Поділитися через

Безпечний доступ до даних клієнтів за допомогою входу Power Platform Customer Lockbox і Dynamics 365

  • Стаття

Для більшості операцій, підтримки та виправлення неполадок, які виконує персонал корпорації Майкрософт (включно з субобробниками), не потрібен доступ до даних клієнта. За допомогою повного контролю доступу на стороні клієнта Power Platform ми надаємо інтерфейс для клієнтів, де вони можуть переглядати та затверджувати (або відхиляти) запити на доступ до даних у рідкісних випадках, коли потрібен доступ до даних клієнтів. Він використовується в тих випадках, коли інженеру Microsoft потрібно отримувати доступ до даних клієнтів незалежно від того, чи це є відповідь на ініційований клієнтом запит у службу підтримки або проблема, виявлена корпорацією Microsoft.

У цій статті описано, як увімкнути повний контроль доступу на стороні клієнта та як ініціюються, відстежуються та зберігаються запити захищеного повного контролю доступу для наступних перевірок і аудитів.

Нотатка

Система Customer Lockbox доступна в загальнодоступних хмарах і в регіонах Міністерства оборони США (GCC) GCC High і Міністерства оборони США.

Підсумок

У клієнті можна ввімкнути повний контроль доступу на стороні клієнта для джерел даних. Якщо ввімкнути Lockbox, політика застосовуватиметься лише для середовищ, активованих для Керовані середовища. Глобальні адміністратори та адміністратори Power Platform можуть ввімкнути політику контролю доступу.

Щоб отримати додаткові відомості, перейдіть до пункту Увімкнення політики повного контролю доступу.

У рідкісних випадках, коли корпорація Microsoft намагається отримати доступ до даних клієнтів, що зберігаються в Power Platform (наприклад, Dataverse), запит на повний контроль доступу надсилається глобальному адміністратору та адміністраторам Power Platform для схвалення. Для отримання додаткових відомостей перейдіть до пункту Розгляд запиту на повний контроль доступу.

Усі оновлення запиту на повний контроль доступу записуються та переносяться в організацію як контрольний журнал. Для отримання додаткових відомостей перейдіть до пункту Запит на повний контроль доступу до відстеження.

Power Platform Програми та служби Dynamics 365 зберігають дані клієнтів у кількох технологіях зберігання даних Azure. Якщо ввімкнути повний контроль доступу на стороні клієнта для середовища, дані клієнтів, зв’язані з відповідним середовищем, захищені політикою повного контролю доступу незалежно від типу сховища.

Нотатка

  • Наразі програми та служби, до яких буде застосовано політику lockbox після ввімкнення, є Power Apps (за винятком Картки для Power Apps), AI Builder, Power Pages Power Automate Microsoft Copilot Studio ,(за винятком функцій GPT AI), Dataverse, Customer Insights, служба підтримки клієнтів, Спільноти, Посібники, Підключені простори, Фінанси (крім служб життєвого циклу), Операції проекту (крім служб життєвого циклу), ланцюжок постачання Керування (за винятком служб життєвого циклу) і область функцій маркетинг у реальному часі програми Marketing.
  • Функції, що працюють на базі служби Azure OpenAI , виключаються з правил Lockbox, якщо в документації продукту для певної функції не зазначено, що Lockbox застосовується.
  • Nuance Conversational IVR виключається з правил Lockbox, якщо в документації продукту для певної функції не зазначено, що Lockbox застосовується.
  • Вітальний вміст Maker виключено з правил Lockbox.
  • Щоб мати можливість використовувати Центр контролю доступу до клієнтів, потрібно вимкнути пошук Lucene.NET на веб-сайті та перейти в Dataverse розділ Пошук. Додаткові відомості: Пошук на порталах за допомогою пошуку Lucene.NET вважається застарілим.

Workflow

  1. В організації сталася помилка з Microsoft Power Platform, і ви відкриваєте запит на підтримку в службі підтримки Microsoft. Крім того, корпорація Microsoft проактивно виявляє проблему (наприклад, ініціювала проактивне сповіщення) і відкрито подію, запущену Microsoft, щоб досліджувати й усувати або виправити основну причину.

  2. Оператор Microsoft переглядає запит або подію на підтримку та намагається усунути проблему за допомогою стандартних інструментів і телеметрії. Якщо для подальшого усунення несправностей необхідний доступ до даних клієнтів, інженер Microsoft ініціює процес внутрішнього затвердження доступу до даних клієнтів, незалежно від того, увімкнуто чи ні політику lockbox.

  3. Крім того, запит на повний контроль доступу створюється, якщо відповідне сховище даних пов’язано із середовищем, захищеним згідно з політикою повного контролю доступу. Призначеним затверджувачам надсилається сповіщення електронною поштою (глобальним адміністраторам і адміністраторам Power Platform) про незавершення запиту на доступ до даних від Microsoft.

    Важливо

    Інженер Microsoft не зможе виконати їх дослідження, доки клієнт не затвердить запит на повний контроль доступу. Це може спричинити затримки у звертанні щодо запиту на підтримку або тривалі простої. Переконайтеся, що в центрі адміністрування Power Platform відстежується сповіщення електронною поштою та/або запити на повний контроль доступу і вчасно відповідайте, щоб запобігти перебоям у обслуговуванні.

    Зразок запиту на сейф.

  4. Затверджувач входить до центру адміністрування Power Platform і схвалює запит. Якщо запит відхилено або його не схвалено протягом чотирьох днів, термін його дії завершується, і інженеру корпорації Майкрософт доступ не надається.

  5. Після того, як затверджувач від організації схвалює запит, інженер Microsoft отримує підвищені дозволи, які було запитано і вирішує вашу проблему. Інженери Microsoft мають певний проміжок часу — 8 годин — щоб вирішити проблему, після чого доступ автоматично відкликається.

Увімкнення політики повного контролю доступу

Глобальні адміністратори або адміністратори Power Platform можуть створювати або оновлювати політику повного контролю доступу в центрі адміністрування Power Platform. Увімкнення політики рівня клієнта застосовуватиметься лише до середовищ, активованих для Керовані середовища. Впровадження всіх джерел даних і всіх середовищ за допомогою повного контролю доступу на стороні клієнта може зайняти до 24 годин.

  1. Увійдіть у центр адміністрування Power Platform.

  2. На сторінці "Параметри осередку" можна переглянути параметри на рівні осередку та керувати ними. Щоб переглянути налаштування на рівні клієнта, натисніть значок шестірні (Піктограма шестірні.) у верхньому правому куті Microsoft Power Platform сайту та виберіть Power Platform налаштування>Налаштування> клієнта на панелі навігації ліворуч.

  3. Установіть для пункту Контроль доступу клієнта значення Увімкнути.

    Увімкніть політику сейфів.

Розгляд запиту на повний контроль доступу

  1. Увійдіть у центр адміністрування Power Platform.

  2. Виберіть Policies>Customer Lockbox.

  3. Перегляд відомостей про запит.

    Поле Опис
    Ідентифікатор запиту на підтримку Ідентифікатор запиту на підтримку, зв’язаний із запитом на повний контроль доступу. Якщо запит є результатом внутрішнього оповіщення, що ініціювала корпорація Microsoft, значення буде «Ініційовано Microsoft».
    Середовище Коротке ім’я середовища, в якому надається запит на доступ до даних.
    Статус Стан запиту на повний контроль доступу.
    • Необхідна дія: очікування затвердження від клієнта
    • Термін дії минув: не отримано затвердження від клієнта
    • Затверджено: затверджено клієнтом
    • Відхилено: відхилено клієнтом
    Запитано Час, коли інженер Microsoft подав запит на доступ до даних клієнтів в середовищі клієнта.
    Термін дії запиту Час, на який клієнт має затвердити запит на повний контроль доступу. Стан запиту буде змінено на «Термін дії минув» якщо цього разу не буде надано жодного схвалення.
    Період доступу Тривалість часу, протягом якого ініціатор запиту хоче отримувати доступ до даних клієнта. Це значення за замовчуванням становить 8 годин, і його не можна змінити.
    Термін дії доступу Якщо доступ надано, це час, до якого інженер Microsoft має доступ до даних клієнта.

  4. Виберіть запит на повний контроль доступу і натисніть кнопку «Затвердити» або «Відхилити».

    Схвалення або відхилення запитів на скриньку

    Нотатка

    Запити на повний контроль доступу, що сталися за останні 28 днів, відображаються в таблиці «Останні».

    Після схвалення запиту його не можна відкликати протягом усієї тривалості періоду доступу, що становить 8 годин.

Запити на повний контроль доступу до аудиту

Попередження

Схема, задокументована в цьому розділі для подій аудиту сейфу, вважається застарілою та стане недоступною з липня 2024 року. Ви можете проводити аудит подій на Lockbox за допомогою нової схеми, доступної в категорії Активність: Операції з локаторами.

Дії, пов’язані з прийняттям, відхиленням або терміном дії запиту на повний контроль доступу, автоматично записуються в Microsoft 365 Захиснику.

Microsoft 365 Сторінка захисника.

Трасування аудиту містять ці та інші поля для кожного запиту на повний контроль доступу.

  • Унікальний ідентифікатор для запиту
  • Час створення запиту
  • Ідентифікатор організації
  • Ідентифікатор користувача (унікальний ідентифікатор оператора Microsoft, який виконує запит)
  • Стан запиту
  • Пов’язаний ідентифікатор запиту на підтримку
  • Час завершення терміну дії запиту
  • Час завершення терміну дії доступу до даних
  • Ідентифікатор середовища
  • Обґрунтування запиту

Вкладка Microsoft 365 Відстеження дозволяє адміністраторам шукати події, пов'язані з сеансами повного контролю доступу. Перегляд категорії Power Platform Повний контроль доступу для подій, пов'язаних із Power Platform.

Виберіть Power Platform категорію сейфа.

Адміністратори можуть безпосередньо експортувати набір результатів за умовами фільтра.

Результати пошуку аудиту Lockbox.

Customer Lockbox створює журнали аудиту двох типів:

  1. Журнали, які ініціюються корпорацією Майкрософт і відповідають створенню, завершенню терміну дії запиту на блокування або завершенню сеансів доступу. Цей набір журналів аудиту не відповідає певному ідентифікатору користувача, оскільки дії ініціює корпорація Майкрософт.
  2. Журнали, які ініціюються діями кінцевого користувача, наприклад, коли користувач схвалює або відхиляє запит на скриньку. Якщо користувачеві, який виконує ці операції, не призначено ліцензію E5, журнали відфільтровуються та не відображаються в журналах аудиту.

За замовчуванням журнали аудиту зберігаються протягом одного року. Вам потрібна додаткова ліцензія на 10-річне зберігання журналу аудиту, щоб зберігати аудиторські записи протягом 10 років. Дивіться розділ Аудит (Преміум), щоб дізнатися більше про зберігання журналу аудиту.

Ліцензійні вимоги для Customer Lockbox

Політика повного контролю доступу на стороні клієнта застосовуватиметься лише в середовищах, активованих для керованих середовищ. Керовані середовища включено як право в автономні Power Apps Power Automate Microsoft Copilot Studio Power Pages ліцензії та ліцензії Dynamics 365, які надають преміум-права на використання. Докладніше про ліцензування керованого середовища див. тут: Ліцензування і Загальні відомості про ліцензування Microsoft Power Platform.

Крім того, доступ до Control Lockbox для Microsoft Power Platform та Dynamics 365 вимагає, щоб користувачі в середовищах, де застосовується політика Lockbox, мали будь-яку з наведених нижче передплат.

  • Microsoft 365 або Office 365 A5/E5/G5
  • Microsoft 365 Відповідність вимогам A5/E5/F5/G5
  • Microsoft 365 F5 Безпека та відповідність вимогам
  • Microsoft 365 A5/E5/F5/G5 Управління інсайдерськими ризиками
  • Microsoft 365 A5/E5/F5/G5 Захист інформації та керування Дізнайтеся більше про відповідні ліцензії.

Винятки

  • Запити на повний контроль доступу не ініціюються в таких сценаріях інженерної підтримки:

    • Аварійні сценарії, що виходять за межі стандартних операційних процедур, наприклад, серйозний збій служби, що потребує негайного втручання для відновлення або поновлення служб у непередбачених або неочікуваних випадках. Такі непередбачувані події трапляються рідко та в більшості випадків не потребують доступу до даних клієнтів для вирішення.

    • Інженер Microsoft має доступ до основної платформи в рамках усунення несправностей і ненавмисно має доступ до даних клієнтів. Такі сценарії рідко призводять до доступу до великого обсягу даних клієнтів.

  • Запити на повний контроль доступу на стороні клієнта також не ініціюються зовнішніми юридичними вимогами до даних. Докладнішу інформацію див. в обговореннях запитів уряду на отримання даних у Центрі безпеки та конфіденційності Microsoft.

  • Lockbox не застосовуватиметься до доступу та ручного перегляду даних клієнтів, наданих для допоміжний функцій штучного інтелекту. Lockbox залишатиметься ввімкненим для всіх даних.

Відомі проблеми

  • Міграція з клієнта в клієнт не підтримується, якщо увімкнуто повний контроль доступу на стороні клієнта. Щоб перемістити середовище до іншого клієнта, вимкніть повний контроль доступу на стороні клієнта. Після завершення перенесення повний контроль доступу на стороні клієнта можна ввімкнути знову.