Jūsu klienta pārvaldītās šifrēšanas atslēgas pārvaldība

Klientiem ir datu konfidencialitātes un atbilstības prasības, lai aizsargātu savus datus, šifrējot savus datus miera stāvoklī. Tas aizsargā datus no iedarbības gadījumā, ja tiek nozagta datu bāzes kopija. Izmantojot datu šifrēšanu miera stāvoklī, nozagtie datu bāzes dati tiek aizsargāti no atjaunošanas citā serverī bez šifrēšanas atslēgas.

Visi klientu dati, kas tiek glabāti, Power Platform pēc noklusējuma tiek šifrēti ar spēcīgām Microsoft pārvaldītām šifrēšanas atslēgām. Microsoft glabā un pārvalda datu bāzes šifrēšanas atslēgu visiem jūsu datiem, lai jums tas nebūtu jādara. Tomēr Power Platform nodrošina šo klienta pārvaldīto šifrēšanas atslēgu (CMK) jūsu pievienotajai datu aizsardzības kontrolei, kur varat pašpārvaldīt datu bāzes šifrēšanas atslēgu, kas ir saistīta ar jūsu Microsoft Dataverse vidi. Tas ļauj pagriezt vai mainīt šifrēšanas atslēgu pēc pieprasījuma, kā arī neļauj korporācijai Microsoft piekļūt jūsu klientu datiem, kad jebkurā brīdī atsaucat atslēgas piekļuvi mūsu pakalpojumiem.

Lai uzzinātu vairāk par klientu pārvaldīto atslēgu Power Platform, noskatieties klientu pārvaldīto atslēgu video.

Šīs šifrēšanas atslēgas operācijas ir pieejamas ar klienta pārvaldīto atslēgu (CMK):

  • Izveidojiet RSA (RSA-HSM) atslēgu no sava Azure Key seifa.
  • Izveidojiet Power Platform uzņēmuma politiku savai atslēgai.
  • Piešķiriet Power Platform uzņēmuma politikai atļauju piekļūt atslēgu seifam.
  • Piešķiriet pakalpojuma administratoram Power Platform iespēju izlasīt uzņēmuma politiku.
  • Lietojiet šifrēšanas atslēgu savā vidē.
  • Atgrieziet/noņemiet vides CMK šifrēšanu uz Microsoft pārvaldīto atslēgu.
  • Mainiet atslēgu, izveidojot jaunu uzņēmuma politiku, noņemot vidi no CMK un atkārtoti lietojot CMK ar jaunu uzņēmuma politiku.
  • Bloķējiet CMK vides, atsaucot CMK atslēgu seifu un/vai atslēgu atļaujas.
  • Migrējiet atnesiet savu atslēgu (BYOK) vides uz CMK, lietojot CMK atslēgu.

Pašlaik visus klientu datus, kas tiek glabāti tikai šādās programmās un pakalpojumos, var šifrēt ar klienta pārvaldīto atslēgu:

Komerciālais mākonis

Suverēns mākonis - GCC augsts

Piezīmes

  • Lai iegūtu informāciju par klientu pārvaldīto atslēgu atbalstu, sazinieties ar iepriekš neuzskaitīto pakalpojumu pārstāvi.
  • Nuance Sarunu IVR un veidotāja sveiciena saturs ir izslēgts no klienta pārvaldītās atslēgas šifrēšanas.
  • Savienotāju savienojuma iestatījumi joprojām tiek šifrēti ar Microsoft pārvaldītu atslēgu.
  • Konfigurētais CMK nešifrē datus, kas nosūtīti no Copilot Studio kā daļu no Agent 365 drošības audita reģistrēšanas.
  • Power Apps parādāmie vārdi, apraksti un savienojuma metadati joprojām tiek šifrēti ar Microsoft pārvaldītu atslēgu.
  • Lejupielādes rezultātu saite un citi dati, ko risinājuma pārbaudītājs nodrošina risinājuma pārbaudes laikā, joprojām tiek šifrēti ar Microsoft pārvaldītu atslēgu.

Var šifrēt arī vides ar finanšu un operāciju programmām, kurās Power Platform ir iespējota integrācija. Finance and Operations vides bez Power Platform integrācijas turpina izmantot noklusējuma Microsoft pārvaldīto atslēgu datu šifrēšanai. Papildinformāciju skatiet sadaļā Šifrēšana finanšu un operāciju programmās.

Klienta pārvaldītā šifrēšanas atslēga Power Platform

Iepazīšanās ar klientu pārvaldīto atslēgu

Izmantojot klienta pārvaldīto atslēgu, administratori var nodrošināt savu šifrēšanas atslēgu no sava Azure Key Vault Power Platform krātuves pakalpojumiem, lai šifrētu klientu datus. Microsoft nav tiešas piekļuves jūsu Azure Key Vault. Lai Power Platform pakalpojumi varētu piekļūt šifrēšanas atslēgai no jūsu Azure Key Vault, administrators izveido Power Platform uzņēmuma politiku, kas atsaucas uz šifrēšanas atslēgu un piešķir šai uzņēmuma politikai piekļuvi, lai lasītu atslēgu no jūsu Azure Key Vault.

Power Platform Pēc tam pakalpojuma administrators var pievienot Dataverse vides uzņēmuma politikai, lai sāktu šifrēt visus klientu datus vidē ar jūsu šifrēšanas atslēgu. Administratori var mainīt vides šifrēšanas atslēgu, izveidojot citu uzņēmuma politiku, un pievienot vidi (pēc tās noņemšanas) jaunajai uzņēmuma politikai. Ja vide vairs nav jāšifrē, izmantojot klienta pārvaldīto atslēgu, administrators var noņemt Dataverse vidi no uzņēmuma politikas, lai atgrieztu datu šifrēšanu atpakaļ uz Microsoft pārvaldīto atslēgu.

Administrators var bloķēt klienta pārvaldītās atslēgu vides, atsaucot atslēgas piekļuvi no uzņēmuma politikas, un atbloķēt vides, atjaunojot atslēgas piekļuvi. Papildinformācija Vides bloķēšana, atsaucot atslēgu seifu un/vai atslēgu atļauju piekļuvi

Lai vienkāršotu galvenos pārvaldības uzdevumus, uzdevumi ir sadalīti trīs galvenajās jomās:

  1. Izveidojiet šifrēšanas atslēgu.
  2. Izveidojiet uzņēmuma politiku un piešķiriet piekļuvi.
  3. Pārvaldiet vides šifrēšanu.

Brīdinājums.

Ja vides ir bloķētas, tām nevar piekļūt neviens, tostarp Microsoft atbalsts. Bloķētās vides tiek atspējotas un var rasties datu zudums.

Licencēšanas prasības klienta pārvaldītajai atslēgai

Klientu pārvaldītās atslēgas politika tiek piemērota tikai vidēs, kas ir aktivizētas pārvaldītajām vidēm. Pārvaldītās vides ir iekļautas kā pilnvara savrupās Power Apps, Power Automate, Microsoft Copilot Studio, Power Pages un Dynamics 365 licencēs, kas piešķir premium lietošanas tiesības. Papildinformāciju par Pārvaldītas vides licencēšanu skatiet Licencēšanas pārskats Microsoft Power Platform.

Turklāt, lai piekļūtu klienta pārvaldītas atslēgas izmantošanai pakalpojumam Microsoft Power Platform un Dynamics 365, lietotājiem vidē, kurā tiek ieviesta šifrēšanas atslēgas politika, ir nepieciešams kāds no šiem abonementiem:

  • Microsoft 365 vai Office 365 A5/E5/G5
  • Microsoft 365 A5/E5/F5/G5 atbilstība
  • Microsoft 365 F5 drošība un Atbilstība
  • Microsoft 365 A5/E5/F5/G5 informācijas aizsardzība un pārvaldība
  • Microsoft 365 A5/E5/F5/G5 iekšējā riska pārvaldība

Uzziniet vairāk par šīm licencēm.

Izprotiet iespējamo risku, pārvaldot atslēgu

Tāpat kā jebkuras citas kritiskās biznesa programmas gadījumā jūsu organizācijas darbiniekiem, kuriem ir piekļuve administratīvā līmenī, jābūt uzticamiem. Pirms izmantojat atslēgu pārvaldības līdzekli, jums jāizprot risks, veicot datu bāzu šifrēšanas atslēgu pārvaldību. Iespējams, ka ļaunprātīgs administrators (persona, kurai ir piešķirta vai ir ieguvusi administratora līmeņa piekļuvi ar nolūku kaitēt organizācijas drošībai vai biznesa procesiem), kas strādā jūsu organizācijā, var izmantot atslēgu pārvaldības līdzekli, lai izveidotu atslēgu un izmantotu to, lai bloķētu jūsu nomnieka vidi.

Apsveriet šādu scenāriju.

Ļaunprātīgs atslēgu seifa administrators izveido atslēgu un uzņēmuma politiku Azure portālā. Azure Key Vault administrators dodas uz Power Platform administrēšanas centru un pievieno vides uzņēmuma politikai. Pēc tam ļaunprātīgais administrators atgriežas Azure portālā un atsauc atslēgas piekļuvi uzņēmuma politikai, tādējādi bloķējot visas vides. Tas izraisa biznesa pārtraukumus, jo visas vides kļūst nepieejamas, un, ja šis notikums netiek atrisināts, tas ir, atslēgas piekļuve tiek atjaunota, vides dati var tikt zaudēti.

Piezīmes

  • Azure Key Vault ir iebūvēti drošības pasākumi, kas palīdz atjaunot atslēgu, kuriem ir nepieciešami Soft Delete un Purge protection atslēgu seifa iestatījumi.
  • Vēl viens drošības līdzeklis, kas jāņem vērā, ir pārliecināties, ka tiek nodalīti uzdevumi, ja Azure Key Vault administratoram netiek piešķirta piekļuve Power Platform administrēšanas centram.

Pienākuma nodalīšana riska mazināšanai

Šajā sadaļā ir aprakstīti klienta pārvaldītie galvenie līdzekļu pienākumi, par kuriem ir atbildīga katra administratora loma. Šo uzdevumu atdalīšana palīdz mazināt risku, kas saistīts ar klientu pārvaldītajām atslēgām.

Azure Key Vault un Power Platform/Dynamics 365 pakalpojuma administrēšanas uzdevumi

Lai iespējotu klientu pārvaldītas atslēgas, vispirms atslēgu seifa administrators izveido atslēgu Azure atslēgu seifā un izveido Power Platform uzņēmuma politiku. Izveidojot uzņēmuma politiku, tiek izveidota īpaša Microsoft Entra ID pārvaldītā identitāte. Pēc tam atslēgu seifa administrators atgriežas Azure atslēgu seifā un piešķir uzņēmuma politikai/pārvaldītajai identitātei piekļuvi šifrēšanas atslēgai.

Pēc tam atslēgas seifa administrators piešķir attiecīgajam Power Platform/Dynamics 365 pakalpojuma administratoram lasīšanas piekļuvi uzņēmuma politikai. Kad lasīšanas atļauja ir piešķirta, Power Platform/Dynamics 365 pakalpojuma administrators var doties uz Power Platform administrēšanas centru un pievienot vides uzņēmuma politikai. Pēc tam visi pievienotās vides klientu dati tiek šifrēti ar klienta pārvaldīto atslēgu, kas saistīta ar šo uzņēmuma politiku.

Priekšnoteikumi
  • Azure abonements, kas ietver Azure Key Vault vai Azure Key Vault pārvaldītos aparatūras drošības moduļus.
  • Microsoft Entra ID ar:
    • Līdzstrādnieka atļauja Microsoft Entra abonementam.
    • Atļauja izveidot Azure Key Vault un atslēgu.
    • Piekļuve resursu grupas izveidei. Tas ir nepieciešams, lai iestatītu atslēgu glabātuvi.
Izveidojiet atslēgu un piešķiriet piekļuvi, izmantojot Azure Key Vault

Azure Key Vault administrators veic šos uzdevumus pakalpojumā Azure.

  1. Izveidojiet Azure maksas abonementu un Key Vault. Ignorējiet šo darbību, ja jums jau ir abonements, kurā ir iekļauts Azure Key Vault.
  2. Dodieties uz pakalpojumu Azure Key Vault un izveidojiet atslēgu. Papildinformācija Atslēgas izveide atslēgu seifā
  3. Iespējojiet Power Platform uzņēmuma politiku pakalpojumu savam Azure abonementam. Dariet to tikai vienu reizi. Papildinformācija: Power Platform uzņēmuma politiku pakalpojuma iespējošana savam Azure abonementam
  4. Izveidojiet Power Platform uzņēmuma politiku. Papildinformācija Uzņēmuma politikas izveide
  5. Piešķiriet uzņēmuma politikas atļaujas piekļūt atslēgu seifam. Papildinformācija Uzņēmuma politikas atļauju piešķiršana piekļuvei atslēgu seifam
  6. Piešķiriet Power Platform un Dynamics 365 administratoriem atļauju lasīt uzņēmuma politiku. Papildinformācija Administratora Power Platform atļaujas piešķiršana lasīt uzņēmuma politiku

Power Platform/Dynamics 365 pakalpojuma administratora Power Platform administrēšanas centra uzdevumi

Priekšnosacījums

Power Platform administratoram ir jāpiešķir Power Platform vai Dynamics 365 Service administratora Microsoft Entra loma.

Vides šifrēšanas Power Platform pārvaldība administrēšanas centrā

Administrators Power Platform pārvalda klienta pārvaldītos galvenos uzdevumus, kas saistīti ar vidi Power Platform administrēšanas centrā.

  1. Pievienojiet Power Platform vides uzņēmuma politikai, lai šifrētu datus ar klienta pārvaldīto atslēgu. Papildinformācija Vides pievienošana uzņēmuma politikai datu šifrēšanai
  2. Noņemiet vides no uzņēmuma politikas, lai atgrieztu šifrēšanu Microsoft pārvaldītajā atslēgā. Papildinformācija Vides noņemšana no politikas, lai atgrieztos pie Microsoft pārvaldītās atslēgas
  3. Mainiet atslēgu, noņemot vides no vecās uzņēmuma politikas un pievienojot vides jaunai uzņēmuma politikai. Papildinformācija Šifrēšanas atslēgas izveide un piekļuves piešķiršana
  4. Migrēt no BYOK. Ja izmantojat agrāko pašpārvaldītās šifrēšanas atslēgas līdzekli, varat migrēt atslēgu uz klienta pārvaldīto atslēgu. Papildinformāciju skatiet sadaļā Savas atslēgas vides migrēšana uz klienta pārvaldīto atslēgu.

Šifrēšanas atslēgas izveide un piekļuves piešķiršana

Azure maksas abonementa un atslēgu seifa izveide

Pakalpojumā Azure veiciet tālāk norādītās darbības.

  1. Izveidojiet Pay-as-you-go vai ekvivalentu Azure abonementu. Šī darbība nav nepieciešama, ja nomniekam jau ir abonements.

  2. Izveidojiet resursu grupu. Papildinformācija Resursu grupu izveide

    Piezīmes

    Izveidojiet vai izmantojiet resursu grupu, kuras atrašanās vieta, piemēram, ASV centrs, atbilst Power Platform vides reģionam, piemēram, United States.

  3. Izveidojiet atslēgu seifu, izmantojot maksas abonementu, kas ietver aizsardzību pret maigo dzēšanu un tīrīšanu ar iepriekšējā darbībā izveidoto resursu grupu.

    Svarīgi

    Lai nodrošinātu, ka jūsu vide ir aizsargāta pret nejaušu šifrēšanas atslēgas dzēšanu, atslēgu seifā ir jābūt iespējotai aizsardzībai pret maigo dzēšanu un attīrīšanu. Jūs nevarēsit šifrēt savu vidi ar savu atslēgu, neiespējojot šos iestatījumus. Papildinformācija: Azure Key Vault kopsavilkums Papildinformācija: Atslēgu seifa izveide, izmantojot Azure portālu

Atslēgas izveide atslēgu seifā

  1. Pārliecinieties, vai esat izpildījis priekšnosacījumus .
  2. Dodieties uz portālu Azure>Key Vault un atrodiet key vault, kurā vēlaties ģenerēt šifrēšanas atslēgu.
  3. Pārbaudiet Azure atslēgu seifa iestatījumus:
    1. Sadaļā Iestatījumi atlasiet Rekvizīti.
    2. Sadaļā Mīkstā dzēšana iestatiet vai pārbaudiet, vai šajā atslēgu seifa opcijā ir iespējota Mīkstā dzēšana.
    3. Sadaļā Aizsardzība pret tīrīšanu iestatiet vai pārbaudiet, vai ir iespējota opcija Iespējot aizsardzību pret tīrīšanu (ieviest obligātu saglabāšanas periodu izdzēstām glabātuvēm un seifu objektiem).
    4. Ja esat veicis izmaiņas, atlasiet Saglabāt.
RSA atslēgu izveide

  1. Izveidojiet vai importējiet atslēgu, kurai ir šādi rekvizīti:

    1. Rekvizītu lapās Key Vault atlasiet Keys.
    2. Atlasiet Ģenerēt/Importēt.
    3. Ekrānā Izveidot atslēgu iestatiet tālāk norādītās vērtības un pēc tam atlasiet Izveidot.
      • opcijas: ģenerēt
      • Nosaukums: norādiet atslēgas nosaukumu
      • Atslēgas tips: RSA
      • RSA atslēgas izmērs: 2048 vai 3072

    Svarīgi

    Ja atslēgā iestatāt derīguma termiņu un atslēgas derīguma termiņš ir beidzies, visas vides, kas ir šifrētas ar šo atslēgu, nedarbosies. Iestatiet an brīdinājumu, lai pārraudzītu derīguma termiņa sertifikātus ar e-pasta paziņojumiem vietējam Power Platform administratoram un Azure atslēgu seifa administratoram kā atgādinājumu par derīguma termiņa atjaunošanu. Tas ir svarīgi, lai novērstu neplānotus sistēmas pārtraukumus.

Aparatūras drošības moduļu (HSM) aizsargāto atslēgu importēšana

Varat izmantot aizsargātās aparatūras drošības moduļu (HSM) atslēgas, lai šifrētu vidi Power Platform Dataverse . Jūsu HSM aizsargātās atslēgas ir jāimportē atslēgu seifā , lai varētu izveidot uzņēmuma politiku. Papildinformāciju skatiet sadaļā Atbalstītie HSMHSM aizsargātu atslēgu importēšana uz Key Vault (BYOK).

Atslēgas izveide Azure Key Vault pārvaldītajā HSM

Vides datu šifrēšanai varat izmantot šifrēšanas atslēgu, kas izveidota no Azure Key Vault Managed HSM. Tas nodrošina FIPS 140-2 3. līmeņa atbalstu.

RSA-HSM atslēgu izveide

  1. Pārliecinieties, vai esat izpildījis priekšnosacījumus .

  2. Dodieties uz portālu Azure.

  3. Pārvaldīta HSM izveide:

    1. nodrošināt pārvaldīto HSM.
    2. Aktivizējiet pārvaldīto HSM.

  4. Iespējojiet aizsardzību pret attīrīšanu savā pārvaldītajā HSM.

  5. Piešķiriet lomu Pārvaldītais HSM šifrēšanas lietotājs personai, kas izveidoja pārvaldīto HSM atslēgu seifu.

    1. Piekļūstiet pārvaldītajam HSM atslēgu seifam portālā Azure.
    2. Naviģējiet uz Lokālais RBAC un atlasiet + Pievienot.
    3. Nolaižamajā sarakstā Loma atlasiet pārvaldīto HSM šifrēšanas lietotāja lomu lapā Lomu piešķiršana .
    4. Sadaļā Tvērums atlasiet Visi taustiņi.
    5. Atlasiet Atlasīt drošības galveno un pēc tam atlasiet administratoru lapā Pievienot galveno .
    6. Atlasiet Izveidot.

  6. RSA-HSM atslēgas izveide:

    • opcijas: ģenerēt
    • Nosaukums: norādiet atslēgas nosaukumu
    • Atslēgas tips: RSA-HSM
    • RSA atslēgas izmērs: 2048

    Piezīmes

    Atbalstītie RSA-HSM atslēgu izmēri: 2048 bitu un 3072 bitu.

Varat atjaunināt Azure Key seifa tīklošanu, iespējojot private galapunktu un izmantot atslēgu seifā esošo atslēgu, lai šifrētu Power Platform vidi.

Varat izveidot jaunu atslēgu seifu un izveidot privātu saišu savienojumu vai izveidot privātu saišu savienojumu ar esošu atslēgu seifu, kā arī izveidot atslēgu no šīs atslēgu glabātuves un izmantot to, lai šifrētu vidi. Varat arī izveidot privātu saišu savienojumu ar esošu atslēgu seifu pēc tam, kad esat jau izveidojis atslēgu un izmantojis to vides šifrēšanai.

  1. Izveidojiet Azure atslēgu seifu ar tālāk norādītajām opcijām.

    • Iespējot aizsardzību pret attīrīšanu
    • Atslēgas tips: RSA
    • Atslēgas izmērs: 2048 vai 3072

  2. Kopējiet atslēgas seifa URL un šifrēšanas atslēgas URL, kas jāizmanto uzņēmuma politikas izveidei.

    Piezīmes

    Kad atslēgu seifam būsiet pievienojis privātu galapunktu vai atspējojis publiskās piekļuves tīklu, atslēgu nevarēsit redzēt, ja jums nebūs atbilstošas atļaujas.

  3. Izveidojiet virtuālo tīklu.

  4. Atgriezieties atslēgu seifā un pievienojiet private galapunktu savienojumus savam Azure Key Vault.

    Piezīmes

    Jums jāizvēlas opcija Atspējot publiskās piekļuves tīklu un jāiespējo Atļaut uzticamiem Microsoft pakalpojumiem apiet šo ugunsmūra izņēmumu.

  5. Izveidojiet Power Platform uzņēmuma politiku. Papildinformācija Uzņēmuma politikas izveide

  6. Piešķiriet uzņēmuma politikas atļaujas piekļūt atslēgu seifam. Papildinformācija Uzņēmuma politikas atļauju piešķiršana piekļuvei atslēgu seifam

  7. Piešķiriet Power Platform un Dynamics 365 administratoriem atļauju lasīt uzņēmuma politiku. Papildinformācija Administratora Power Platform atļaujas piešķiršana lasīt uzņēmuma politiku

  8. Power Platform administrēšanas centra administrators atlasa vidi, lai šifrētu un iespējotu pārvaldīto vidi. Papildinformācija Pārvaldītās vides pievienošanas uzņēmuma politikai iespējošana

  9. Power Platform administrēšanas centra administrators uzņēmuma politikai pievieno pārvaldīto vidi. Papildinformācija Vides pievienošana uzņēmuma politikai datu šifrēšanai

Power Platform uzņēmuma politiku pakalpojuma iespējošana savam Azure abonementam

Reģistrējieties Power Platform kā resursu nodrošinātājs. Šis uzdevums ir jāveic tikai vienu reizi katram Azure abonementam, kurā atrodas jūsu Azure Key seifs. Lai reģistrētu resursu nodrošinātāju, jums ir nepieciešamas piekļuves tiesības abonementam.

  1. Pierakstieties portālā Azure un dodieties uz Abonements>Resursu nodrošinātāji.
  2. Resursu nodrošinātāju sarakstā meklējietMicrosoft.PowerPlatform unreģistrējiet to.

Uzņēmuma politikas izveide

  1. Instalējiet PowerShell MSI. Papildinformācija: PowerShell instalēšana operētājsistēmā Windows, Linux un macOS
  2. Kad PowerShell MSI ir instalēts, Azure atgriezieties pie Pielāgotas veidnes izvietošana.
  3. Redaktorā atlasiet saiti Izveidot savu veidni.
  4. Kopējiet šo JSON veidni teksta redaktorā, piemēram, Notepad. Papildinformācija: Uzņēmuma politikas json veidne
  5. Aizstājiet JSON veidnes vērtības: EnterprisePolicyName,atrašanās vieta, kur jāizveido EnterprisePolicy,keyVaultId un keyName. Papildinformācija: Lauku definīcijas json veidnei
  6. Kopējiet atjaunināto veidni no teksta redaktora, pēc tam ielīmējiet to Azure. gada Pielāgota izvietošanaRediģēt veidni un atlasiet Saglabāt.
  7. Atlasiet abonementu un resursu grupu , kurā jāizveido uzņēmuma politika.
  8. Atlasiet Pārskatīt + izveidot un pēc tam atlasiet Izveidot.

Tiek sākta izvietošana. Kad tas ir izdarīts, tiek izveidota uzņēmuma politika.

Uzņēmuma politikas json veidne

 {
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {},
    "resources": [
        {
            "type": "Microsoft.PowerPlatform/enterprisePolicies",
            "apiVersion": "2020-10-30",
            "name": {EnterprisePolicyName},
            "location": {location where EnterprisePolicy needs to be created},
            "kind": "Encryption",
            "identity": {
                "type": "SystemAssigned"
            },
            "properties": {
                "lockbox": null,
                "encryption": {
                    "state": "Enabled",
                    "keyVault": {
                        "id": {keyVaultId},
                        "key": {
                            "name": {keyName}
                        }
                    }
                },
                "networkInjection": null
            }
        }
    ]
   }

JSON veidnes lauku definīcijas

  • vārds. Uzņēmuma politikas nosaukums. Šis ir administrēšanas centrā redzamās Power Platform politikas nosaukums.

  • atrašanās vieta. Viens no šiem veidiem. Šī ir uzņēmuma politikas atrašanās vieta, un tai Dataverse jāatbilst vides reģionam:

    • "Amerikas Savienotās Valstis"
    • ''Dienvidāfrika''
    • '"Lielbritānija"'
    • "Japāna"
    • ''Indija''
    • ''Francija''
    • ''Eiropa''
    • "Vācija""
    • ''Šveice''
    • ''Kanāda''
    • ''Brazīlija''
    • ''Austrālija''
    • ''Āzija''
    • '"AAE"'
    • "Koreja"'
    • ''Norvēģija''
    • ''Singapūra''
    • ''Zviedrija''

  • Kopējiet šīs vērtības no atslēgu seifa rekvizītiem Azure portālā:

    • keyVaultId: dodieties uz Key seifs> atlasiet savu Key Seifs >Overview. Blakus Essentials atlasiet JSON View. Kopējiet resursa ID starpliktuvē un ielīmējiet visu saturu savā JSON veidnē.
    • keyName: dodieties uzKey seifs > , atlasiet savu atslēgu seifu >atslēgas. Ievērojiet atslēgas nosaukumu un ierakstiet nosaukumu savā JSON veidnē.

Uzņēmuma politikas atļauju piešķiršana piekļuvei atslēgu seifam

Kad uzņēmuma politika ir izveidota, atslēgu seifa administrators piešķir uzņēmuma politikas pārvaldītajai identitātei piekļuvi šifrēšanas atslēgai.

  1. Pierakstieties portālā Azure un dodieties uz Key seifs.
  2. Atlasiet atslēgu seifu, kurā atslēga tika piešķirta uzņēmuma politikai.
  3. Atlasiet cilni Piekļuves vadīkla (IAM) un pēc tam atlasiet + Pievienot.
  4. Nolaižamajā sarakstā atlasiet Pievienot lomas piešķiršanu ,
  5. Meklējiet Key Vault Šifrēšanas pakalpojuma šifrēšanas lietotājs un atlasiet to.
  6. Atlasiet Tālāk.
  7. Atlasiet + Atlasīt dalībniekus.
  8. Meklējiet izveidoto uzņēmuma politiku.
  9. Atlasiet uzņēmuma politiku un pēc tam izvēlieties Atlasīt.
  10. Atlasiet Pārskatīt + piešķirt.

Iepriekš minētais atļauju iestatījums ir balstīts uz atslēgu seifa Atļauju modelis no Azure lomu piekļuves kontrole. Ja jūsu atslēgu seifā ir iestatīta seifa piekļuves politika, ieteicams migrēt uz lomu modeli. Lai piešķirtu uzņēmuma politikai piekļuvi atslēgu seifam, izmantojot seifa piekļuves politiku, izveidojiet piekļuves politiku, atlasiet Iegūt atslēgu pārvaldības operācijas un Izsaiņot atslēgu un Aplauzt atslēgu kriptogrāfiskajās operācijās.

Piezīmes

Lai novērstu neplānotus sistēmas pārtraukumus, ir svarīgi, lai uzņēmuma politikai būtu piekļuve atslēgai. Pārliecinieties, vai:

  • Atslēgu seifs ir aktīvs.
  • Atslēga ir aktīva, un tās derīguma termiņš nav beidzies.
  • Atslēga netiek izdzēsta.
  • Iepriekš minētās atslēgas atļaujas netiek atsauktas.

Vides, kas izmanto šo atslēgu, tiek atspējotas, ja šifrēšanas atslēga nav pieejama.

Administratora Power Platform tiesību piešķiršana lasīt uzņēmuma politiku

Administratori, kuriem ir Dynamics 365 vai Power Platform administrēšanas lomas, var piekļūt Power Platform administrēšanas centram, lai piešķirtu vides uzņēmuma politikai. Lai piekļūtu uzņēmuma politikām, administratoram ar Azure piekļuvi atslēgas seifam ir jāpiešķir Power Platform administratoram loma Lasītājs. Kad loma Reader ir piešķirta, Power Platform administrators var skatīt uzņēmuma politikas Power Platform administrēšanas centrā.

Piezīmes

Tikai Power Platform un Dynamics 365 administratori, kuriem uzņēmuma politikai ir piešķirta lasītāja loma, var pievienot politikai vidi. Citi Power Platform vai Dynamics 365 administratori, iespējams, var skatīt uzņēmuma politiku, bet viņi saņem kļūdu, mēģinot politikai Pievienot vidi.

Lasītāja lomas piešķiršana administratoram Power Platform

  1. Pierakstieties portālā Azure.
  2. Kopējiet Power Platform vai Dynamics 365 administratora objekta ID. Lai to izdarītu:
    1. Dodieties uz Azure apgabalu Lietotāji.
    2. Sarakstā Visi lietotāji atrodiet lietotāju ar Power Platform vai Dynamics 365 administratora atļaujām, izmantojot Search users.
    3. Atveriet lietotāja ierakstu, cilnē Pārskats kopējiet lietotāja objekta ID. Ielīmējiet to teksta redaktorā, piemēram, NotePad vēlāk.
  3. Kopējiet uzņēmuma politikas resursa ID. Lai to izdarītu:
    1. Dodieties uz Resource Graph Explorer Azure.
    2. Ievadiet microsoft.powerplatform/enterprisepoliciesmeklēšanas lodziņā un pēc tam atlasiet resursu Microsoft.powerplatform/enterprisepolicies .
    3. Komandjoslā atlasiet Izpildīt vaicājumu . Tiek parādīts visu Power Platform uzņēmuma politiku saraksts.
    4. Atrodiet uzņēmuma politiku, kurai vēlaties piešķirt piekļuvi.
    5. Ritiniet pa labi no uzņēmuma politikas un atlasiet Skatīt detalizētu informāciju.
    6. Lapā Detalizēta informācija nokopējiet ID.
  4. Startējiet Azure Cloud Shell un palaidiet šādu komandu, aizstājot objId ar lietotāja objekta ID un EP resursa ID ar enterprisepolicies ID, kas kopēts iepriekšējās darbībās: New-AzRoleAssignment -ObjectId { objId} -RoleDefinitionName Reader -Scope {EP Resource Id}

Pārvaldīt vides šifrēšanu

Lai pārvaldītu vides šifrēšanu, ir nepieciešama šāda atļauja:

  • Microsoft Entra aktīvais lietotājs, kuram ir Power Platform un/vai Dynamics 365 administratora drošības loma.
  • Microsoft Entra lietotājs, kuram ir Power Platform vai Dynamics 365 pakalpojuma administratora loma.

Atslēgu seifa administrators paziņo administratoram Power Platform , ka ir izveidota šifrēšanas atslēga un uzņēmuma politika, un nodrošina administratoram Power Platform uzņēmuma politiku. Lai iespējotu klienta pārvaldīto atslēgu, administrators Power Platform piešķir savu vidi uzņēmuma politikai. Kad vide ir piešķirta un saglabāta, Dataverse uzsāk šifrēšanas procesu, lai iestatītu visus vides datus un šifrētu tos ar klienta pārvaldīto atslēgu.

Pārvaldītās vides pievienošanas uzņēmuma politikai iespējošana

  1. Pierakstieties Power Platform administrēšanas centrā.
  2. Navigācijas rūtī atlasiet Pārvaldīt.
  3. Rūtī Pārvaldība atlasiet Vides un pēc tam atlasiet vidi no pieejamā vides saraksta.
  4. Atlasiet Iespējot pārvaldītās vides.
  5. Atlasiet Iespējot.

Vides pievienošana uzņēmuma politikai, lai šifrētu datus

Svarīgi

Vide ir atspējota, kad tā tiek pievienota uzņēmuma datu šifrēšanas politikai. Sistēmas dīkstāves ilgums ir atkarīgs no datu bāzes lieluma. Ieteicams veikt testa izpildi, izveidojot mērķa vides kopiju testa vidē, lai noteiktu aprēķināto sistēmas dīkstāvi. Sistēmas dīkstāvi var noteikt, pārbaudot vides šifrēšanas statusu. Sistēmas dīkstāve ir starp šifrēšanas un šifrēšanas - tiešsaistes statusiem. Lai samazinātu sistēmas dīkstāvi, mēs mainām šifrēšanas statusu uz Šifrēšana - tiešsaistē , kad ir pabeigtas visas galvenās šifrēšanas darbības, kuru dēļ sistēmai bija jānedarbojas. Lietotāji var izmantot sistēmu, kamēr pārējie krātuves pakalpojumi, piemēram, meklēšana un Copilot indekss, turpina šifrēt datus ar klienta pārvaldīto atslēgu.

  1. Pierakstieties Power Platform administrēšanas centrā.
  2. Navigācijas rūtī atlasiet Drošība.
  3. Rūtī Drošība sadaļā Iestatījumi atlasiet Dati un konfidencialitāte .
  4. Atlasiet Klienta pārvaldīta šifrēšanas atslēga , lai pārietu uz lapu Uzņēmuma politikas.
  5. Atlasiet politiku un pēc tam atlasiet Rediģēt politiku.
  6. Atlasiet Pievienot vides, atlasiet vajadzīgo vidi un pēc tam atlasiet Turpināt. Vides pievienošana uzņēmuma politikai
  7. Atlasiet Saglabāt un pēc tam atlasietApstiprināt .

Svarīgi

  • Sarakstā Vides pievienošana tiek parādītas tikai vides , kas atrodas tajā pašā reģionā kā uzņēmuma politika.
  • Šifrēšana var ilgt līdz četrām dienām, bet vide var būt iespējota, pirms tiek pabeigta operācija Vides pievienošana.
  • Operācija var netikt pabeigta, un, ja tā neizdodas, jūsu dati joprojām tiek šifrēti ar Microsoft pārvaldīto atslēgu. Varat atkārtoti palaist operāciju Pievienot vides .

Piezīmes

Varat pievienot tikai tādas vides, kas ir iespējotas kā pārvaldītas vides. Izmēģinājumversijas un Teams vides tipus nevar pievienot uzņēmuma politikai.

Vides noņemšana no politikas, lai atgrieztos pie Microsoft pārvaldītās atslēgas

Veiciet tālāk norādītās darbības, ja vēlaties atgriezties pie Microsoft pārvaldītas šifrēšanas atslēgas.

Svarīgi

Vide tiek atspējota, kad tā tiek noņemta no uzņēmuma politikas, lai atgrieztu datu šifrēšanu, izmantojot Microsoft pārvaldīto atslēgu.

  1. Pierakstieties Power Platform administrēšanas centrā.
  2. Navigācijas rūtī atlasiet Drošība.
  3. Rūtī Drošība sadaļā Iestatījumi atlasiet Dati un konfidencialitāte .
  4. Atlasiet Klienta pārvaldīta šifrēšanas atslēga , lai pārietu uz lapu Uzņēmuma politikas.
  5. Atlasiet cilni Vide ar politikām un pēc tam atrodiet vidi, kuru vēlaties noņemt no klienta pārvaldītās atslēgas.
  6. Atlasiet cilni Visas politikas , atlasiet vidi, kuru pārbaudījāt 2. darbībā, un pēc tam komandjoslā atlasiet Rediģēt politiku . Cilne Visas politikas
  7. Komandjoslā atlasiet Noņemt vidi , atlasiet vidi, kuru vēlaties noņemt, un pēc tam atlasiet Turpināt.
  8. Atlasiet vienumu Saglabāt.

Svarīgi

Vide tiek atspējota, kad tā tiek noņemta no uzņēmuma politikas, lai atgrieztu datu šifrēšanu uz Microsoft pārvaldīto atslēgu. Neizdzēsiet un neatspējojiet atslēgu, neizdzēsiet vai atspējojiet atslēgu seifu un nenoņemiet uzņēmuma politikas atļaujas atslēgu seifam. Atslēgas un atslēgu seifa piekļuve ir nepieciešama, lai atbalstītu datu bāzes atjaunošanu. Pēc 30 dienām varat dzēst un noņemt uzņēmuma politikas atļaujas.

Vides šifrēšanas statusa pārskatīšana

Šifrēšanas statusa pārskatīšana uzņēmuma politikās

  1. Pierakstieties Power Platform administrēšanas centrā.

  2. Navigācijas rūtī atlasiet Drošība.

  3. Rūtī Drošība sadaļā Iestatījumi atlasiet Dati un konfidencialitāte .

  4. Atlasiet Klienta pārvaldīta šifrēšanas atslēga , lai pārietu uz lapu Uzņēmuma politikas.

  5. Atlasiet politiku un pēc tam komandjoslā atlasiet Rediģēt politiku.

  6. Pārskatiet vides šifrēšanas statususadaļā Vides ar šo politiku .

    Piezīmes

    Vides šifrēšanas statuss var būt:

    • Šifrēšana — klienta pārvaldītais atslēgas šifrēšanas process darbojas un sistēma ir atspējota lietošanai tiešsaistē.

    • Šifrēšana - tiešsaistē - Visi pamatpakalpojumu šifrēšana, kas nepieciešama sistēmas dīkstāve, ir pabeigta un sistēma ir iespējota lietošanai tiešsaistē.

    • Šifrēts — uzņēmuma politikas šifrēšanas atslēga ir aktīva, un vide ir šifrēta ar jūsu atslēgu.

    • Atgriešana - šifrēšanas atslēga tiek mainīta no klienta pārvaldītas atslēgas uz Microsoft pārvaldīto atslēgu, un sistēma ir atspējota lietošanai tiešsaistē.

    • Atgriešana - tiešsaistē - Visi pamatpakalpojumu šifrēšana, kas prasīja sistēmas dīkstāvi, ir atgriezuši atslēgu un sistēma ir iespējota lietošanai tiešsaistē.

    • Microsoft pārvaldītā atslēga — Microsoft pārvaldītā atslēgas šifrēšana ir aktīva.

    • Neizdevās — uzņēmuma politikas šifrēšanas atslēgu neizmanto visi krātuves Dataverse pakalpojumi. To apstrādei nepieciešams vairāk laika, un jūs varat atkārtoti palaist operāciju Pievienot vidi . Sazinieties ar atbalsta dienestu, ja atkārtotas palaišanas operācija neizdodas.

      Statuss Neveiksmīga šifrēšana neietekmē jūsu vides datus un to darbības. Tas nozīmē, ka daži krātuves Dataverse pakalpojumi šifrē jūsu datus ar jūsu atslēgu, bet daži turpina izmantot Microsoft pārvaldīto atslēgu. Atgriešana nav ieteicama, jo, atkārtoti palaižot operāciju Pievienot vidi , pakalpojums tiek atsākts no vietas, kur tas tika pārtraukts.

    • Brīdinājums — uzņēmuma politikas šifrēšanas atslēga ir aktīva, un viens no pakalpojuma datiem joprojām tiek šifrēts ar Microsoft pārvaldīto atslēgu. Uzziniet vairāk Power Automate CMK lietojumprogrammas brīdinājuma ziņojumi.

Šifrēšanas statusa pārskatīšana lapā Vides vēsture

Jūs varat redzēt vides vēsturi.

  1. Pierakstieties Power Platform administrēšanas centrā.

  2. Navigācijas rūtī atlasiet Pārvaldīt.

  3. Rūtī Pārvaldība atlasiet Vides un pēc tam atlasiet vidi no pieejamā vides saraksta.

  4. Komandjoslā atlasiet Vēsture.

  5. Atrodiet vēsturi Atjaunināt klienta pārvaldīto atslēgu.

    Piezīmes

    Statuss parāda Darbojas , kad notiek šifrēšana. Kad šifrēšana ir pabeigta, tiek parādīts Veiksmīgs . Statuss parāda Neizdevās , ja rodas kāda problēma ar kādu no pakalpojumiem, kas nevar lietot šifrēšanas atslēgu.

    Stāvoklis Neizdevās var būt brīdinājums , un nav atkārtoti jāpalaiž opcija Pievienot vidi . Varat apstiprināt, vai tas ir brīdinājums.

Vides šifrēšanas atslēgas maiņa, izmantojot jaunu uzņēmuma politiku un atslēgu

Lai mainītu šifrēšanas atslēgu, izveidojiet jaunu atslēgu un jaunu uzņēmuma politiku. Pēc tam varat mainīt uzņēmuma politiku, noņemot vides un pēc tam pievienojot vides jaunajai uzņēmuma politikai. Sistēma nedarbojas divas reizes, pārejot uz jaunu uzņēmuma politiku - 1) lai atgrieztu šifrēšanu uz Microsoft pārvaldīto atslēgu un 2) lai piemērotu jauno uzņēmuma politiku.

Padoms

Lai pagrieztu šifrēšanas atslēgu, ieteicams izmantot atslēgu seifu jauno versiju vai iestatīt rotācijas politiku.

  1. Portālā Azure izveidojiet jaunu atslēgu un jaunu uzņēmuma politiku. Papildinformācija Šifrēšanas atslēgas izveide un piekļuves piešķiršana un Uzņēmuma politikas izveide
  2. Piešķirt jaunajai uzņēmuma politikai piekļuvi vecajai atslēgai.
  3. Kad jaunā atslēga un uzņēmuma politika ir izveidota, piesakieties Power Platform administrēšanas centrā.
  4. Navigācijas rūtī atlasiet Drošība.
  5. Rūtī Drošība sadaļā Iestatījumi atlasiet Dati un konfidencialitāte .
  6. Atlasiet Klienta pārvaldīta šifrēšanas atslēga , lai pārietu uz lapu Uzņēmuma politikas.
  7. Atlasiet cilni Vide ar politikām un pēc tam atrodiet vidi, kuru vēlaties noņemt no klienta pārvaldītās atslēgas.
  8. Atlasiet cilni Visas politikas , atlasiet vidi, kuru pārbaudījāt 2. darbībā, un pēc tam komandjoslā atlasiet Rediģēt politiku . Uzņēmuma politiku rediģēšana
  9. Komandjoslā atlasiet Noņemt vidi , atlasiet vidi, kuru vēlaties noņemt, un pēc tam atlasiet Turpināt.
  10. Atlasiet vienumu Saglabāt.
  11. Atkārtojiet 2.–10. darbību, līdz visas uzņēmuma politikas vides ir noņemtas.

Svarīgi

Vide tiek atspējota, kad tā tiek noņemta no uzņēmuma politikas, lai atgrieztu datu šifrēšanu uz Microsoft pārvaldīto atslēgu. Neizdzēsiet un neatspējojiet atslēgu, neizdzēsiet vai atspējojiet atslēgu seifu un nenoņemiet uzņēmuma politikas atļaujas atslēgu seifam. Piešķirt jauno uzņēmuma politiku vecajai atslēgu glabātuvei. Atslēgas un atslēgu seifa piekļuve ir nepieciešama, lai atbalstītu datu bāzes atjaunošanu. Pēc 30 dienām varat dzēst un noņemt uzņēmuma politikas atļaujas.

  1. Kad visas vides ir noņemtas, administrēšanas Power Platform centrā dodieties uz uzņēmuma politikas.
  2. Atlasiet jauno uzņēmuma politiku un pēc tam atlasiet Rediģēt politiku.
  3. Atlasiet Pievienot vidi, atlasiet vides, kuras vēlaties pievienot, un pēc tam atlasiet Turpināt.

Svarīgi

Vide tiek atspējota, kad tā tiek pievienota jaunajai uzņēmuma politikai.

Vides šifrēšanas atslēgas pagriešana ar jaunu atslēgas versiju

Vides šifrēšanas atslēgu var mainīt, izveidojot jaunu atslēgas versiju. Izveidojot jaunu atslēgas versiju, jaunā atslēgas versija tiek automātiski iespējota. Visi krātuves resursi atklāj jauno atslēgas versiju un sāk to lietot, lai šifrētu jūsu datus.

Modificējot atslēgu vai atslēgas versiju, mainās saknes šifrēšanas atslēgas aizsardzība, bet krātuvē esošie dati vienmēr paliek šifrēti ar jūsu atslēgu. Jums vairs nav jāveic darbības, lai nodrošinātu jūsu datu aizsardzību. Atslēgas versijas pagriešana neietekmē veiktspēju. Nav dīkstāves, kas saistīta ar atslēgas versijas pagriešanu. Var paiet 24 stundas, līdz visi resursu nodrošinātāji fonā lieto jauno atslēgas versiju. Iepriekšējo atslēgas versiju nedrīkst atspējot , jo tā ir nepieciešama, lai pakalpojums to izmantotu atkārtotai šifrēšanai un datu bāzes atjaunošanas atbalstam.

Lai pagrieztu šifrēšanas atslēgu, izveidojot jaunu atslēgas versiju, veiciet tālāk norādītās darbības.

  1. Dodieties uz Azure portālu>Key Vaults un atrodiet atslēgu seifu, kurā vēlaties izveidot jaunu atslēgas versiju.
  2. Pārejiet uz taustiņiem.
  3. Atlasiet pašreizējo, iespējoto atslēgu.
  4. Izvēlieties + Jauna versija.
  5. Iestatījums Iespējots pēc noklusējuma ir Jā, kas nozīmē, ka jaunā atslēgas versija tiek automātiski iespējota pēc izveides.
  6. Atlasiet Izveidot.

Padoms

Lai atbilstu atslēgu rotācijas politikai, šifrēšanas atslēgu var pagriezt, izmantojot rotācijas politiku. Varat konfigurēt rotācijas politiku vai pagriezt pēc pieprasījuma, izsaucot opciju Pagriezt tūlīt.

Svarīgi

Jaunā atslēgas versija tiek automātiski pagriezta fonā, un administratoram Power Platform nav jāveic nekādas darbības. Ir svarīgi, lai iepriekšējā atslēgas versija netiktu atspējota vai dzēsta vismaz 28 dienas, lai atbalstītu datu bāzes atjaunošanu. Pārāk agri atspējojot vai izdzēšot iepriekšējo atslēgas versiju, vide var tikt pārvietota bezsaistē.

Skatīt šifrēto vidi sarakstu

  1. Pierakstieties Power Platform administrēšanas centrā.
  2. Navigācijas rūtī atlasiet Drošība.
  3. Rūtī Drošība sadaļā Iestatījumi atlasiet Dati un konfidencialitāte .
  4. Atlasiet Klienta pārvaldīta šifrēšanas atslēga , lai pārietu uz lapu Uzņēmuma politikas.
  5. Lapā Uzņēmuma politikas atlasiet cilni Vides ar politikām . Tiek parādīts uzņēmuma politikām pievienoto vidi saraksts.

Piezīmes

Var būt situācijas, kad vides statuss vai šifrēšanas statuss parāda statusu Neveiksmīgs . Ja tas notiek, varat mēģināt atkārtoti palaist operāciju Pievienot vidi vai iesniegt Microsoft Support palīdzības pieprasījumu.

Vides datubāzes operācijas

Klienta nomniekam var būt vides, kas ir šifrētas, izmantojot Microsoft pārvaldīto atslēgu, un vides, kas ir šifrētas ar klienta pārvaldīto atslēgu. Lai saglabātu datu integritāti un aizsardzību, pārvaldot vides datu bāzu operācijas, ir pieejami šādi kontroles pasākumi:

  • Atjaunot Pārrakstāmā vide (atjaunotā vide) ir ierobežota tajā pašā vidē, no kuras tika veikts dublējums, vai citā vidē, kas ir šifrēta ar to pašu klienta pārvaldīto atslēgu.

    Atjaunot dublējumu

  • Kopija

    Pārrakstāmā vide (kopētā vidē) ir ierobežota citā vidē, kas ir šifrēta ar to pašu klienta pārvaldīto atslēgu.

    Vides kopēšana

    Piezīmes

    Ja atbalsta izmeklēšanas vide tika izveidota, lai atrisinātu atbalsta problēmu klienta pārvaldītā vidē, atbalsta izmeklēšanas vides šifrēšanas atslēga ir jāmaina uz klienta pārvaldītu atslēgu, pirms var veikt kopēšanas vides operāciju.

  • Atiestatīt Vides šifrētie dati, ieskaitot dublējumus, tiek dzēsti. Pēc vides atiestatīšanas vides šifrēšana tiks atgriezta atpakaļ uz Microsoft pārvaldīto atslēgu.

Nākamās darbības

Apmēram Azure Key Vault

  • Last updated on