Хранение данных и управление в Power Platform
Во-первых, важно различать персональные данные и данные клиентов.
Персональные данные — это информация о людях, которая может быть использована для их идентификации.
Данные клиентов включают личные данные и другие данные клиентов, такие как URL-адреса, метаданные и информацию для аутентификации сотрудников, например DNS-имена.
Место расположения данных
Клиент Microsoft Entra хранит информацию, относящуюся к организации и ее безопасности. Когда клиент Microsoft Entra регистрируется в службах Power Platform, выбранная клиентом страна или регион сопоставляется с наиболее подходящей географией Azure, где развертывание Power Platform существует. Power Platform хранит данные о клиентах в назначенном клиенту геообъекте Azure или домашнем геообъекте за исключением случаев, когда организации развертывают службы в нескольких регионах.
Некоторые организации имеют глобальное присутствие. Например, компания может иметь штаб-квартиру в США, но вести бизнес в Австралии. Может потребоваться, чтобы определенные данные Power Platform хранились в Австралии в соответствии с местным законодательством. Когда службы Power Platform развернуты более чем в одном геообъекте Azure, это называется развертыванием в нескольких геообъектах. В этом случае в домашнем геообъекте хранятся только метаданные, связанные со средой. Все метаданные и данные о продукте в этой среде хранятся в удаленном геообъекте.
Microsoft может реплицировать данные в другие регионы для обеспечения устойчивости данных. Однако мы не копируем и не перемещаем личные данные за пределы геообъекта. Данные, реплицированные в другие регионы, могут включать в себя неличные данные, такие как данные аутентификации сотрудников.
Службы Power Platform доступны в определенных географических регионах Azure. Дополнительные сведения о месте доступности служб Power Platform, месте хранения данных и способах их использования см. в центре управления безопасностью Майкрософт. Обязательства относительно расположения неактивных данных клиента указаны в условиях обработки данных условий использования веб-служб Microsoft. Корпорация Майкрософт также предоставляет центры обработки данных для национальных облаков.
Обработка данных
В этом разделе описывается, как Power Platform хранит, обрабатывает и передает данные клиентов.
Неактивные данные
Если в документации не указано иное, данные клиентов остаются в исходном источнике (например, Dataverse или SharePoint). Приложение Power Platform хранится в службе хранилища Azure как часть среды. Данные, используемые в мобильных приложениях, шифруются и хранятся в SQL Express. В большинстве случаев приложения используют хранилище Azure для хранения данных служб Power Platform и базу данных SQL Azure для хранения метаданных службы. Данные, введенные пользователям приложения, хранятся в соответствующем источнике данных для службы, например, Dataverse.
Все данные, хранящиеся Power Platform, по умолчанию шифруется с помощью ключей, управляемых Microsoft. Данные клиентов, хранящиеся в базе данных SQL Azure, полностью шифруются с помощью технологии прозрачного шифрования данных SQL Azure (TDE). Данные клиентов, хранящиеся в хранилище BLOB-объектов Azure, шифруются с помощью шифрования службы хранилища Azure.
Обработка данных
Данные находятся в обработке, когда они активно используются интерактивным сценарием или когда фоновый процесс, такой как обновление, затрагивает эти данные. Power Platform загружает обрабатываемые данные в пространство памяти одной или нескольких рабочих нагрузок службы. Для облегчения работы рабочей нагрузки данные, хранящиеся в памяти, не шифруются.
Передаваемые данные
Power Platform требует, чтобы весь входящий HTTP-трафик был зашифрован с использованием версии TLS 1.2 или новее. Запросы, которые пытаются использовать TLS 1.1 или ниже, отклоняются.
Расширенные функции безопасности
Некоторые расширенные функции безопасности Power Platform имеют особые лицензионные требования.
Теги служб
Тег службы представляет собой группу префиксов IP-адресов из указанной службы Azure. Вы можете использовать теги службы для определения элементов управления доступом к сети в группах безопасности сети или брандмауэре Azure.
Теги служб помогают свести к минимуму сложность частых обновлений правил сетевой безопасности. Вы можете использовать теги служб вместо определенных IP-адресов при создании правил безопасности, которые, например, разрешают или запрещают трафик для соответствующей службы.
Корпорация Майкрософт управляет префиксами адресов, заключенными в теге службы, и автоматически обновляет тег службы при изменении адресов. Дополнительные сведения см. в Диапазоны IP-адресов Azure и теги служб — общедоступное облако.
Защита от потери данных
В Power Platform есть обширный набор функций защиты потери данных (DLP), чтобы помочь вам управлять безопасностью своих данных.
Ограничение IP-адресов подписанных URL-адресов (SAS) хранилища
Заметка
Прежде чем активировать любую из этих функций SAS, клиенты должны сначала разрешить доступ к домену https://*.api.powerplatformusercontent.com, иначе большинство функций SAS не будут работать.
Этот набор функций относится к конкретному клиенту и ограничивает токены подписанного URL-адреса (SAS) хранилища. Он управляется через меню в Центре администрирования Power Platform. Этот параметр ограничивает тех, кто на основе IP-адреса может использовать корпоративные токены SAS.
Эта функция в настоящее время находится на этапе закрытой предварительной версии. Открытая предварительная версия запланирована позже этой весной, а общедоступная версия появится летом 2024 года. Дополнительные сведения см. в разделе Планирование выпусков.
Эти настройки можно найти в центре администрирования в параметрах Конфиденциальность + безопасность среды Dataverse. Необходимо включить параметр Включить правило подписанного URL-адреса (SAS) к службе хранилища на основе IP-адреса.
Администраторы могут включить одну из следующих четырех конфигураций для этого параметра:
| Параметр | Описание |
|---|---|
| Только IP-привязка | Это ограничивает ключи SAS IP-адресом запрашивающей стороны. |
| Только IP-брандмауэр | Это ограничивает использование ключей SAS только в пределах диапазона, указанного администратором. |
| IP-привязка и брандмауэр | Это ограничивает использование ключей SAS в пределах диапазона, указанного администратором, и только IP-адресом запрашивающей стороны. |
| IP-привязка или брандмауэр | Позволяет использовать ключи SAS в указанном диапазоне. Если запрос поступает из-за пределов диапазона, применяется привязка IP-адреса. |
Продукты, использующие привязку IP, если она включена:
- Dataverse
- Power Automate
- Пользовательские соединители
- Power Apps
Влияние на интерфейс Power App
Обратите внимание на следующее влияние на пользователей:
Когда пользователь, который не соответствует ограничениям IP-адреса среды, открывает приложение: отображается следующее сообщение: «Это приложение перестало работать. Попробуйте обновить браузер». Планируется обновить этот интерфейс, чтобы предоставить пользователю больше контекстной информации о том, почему приложение не удалось запустить.
Когда пользователь, который не соответствует ограничениям по IP-адресу, открывает приложение: происходят следующие события:
- Отображается баннер со следующим сообщением: «Ваша организация настроила ограничения IP-адресов, ограничивающие доступ к Power Apps. Это приложение может быть недоступно при использовании другой сети. За дополнительной информацией обращайтесь к администратору». Этот баннер появляется на несколько секунд, а затем исчезает.
- Приложение может загружаться медленнее, чем если бы не было ограничений по IP-адресу. Ограничения по IP-адресу не позволяют платформе использовать некоторые возможности производительности, которые обеспечивают более быструю загрузку.
Если пользователь открывает приложение, отвечая требованиям к IP-адресу, а затем переходит в новую сеть, которая больше не соответствует требованиям к IP-адресу, пользователь может столкнуться с тем, что содержимое приложения, такое как изображения, встроенные мультимедиа и ссылки, может не загружаться или быть недоступным.
Регистрация вызовов SAS
Этот параметр позволяет регистрировать все вызовы SAS внутри Power Platform в Purview. В этом журнале отображаются соответствующие метаданные для всех событий создания и использования, и его можно включить независимо от вышеуказанных ограничений IP-адресов SAS. Службы Power Platform в настоящее время готовятся к подключению вызовов SAS в 2024 году.
Связанные статьи
Безопасность в Microsoft Power Platform
Аутентификация в службах Power Platform
Подключение и аутентификация в источниках данных
Вопросы и ответы по безопасности Power Platform