コネクタでデータ保護が可能なベット

この記事では、外部サービスを利用して Power Platform コネクタを安全に使用するために理解すべき最重要トピックについて説明します。 これにより、コネクタの検査プロセスが簡素化され、時間を節約できる可能性があります。

この記事を読むと、次の質問の答えがわかります。

コネクタの検証

マイクロソフトが公開しているコネクタは、内部または外部サービスに接続できます。 たとえば、SharePoint や Excel などのコネクタは、常に内部でサービスに接続します。

ただし、マイクロソフトは、外部サービスを使用するコネクタも公開しています。 たとえば、Salesforce コネクタは Salesforce サービスを使用します。 コネクタがマイクロソフトのインフラストラクチャを離れるたびに、マイクロソフトが一連の検証チェックを実行してデータ保護を確認します。

重要

それは サービス であり、コネクタ自体ではなく、データ保護の責任者を決定します。 それは、コネクタではなく、接続しているサービスがデータを格納するためです。

データがマイクロソフトのインフラストラクチャ上にある場合は、マイクロソフトが管理していることに注意してください。 外部インフラストラクチャに移動するとすぐに、検証済みの発行元が制御されます。

違いを知ることで、適切なアクションを実行でき、接続全体でデータの安全性を確保できます。 詳細は以下のセクションにあります。

コネクタが
次の公開者に発行された場合		 サービス
インフラストラクチャは
マイクロソフトが行う内容は、
例
Microsoft 外部 - エンドポイントの確認
- Swagger の検証
- 破壊的変更の検証
- 品質と検証のチェック		 Salesforce
Microsoft 内部 データ保護のためのすべての検証チェック SharePoint、Excel
検証済み
(独立発行者を含む)		 外部 - エンドポイントの確認
- Swagger の検証
- 破壊的変更の検証
- 品質と検証のチェック		 Adobe Creative Cloud

Microsoft プライバシー ポリシー

マイクロソフトは、マイクロソフトのインフラストラクチャに存在するすべてのデータに保護ポリシーを適用します。 検証済みのコネクタ サービスを使用する場合のように、データが外部インフラストラクチャに移動するとすぐに、その会社が設定したポリシーが引き継ぎます。

マイクロソフトがセキュリティ、プライバシー、コンプライアンスなどの問題に対処する方法の詳細については、マイクロソフト セキュリティ センター を参照してください。

外部企業のプライバシー ポリシー

注意

コネクタ サービスが外部インフラストラクチャに存在する場合、マイクロソフトのポリシーの適用には制限があります。 サービスに接続すると、マイクロソフトはデータの送信先を制御できなくなります。これは外部の会社が左右します。 利用規約を調べたり、直接一緒に仕事をしてガイダンスを提供することは、自分自身の責任 です。

外部企業のコネクタ サービスについての質問の例は次のとおりです。

  • 会社のサービスはあなたのデータを保存していますか。
    • 保存している場合、会社はどのようにデータの削除時期を決定しますか。
  • コネクタには、攻撃者がデータを制御または傍受する脆弱性または機会がありますか。
  • 会社のサービスはシングル サインオンまたは 2 要素サインオンを適用しますか。

パートナーが選択したすべての検証済みコネクタの一覧 でコネクタ リンクを選択すると、検証済みの各コネクタのプライバシー ポリシーへのリンクを見つけることができます。

Microsoft GDPR コンプライアンス

コネクタ サービスがマイクロソフトのインフラストラクチャで実行されている間は、マイクロソフトは GDPR コンプライアンスのルールを管理します。 データが企業の外部インフラストラクチャに移動すると、マイクロソフトは GDPR のルールに違反しなくなります。

重要

マイクロソフト コネクタ プラットフォームは GDPR に準拠しています。 ユーザーのデータを 保存 せずに 処理 するだけです。 処理中は、Microsoft のプライバシーおよび GDPR ポリシーに準拠します。

たとえば、ヨーロッパでフローを作成した場合、マイクロソフトは米国に要求を送信せず、そこでデータを処理してから、外部の会社のサービスに送り返します。 この場合、マイクロソフトは地理的境界線を尊重します。

外部企業の GDPR コンプライアンス

コネクタ サービスが外部企業のインフラストラクチャで実行されている間は、その企業が GDPR コンプライアンスのルールを管理します。

注意

サービスが外部企業のインフラストラクチャで実行されている場合、GDPR 要件を把握することは ユーザーの義務 です。 マイクロソフトは責任を負いません。 外部企業のコネクタは、GDPR に準拠している場合と準拠していない場合があります。

外部企業のコネクタを使用している場合は、独自の調査、モデリング、ベンダー監査、および戦略手順を実行して、ビジネスに適用される GDPR を確実に把握することをお勧めします。 まずは利用規約のドキュメントを準備します。

外部企業だけが答えることができる質問の例には、次のようなデータ移動や地理的処理が含まれる場合があります。

  • EU を拠点とする企業の場合:
    • データが EU から出ることはありますか。
    • EU に送られてくるデータはありますか。
  • 米国を拠点とする企業の場合:
    • EU に送られてくるデータはありますか。

エンドポイントの確認

データがマイクロソフトのインフラストラクチャで処理されているとき、マイクロソフトはエンドポイントを検証して、特定の品質基準が満たされていることを確認します。 Azure Logic Apps は、地域 の境界線を強制しますが、Copilot Studio、Power Automate、Power Apps は、地理的 境界線を強制します。

たとえば、米国西部は地域ですが、米国は地理です。 Logic Apps では、ユーザーが米国西部を選択した場合、マイクロソフトはデータが米国西部のデータセンター境界の外 (米国中部や米国東部にさえも) に出ないようにします。 ただし、Copilot Studio、Power Automate、Power Apps の場合、マイクロソフトは地理的な境界線のみを保証します。 これは、ユーザーが米国を選択した場合、データは米国西部または米国東部を含む米国内のどこでも処理できることを意味します。 マイクロソフトが保証するのは、データがヨーロッパやアジアなどの米国外に送信されないことです。

データがマイクロソフトを離れ、ユーザーが選択した地域に移動すると、データの使用と保存は、外部の会社が設定したポリシーに管理されます。 マイクロソフトは、企業のプラットフォームへのプロキシとしてのみ機能し、エンドポイントに要求を送信します。

検証済みの外部コネクタを使用している場合は、会社が提供する契約条件を理解して、データの処理方法と場所を理解する必要があります。

Swagger の検証

Swagger の検証は、コネクタの等式バーを測定します。 マイクロソフトはこの検証を実行して、コネクタが Open API 標準に準拠し、コネクタの要件とガイドラインを満たし、適切なカスタム Microsoft 拡張機能 (x-ms) が含まれていることを確認します。

破壊的変更の検証

コネクタが更新されると、マイクロソフトは検証テストを実施して、何も壊れていないことを確認します。 検証ルールは、現在の Swagger バージョンを以前の Swagger バージョンと比較することで、破壊的変更を発見します。 たとえば、企業がオプションとしてマークし、現在は必須であるパラメーターなどです。

品質と検証のチェック

マイクロソフトは、すべてのコネクタの品質チェックを実行します。 品質チェックには、デプロイ後の機能検証、および機能が期待どおりに機能していることを確認するためのテストが含まれます。 マイクロソフトは検証チェックも実行します。 1 つ目のタイプは、公開元にコネクタの作成許可があることを確認することです。 2 つ目のタイプは、すべてのコネクタ コードをスキャンしてマルウェアやウイルスを検出することです。

通信および認証方法

ランタイムで、ユーザーが呼び出す権限を持っているかどうかを確認するための検証が行われ、トークン/シークレットがバックエンドへの呼び出しのためにフェッチされます。

マイクロソフトは、外部企業が使用する認証の種類に関する制限を設けていません。 これは、基盤となるコネクタ サービスが提供する API がサポートする認証によって定義されます。 コネクタは、さまざまなタイプの認証をサポートします (たとえば、Microsoft Entra ID、基本認証、または OAuth)。

使用例

使用する認証の種類が次の場合

  • Microsoft Entra ID: ユーザーは Microsoft Entra ID (また、企業ポリシーにより、ユーザーが多要素認証、証明書、またはスマート カードの使用を義務付けられている場合は、これもここで適用できます) にサインインするように求められます。 この適用は、コネクタ自体とは無関係に、ユーザーと Microsoft Entra ID の間で実行されます。 多くのサービス、特に Microsoft が提供するサービスは Microsoft Entra ID を使用します。

  • 基本認証: ユーザー名とパスワードは、API 要求で送信されます。 これらのシークレットは、Microsoft Power Platform からのみアクセスが可能な内部トークン ストアに保存および暗号化されます。

  • OAuth—コネクタのリダイレクト URL は設定から取得され、ユーザーに返送されてサービスに直接ログインし同意を許可します。 ユーザーの資格情報は保存されません。 サインインが成功し、ユーザーが自分に変わってデータにアクセスすることに同意すると、認証コードが Microsoft Power Platform に返送されます。 その認証コードを使用して、アクセス トークンが取得され、内部に保存されます。 このアクセス トークンには、Microsoft Power Platform からのみアクセスできます。

コネクタの概要

フィードバックを提供する

コネクタ プラットフォームの問題点や新機能のアイデアなど、フィードバックをお待ちしています。 フィードバックを提供するには、「問題を送信するか、コネクタに関するヘルプを入手する」にアクセスし、フィードバックの種類を選択します。

  • Last updated on