rentang yang ditetapkan oleh admin penyewa. Berlaku untuk peristiwa pembuatan dan penggunaan SAS. |
| analytics.resource.sas.uri | Data yang mencoba diakses atau dibuat. |
| enduser.ip_address | IP publik penelepon. |
| analytics.resource.sas.operation_id | Pengidentifikasi unik dari peristiwa pembuatan. Mencari berdasarkan ini menunjukkan semua peristiwa penggunaan dan pembuatan yang terkait dengan panggilan SAS dari peristiwa pembuatan. Dipetakan ke header respons "x-ms-sas-operation-id". |
| request.service_request_id | Pengidentifikasi unik dari permintaan atau respons dan dapat digunakan untuk mencari satu rekaman. Dipetakan ke header respons "x-ms-service-request-id". |
| versi | Versi skema log ini. |
| jenis | Respons generik. |
| analytics.activity.name | Jenis aktivitas acara ini adalah: Pembuatan atau Penggunaan. |
| analytics.activity.id | ID unik rekaman di Purview. |
| analytics.resource.organization.id | ID Organisasi |
| analytics.resource.environment.id | ID Lingkungan |
| analytics.resource.tenant.id | ID Penyewa |
| enduser.id | GUID dari Microsoft Entra ID pembuat dari peristiwa pembuatan. |
| enduser.principal_name | Alamat UPN/email pembuat. Untuk peristiwa penggunaan, ini adalah respons generik: "system@powerplatform". |
| Pengguna akhir.peran | Respons generik: Reguler untuk peristiwa pembuatan dan Sistem untuk peristiwa penggunaan. |
Mengaktifkan pengelogan audit Purview
Agar log ditampilkan di instans Purview Anda, Anda harus terlebih dahulu memilihnya untuk setiap lingkungan yang Anda inginkan lognya. Pengaturan ini dapat diperbarui di Power Platform pusat admin oleh admin penyewa.
- Buka Power Platform pusat admin dan masuk dengan kredensial admin penyewa.
- Di panel navigasi kiri, pilih Lingkungan.
- Pilih lingkungan yang ingin Anda aktifkan pencatatan adminnya.
- Pilih Pengaturan di bilah perintah.
- Pilih Privasi + Keamanan> Produk.
- Di bawah Pengaturan Keamanan Tanda Tangan Akses Bersama (SAS) Penyimpanan (pratinjau), aktifkan fitur Aktifkan Pengelogan SAS di Purview .
Menelusuri log audit
Admin penyewa dapat menggunakan Purview untuk melihat log audit yang dipancarkan untuk operasi SAS, dan dapat mendiagnosis sendiri kesalahan yang mungkin dikembalikan dalam masalah validasi IP. Log di Purview adalah solusi yang paling andal.
Gunakan langkah-langkah berikut untuk mendiagnosis masalah atau lebih memahami pola penggunaan SAS dalam penyewa Anda.
Pastikan logging audit diaktifkan untuk lingkungan. Lihat Mengaktifkan pengelogan audit Purview.
Buka portal kepatuhan Microsoft Purview dan masuk dengan kredensial admin penyewa.
Di panel navigasi kiri, pilih Audit. Jika opsi ini tidak tersedia untuk Anda, itu berarti pengguna yang masuk tidak memiliki akses admin untuk mengkueri log audit.
Pilih rentang tanggal dan waktu dalam UTC saat Anda mencoba mencari log. Misalnya, ketika kesalahan 403 Forbidden dengan kode kesalahan unauthorized_caller dikembalikan.
Dari daftar dropdown Aktivitas - nama ramah , cari Power Platform operasi penyimpanan dan pilih URI SAS yang dibuat dan URI SAS yang digunakan.
Tentukan kata kunci di Pencarian Kata Kunci. Lihat Memulai pencarian di dokumentasi Purview untuk mempelajari selengkapnya tentang bidang ini. Anda dapat menggunakan nilai dari salah satu bidang yang dijelaskan dalam tabel di atas tergantung pada skenario Anda, tetapi di bawah ini adalah bidang yang direkomendasikan untuk dicari (dalam urutan preferensi):
- Nilai header x-ms-service-request-idrespons . Ini memfilter hasilnya ke satu peristiwa Pembuatan URI SAS atau satu peristiwa penggunaan URI SAS, tergantung pada jenis permintaan dari mana header berasal. Ini berguna saat menyelidiki kesalahan 403 Forbidden yang dikembalikan kepada pengguna. Ini juga dapat digunakan untuk mengambil nilai powerplatform.analytics.resource.sas.operation_id .
- Nilai header x-ms-sas-operation-idrespons . Ini memfilter hasilnya ke satu peristiwa pembuatan URI SAS dan satu atau beberapa peristiwa penggunaan untuk URI SAS tersebut tergantung pada berapa kali diakses. Ini memetakan ke bidang powerplatform.analytics.resource.sas.operation_id .
- URI SAS penuh atau sebagian, dikurangi tanda tangan. Ini mungkin mengembalikan banyak pembuatan URI SAS dan banyak peristiwa penggunaan URI SAS, karena URI yang sama dimungkinkan untuk diminta untuk pembuatan sebanyak yang diperlukan.
- Alamat IP penelepon. Mengembalikan semua peristiwa pembuatan dan penggunaan untuk IP tersebut.
- ID Lingkungan. Ini mungkin mengembalikan sekumpulan besar data yang dapat mencakup banyak penawaran Power Platform yang berbeda, jadi hindari jika memungkinkan atau pertimbangkan untuk mempersempit jendela pencarian.
Peringatan
Kami tidak menyarankan untuk mencari Nama Prinsipal Pengguna atau ID Objek, karena hanya disebarkan ke peristiwa pembuatan, bukan peristiwa penggunaan.
Pilih Cari dan tunggu hingga hasilnya muncul.
Peringatan
Penyerapan log ke Purview dapat ditunda hingga satu jam atau lebih, jadi ingatlah hal itu saat mencari peristiwa terbaru.
Pemecahan masalah 403 Kesalahan Terlarang/unauthorized_caller
Anda dapat menggunakan log pembuatan dan penggunaan untuk menentukan mengapa panggilan akan menghasilkan kesalahan 403 Terlarang dengan kode kesalahan unauthorized_caller .
- Temukan log di Purview seperti yang dijelaskan di bagian sebelumnya. Pertimbangkan untuk menggunakan x-ms-service-request-id atau x-ms-sas-operation-id dari header respons sebagai kata kunci pencarian.
- Buka peristiwa penggunaan, SAS URI yang digunakan, dan cari bidang powerplatform.analytics.resource.sas.computed_ip_filters di bawah PropertyCollection. Rentang IP ini adalah apa yang digunakan panggilan SAS untuk menentukan apakah permintaan diizinkan untuk dilanjutkan atau tidak.
- Bandingkan nilai ini dengan bidang Alamat IP log, yang seharusnya cukup untuk menentukan mengapa permintaan gagal.
- Jika menurut Anda nilai powerplatform.analytics.resource.sas.computed_ip_filters salah, lanjutkan dengan langkah berikutnya.
- Buka peristiwa pembuatan,Membuat SAS URI, dengan mencari menggunakan nilai header x-ms-sas-operation-id respons (atau nilai bidang powerplatform.analytics.resource.sas.operation_id dari log pembuatan).
- Dapatkan nilai bidang powerplatform.analytics.resource.sas.ip_binding_mode . Jika hilang atau kosong, itu berarti pengikatan IP tidak diaktifkan untuk lingkungan tersebut pada saat permintaan tertentu.
- Dapatkan nilai powerplatform.analytics.resource.sas.admin_provided_ip_ranges. Jika hilang atau kosong, itu berarti rentang firewall IP tidak ditentukan untuk lingkungan tersebut pada saat permintaan tertentu.
- Dapatkan nilai powerplatform.analytics.resource.sas.computed_ip_filters, yang harus identik dengan peristiwa penggunaan dan diturunkan berdasarkan mode pengikatan IP dan rentang firewall IP yang disediakan admin. Lihat logika derivasi di Penyimpanan data dan tata kelola di. Power Platform
Ini akan memberi admin penyewa informasi yang cukup untuk memperbaiki kesalahan konfigurasi terhadap lingkungan untuk pengaturan pengikatan IP.
Peringatan
Perubahan yang dibuat pada pengaturan lingkungan untuk pengikatan IP SAS dapat memakan waktu setidaknya 30 menit untuk diterapkan. Bisa lebih jika tim mitra memiliki cache mereka sendiri.
Artikel terkait
Keamanan dalam Microsoft Power Platform
Mengautentikasi ke layanan Power Platform
Menyambungkan dan mengautentikasi ke sumber data
Power Platform Tanya-jawab Keamanan
Baca juga
Saran dan Komentar
Segera hadir: Sepanjang tahun 2024 kami akan menghentikan penggunaan GitHub Issues sebagai mekanisme umpan balik untuk konten dan menggantinya dengan sistem umpan balik baru. Untuk mengetahui informasi selengkapnya, lihat: https://aka.ms/ContentUserFeedback.
Kirim dan lihat umpan balik untuk