Share via

Armazenamento de dados e governação no Power Platform

  • Artigo

Em primeiro lugar, é importante distinguir entre dados pessoais e dados de cliente.

  • Dados pessoais são informações sobre pessoas que podem ser utilizadas para os identificar.

  • Dados do cliente incluem dados pessoais e outras informações do cliente, incluindo URLs, metadados e informações de autenticação de colaboradores, como nomes de DNS.

Residência dos dados

Um inquilino do Microsoft Entra abriga informações relevantes para uma organização e sua segurança. Quando um inquilino do Microsoft Entra se inscreve para serviços do Power Platform, o país ou região selecionado do inquilino é mapeado para a geografia do Azure mais adequada onde existe uma implementação do Power Platform. O Power Platform armazena dados de clientes na geografia do Azure atribuída pelo inquilino, ou geo base, exceto quando as organizações implementam serviços em várias regiões.

Algumas organizações têm uma presença global. Por exemplo, uma empresa pode estar sediada nos Estados Unidos, mas fazer negócios na Austrália. Pode precisar de certos dados do Power Platform para ser armazenado na Austrália para cumprir regulamentos locais. Quando os serviços do Power Platform são implementados em mais do que uma geografia do Azure, é referido como uma implementação multigeográfico. Neste caso, apenas os metadados relacionados com o ambiente são armazenados na geo base. Todos os metadados e dados do produto nesse ambiente são armazenados na geo remota.

A Microsoft pode replicar dados para outras regiões para resiliência de dados. No entanto, não replicamos nem movemos dados pessoais fora da geo. Os dados replicados noutras regiões podem incluir dados não pessoais, tais como informações de autenticação de funcionários.

Os serviços do Power Platform estão disponíveis em geografias do Azure específicas. Para obter mais informações sobre o local onde os serviços do Power Platform estão disponíveis, onde os seus dados são armazenados e como são utilizados, vá ao Centro de Confiança da Microsoft. Os compromissos relativos à localização dos dados de clientes inativos encontram-se especificados nos Termos do Processamento de Dados dos Termos dos Serviços Online da Microsoft. A Microsoft também fornece datacenters para entidades soberanas.

Processamento de dados

Esta secção descreve como o Power Platform armazena, processa e transfere dados de clientes.

Dados inativos

Salvo indicação em contrário na documentação, os dados de clientes permanecem na sua origem original (por exemplo, Dataverse ou SharePoint). Uma aplicação do Power Platform é armazenada no Armazenamento do Azure como parte de um ambiente. Os dados utilizados em aplicações móveis são encriptados e armazenados no SQL Express. Na maioria dos casos, as aplicações utilizam o Armazenamento do Azure para persistir dados de serviço do Power Platform e na Base de Dados do SQL do Azure para persistir em metadados de serviço. Os dados que são introduzidos por utilizadores de aplicações são armazenados na respetiva origem de dados para o serviço, tal como o Dataverse.

Todos os dados persistidos pelo Power Platform são encriptados por predefinição utilizando chaves geridas pela Microsoft. Os dados de clientes armazenados na Base de Dados SQL do Azure são totalmente encriptados com a tecnologia de Encriptação de Dados Transparente (TDE) do SQL do Azure. Os dados de clientes armazenados no armazenamento de Blobs do Azure são encriptados através da Encriptação de Armazenamento do Azure.

Dados em processamento

Os dados estão em processamento quando estão a ser utilizados ativamente como parte de um cenário interativo, ou quando um processo de fundo, como a atualização lhes toca. O Power Platform carrega dados em processamento no espaço de memória de uma ou mais cargas de trabalho de serviço. Para facilitar a funcionalidade da carga de trabalho, os dados que são armazenados na memória não são encriptados.

Dados em trânsito

O Power Platform requer que todo o tráfego HTTP de entrada seja encriptado utilizando TLS 1.2 ou superior. Os pedidos que tentem utilizar TLS 1.1 ou inferior são rejeitados.

Funcionalidades de segurança avançadas

Algumas das funcionalidades de segurança avançadas do Power Platform têm requisitos de licenciamento específicos.

Etiqueta de serviço

Uma etiqueta de serviço representa um grupo de prefixos de endereço IP de um serviço do Azure especificado. Pode utilizar etiquetas de serviço para definir controlos de acesso em Grupos de Segurança de Rede ou Azure Firewall.

As etiquetas de serviço ajudam a minimizar a complexidade das atualizações frequentes para regras de segurança da rede. Pode utilizar etiquetas de serviço no lugar de endereços IP específicos quando cria regras de segurança que, por exemplo, permitem ou negam o tráfego para o serviço correspondente.

A Microsoft gere os prefixos de endereço englobados pela etiqueta de serviço e atualiza automaticamente a etiqueta de serviço à medida que os endereços mudam. Para mais informações, consulte Intervalos de IP do Azure e Etiquetas de Serviço – Cloud Pública.

Prevenção de perda de dados

O Power Platform tem um vasto conjunto de funcionalidades de Prevenção de Perda de Dados (DLP) para ajudá-lo a gerir a segurança dos seus dados.

Restrição de IP da Assinatura de Acesso Partilhado a Armazenamento (SAS)

Nota

Antes de ativar qualquer uma destas funcionalidades SAS, os clientes têm primeiro de permitir o acesso ao domínio https://*.api.powerplatformusercontent.com ou a maioria das funcionalidades SAS não irá funcionar.

Este conjunto de funcionalidades é uma funcionalidade específica do inquilino que restringe os tokens de Assinatura de Acesso Partilhado (SAS) de Armazenamento e é controlado através de um menu no centro de administração do Power Platform. Esta definição restringe quem, com base no IP, pode utilizar tokens de SAS empresariais.

Esta funcionalidade está atualmente em modo de pré-visualização privada. A pré-visualização pública está planeada para o final desta primavera, com disponibilidade geral no verão de 2024. Para mais informações, consulte Planeamento de Versões.

Estas definições podem ser encontradas nas definições Privacidade + Segurança de um ambiente do Dataverse no centro de administração. Tem de ativar a opção Ativar Assinatura de Acesso Partilhado (SAS) de Armazenamento baseada no endereço IP.

Os administradores podem ativar uma destas quatro configurações para esta definição:

Definição Descrição
Apenas Enlace de IP Isto restringe as chaves SAS ao IP do requerente.
Apenas Firewall de IP Isto restringe a utilização de chaves SAS para funcionar apenas num intervalo especificado pelo administrador.
Firewall e Enlace de IP Isto restringe a utilização de chaves SAS para funcionar num intervalo especificado pelo administrador e apenas para o IP do requerente.
Firewall ou Enlace de IP Permite a utilização de chaves SAS no intervalo especificado. Se o pedido tiver origem exterior ao intervalo, é aplicado o Enlace de IP.

Produtos que impõem o Enlace de IP quando ativados:

  • Dataverse
  • Power Automate
  • Conectores Personalizados
  • Power Apps

Impacto nas experiências do Power App

  • Quando um utilizador que não cumpre as restrições de endereços IP de um ambiente abre uma aplicação: é apresentada a seguinte mensagem: "Esta aplicação deixou de funcionar. Tente atualizar o browser." Existem planos para atualizar esta experiência para fornecer informações mais contextuais ao utilizador sobre o motivo pelo qual a aplicação não foi lançada.

  • Quando um utilizador que cumpre as restrições de endereços IP abre uma aplicação: ocorrem os seguintes eventos:

    • É apresentada uma faixa com a seguinte mensagem: "A sua organização configurou restrições de endereços IP que limitam onde o Power Apps está acessível. Esta aplicação poderá não estar acessível quando utiliza outra rede. Contacte o seu administrador para obter mais detalhes." Este faixa aparece durante alguns segundos e, em seguida, desaparece.
    • A aplicação poderá ser carregada mais lentamente do que se as restrições de endereços IP não estivessem em vigor. As restrições de endereços IP impedem a plataforma de utilizar algumas capacidades de desempenho que permitem tempos de carregamento mais rápidos.

    Se um utilizador abrir uma aplicação enquanto cumpre os requisitos de endereços IP e, em seguida, muda para uma nova rede que já não cumpre os requisitos de endereços IP, o utilizador poderá observar que os conteúdos da aplicação, tais como imagens, multimédia incorporada e ligações, poderão não ser carregados ou estar acessíveis.

Registo de chamadas SAS

Esta definição permite que todas as chamadas SAS no Power Platform sejam registadas no Purview. Este registo mostra os metadados relevantes para todos os eventos de criação e utilização e pode ser ativado independentemente das restrições de IP de SAS anteriores. Os seriços do Power Platform estão atualmente a integrar chamadas SAS em 2024.

Nome do campo Descrição do campo
response.status_message Informa se o evento foi bem-sucedido ou não: SASSuccess ou SASAuthorizationError.
response.status_code Informa se o evento foi bem-sucedido ou não: 200, 401 ou 500.
analytics.resource.sas.uri Os dados que estava a tentar aceder ou criar.
enduser.ip_address O IP público do chamador.
analytics.resource.sas.operation_id O identificador exclusivo do evento de criação. A pesquisa mostra todos os eventos de utilização e criação relacionados com as chamadas SAS do evento de criação. Mapeado para o cabeçalho de resposta "x-ms-sas-operation-id".
request.service_request_id Identificador exclusivo do pedido ou da resposta e pode ser utilizado para procurar um único registo. Mapeado para o cabeçalho de resposta "x-ms-service-request-id".
versão Versão deste esquema de registo.
type Resposta genérica.
analytics.activity.name O tipo de atividade deste evento foi: Criação ou Utilização.
analytics.activity.id ID exclusivo do registo no Purview.
analytics.resource.organization.id ID da Organização
analytics.resource.environment.id ID do Ambiente
analytics.resource.tenant.id ID do Inquilino
enduser.id O GUID do Microsoft Entra ID do criador do evento de criação.
enduser.principal_name O UPN/endereço de e-mail do agente. Para eventos de utilização, esta é uma resposta genérica: "system@powerplatform".
enduser.role Resposta genérica: Regular para eventos de criação e Sistema para eventos de utilização.

Segurança no Microsoft Power Platform
Autenticar para serviços do Power Platform
Ligar a e autenticar origens de dados
FAQs de segurança do Power Platform

Consulte também