Безопасный доступ к данным клиента с помощью блокировки клиента в Power Platform и Dynamics 365

Большинство операций, выполняемых персоналом Майкрософт (в том числе и дополнительными обработчиками данных), а также осуществление поддержки и устранение неполадок, не требует доступа к данным клиентов. С помощью блокировки клиента Power Platform клиенты могут просматривать и утверждать (или отклонять) запросы доступа к данным в редких случаях, когда корпорация Майкрософт нуждается в доступе к данным клиента. Используйте его в тех случаях, когда инженер Майкрософт должен получить доступ к данным клиента, независимо от того, в ответ на запрос в службу поддержки, инициированный клиентом, или проблема, обнаруженная корпорацией Майкрософт.

В этой статье рассказывается, как включить защищенное хранилище и как запросы, касающиеся защищенного хранилища, инициируются, отслеживаются и сохраняются для последующей проверки и аудита.

Примечание

Защищенное хранилище доступно в общедоступных облаках, а также в облаках сообщества для государственных учреждений США (GCC), GCC High и в облаке Министерства обороны (DoD).

Обзор

Вы можете включить защищенное хранилище для источников данных в своем клиенте. При включении защищенного хранилища политика принудительно применяется только для сред, которые активированы в качестве управляемых сред. Включить политику защищенного хранилища могут администраторы Power Platform.

Дополнительные сведения см. в разделе "Включить политику блокировки".

В тех редких случаях, когда Майкрософт пытается получить доступ к данным клиентов, которые хранятся в Power Platform (например, в Dataverse), запрос защищенного хранилища отправляется на утверждение администраторам Power Platform. Дополнительные сведения см. в разделе "Просмотр запроса на блокировку".

Все события, касающиеся запроса защищенного хранилища, записываются и предоставляются вашей организации в виде журналов аудита. Дополнительные сведения см. в статье Аудит запросов защищенного хранилища.

Приложения и службы Power Platform и Dynamics 365 хранят данные клиентов с использованием нескольких разных технологических решений хранения Azure. При включении защищенного хранилища для какой-либо среды данные клиентов, связанные с соответствующей средой, будут защищены политикой защищенного хранилища независимо от типа хранилища.

Примечание

• В настоящее время приложения и службы, в которых применяется политика блокировки после включения, — Power Apps (за исключением карточек для Power Apps), AI Builder, Power Pages, Power Automate, Microsoft Copilot Studio, Dataverse, Customer Insights, Customer Service, Sales (кроме аналитики бесед), Сообщества, Руководства, Подключенные пространства, Финансы (за исключением служб управления жизненным циклом), Операции проектов (за исключением служб управления жизненным циклом), Управление цепочками поставок (за исключением служб управления жизненным циклом), и область маркетинга в режиме реального времени приложения "Маркетинг".
• К службам, работающим на базе службы Azure OpenAI, политика защищенного хранилища не применяется, кроме случаев, когда в документации по данной функции указано, что защищенное хранилище с ней используется.
• Nuance Conversational IVR исключается из применения политики защищенного хранилища, если только в документации продукта для данной функции не указано, что применяется защищенное хранилище.
• Приветственное содержимое для создателей исключено из политики защищенного хранилища.
• Чтобы иметь возможность использовать защищенное хранилище, вы должны отключить поиск Lucene.NET на своем сайте и перейти на поиск Dataverse. Дополнительные сведения см. в статье "Поиск на порталах" с помощью Lucene.NET не рекомендуется.

Рабочий процесс

1. В вашей организации возникает проблема с Microsoft Power Platform, и вы обращаетесь в службу поддержки Майкрософт, создав запрос на техническую поддержку. Возможен также вариант, когда корпорация Майкрософт заблаговременно выявляет проблему (например, срабатывает заблаговременное уведомление), и для исследования и обхода или устранения ее первопричины открывается событие, инициированное Майкрософт.

2. Оператор Майкрософт проверяет запрос на поддержку или событие и пытается устранить проблему с помощью стандартных средств и телеметрии. Если оператору требуется доступ к данным клиента для дальнейшего устранения неполадок, инженер Майкрософт запускает внутренний процесс утверждения для доступа к данным клиента независимо от того, включена ли политика блокировки.

3. Если соответствующее хранилище данных связано с средой, защищенной в соответствии с включением политики блокировки, процесс также создает запрос на блокировку. Назначенные утверждающие (администраторы Power Platform) получают по электронной почте уведомление об ожидающем обработки запросе от Майкрософт.

   Важно

   Инженер Майкрософт не может продолжить расследование, пока клиент не утвердит запрос на блокировку. Из-за необходимости утверждения могут возникать задержки в обработке запросов в службу поддержки или длительные простои. Убедитесь, что вы отслеживаете уведомления электронной почты и запросы на доступ к lockbox в Центре администрирования Power Platform. Своевременно отвечайте на это, чтобы избежать прерываний работы служб.

   

4. Утверждающий входит в центр администрирования Power Platform и одобряет запрос. Если утверждающий отклоняет запрос или не утверждает его в течение четырех дней, срок действия запроса истекает, а инженер Майкрософт не получает доступа.

5. После того как утверждающий из вашей организации утвердит запрос, инженер Майкрософт получает повышенные разрешения, которые они первоначально запрашивали и исправляют вашу проблему. Инженеры Майкрософт имеют определенное время — восемь часов, чтобы устранить проблему, после чего доступ автоматически отозван.

Включение политики защищенного хранилища

Администраторы Power Platform могут создать или изменить политику защищенного хранилища в центре администрирования Power Platform. Включение политики на уровне клиента применяется только к средам, активированным в качестве управляемых сред. Для внедрения Customer Lockbox во всех источниках данных и всех средах может потребоваться до 24 часов.

1. Войдите в центр администрирования Power Platform.
2. В области навигации выберите Управление.
3. В области "Управление" выберите параметры клиента.
4. Выберите бокс блокировки клиентов, а затем выберите Включить.

Просмотр запроса защищенного хранилища

1. Войдите в центр администрирования Power Platform.

2. В области навигации выберите Безопасность.

3. В области "Безопасность " выберите "Соответствие".

4. На странице Compliance выберите Customer Lockbox.

5. Просмотрите подробности запроса.

   Поле	Описание
   Идентификатор запроса в службу поддержки	Идентификатор запроса в службу поддержки, связанного с запросом защищенного хранилища. Если запрос является результатом внутренних оповещений, вызванных корпорацией Майкрософт, значение — «Initiated by Microsoft».
   Среда	Отображаемое имя среды, доступ к данным в которой запрашивается.
   Состояние	Статус запроса защищенного хранилища. Требуется действие: ожидает утверждения клиентом Время действия истекло: утверждение клиента не получено Утверждено: утвержден клиентом Отклонено: отклонен клиентом
   Время поступления запроса	Время, в течение которого инженер Майкрософт запрашивал доступ к данным клиента в среде клиента.
   Срок действия запроса	Время, до которого клиент должен утвердить запрос защищенного хранилища. Статус запроса изменится на Время действия истекло, если до этого времени не будет получено утверждение.
   Период доступа	Продолжительность времени, в течение которого запрашивающая сторона хочет иметь доступ к данным клиента. Это значение по умолчанию равно 8 часам и не может быть изменено.
   Срок действия доступа	Если доступ предоставлен, тут будет указано время, до которого инженер Майкрософт имеет доступ к данным клиента.

6. Выберите запрос защищенного хранилища, а затем выберите Утвердить или Отклонить.

   

   Примечание

   Запросы защищенного хранилища, поступившие за последние 28 дней, отображаются в таблице Недавние.

   После утверждения запрос не может быть отозван в течение всего периода доступа, составляющего 8 часов.

Аудит запросов защищенного хранилища

Предупреждение

Схема, описанная в этом разделе для событий аудита защищенного хранилища, устарела и не будет доступна начиная с июля 2024 г. Вы можете проводить аудит событий защищенного хранилища, используя новую схему, доступную в разделе Категория действий: операции защищенного хранилища.

Действия, связанные с принятием, отклонением или истечением срока действия запроса на защищенное хранилище, автоматически записываются в Microsoft 365 Defender.

След аудита для каждого запроса защищенного хранилища включает перечисленные ниже, равно как и некоторые другие поля.

• Уникальный идентификатор запроса
• Время создания запроса
• Идентификатор организации
• Идентификатор пользователя (уникальный идентификатор оператора Майкрософт, выполняющего запрос)
• Статус запроса
• Идентификатор связанного запроса в службу поддержки
• Срок истечения время действия запроса
• Срок истечения времени доступа к данным
• Идентификатор среды
• Обоснование запроса

Вкладка Аудит в Microsoft 365 позволяет администраторам искать события, связанные с сеансами защищенного хранилища. Просмотрите категорию Защищенное хранилище Power Platform, чтобы найти события, связанные с защищенным хранилищем Power Platform.

Администраторы могут напрямую экспортировать набор результатов, полученный на основе условий фильтра.

Защищенное хранилище создает два типа журналов аудита:

1. Журналы, инициируемые Майкрософт и соответствующие созданию или истечению срока действия запроса защищенного хранилища либо окончанию сеансов доступа. Этот набор журналов аудита не соответствует никакому конкретному идентификатору пользователя, поскольку действия инициируются корпорацией Microsoft.
2. Журналы, которые инициируются действиями конечного пользователя, например когда пользователь утверждает или отклоняет запрос защищенного хранилища. Если пользователю, выполняющему эти операции, не назначена лицензия E5, журналы отфильтровываются и не отображаются в журналах аудита.

По умолчанию журналы аудита хранятся в течение одного года. Для хранения записей аудита в течение 10 лет вам потребуется дополнительная лицензия на хранение журналов аудита на 10 лет. Подробнее о хранении журналов аудита см. в статье Аудит (премиум).

Требования к лицензированию для защищенного хранилища

Политика защищенного хранилища применяется только в тех средах, которые активированы в качестве управляемых сред. Управляемые среды включены в качестве права в автономные лицензии Power Apps, Power Automate, Microsoft Copilot Studio, Power Pages и Dynamics 365, предоставляющих премиальные права на использование. Подробнее о лицензировании управляемых сред см. в статьях Лицензирование и Обзор лицензирования для Microsoft Power Platform.

Кроме того, для доступа к защищенному хранилищу для Microsoft Power Platform и Dynamics 365 требуется, чтобы пользователи в средах, где применяется политика защищенного хранилища, имели одну из следующих подписок:

• Microsoft 365 или Office 365 A5/E5/G5
• Соответствие Microsoft 365 A5/E5/F5/G5
• Безопасность & соответствие Microsoft 365 F5
• Управление внутренними рисками в Microsoft 365 A5/E5/F5/G5
• Управление информацией и ее защита для Microsoft 365 A5/E5/F5/G5 Подробнее о применимых лицензиях.

Исключения

• Запросы защищенного хранилища не инициируются в перечисленных ниже сценариях работы технической поддержки.

  • Экстренные ситуации, выходящие за рамки стандартных операционных процедур, например серьезный сбой службы, требующий немедленного вмешательства для возобновления работы или восстановления служб в непредвиденных или непредсказуемых случаях. Такие неотложные события случаются редко и в большинстве случаев не требуют доступа к данным клиентов для устранения проблемы.

  • Инженер Майкрософт получает доступ к базовой платформе в рамках работы над устранением неполадок и непреднамеренно получает доступ к данным клиентов. Такие сценарии редко приводят к получению доступа к значимым объемам клиентских данных.

• Запросы защищенного хранилища также не инициируются внешними юридическими запросами на получение данных. Для получения подробной информации см. обсуждение правительственных запросов на получение данные в Центр управления безопасностью Майкрософт.

• Защищенное хранилище не применяется к доступу к данным клиента, передаваемым в связи с функциями ИИ Copilot, и ручной проверке таких данных. Защищенное хранилище остается включенным для всех данных, входящих в сферу охвата.

Известные проблемы

• Миграция между клиентами не поддерживается, если защищенное хранилище включено. Вы должны отключить защищенное хранилище клиента, чтобы переместить среду в другой клиент. После завершения переноса вы можете повторно включить защищенное клиентское хранилище.