Поделиться через

Вопросы безопасности и управления в Power Platform

Многим клиентам интересно: как Power Platform могут быть широко доступными для бизнеса и поддержки со стороны ИТ? Ответ — система управления. Она направлен на то, чтобы позволить бизнес-группам сосредоточиться на эффективном решении бизнес-задач, соблюдая при этом стандарты ИТ и соответствия бизнес-стандартам. Следующее содержание предназначено для структурирования тем, часто связанных с управляющим программным обеспечением, и повышения осведомленности о возможностях, доступных для каждой темы, в части, касающейся управления Power Platform.

Тема Общие вопросы, связанные с каждой темой, за которую отвечает этот контент
Архитектура
  • Каковы основные конструкции и концепции Power Apps, Power Automate и Microsoft Dataverse?

  • Как эти конструкции соответствуют друг другу во время разработки и выполнения?
Безопасность
  • Каковы лучшие методики для организации систем безопасности?

  • Как использовать существующие решения управления пользователями и группами для управления ролями доступа и безопасности в Power Apps?
Оповещения и действия
  • Как определить модель системы управления между гражданскими разработчиками и управляемыми ИТ-службами?

  • Как определить модель системы управления между центральным ИТ и администраторами подразделений?

  • Как мне приблизиться к поддержке нестандартных сред в моей организации?
Отслеживание
  • Как мы собираем данные о соответствии и аудите?

  • Как измерить принятие и использование в моей организации?

Архитектура

Лучше всего ознакомиться со средой в рамках первого шага к созданию правильной системы управления для вашей компании. Среды — это контейнеры для всех ресурсов, используемых Power Apps, Power Automate и Dataverse. Environments Overview является хорошим праймером, за которым следует Что такое Dataverse?, Типы Power Apps, Майкрософт Power Automate, Connectors и Локальные шлюзы.

Безопасность

В этом разделе описаны механизмы, которые существуют для управления доступом к Power Apps в среде и доступе к данным: лицензиям, средам, ролям среды, Microsoft Entra ID, политикам данных и соединителям администраторов, которые можно использовать с Power Automate.

Лицензирование

Доступ к Power Apps и Power Automate начинается с наличия лицензии. Тип лицензии, имеющейся у пользователя, определяет активы и данные, к которым пользователь может получить доступ. В следующей таблице представлены различия в ресурсах, доступных пользователю на основе типа плана, на высоком уровне. Подробную информацию о лицензировании можно найти в разделе Обзор лицензий.

План Description
Microsoft 365 включена Это позволяет пользователям расширять SharePoint и другие ресурсы Office, у которых они уже есть.
Dynamics 365 включен Это позволяет пользователям настраивать и расширять приложения для взаимодействия с клиентами (Dynamics 365 Sales, Dynamics 365 Customer Service, Dynamics 365 Field Service, Dynamics 365 Маркетинг и Dynamics 365 Project Service Automation), у них уже есть.
План Power Apps Позволяет:
  • сделать корпоративные соединители и Dataverse доступными для использования.
  • пользователи могут использовать надежную бизнес-логику для разных типов приложений и возможностей администрирования.
сообщество Power Apps Это позволяет пользователю использовать Power Apps, Power Automate, Dataverse и пользовательские соединители в одном для отдельного использования. Нет возможности делиться приложениями.
Power Automate бесплатно Это позволяет пользователям создавать неограниченные потоки и выполнять 750 запусков.
план Power Automate См. руководство по лицензированию Майкрософт Power Apps и Майкрософт Power Automate.

Среды

После того как пользователи имеют лицензии, среды существуют в качестве контейнеров для всех ресурсов, используемых Power Apps, Power Automate и Dataverse. Среды могут использоваться для разных типов слушателей и/или для разных целей, таких как разработка, тестирование и производство. Более подробную информацию можно найти в Обзор сред.

Защитите свои данные и сеть

  • Power Apps и Power Automate don't предоставляют пользователям доступ к любым ресурсам данных, к которым у них еще нет доступа. Пользователи должны иметь доступ только к тем данным, к которым им действительно необходим доступ.
  • Политики управления доступом к сети также могут применяться к Power Apps и Power Automate. Для среды можно заблокировать доступ к сайту из сети, блокируя страницу входа, чтобы предотвратить создание подключений к этому сайту в Power Apps и Power Automate.
  • В среде доступ управляется на трех уровнях: роли среды, разрешения ресурсов для Power Apps, Power Automate и т. д. и роли безопасности Dataverse (если база данных Dataverse создана).
  • Когда Dataverse создается в среде, роли Dataverse берут на себя управление безопасностью в среде (и все администраторы и создатели среды переносятся).

Следующие субъекты поддерживаются для каждого типа роли.

Тип среды Роль Тип субъекта (Microsoft Entra ID)
Среда без Dataverse Роль среды Пользователь, группа, клиент
Разрешение ресурса: приложение на основе холста Пользователь, группа, клиент
Разрешение ресурса: Power Automate, пользовательский соединитель, шлюзы, подключения1 Пользователь, группа
Среда с Dataverse Роль среды User
Разрешение ресурса: приложение на основе холста Пользователь, группа, клиент
Разрешение ресурса: Power Automate, пользовательский разъем, шлюзы, подключения1 Пользователь, группа
Роль Dataverse (применяется ко всем приложениям на основе модели и компонентам) User

1 Только определенные соединения (например, SQL) могут быть общими.

Заметка

  • В среде по умолчанию всем пользователям в клиенте предоставляется доступ к роли создателя ресурсов среды.
  • Пользователи с ролью администратора Power Platform имеют доступ администратора ко всем средам.

Вопросы и ответы. Какие разрешения существуют на уровне клиента Microsoft Entra?

Сегодня администраторы Microsoft Power Platform могут выполнять следующие действия:

  1. Скачайте отчет о лицензиях Power Apps и Power Automate
  2. Создать политику данных, ограниченную только "Все среды" или настроенную для включения или исключения отдельных сред
  3. Управлять и назначать лицензии через центр администрирования Office
  4. Доступ ко всем возможностям управления средой, приложениями и потоками для всех сред в клиенте через:
    • Командлеты PowerShell для администратора Power Apps
    • Административные коннекторы Power Apps
  5. Доступ к аналитике для администраторов Power Apps и Power Automate для всех сред в клиенте:

Рассмотрим Microsoft Intune

Клиенты с Microsoft Intune могут задавать политики защиты мобильных приложений для приложений Power Apps и Power Automate в Android и iOS. В этом пошаговом руководстве описано, как настроить политику через Intune для Power Automate.

Рассмотрим условный доступ на основе расположения

Для клиентов с Microsoft Entra ID P1 или P2 политики условного доступа можно определить в Azure для Power Apps и Power Automate. Позволяет предоставлять или блокировать доступ на основе: пользователя/группы, устройства, местоположения.

Создание политики условного доступа

  1. Войдите в https://portal.azure.com.
  2. Выберите Условный доступ.
  3. Выберите + Создать политику.
  4. Выберите выбраны пользователи и группы.
  5. Выберите Все облачные приложения>Все облачные приложения>Common Data Service для управления доступом к приложениям для взаимодействия с клиентами.
  6. Примените условия (пользовательский риск, платформы устройств, местоположения).
  7. Нажмите кнопку "Создать".

Предотвращение утечки данных с помощью политик данных

Политики данных устанавливают правила того, какие соединители могут использоваться вместе, классифицируя соединители как "только бизнес-данные" или "бизнес-данные не разрешены". Проще говоря, если вы поместите соединитель в группу только для бизнес-данных, он может использоваться только с другими соединителями из этой группы в том же приложении. Администраторы Power Platform могут определять политики, применимые ко всем средам.

Вопросы и ответы

Вопрос. Можно ли контролировать, на уровне арендатора, какие соединители доступны, например, нет для Dropbox или Twitter, но да для SharePoint?

Ответ. Это возможно, если использовать возможности классификации соединителей и назначить классификатор Заблокировано одному или нескольким соединителям, которые вы не хотите использовать. Есть набор соединителей, которые невозможно заблокировать.

Вопрос: Как насчет совместного использования соединителей между пользователями? Например, соединитель для Teams — общий, которым можно делиться?

Ответ. Соединители доступны всем пользователям, за исключением премиум-соединителей или настраиваемых соединителей, которым требуется либо другая лицензия (премиум-соединители), либо явный общий доступ (настраиваемые соединители)

Оповещения и действие

В дополнение к мониторингу многие клиенты хотят подписаться на события создания, использования или состояния программного обеспечения, чтобы они знали, когда выполнять действие. В этом разделе описывается несколько способов наблюдения за событиями (вручную и программно) и выполнения действий, вызванных возникновением события.

Создание потоков Power Automate для оповещения о ключевых событиях аудита

  1. Пример оповещения, который можно реализовать, заключается в подписке на Microsoft 365 журналы аудита безопасности и соответствия требованиям.
  2. Это может быть достигнуто через подписку веб-перехватчик или опрос. Однако, подключив Power Automate к этим оповещениям, мы можем предоставить администраторам больше, чем только оповещения электронной почты.

Создание необходимых политик с помощью Power Apps, Power Automate и PowerShell

  1. Эти командлеты PowerShell предоставляют полный контроль администраторов для автоматизации необходимых политик управления.
  2. Соединители Power Platform for Admins V2 (предварительная версия) и Power Automate Management предоставляют такой же уровень контроля, но с добавленной расширяемостью и простотой использования благодаря Power Apps и Power Automate.
  3. Ознакомьтесь с рекомендациями Power Platform по администрированию и управлению и рассмотрите возможность настройки начального набора центра передовых технологий (CoE).
  4. Использовать этот шаблон блога и приложения, чтобы быстро начать использовать административные соединители.
  5. Кроме того, стоит ознакомиться с содержимым, представленным в галерее приложений Community Apps. Это еще один пример административного интерфейса, созданного с использованием Power Apps и соединителей для администраторов.

Вопросы и ответы

Problem В настоящее время все пользователи с Майкрософт лицензиями E3 могут создавать приложения в среде по умолчанию. Как, например, мы можем включить права создателя ресурсов среды для выбранной группы. Десять человек для создания приложений?

Рекомендация

Командлеты PowerShell и Соединители управления обеспечивают полную гибкость и контроль администраторов для создания политик, которые им нужны для своей организации.

Отслеживание

Хорошо известно, что мониторинг является критически важным аспектом управления программным обеспечением в большом масштабе. В этом разделе приводятся несколько способов получения аналитической информации о разработке и использовании Power Apps и Power Automate.

Просмотр журнала аудита

Журналирование действий для Power Apps интегрировано с Центром безопасности и соответствия требованиям Office для комплексного ведения журнала в таких сервисах Microsoft, как Dataverse и Microsoft 365. Office предоставляет API для запроса этих данных, который в настоящее время используется многими поставщиками SIEM для использования данных регистрации активности для составления отчетов.

Просмотр отчета о лицензии Power Apps и Power Automate

  1. Войдите в центр администрирования Power Platform.
  2. В области навигации выберите Лицензирование.
  3. В области Licensing выберите Power Automate или Power Apps для просмотра сведений.

Вы можете получить информацию о следующем:

  • Активные пользователи и использование приложения — сколько пользователей используют приложение и как часто?
  • Местоположение: где используется?
  • Производительность обслуживания соединителей
  • Сообщения об ошибках: какие приложения наиболее подвержены ошибкам
  • Используемые потоки по типу и дате
  • Созданные потоки по типу и дате
  • Аудит на уровне приложений
  • Работоспособность службы
  • Используемые соединители

Просмотр, что пользователи имеют лицензию

Вы всегда можете ознакомиться с отдельным лицензированием пользователей в Центр администрирования Microsoft 365 путем детализации конкретных пользователей.

Вы также можете использовать следующую команду PowerShell для экспорта назначенных пользовательских лицензий.

Get-AdminPowerAppLicenses -OutputFilePath '<licenses.csv>'

Экспортирует все назначенные пользовательские лицензии (Power Apps и Power Automate) в вашем клиенте в виде таблицы (файла .csv). Экспортированный файл содержит как внутренние пробные планы, предусматривающие самостоятельную регистрацию, так и планы, полученные из Microsoft Entra ID. Внутренние планы пробной версии не видны администраторам в Центр администрирования Microsoft 365.

Экспорт может занять некоторое время для клиентов с большим количеством пользователей Power Platform.

Просмотр ресурсов приложения, используемых в среде

  1. Войдите в центр администрирования Power Platform.
  2. В области навигации выберите Управление.
  3. На панели Управление выберите Среды.
  4. На странице Среды выберите среду.
  5. В разделе Ресурсы просмотрите список приложений, используемых в среде.

Связанный контент

  • Last updated on