Armazenamento de dados e governação no Power Platform

O Power Platform processa dados pessoais e dados do cliente. Para saber mais sobre dados pessoais e dados de clientes, consulte o Microsoft Trust Center.

Residência dos dados

Um inquilino do Microsoft Entra armazena informações relevantes para uma organização e sua segurança. Quando um inquilino Microsoft Entra se inscreve nos serviços Power Platform, a macro região selecionada pelo inquilino corresponde à geografia macro mais adequada do Azure onde existe uma implementação do Power Platform. O Power Platform armazena os dados dos clientes na geografia macro do Azure atribuída ao inquilino, ou na geografia principal, a menos que as organizações implementem serviços em múltiplas regiões. Uma geografia de macro-região representa o limite de residência de dados que está alinhado com as leis de residência de dados para uma dada geografia. Para saber mais sobre as regiões disponíveis numa geografia macro específica de uma região, consulte Power Platform e Dynamics 365 macro region geography.

Como administrador, pode selecionar uma geografia de macro-região, como América do Norte, Europa ou Asia-Pacific em vez de uma região específica do centro de dados. A plataforma atribui então automaticamente a região ideal do centro de dados dentro da geografia macro selecionada, com base em considerações de capacidade, disponibilidade e desempenho. Esta abordagem ajuda a garantir uma experiência mais escalável, resiliente e eficiente para todos os clientes, continuando a respeitar os compromissos de residência de dados. A seleção inteligente de regiões assegura que os ambientes são colocados em regiões com capacidade e saúde ideais, melhorando o tempo de atividade e a capacidade de resposta.

Algumas organizações têm uma presença global. Por exemplo, uma empresa poderá estar sediada nos Estados Unidos, mas fazer negócios na Austrália. Pode ser necessário armazenar certos dados da Power Platform na Austrália para cumprir as regulamentações locais. Quando os serviços do Power Platform são implementados em mais do que uma geografia do Azure, é referido como uma implementação multigeográfico. Neste caso, apenas os metadados relacionados com o ambiente são armazenados na macro geo principal. Todos os metadados e dados de produto desse ambiente são armazenados na geo macro remota.

Os serviços do Power Platform estão disponíveis em determinadas geografias do Azure. Para mais informações sobre onde os serviços Power Platform estão disponíveis, onde os seus dados são armazenados e replicados para maior resiliência e como são utilizados, visite o Microsoft Trust Center. Os compromissos sobre a localização dos dados de clientes inativos encontram-se nos Termos do Processamento de Dados dos Termos dos Serviços Online da Microsoft. A Microsoft também fornece datacenters para entidades soberanas.

Processamento de dados

Esta secção descreve como o Power Platform armazena, processa e transfere dados de clientes.

Dados inativos

Salvo indicação em contrário na documentação, os dados de clientes permanecem na sua origem original (por exemplo, Dataverse ou SharePoint). As aplicações do Power Platform são armazenadas no Armazenamento do Azure como parte de um ambiente. Os dados de aplicações móveis são encriptados e armazenados no SQL Express. Na maioria dos casos, as aplicações utilizam o Armazenamento do Azure para persistir dados de serviço do Power Platform e na Base de Dados do SQL do Azure para persistir em metadados de serviço. Os dados que os utilizadores da aplicação inserem são armazenados na respetiva fonte de dados do serviço, como o Dataverse.

O Power Platform encripta todos os dados persistidos por predefinição utilizando chaves geridas pela Microsoft. Os dados de clientes armazenados na Base de Dados SQL do Azure são totalmente encriptados com a tecnologia de Encriptação de Dados Transparente (TDE) do SQL do Azure. Os dados de clientes armazenados no armazenamento de Blobs do Azure são encriptados através da Encriptação de Armazenamento do Azure.

Dados em processamento

Os dados estão em processamento quando estão a ser utilizados ativamente como parte de um cenário interativo, ou quando um processo de fundo, como a atualização lhes toca. O Power Platform carrega dados em processamento no espaço de memória de uma ou mais cargas de trabalho de serviço. Para facilitar a funcionalidade da carga de trabalho, os dados que são armazenados na memória não são encriptados.

Dados em trânsito

O Power Platform encripta todo o tráfego HTTP recebido usando TLS 1.2 ou superior. A plataforma rejeita pedidos que tentem usar TLS 1.1 ou inferior.

Funcionalidades de segurança avançadas

Algumas das funcionalidades avançadas de segurança do Power Platform exigem licenças específicas.

Etiqueta de serviço

Uma etiqueta de serviço é um grupo de prefixos de endereço IP de um serviço do Azure específico. Pode utilizar etiquetas de serviço para definir controlos de acesso em Grupos de Segurança de Rede ou Azure Firewall.

As etiquetas de serviço ajudam a minimizar a complexidade das atualizações frequentes das regras de segurança da rede. Use etiquetas de serviço em vez de endereços IP específicos quando criar regras de segurança que, por exemplo, permitam ou neguem o tráfego para o serviço correspondente.

A Microsoft gere os prefixos de endereço na etiqueta de serviço e atualiza-a automaticamente à medida que os endereços mudam. Para mais informações, consulte Intervalos de IP do Azure e Etiquetas de Serviço – Cloud Pública.

Políticas de dados

A Power Platform inclui amplas funcionalidades de política de dados para ajudar a gerir a segurança dos dados.

Restrição de IP da Assinatura de Acesso Partilhado a Armazenamento (SAS)

Nota

Antes de ativar qualquer uma destas funcionalidades SAS, os clientes têm primeiro de permitir o acesso ao domínio https://*.api.powerplatformusercontent.com ou a maioria das funcionalidades SAS não irá funcionar.

Este conjunto de funcionalidades é uma funcionalidade específica do inquilino que restringe os tokens de Assinatura de Acesso Partilhado (SAS) de Armazenamento e é controlado através de um menu no centro de administração do Power Platform. Esta definição restringe quem, com base no IP (IPv4 e IPv6), pode usar tokens de SAS empresariais.

Pode encontrar estas definições nas definições de Privacidade + Segurança de um ambiente, no centro de administração. Ative a opção de regra Habilitar Assinatura de Acesso Partilhado de Armazenamento (SAS) baseada em endereço IP .

Os administradores podem escolher uma destas quatro opções para esta definição:

Opção	Definição	Description
5	Apenas Enlace de IP	Esta configuração restringe as chaves SAS ao IP do requerente.
2	Apenas Firewall de IP	Isto restringe a utilização de chaves SAS para funcionar apenas num intervalo especificado pelo administrador.
3	Firewall e Enlace de IP	Isto restringe a utilização de chaves SAS para funcionar num intervalo especificado pelo administrador e apenas para o IP do requerente.
4	Firewall ou Enlace de IP	Permite a utilização de chaves SAS no intervalo especificado. Se o pedido tiver origem exterior ao intervalo, é aplicado o Enlace de IP.

Nota

Os administradores que escolherem permitir o Firewall de IP (Opção 2, 3 e 4 listados na tabela acima), têm de introduzir ambos os intervalos IPv4 e IPv6 das suas redes para garantir a abrangência adequada dos respetivos utilizadores.

Aviso

As opções 1 e 3 usam o Enlace de IP, que não funciona corretamente se os clientes tiverem gateways com capacidade de Conjuntos de IP, Proxy Reverso ou Tradução de Endereços de Rede (NAT) usados nas respetivas redes. Isto faz com que o endereço IP de um utilizador mude com demasiada frequência para que um requerente tenha, de forma fiável, o mesmo IP entre as operações de leitura/escrita da SAS.

As opções 2 e 4 funcionam como previsto.

Produtos que impõem o Enlace de IP quando ativados:

• Dataverse
• Power Automate
• Conectores Personalizados
• Power Apps

Impacto na experiência do utilizador

• Quando um utilizador, que não cumpre as restrições de endereço IP do ambiente, abre uma aplicação: os utilizadores recebem uma mensagem de erro a citar um problema genérico de IP.

• Quando um utilizador que cumpre as restrições de endereços IP abre uma aplicação: ocorrem os seguintes eventos:

  • Os utilizadores poderão obter uma faixa que irá desaparecer rapidamente, permitindo que os utilizadores saibam que foi definida uma definição de IP e que contactem o admin para obterem detalhes ou para atualizarem quaisquer páginas que percam a ligação.
  • Mais significativamente, devido à validação de IP que esta definição de segurança utiliza, algumas funcionalidades poderão ter um desempenho mais lento do que se estivessem desativadas.

Atualizar definições de forma programática

Os administradores podem usar a automatização para definir e atualizar o enlace de IP vs. a definição de firewall, o intervalo de IP que está na lista de permissões e o comutador de Registo. Saiba mais em Tutorial: Criar, atualizar e listar Definições de Gestão do Ambiente.

Registo de chamadas SAS

Esta definição permite que todas as chamadas SAS dentro do Power Platform sejam registados no Purview. Este registo mostra os metadados relevantes para todos os eventos de criação e utilização e pode ser ativado independentemente das restrições de IP de SAS anteriores. Os seriços do Power Platform estão atualmente a integrar chamadas SAS em 2024.

Nome do campo	Descrição do campo
response.status_message	Indica se o evento foi bem-sucedido ou não: SASSuccess ou SASAuthorizationError.
response.status_code	Indica se o evento foi bem-sucedido ou não: 200, 401 ou 500.
ip_binding_mode	Modo de enlace de IP definido por um admin de inquilinos, se ativado. Aplica-se apenas a eventos de criação SAS.
admin_provided_ip_ranges	Intervalos de IP definidos por um admin de inquilinos, se existir. Aplica-se apenas a eventos de criação SAS.
computed_ip_filters	Conjunto final de filtros IP vinculados a URIs SAS com base no modo de enlace de IP e nos intervalos definidos por um admin de inquilinos. Aplica-se a eventos de criação e de utilização de SAS.
analytics.resource.sas.uri	Os dados que estava a tentar aceder ou criar.
enduser.ip_address	O IP público do chamador.
analytics.resource.sas.operation_id	O identificador exclusivo do evento de criação. A pesquisa mostra todos os eventos de utilização e criação relacionados com as chamadas SAS do evento de criação. Mapeado para o x-ms-sas-operation-id cabeçalho da resposta.
request.service_request_id	Identificador exclusivo do pedido ou da resposta e pode ser utilizado para procurar um único registo. Mapeado para o x-ms-service-request-id cabeçalho da resposta.
version	Versão deste esquema de registo.
type	Resposta genérica.
analytics.activity.name	O tipo de atividade deste evento foi: Criação ou Utilização.
analytics.activity.id	ID exclusivo do registo no Purview.
analytics.resource.organization.id	ID da Organização
analytics.resource.environment.id	ID do Ambiente
analytics.resource.tenant.id	ID do Inquilino
enduser.id	O GUID do Microsoft Entra ID do criador do evento de criação.
enduser.principal_name	O UPN/endereço de e-mail do agente. Para eventos de uso, esta é uma resposta genérica: "system@powerplatform".
enduser.role	Resposta genérica: Regular para eventos de criação e Sistema para eventos de utilização.

Ative o registo de auditoria do Purview

Para que os registos sejam mostrados na sua instância do Purview, deve primeiro optar ativamente por participar em cada ambiente para o qual pretende os registos. Esta definição pode ser atualizada no centro administração do Power Platform por um administrador de inquilino.

1. Inicie sessão no centro de administração da Power Platform com credenciais de administrador de inquilino.
2. No painel de navegação, selecione Gerenciar.
3. No painel Gerir, selecione Ambientes.
4. Selecione o ambiente em que pretende ativar o registo de administrador.
5. Selecione Definições na barra de comando.
6. Selecione Produto>Privacidade + segurança.
7. Em Definições de Segurança (Pré-visualização) da Assinatura de Acesso Partilhado (SAS) de Armazenamento, ative a funcionalidade Ativar Registo de SAS no Purview.

Pesquisa de registos de auditoria

Os administradores de inquilinos podem usar o Purview para ver registos de auditoria emitidos para operações SAS e podem diagnosticar automaticamente erros que podem ser devolvidos em problemas de validação de IP. Os registos do Purview são a solução mais fiável.

Utilize os passos a seguir para diagnosticar problemas ou entender melhor os padrões de utilização do SAS no seu inquilino.

1. Verifique se o registo de auditoria está ativado para o ambiente. Consulte Ativar o registo de auditoria do Purview.

2. Aceda ao Portal de conformidade do Microsoft Purview e inicie sessão com credenciais de administrador de inquilinos.

3. No painel de navegação esquerdo, selecione Auditoria. Se essa opção não estiver disponível para si, isso significa que o utilizador com sessão iniciada não tem acesso de administrador para consultar registos de auditoria.

4. Selecione o intervalo de data e tempo em UTC para pesquisar por registos. Por exemplo, quando um erro 403 Proibido com um código de erro unauthorized_caller foi devolvido.

5. Na Activities - friendly names lista suspensa, pesquise por operações de armazenamento Power Platform e selecione URI SAS criado e URI SAS usado.

6. Especifique uma palavra-chave na Pesquisa por palavra-chave. Consulte Introdução à pesquisa na documentação do Purview para saber mais sobre este campo. Pode usar um valor de qualquer um dos campos descritos na tabela acima, dependendo do seu cenário, mas abaixo estão os campos recomendados para pesquisar (por ordem de preferência):

   • O valor do cabeçalho de x-ms-service-request-id resposta. Este valor filtra os resultados para um evento de criação de URI SAS ou um evento de utilização de URI SAS, dependendo do tipo de pedido do cabeçalho. É útil ao investigar um erro 403 Proibido devolvido ao utilizador. Também podes usá-lo para aproveitar o powerplatform.analytics.resource.sas.operation_id valor.
   • O valor do cabeçalho de x-ms-sas-operation-id resposta. Este valor filtra os resultados para um evento de criação de URI SAS e um ou mais eventos de utilização para esse URI SAS, dependendo de quantas vezes foi acedido. Corresponde ao powerplatform.analytics.resource.sas.operation_id campo.
   • URI SAS total ou parcial, menos a assinatura. Isso pode devolver muitas criações de URI SAS e muitos eventos de utilização de URI SAS, porque é possível que o mesmo URI seja solicitado para geração quantas vezes necessário.
   • Endereço IP do chamador. Devolve todos os eventos de criação e utilização para esse IP.
   • ID do ambiente. Isso pode devolver um grande conjunto de dados que podem abranger diferentes ofertas do Power Platform, portanto, evite, se possível, ou considere restringir a janela de pesquisa.

   Aviso

   Não procure por Nome Principal de Utilizador ou ID de Objeto porque esses valores apenas se propagam para eventos de criação, não para eventos de uso.

7. Selecione Pesquisar e aguarde que sejam apresentados os resultados.

   

Aviso

A ingestão de registos no Purview pode ser adiada até uma hora ou mais, portanto, tenha isto em mente ao pesquisar por eventos recentes.

Resolução de problemas 403 Proibido/unauthorized_caller

Pode utilizar registos de criação e utilização para determinar porque uma chamada resultaria num erro 403 Proibido com um código de erro unauthorized_caller.

1. Encontre registos no Purview, conforme descrito na secção anterior. Considere usar x-ms-service-request-id ou x-ms-sas-operation-id dos cabeçalhos de resposta como palavra-chave de pesquisa.
2. Abra o evento de utilização, URI SAS utilizado, e procure o campo powerplatform.analytics.resource.sas.computed_ip_filters em PropertyCollection. Este intervalo de IP é o que a chamada SAS usa para determinar se o pedido está autorizado a prosseguir ou não.
3. Compare este valor com o campo Endereço IP do registo, que deve ser suficiente para determinar porque o pedido falhou.
4. Se acha que o valor de powerplatform.analytics.resource.sas.computed_ip_filters está incorreto, continue com os próximo passos.
5. Abra o evento de criação, URI SAS criado, pesquisando usando o valor do cabeçalho de resposta v-ms-sas-operation-id (ou o valor do campo powerplatform.analytics.resource.sas.operation_id do registo de criação).
6. Obtenha o valor do campo powerplatform.analytics.resource.sas.ip_binding_mode. Se estiver ausente ou vazio, significa que o enlace de IP não estava ativado para esse ambiente no momento desse pedido específico.
7. Obtenha o valor de powerplatform.analytics.resource.sas.admin_provided_ip_ranges. Se estiver ausente ou vazio, significa que os intervalos de firewall de IP não estavam especificados para esse ambiente no momento desse pedido específico.
8. Obtenha o valor de powerplatform.analytics.resource.sas.computed_ip_filters, que deve ser idêntico ao evento de utilização e é derivado com base no modo de enlace IP e nos intervalos de firewall de IP fornecidos pelo administrador. Veja a lógica de derivação em Armazenamento e governação de dados no Power Platform.

Estas informações ajudam os administradores do inquilino a corrigir qualquer configuração incorreta nas definições de enlace de IP do ambiente.

Aviso

Alterações às definições de ambiente para enlace de IP do SAS podem levar, pelo menos, 30 minutos para entrar em vigor. Poderia ser mais se as equipas parceiras tivessem o seu próprio cache.

Artigos relacionados

Descrição geral da segurança
Autenticar para serviços do Power Platform
Ligar a e autenticar origens de dados
FAQs de segurança do Power Platform

Consulte também

• Centro de Fidedignidade da Microsoft
• Escolher a região ao configurar um ambiente
• Intervalos de Endereços IP do Azure e Etiquetas de Serviços – Cloud Pública
• Funcionalidades da política de dados