Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Power Platform elabora sia i dati personali che i dati dei clienti. Per altre informazioni sui dati personali e sui dati dei clienti, vedere il Centro protezione Microsoft.
Residenza dei dati
Un tenant Microsoft Entra archivia le informazioni pertinenti a un'organizzazione e la sicurezza della stessa. Quando un tenant di Microsoft Entra effettua l'iscrizione ai servizi Power Platform, l'area macro selezionata del tenant viene mappata all'area geografica delle macro più adatta Azure in cui esiste una distribuzione di Power Platform. Power Platform archivia i dati dei clienti nel tenant assegnato Azure area geografica macro o area geografica principale, a meno che le organizzazioni non distribuiscono i servizi in più aree. Un'area geografica macro rappresenta il limite di residenza dei dati allineato alle leggi di residenza dei dati per una determinata area geografica. Per informazioni sulle aree disponibili in un'area geografica di macro specifica, vedere Power Platform e Dynamics 365 area geografica delle macro.
Gli amministratori possono selezionare un'area geografica macro, ad esempio America del Nord, Europa o Asia-Pacific anziché un'area data center specifica. La piattaforma assegna quindi automaticamente l'area del data center ottimale all'interno dell'area geografica dell'area macro selezionata in base alle considerazioni sulla capacità, sulla disponibilità e sulle prestazioni. Questo approccio consente di garantire un'esperienza più scalabile, resiliente ed efficiente per tutti i clienti continuando a rispettare gli impegni di residenza dei dati. La selezione dell'area intelligente garantisce che gli ambienti vengano posizionati in aree con capacità e integrità ottimali, migliorando il tempo di attività e la velocità di risposta.
Alcune organizzazioni hanno una presenza globale. Ad esempio, un'azienda potrebbe avere sede negli Stati Uniti ma fare affari in Australia. Potrebbe essere necessario che alcuni dati di Power Platform vengano archiviati in Australia per rispettare le normative locali. Quando i servizi Power Platform vengono distribuiti in più aree geografiche di Azure, viene indicato come distribuzione a più aree geografiche. In questo caso, solo i metadati correlati all'ambiente vengono archiviati nell'area geografica della macro home. Tutti i metadati e i dati del prodotto di tale ambiente vengono archiviati nella macro geografica remota.
I servizi Power Platform sono disponibili in certe aree geografiche di Azure. Per altre informazioni sulla posizione in cui sono disponibili i servizi Power Platform, dove vengono archiviati e replicati in per ottenere resilienza e su come vengono usati, passare al Centro protezione Microsoft. Le direttive sulla posizione di archiviazione dei dati inattivi dei clienti si trovano nelle Condizioni dell'elaborazione dati delle Condizioni dei servizi online Microsoft. Microsoft offre anche data center per entità sovrane.
Trattamento dei dati
Questa sezione illustra come Power Platform memorizza, elabora e trasferisce i dati dei clienti.
Dati inattivi
Salvo diversa indicazione nella documentazione, i dati del cliente rimangono nella loro fonte originale (ad esempio, Dataverse o SharePoint). Le app Power Platform sono archiviate in Archiviazione di Azure come parte di un ambiente. I dati delle app per dispositivi mobili vengono crittografati e archiviati in SQL Express. Nella maggior parte dei casi, le app usano Archiviazione di Azure per memorizzare in modo permanente i dati del servizio Power Platform e il database SQL di Azure per memorizzare in modo permanente i metadati del servizio. I dati immessi dagli utenti dell'app vengono archiviati nella rispettiva origine dati per il servizio, ad esempio Dataverse.
Tutti i dati memorizzati in modo permanente da Power Platform sono crittografati per impostazione predefinita utilizzando chiavi gestite da Microsoft. Tutte i dati del cliente archiviati nel database SQL di Azure vengono crittografati completamente usando la tecnologia Transparent Data Encryption (TDE) di SQL di Azure. I dati dei clienti archiviati nell'archiviazione BLOB di Azure vengono crittografati usando la crittografia di archiviazione di Azure.
Dati in elaborazione
I dati sono in elaborazione quando vengono utilizzati come parte di uno scenario interattivo o quando un processo in background come l'aggiornamento tocca questi dati. Power Platform carica i dati elaborati nello spazio di memoria di uno o più carichi di lavoro del servizio. Per facilitare la funzionalità del carico di lavoro, i dati archiviati in memoria non sono crittografati.
Dati in transito
Power Platform crittografa tutto il traffico HTTP in ingresso usando TLS 1.2 o versione successiva. La piattaforma rifiuta le richieste che tentano di usare TLS 1.1 o versioni precedenti.
Funzionalità di sicurezza avanzata
Alcune delle funzionalità di sicurezza avanzate di Power Platform richiedono licenze specifiche.
Tag di servizio
Un tag di servizio è un gruppo di prefissi di indirizzi IP da uno specifico servizio di Azure. Puoi usare i tag di servizio per definire i controlli di accesso alla rete nei gruppi di sicurezza di rete o nel firewall di Azure.
I tag del servizio consentono di ridurre al minimo la complessità degli aggiornamenti frequenti alle regole di sicurezza di rete. Usare tag di servizio anziché indirizzi IP specifici quando si creano regole di sicurezza che, ad esempio, consentono o negano il traffico per il servizio corrispondente.
Microsoft gestisce i prefissi degli indirizzi nel tag del servizio e aggiorna automaticamente il tag quando gli indirizzi cambiano. Per alter informazioni, vedi Intervalli IP e tag di servizio di Azure - Cloud pubblico.
Criteri dati
Power Platform include funzionalità complete per le politiche sui dati che consentono di gestire la sicurezza dei dati.
Restrizione IP della firma di accesso condiviso (SAS) di archiviazione
Nota
Prima di attivare una di queste funzionalità SAS, i clienti devono consentire l'accesso al dominio https://*.api.powerplatformusercontent.com o la maggior parte delle funzionalità SAS non funzioneranno.
Questo set di funzionalità è una funzionalità specifica del tenant che limita i token SAS (Storage Shared Access Signature) ed è controllata tramite un menu nell'interfaccia di amministrazione di Power Platform. Questa impostazione limita gli utenti che, in base all'IP (IPv4 e IPv6), possono usare i token di firma di accesso condiviso aziendali.
Queste impostazioni sono disponibili nelle impostazioni Privacy e sicurezza di un ambiente nell'interfaccia di amministrazione. Attivare l'opzione Abilita regola di firma di accesso condiviso (SAS) basata su indirizzi IP .
Gli amministratori possono scegliere una di queste quattro opzioni per questa impostazione:
| Opzione | Impostazione | Descrzione |
|---|---|---|
| 1 | Solo binding IP | Questa impostazione limita le chiavi di firma di accesso condiviso all'INDIRIZZO IP del richiedente. |
| 2 | Solo firewall IP | Ciò limita l'utilizzo delle chiavi SAS in modo che funzioni solo entro un intervallo specificato dall'amministratore. |
| 3 | Binding IP e firewall | Ciò limita l'utilizzo delle chiavi SAS in modo che funzioni all'interno dell'intervallo specificato dall'amministratore solo all'IP del richiedente. |
| 4 | Binding IP o firewall | Consente l'uso delle chiavi SAS all'interno dell'intervallo specificato. Se la richiesta proviene dall'esterno dell'intervallo, viene applicato il collegamento IP. |
Nota
Gli amministratori che scelgono di consentire IP Firewall (opzioni 2, 3 e 4 elencate nella tabella precedente) devono immettere entrambi gli intervalli IPv4 e IPv6 delle loro reti per garantire una copertura adeguata dei loro utenti.
Avviso
Le opzioni 1 e 3 utilizzano l'associazione IP, che non funziona correttamente se i clienti utilizzano pool IP, proxy inverso o gateway abilitati per Network Address Translation (NAT) nelle loro reti. Di conseguenza, l'indirizzo IP di un utente cambia troppo frequentemente per consentire a un richiedente di avere in modo affidabile lo stesso IP tra le operazioni di lettura/scrittura della firma di accesso condiviso.
Le opzioni 2 e 4 funzionano come previsto.
Prodotti che impongono l'associazione IP quando abilitati:
- Dataverse
- Power Automate
- Connettori personalizzati
- Power Apps
Impatto sull'esperienza utente
Quando un utente, che non soddisfa le restrizioni relative agli indirizzi IP di un ambiente, apre un'app: gli utenti ricevono un messaggio di errore che indica un problema ip generico.
Quando un utente, che soddisfa le restrizioni relative all'indirizzo IP, apre un'app: si verificano i seguenti eventi:
- Gli utenti potrebbero ricevere un banner che scomparirà rapidamente informando gli utenti che è stata impostata un'impostazione IP e di contattare l'amministratore per i dettagli o per aggiornare eventuali pagine che perdono la connessione.
- Ancora più significativo, a causa della convalida IP utilizzata da questa impostazione di sicurezza, alcune funzionalità potrebbero essere più lente rispetto a quando erano disattivate.
Aggiornare le impostazioni in modo programmatico
Gli amministratori possono utilizzare l'automazione per impostare e aggiornare l'opzione Binding IP o firewall, l'intervallo IP nell'elenco degli elementi consentiti e l'interruttore Registrazione. Altre informazioni in Esercitazione: creare, aggiornare ed elencare le impostazioni di gestione ambiente (anteprima).
Registrazione delle chiamate SAS
Questa impostazione consente di registrare in Purview tutte le chiamate SAS in Power Platform. Questa registrazione mostra i metadati rilevanti per tutti gli eventi di creazione e utilizzo e può essere abilitata indipendentemente dalle restrizioni IP SAS di cui sopra. I servizi Power Platform stanno attualmente inserendo le chiamate SAS nel 2024.
| Nome del campo | Descrizione campo |
|---|---|
response.status_message |
Indica se l'evento ha avuto esito positivo o negativo: SASSuccess o SASAuthorizationError. |
response.status_code |
Indica se l'evento ha avuto esito positivo o negativo: 200, 401 o 500. |
ip_binding_mode |
Modalità di associazione IP impostata da un amministratore tenant, se attivata. Si applica solo agli eventi di creazione SAS. |
admin_provided_ip_ranges |
Intervalli IP impostati da un amministratore tenant, se presenti. Si applica solo agli eventi di creazione SAS. |
computed_ip_filters |
Set finale di filtri IP associati agli URI SAS in base alla modalità di associazione IP e agli intervalli impostati da un amministratore del tenant. Si applica sia agli eventi di creazione che di utilizzo di SAS. |
analytics.resource.sas.uri |
I dati a cui si stava tentando di accedere o creare. |
enduser.ip_address |
IP pubblico del chiamante. |
analytics.resource.sas.operation_id |
L'identificatore univoco dell'evento di creazione. La ricerca in questo modo mostra tutti gli eventi di utilizzo e creazione correlati alle chiamate SAS dall'evento di creazione. Mappato all'intestazione della x-ms-sas-operation-id risposta. |
request.service_request_id |
Identificatore univoco della richiesta o della risposta e può essere utilizzato per cercare un singolo record. Mappato all'intestazione della x-ms-service-request-id risposta. |
version |
Versione di questo schema di log. |
type |
Risposta generica. |
analytics.activity.name |
Il tipo di attività di questo evento era: Creazione o Utilizzo. |
analytics.activity.id |
ID univoco del record in Purview |
analytics.resource.organization.id |
ID organizzazione |
analytics.resource.environment.id |
ID ambiente |
analytics.resource.tenant.id |
ID tenant |
enduser.id |
Il GUID di Microsoft Entra ID del creatore dall'evento di creazione. |
enduser.principal_name |
UPN/indirizzo e-mail del creatore. Per gli eventi di utilizzo si tratta di una risposta generica: "system@powerplatform". |
enduser.role |
Risposta generica: Normale per eventi di creazione e Sistema per eventi di utilizzo. |
Abilitare la registrazione di controllo in Purview
Affinché i log vengano visualizzati nell'istanza di Purview, è prima necessario acconsentire esplicitamente a tali log per ogni ambiente per cui si desidera visualizzare i log. Questa impostazione può essere aggiornata nell'interfaccia di amministrazione di Power Platform da un amministratore del tenant.
- Accedere all'interfaccia di amministrazione di Power Platform con le credenziali di amministratore tenant.
- Nel riquadro di spostamento seleziona Gestisci.
- Nel riquadro Gestisci, seleziona Ambienti.
- Seleziona l'ambiente per cui vuoi attivare la registrazione amministrativa.
- Seleziona Impostazioni nella barra dei comandi.
- Seleziona Prodotto>Privacy e sicurezza.
- In Impostazioni di sicurezza firma di accesso condiviso (SAS) dello spazio di archiviazione (anteprima) attiva la funzionalità Abilita registrazione SAS in Purview.
Ricerca log di controllo
Gli amministratori dei tenant possono usare Purview per visualizzare i log di controllo generati per le operazioni di firma di accesso condiviso e possono diagnosticare autonomamente gli errori che possono essere restituiti nei problemi di convalida IP. I log di Purview sono la soluzione più affidabile.
are la procedura seguente per diagnosticare i problemi o comprendere meglio i modelli di utilizzo della Firma di accesso condiviso all'interno del tenant.
Assicurati che la registrazione di controllo sia attivata per l'ambiente. Vedi Abilitare la registrazione di controllo in Purview.
Vai al portale di conformità Microsoft Purview e accedi con le credenziali di amministratore del tenant.
Nel riquadro di spostamento sinistro selezionare Controllo. Se questa opzione non è disponibile, significa che l'utente che ha effettuato l'accesso non dispone dell'accesso come amministratore per eseguire query nei log di controllo.
Seleziona l'intervallo di date e ore UTC per cercare i registri. Ad esempio, quando viene restituito un errore 403 Negato con un codice di errore unauthorized_caller.
Nell'elenco
Activities - friendly namesa discesa cercare operazioni di archiviazione di Power Platform e selezionare URI di firma di accesso condiviso creato e URI di firma di accesso condiviso usato.Specifica una parola chiave in Ricerca parole chiave. Per altre informazioni su questo campo, vedi Introduzione alla ricerca nella documentazione di Purview. Puoi usare un valore da uno qualsiasi dei campi descritti nella tabella precedente a seconda dello scenario, ma di seguito sono riportati i campi consigliati per la ricerca (in ordine di preferenza):
- Valore dell'intestazione della
x-ms-service-request-idrisposta. Questo valore filtra i risultati in un evento di creazione URI di firma di accesso condiviso o in un evento di utilizzo dell'URI di firma di accesso condiviso, a seconda del tipo di richiesta da cui proviene l'intestazione. È utile quando si indaga su un errore 403 Forbidden restituito all'utente. È anche possibile usarlo per afferrare ilpowerplatform.analytics.resource.sas.operation_idvalore. - Valore dell'intestazione della
x-ms-sas-operation-idrisposta. Questo valore filtra i risultati in un evento di creazione URI di firma di accesso condiviso e uno o più eventi di utilizzo per l'URI di firma di accesso condiviso a seconda del numero di volte a cui è stato eseguito l'accesso. Esegue il mapping alpowerplatform.analytics.resource.sas.operation_idcampo. - URI di firma di accesso condiviso completo o parziale, meno la firma. In questo modo potrebbero essere restituite molte creazioni di URI di firma di accesso condiviso e molti eventi di utilizzo dell'URI di firma di accesso condiviso, perché è possibile che lo stesso URI venga richiesto per la generazione tutte le volte che è necessario.
- Indirizzo IP chiamante. Restituisce tutti gli eventi di creazione e utilizzo per tale IP.
- ID ambiente. Ciò potrebbe restituire un ampio set di dati che può estendersi a molte offerte Power Platform diverse, quindi evitalo se possibile o considera di restringere la finestra di ricerca.
Avviso
Non cercare Nome entità utente o ID oggetto perché tali valori vengono propagati solo agli eventi di creazione, non agli eventi di utilizzo.
- Valore dell'intestazione della
Seleziona Cerca e attendi che vengano visualizzati i risultati.
Avviso
L'inserimento dei registri in Purview potrebbe essere ritardato fino a un'ora o più, quindi tienilo presente quando cerchi eventi recenti.
Risoluzione dei problemi relativi all'errore 403 Accesso negato/unauthorized_caller error
È possibile utilizzare i log di creazione e utilizzo per determinare il motivo per cui una chiamata genera un errore 403 Negato con un codice di errore unauthorized_caller.
- Trova i log in Purview come descritto nella sezione precedente. Prendi in considerazione l'uso di x-ms-service-request-id o x-ms-sas-operation-id dalle intestazioni delle risposte come parola chiave di ricerca.
- Apri l'evento di uso, URI SAS usato e cerca il campo powerplatform.analytics.resource.sas.computed_ip_filters in PropertyCollection. Questo intervallo IP è ciò che la chiamata SAS usa per determinare se la richiesta è autorizzata a procedere o meno.
- Confronta questo valore con il campo Indirizzo IP del registro, che dovrebbe essere sufficiente per determinare il motivo per cui la richiesta non è riuscita.
- Se ritieni che il valore di powerplatform.analytics.resource.sas.computed_ip_filters non sia corretto, continua con i passaggi successivi.
- Apri l'evento di creazione, URI SAS creato, eseguendo la ricerca usando il valore dell'intestazione della risposta x-ms-sas-operation-id (o il valore del campo powerplatform.analytics.resource.sas.operation_id dal log di creazione).
- Recupera il valore del campo powerplatform.analytics.resource.sas.ip_binding_mode. Se è mancante o vuoto, significa che l'associazione IP non era attivata per quell'ambiente al momento di quella particolare richiesta.
- Recupera il valore del campo powerplatform.analytics.resource.sas.admin_provided_ip_ranges. Se è mancante o vuoto, significa che gli intervalli del firewall IP non sono stati specificati per quell'ambiente al momento di quella particolare richiesta.
- Recupera il valore di powerplatform.analytics.resource.sas.computed_ip_filters, che deve essere identico all'evento di uso e viene derivato in base alla modalità di associazione IP e agli intervalli del firewall IP forniti dall'amministratore. Vedi la logica di derivazione in Archiviazione e governance dei dati in Power Platform.
Queste informazioni consentono agli amministratori del tenant di correggere eventuali errori di configurazione nelle impostazioni di binding IP dell'ambiente.
Avviso
L'applicazione delle modifiche alle impostazioni dell'ambiente per il binding IP SAS potrebbe richiedere almeno 30 minuti. Potrebbe essere maggiore se i team partner dispongono di una propria cache.
Articoli correlati
Panoramica della sicurezza
Autenticazione ai servizi Power Platform
Connessione e autenticazione alle origini dati
Domande frequenti sulla sicurezza di Power Platform