Shranjevanje in upravljanje podatkov v okolju Power Platform
Najprej je pomembno poznati razliko med osebnimi podatki in podatki o strankah.
Osebni podatki so informacije o ljudeh, ki jih je mogoče uporabiti za njihovo identifikacijo.
Podatki o strankah vključujejo osebne podatke in druge podatke o strankah, vključno z URL-ji, metapodatki in informacijami za preverjanje pristnosti zaposlenih, kot so imena DNS.
Shranjevanje podatkov
Microsoft Entra Najemnik hrani informacije, ki so pomembne za organizacijo in njeno varnost. Ko se Microsoft Entra najemnik prijavi za Power Platform storitve, je najemnikova izbrana država ali regija preslikana v najprimernejšo geografijo Azure, kjer obstaja Power Platform razporeditev. Okolje Power Platform shranjuje podatke o strankah na geografski lokaciji storitve Azure, ki je dodeljena najemniku, ali na domači geografski lokaciji, razen pri organizacijah, ki storitve uvajajo v več regijah.
Nekatere organizacije so prisotne po vsem svetu. Podjetje ima lahko na primer sedež v Združenih državah Amerike, posluje pa v Avstraliji. Zaradi skladnosti z lokalnimi predpisi bo to podjetje morda moralo nekatere podatke okolja Power Platform hraniti v Avstraliji. Kadar je okolje Power Platform uvedeno na več kot eni geografski lokaciji storitev Azure, se imenuje uvedba za več geografskih lokacij. V tem primeru so na domači geografski lokaciji shranjeni samo metapodatki, povezani z okoljem. Vsi metapodatki in podatki o izdelkih v tem okolju so shranjeni na oddaljeni geografski lokaciji.
Microsoft lahko podvaja podatke v druge regije za odpornost podatkov. Vendar pa osebnih podatkov ne podvajamo ali premikamo zunaj geografske lokacije. Podatki, podvojeni v druge regije, lahko vključujejo neosebne podatke, kot so informacije o preverjanju pristnosti zaposlenih.
Storitve okolja Power Platform so na voljo na določenih geografskih lokacijah storitve Azure. Za več informacij o tem, kje so Power Platform storitve na voljo, kje so shranjeni vaši podatki in kako se uporabljajo, obiščite Microsoft Center zaupanja. Zaveze glede lokacije podatkov o strankah v mirovanju so določene v pogojih obdelave podatkov Microsoft pogojev spletnih storitev. Microsoft ponuja tudi podatkovne centre za državne subjekte.
Ravnanje s podatki
V tem razdelku je opisano, kako se podatki o strankah shranjujejo, obdelujejo in prenašajo v okolju Power Platform.
Podatki v mirovanju
Če v dokumentaciji ni navedeno drugače, podatki o strankah ostanejo v izvornem viru (na primer v storitvi Dataverse ali SharePoint). Aplikacija okolja Power Platform je shranjena v shrambi storitve Azure kot del okolja. Podatki, ki se uporabljajo v mobilnih aplikacijah, so šifrirani in shranjeni na strežniku SQL Express. Aplikacije običajno za shranjevanje podatkov storitev okolja Power Platform uporabljajo shrambo storitve Azure, za shranjevanje metapodatkov storitev pa zbirko podatkov Azure SQL. Podatki, ki jih vnesejo uporabniki aplikacije, so shranjeni v ustreznem viru podatkov za storitev, kot je Dataverse.
Vsi podatki, ki jih hrani Power Platform so privzeto šifrirani s ključi, ki jih upravlja Microsoft. Podatki o strankah, shranjeni v zbirki podatkov Azure SQL, so v celoti šifrirani s tehnologijo preglednega šifriranja podatkov (TDE) Azure SQL. Podatki o strankah, shranjeni v shrambi zbirke dvojiških podatkov Azure, so šifrirani s šifriranjem shrambe storitve Azure.
Podatki v obdelavi
Podatki so v obdelavi, kadar se uporabljajo v okviru interaktivne situacije ali kadar nanje vpliva postopek v ozadju, kot je osveževanje. Okolje Power Platform naloži podatke v obdelavi v pomnilnik ene ali več delovnih nalog storitve. Za lažje delovanje funkcij delovne naloge, podatki, shranjeni v pomnilniku, niso šifrirani.
Podatki v tranzitu
V okolju Power Platform mora biti ves dohodni promet HTTP šifriran s protokolom TLS 1.2 ali novejšim. Zahteve, ki poskušajo uporabiti protokol TLS 1.1 ali starejšo različico protokola, se zavrnejo.
Napredne varnostne funkcije
Za nekatere napredne varnostne funkcije okolja Power Platform veljajo posebne licenčne zahteve.
Oznake storitev
Oznaka storitve predstavlja skupino predpon naslovov IP iz določene storitve Azure. Z oznakami storitev lahko določite kontrolnike za dostop do omrežja v skupinah za varnost omrežja ali požarnem zidu Azure.
Oznake storitev pomagajo zmanjšati zapletenost pri pogostih posodobitvah varnostnih pravil za omrežje. Pri ustvarjanju varnostnih pravil, ki na primer dovoljujejo ali zavračajo promet za ustrezno storitev, lahko oznake storitev uporabljate namesto konkretnih naslovov IP.
Microsoft upravlja predpone naslovov, ki jih zajema servisna oznaka, in samodejno posodablja servisno oznako, ko se naslovi spreminjajo. Za več informacij glejte članek Obsegi naslovov IP za Azure in oznake storitev – javni oblak.
Preprečevanje izgube podatkov
Okolje Power Platform ponuja obsežen nabor funkcij za preprečevanje izgube podatkov (DLP), ki vam pomagajo pri upravljanju varnosti vaših podatkov.
Omejitev IP podpisa skupnega dostopa do shranjevanja (SAS).
opomba,
Preden aktivirajo katero koli od teh funkcij SAS, morajo stranke najprej omogočiti dostop do https://*.api.powerplatformusercontent.com domene, sicer večina funkcij SAS ne bo delovala.
Ta nabor funkcij je funkcionalnost, specifična za najemnika, ki omejuje žetone podpisa skupnega dostopa do shranjevanja (SAS) in se upravlja prek menija v Power Platform skrbniškem središču. Ta nastavitev omejuje, kdo lahko na podlagi IP (IPv4 in IPv6) uporablja žetone SAS podjetja.
Te nastavitve lahko najdete v nastavitvah okolja Zasebnost + Varnost v skrbniškem središču. Vklopiti morate možnost Omogoči pravilo podpisa skupnega dostopa do shranjevanja (SAS) na podlagi naslova IP .
Skrbniki lahko dovolijo eno od teh štirih možnosti za to nastavitev:
| Možnost | Nastavitev | Description |
|---|---|---|
| 1 | Samo vezava IP | To omeji ključe SAS na naslov IP vlagatelja. |
| 2 | Samo požarni zid IP | To omejuje uporabo ključev SAS na delovanje samo v območju, ki ga določi skrbnik. |
| 3 | Vezava IP in požarni zid | To omejuje uporabo ključev SAS za delo v območju, ki ga določi skrbnik, in samo na naslov IP vlagatelja. |
| 4 | Vezava IP ali požarni zid | Omogoča uporabo ključev SAS v določenem obsegu. Če zahteva prihaja izven obsega, se uporabi vezava IP. |
opomba,
Skrbniki, ki so se odločili dovoliti požarni zid IP (možnost 2, 3 in 4, navedene v zgornji tabeli), morajo vnesti tako obsege IPv4 kot IPv6 svojih omrežij, da zagotovijo ustrezno pokritost njihovih uporabnikov.
Izdelki, ki uveljavljajo vezavo IP, ko je omogočena:
- Dataverse
- Power Automate
- Priključki po meri
- Power Apps
Vpliv na uporabniško izkušnjo
Ko uporabnik, ki ne ustreza omejitvam IP naslova okolja, odpre aplikacijo: Uporabniki prejmejo sporočilo o napaki, ki navaja splošno težavo IP.
Ko uporabnik, ki izpolnjuje omejitve naslova IP, odpre aplikacijo: Zgodijo se naslednji dogodki:
- Uporabniki lahko prejmejo pasico, ki bo hitro izginila in uporabnikom sporočila, da je nastavljena nastavitev IP, in da se obrnejo na skrbnika za podrobnosti ali za osvežitev strani, ki izgubijo povezavo.
- Kar je še pomembneje, zaradi preverjanja IP, ki ga uporablja ta varnostna nastavitev, lahko nekatere funkcije delujejo počasneje, kot če bi bile izklopljene.
Posodobite nastavitve programsko
Skrbniki lahko uporabljajo avtomatizacijo za nastavitev in posodobitev tako vezave IP kot nastavitve požarnega zidu, obseg IP, ki je na seznamu dovoljenih, in preklop Beleženje . Več o tem v Vadnici: Ustvarite, posodobite in navedite nastavitve upravljanja okolja.
Beleženje klicev SAS
Ta nastavitev omogoča, da so vsi klici SAS znotraj Power Platform prijavljeni v Purview. To beleženje prikazuje ustrezne metapodatke za vse dogodke ustvarjanja in uporabe in ga je mogoče omogočiti neodvisno od zgornjih omejitev SAS IP. Power Platform storitve trenutno vključujejo klice SAS leta 2024.
| Ime polje | Opis polja |
|---|---|
| response.status_message | Obveščanje, ali je bil dogodek uspešen ali ne: SASSuccess ali SASAuthorizationError. |
| response.status_code | Obveščanje, ali je bil dogodek uspešen ali ne: 200, 401 ali 500. |
| ip_binding_mode | Način vezave IP, ki ga nastavi skrbnik najemnika, če je vklopljen. Velja samo za dogodke ustvarjanja SAS. |
| admin_provided_ip_ranges | Območja IP, ki jih nastavi skrbnik najemnika, če obstaja. Velja samo za dogodke ustvarjanja SAS. |
| computed_ip_filters | Končni nabor filtrov IP, vezanih na URI-je SAS na podlagi načina vezave IP in obsegov, ki jih je nastavil skrbnik najemnika. Velja za dogodke ustvarjanja in uporabe SAS. |
| analytics.resource.sas.uri | Podatki, do katerih je bil poskušan dostop ali ustvarjeni. |
| Končni uporabnik.ip_naslov | Javni IP klicatelja. |
| analytics.resource.sas.operation_id | Enolični identifikator iz dogodka ustvarjanja. Iskanje po tem prikaže vse dogodke uporabe in ustvarjanja, povezane s klici SAS iz dogodka ustvarjanja. Preslikano v glavo "x-ms-sas-operation-id" odgovor. |
| request.service_request_id | Enolični identifikator iz zahteve ali odgovor in ga je mogoče uporabiti za iskanje posameznega zapisa. Preslikano v glavo "x-ms-service-request-id" odgovor. |
| različica | Različica te sheme dnevnika. |
| vrsta | Generično odgovor. |
| analytics.activity.name | Vrsta dejavnosti tega dogodka je bila: ustvarjanje ali uporaba. |
| analytics.activity.id | Enolični ID zapisa v pristojnosti. |
| analytics.resource.organization.id | ID organizacije |
| analytics.resource.environment.id | ID okolja |
| analytics.resource.tenant.id | ID najemnika strežnika |
| enduser.id | GUID iz Microsoft Entra ID ustvarjalca iz dogodka ustvarjanja. |
| enduser.principal_name | UPN/e-poštni naslov ustvarjalca. Za dogodke uporabe je to generični odgovor: "system@powerplatform". |
| enduser.role | Generično odgovor: Regular za dogodke ustvarjanja in System za dogodke uporabe. |
Vklopite beleženje nadzora Purview
Če želite, da se dnevniki prikažejo v vaši instanci Purview, se morate najprej odločiti za vsako okolje, za katerega želite dnevnike. To nastavitev lahko v Power Platform skrbniškem središču posodobi skrbnik najemnika.
- Pojdite v Power Platform skrbniško središče in se prijavite s poverilnicami skrbnika najemnika.
- V levem podoknu za krmarjenje izberite Okolja.
- Izberite okolje, za katerega želite vklopiti skrbniško beleženje.
- V ukazni vrstici izberite Nastavitve .
- Izberite Izdelek>Zasebnost + Varnost.
- Pod Varnostne nastavitve podpisa skupnega dostopa do shranjevanja (SAS) (predogledna različica) vklopite Omogoči beleženje SAS v možnostih funkcija.
Iskanje revizijskih dnevnikov
Skrbniki najemnikov lahko uporabljajo Purview za ogled revizijskih dnevnikov, oddanih za operacije SAS, in lahko sami diagnosticirajo napake, ki se lahko vrnejo pri težavah s preverjanjem IP. Dnevniki v Purviewu so najbolj zanesljiva rešitev.
Uporabite naslednje korake za diagnosticiranje težav ali boljše razumevanje vzorcev uporabe SAS v vašem najemniku.
Prepričajte se, da je za okolje vklopljeno revizijsko beleženje. Glejte Vklop nadzornega beleženja Purview.
Pojdite na Microsoft portal za skladnost s pristojnostmi in se prijavite s poverilnicami skrbnika najemnika.
V levem podoknu za krmarjenje izberite Revizija. Če vam ta možnost ni na voljo, to pomeni, da prijavljeni uporabnik nima skrbniškega dostopa do dnevnikov nadzora poizvedb.
Izberite datumsko in časovno obdobje v UTC, ko poskušate iskati dnevnike. Na primer, ko je bila vrnjena napaka 403 Forbidden s kodo napake unauthorized_caller .
Na spustnem seznamu Dejavnosti - prijazna imena poiščite Power Platform shranjevalne operacije in izberite Ustvarjen URI SAS in Uporabljen URI SAS.
Določite ključno besedo v Iskanju po ključnih besedah. Če želite izvedeti več o tem področju, glejte Začnite z iskanjem v dokumentaciji Purview. Uporabite lahko vrednost iz katerega koli od polj, opisanih v zgornji tabeli, odvisno od vašega scenarija, spodaj pa so priporočena polja za iskanje (po prednostnem vrstnem redu):
- Vrednost glave x-ms-service-request-id odgovor. To filtrira rezultate v en dogodek ustvarjanja SAS URI ali en dogodek uporabe SAS URI, odvisno od vrste zahteve, iz katere je glava. Uporabno je pri preiskovanju napake 403 Forbidden, vrnjene uporabniku. Uporabite ga lahko tudi za pridobitev vrednosti powerplatform.analytics.resource.sas.operation_id .
- Vrednost x-ms-sas-operation-id odgovor glave. To filtrira rezultate v en dogodek ustvarjanja SAS URI in enega ali več dogodkov uporabe za ta SAS URI, odvisno od tega, kolikokrat je bil dostopan. Preslika se v polje powerplatform.analytics.resource.sas.operation_id .
- Celoten ali delni SAS URI, brez podpisa. To lahko vrne številne stvaritve SAS URI in številne dogodke uporabe SAS URI, ker je mogoče, da se isti URI zahteva za generiranje tolikokrat, kot je potrebno.
- IP naslov kličočega. Vrne vse dogodke ustvarjanja in uporabe za ta IP.
- ID okolja. To lahko vrne velik nabor podatkov, ki lahko obsegajo številne različne ponudbe Power Platform, zato se izogibajte, če je mogoče, ali razmislite o zožanju iskalnega okna.
Opozorilo
Ne priporočamo iskanja po glavnem imenu uporabnika ali ID-ju predmeta, saj se posredujeta le dogodkom ustvarjanja, ne pa dogodkom uporabe.
Izberite Išči in počakajte, da se prikažejo rezultati.
Opozorilo
Zaužitje prijave v Purview se lahko odloži za eno uro ali več, zato imejte to v mislih, ko iščete najnovejše dogodke.
Odpravljanje težav 403 Napaka Forbidden/unauthorized_caller
Z dnevniki ustvarjanja in uporabe lahko ugotovite, zakaj bi klic povzročil napako 403 Forbidden s kodo napake unauthorized_caller .
- Poiščite dnevnike v Purview, kot je opisano v prejšnjem razdelku. Razmislite o uporabi x-ms-service-request-id ali x-ms-sas-operation-id iz glav odgovor kot iskalno ključno besedo.
- Odprite dogodek uporabe, Used SAS URI, in poiščite powerplatform.analytics.resource.sas.computed_ip_filters polje pod PropertyCollection. To območje IP uporablja klic SAS za določitev, ali je zahteva pooblaščena za nadaljevanje ali ne.
- Primerjajte to vrednost s poljem IP Address v dnevniku, ki bi moralo zadostovati za določitev, zakaj zahteva ni uspela.
- Če menite, da je vrednost powerplatform.analytics.resource.sas.computed_ip_filters nepravilna, nadaljujte z naslednjimi koraki.
- Odprite dogodek ustvarjanja, Created SAS URI, z iskanjem z x-ms-sas-operation-id odgovor vrednost glave (ali vrednost polja powerplatform.analytics.resource.sas.operation_id iz dnevnika ustvarjanja).
- Pridobite vrednost polja powerplatform.analytics.resource.sas.ip_binding_mode . Če manjka ali je prazen, to pomeni, da vezava IP ni bila vklopljena za to okolje v času te posebne zahteve.
- Pridobite vrednost powerplatform.analytics.resource.sas.admin_provided_ip_ranges. Če manjka ali je prazen, to pomeni, da obsegi požarnega zidu IP niso bili določeni za to okolje v času te posebne zahteve.
- Pridobite vrednost powerplatform.analytics.resource.sas.computed_ip_filters, ki bi morala biti enaka dogodku uporabe in je izpeljana na podlagi načina povezovanja IP in požarnega zidu IP, ki ga zagotovi skrbnik razponi. Oglejte si logiko izpeljave v Shranjevanje in upravljanje podatkov v Power Platform.
To bi moralo skrbnikom najemnikov dati dovolj informacij za popravo morebitne napačne konfiguracije glede na okolje za nastavitve vezave IP.
Opozorilo
Spremembe nastavitev okolja za vezavo IP SAS lahko začnejo veljati vsaj 30 minut. Lahko bi bilo več, če bi imele partnerske ekipe svoj predpomnilnik.
Povezani članki
Varnost v Microsoft Power Platform
Preverjanje pristnosti za Power Platform storitve
Povezovanje in preverjanje pristnosti z viri podatkov
Power Platform pogosta vprašanja o varnosti