Archiviazione e governance dei dati in Power Platform

  • Articolo

In primo luogo, è importante distinguere tra dati personali e dati del cliente.

  • I dati personali sono informazioni sulle persone che possono essere utilizzate per identificarle.

  • I dati dei clienti includono dati personali e altri dati dei clienti come URL, metadati e informazioni di autenticazione dei dipendenti come i nomi DNS.

Residenza dei dati

Un tenant Microsoft Entra ospita le informazioni rilevanti per un'organizzazione e la sua sicurezza. Quando un tenant Microsoft Entra si registra per i servizi Power Platform, il paese o l'area geografica selezionati dal tenant viene mappato all'area geografica di Azure più adatta in cui esiste la distribuzione Power Platform. Power Platform archivia i dati del cliente nell'area geografica di Azure assegnata al tenant oppure geografia principale, tranne nei casi in cui le organizzazioni distribuiscono servizi in più aree geografiche.

Alcune organizzazioni hanno una presenza globale. Ad esempio, un'azienda può avere sede negli Stati Uniti ma fare affari in Australia. Potrebbe essere necessario che alcuni dati Power Platform vengano archiviati in Australia per conformità alle normative locali. Quando i servizi Power Platform vengono distribuiti in più aree geografiche di Azure, viene indicato come distribuzione a più aree geografiche. In questo caso, nella geografia principale vengono memorizzati solo i metadati relativi all'ambiente. Tutti i metadati e i dati di prodotto in quell'ambiente sono archiviati nell'area geografica remota.

Microsoft può replicare i dati in altre aree geografiche per la resilienza dei dati. Tuttavia, non replichiamo o spostiamo i dati personali al di fuori dell'area geografica. I dati replicati in altre regioni possono includere dati non personali come le informazioni di autenticazione dei dipendenti.

I servizi Power Platform sono disponibili in aree geografiche di Azure specifiche. Per altre informazioni su dove sono disponibili i servizi Power Platform, dove vengono archiviati i dati e su come vengono usati, vedi il Centro protezione Microsoft. Le direttive sulla posizione di archiviazione dei dati inattivi dei clienti sono specificate nelle Condizioni dell'elaborazione dati delle Condizioni dei servizi online Microsoft. Microsoft offre anche data center per entità sovrane.

Trattamento dei dati

Questa sezione illustra come Power Platform memorizza, elabora e trasferisce i dati dei clienti.

Dati inattivi

Salvo diversa indicazione nella documentazione, i dati del cliente rimangono nella loro fonte originale (ad esempio, Dataverse o SharePoint). Un'app Power Platform viene archiviata in Archiviazione di Azure come parte di un ambiente. I dati usati nelle app per dispositivi mobili vengono crittografati e archiviati in SQL Express. Nella maggior parte dei casi, le app usano Archiviazione di Azure per memorizzare in modo permanente i dati del servizio Power Platform e il database SQL di Azure per memorizzare in modo permanente i metadati del servizio. I dati inseriti dagli utenti dell'app sono memorizzati nella rispettiva origine dati per il servizio, come Dataverse.

Tutti i dati memorizzati in modo permanente da Power Platform sono crittografati per impostazione predefinita utilizzando chiavi gestite da Microsoft. Tutte i dati del cliente archiviati nel database SQL di Azure vengono crittografati completamente usando la tecnologia Transparent Data Encryption (TDE) di SQL di Azure. I dati dei clienti archiviati nell'archiviazione BLOB di Azure vengono crittografati usando la crittografia di archiviazione di Azure.

Dati in elaborazione

I dati sono in elaborazione quando vengono utilizzati come parte di uno scenario interattivo o quando un processo in background come l'aggiornamento tocca questi dati. Power Platform carica i dati elaborati nello spazio di memoria di uno o più carichi di lavoro del servizio. Per facilitare la funzionalità del carico di lavoro, i dati archiviati in memoria non sono crittografati.

Dati in transito

Power Platform richiede che tutto il traffico HTTP in entrata sia crittografato utilizzando TLS 1.2 o versioni successive. Le richieste che tentano di utilizzare TLS 1.1 o versioni precedenti vengono rifiutate.

Funzionalità di sicurezza avanzata

Alcune delle funzionalità di sicurezza avanzata di Power Platform hanno requisiti di licenza specifici.

Tag di servizio

Un tag di servizio rappresenta un gruppo di prefissi di indirizzi IP da un servizio di Azure specificato. Puoi usare i tag di servizio per definire i controlli di accesso alla rete nei gruppi di sicurezza di rete o nel firewall di Azure.

I tag di servizio aiutano a ridurre al minimo la complessità degli aggiornamenti frequenti delle regole di sicurezza della rete. È possibile utilizzare i tag di servizio al posto di indirizzi IP specifici quando si creano regole di sicurezza che, ad esempio, consentono o negano il traffico per il servizio corrispondente.

Microsoft gestisce i prefissi degli indirizzi inclusi nel tag del servizio e aggiorna automaticamente il tag del servizio quando gli indirizzi cambiano. Per alter informazioni, vedi Intervalli IP e tag di servizio di Azure - Cloud pubblico.

Prevenzione della perdita dei dati

Power Platform ha una vasta gamma di Funzionalità di prevenzione della perdita di dati (DLP) per aiutarti a gestire la sicurezza dei dati.

Restrizione IP della firma di accesso condiviso (SAS) di archiviazione

Nota

Prima di attivare una di queste funzionalità SAS, i clienti devono consentire l'accesso al dominio https://*.api.powerplatformusercontent.com o la maggior parte delle funzionalità SAS non funzioneranno.

Questo set di funzionalità è una funzionalità specifica del tenant che limita i token SAS (Storage Shared Access Signature) ed è controllata tramite un menu nell'interfaccia di amministrazione di Power Platform. Questa impostazione limita chi, in base all'IP, può utilizzare i token SAS aziendali.

Questa funzionalità è attualmente in fase di anteprima privata. L'anteprima pubblica è prevista per la fine della primavera, con disponibilità generale nell'estate 2024. Per ulteriori informazioni, vedi Pianificazione rilasci.

Queste impostazioni sono disponibili nelle impostazioni di Privacy e sicurezza dell'ambiente Dataverse nell'interfaccia di amministrazione. È necessario attivare l'opzione Abilita regola SAS (Storage Shared Access Signature) basata su indirizzo IP.

Gli amministratori possono abilitare una di queste quattro configurazioni per questa impostazione:

Impostazione Descrzione
Solo binding IP Ciò limita le chiavi SAS all'IP del richiedente.
Solo firewall IP Ciò limita l'utilizzo delle chiavi SAS in modo che funzioni solo entro un intervallo specificato dall'amministratore.
Binding IP e firewall Ciò limita l'utilizzo delle chiavi SAS in modo che funzioni all'interno dell'intervallo specificato dall'amministratore solo all'IP del richiedente.
Binding IP o firewall Consente l'uso delle chiavi SAS all'interno dell'intervallo specificato. Se la richiesta proviene dall'esterno dell'intervallo, viene applicato il collegamento IP.

Prodotti che impongono l'associazione IP quando abilitati:

  • Dataverse
  • Power Automate
  • Connettori personalizzati
  • Power Apps

Impatto sulle esperienze di Power App

  • Quando un utente che non soddisfa le restrizioni relative all'indirizzo IP di un ambiente apre un'app: viene visualizzato il seguente messaggio: "Questa app ha smesso di funzionare. Prova ad aggiornare il browser". È previsto l'aggiornamento di questa esperienza per fornire all'utente informazioni più contestuali sul motivo per cui non è stato possibile avviare l'app.

  • Quando un utente, che soddisfa le restrizioni relative all'indirizzo IP, apre un'app: si verificano i seguenti eventi:

    • Viene visualizzato un banner con il seguente messaggio: "La tua organizzazione ha configurato le restrizioni dell'indirizzo IP limitando dove Power Apps è accessibile. Questa app potrebbe non essere accessibile quando utilizzi un'altra rete. Contatta il tuo amministratore per ulteriori dettagli". Questo banner appare per alcuni secondi e poi scompare.
    • L'app potrebbe caricarsi più lentamente rispetto a se non fossero presenti restrizioni sull'indirizzo IP. Le restrizioni sull'indirizzo IP impediscono alla piattaforma di utilizzare alcune funzionalità prestazionali che consentono tempi di caricamento più rapidi.

    Se un utente apre un'app, pur soddisfacendo i requisiti dell'indirizzo IP e poi passa a una nuova rete che non soddisfa più i requisiti dell'indirizzo IP, l'utente potrebbe osservare che i contenuti dell'app come immagini, media incorporati e collegamenti potrebbero non essere caricati o essere accessibili.

Registrazione delle chiamate SAS

Questa impostazione consente a tutte le chiamate SAS all'interno di Power Platform di essere registrate in Purview. Questa registrazione mostra i metadati rilevanti per tutti gli eventi di creazione e utilizzo e può essere abilitata indipendentemente dalle restrizioni IP SAS di cui sopra. I servizi Power Platform stanno attualmente inserendo le chiamate SAS nel 2024.

Nome del campo Descrizione campo
response.status_message Informazioni relative al completamento o meno dell'evento: SASSuccess o SASAuthorizationError.
response.status_code Informazioni relative al completamento o meno dell'evento: 200, 401 o 500.
analytics.resource.sas.uri I dati a cui si stava tentando di accedere o creare.
enduser.ip_address IP pubblico del chiamante.
analytics.resource.sas.operation_id L'identificatore univoco dell'evento di creazione. La ricerca in questo modo mostra tutti gli eventi di utilizzo e creazione correlati alle chiamate SAS dall'evento di creazione. Mappato sull'intestazione della risposta "x-ms-sas-operation-id".
request.service_request_id Identificatore univoco della richiesta o della risposta e può essere utilizzato per cercare un singolo record. Mappato sull'intestazione della risposta "x-ms-service-request-id".
versione Versione di questo schema di log.
Tipo Risposta generica.
analytics.activity.name Il tipo di attività di questo evento era: Creazione o Utilizzo.
analytics.activity.id ID univoco del record in Purview
analytics.resource.organization.id ID organizzazione
analytics.resource.environment.id ID ambiente
analytics.resource.tenant.id ID tenant
enduser.id Il GUID di Microsoft Entra ID del creatore dall'evento di creazione.
enduser.principal_name UPN/indirizzo e-mail del creatore. Per gli eventi di utilizzo questa è una risposta generica: "system@powerplatform".
enduser.role Risposta generica: Normale per eventi di creazione e Sistema per eventi di utilizzo.

Sicurezza in Microsoft Power Platform
Autenticazione ai servizi Power Platform
Connessione e autenticazione alle origini dati
Domande frequenti sulla sicurezza di Power Platform

Vedi anche