Читати англійською

Поділитися через

Безпека в Microsoft Power Platform

  • Стаття

Power Platform надає технології для швидкого та легкого створення комплексних рішень не тільки професійним, але й непрофесійним розробникам. Безпека має вирішальне значення для цих рішень. Power Platform створена для забезпечення провідного в галузі захисту.

Організації прискорюють перехід до хмари, об’єднуючи передові технології в операціях і процесах ухвалення бізнес-рішень. Більше працівників працюють віддалено. Запит клієнтів на онлайнові служби стрімко росте. Безпеки традиційних локальних програм уже недостатньо. Організації, які шукають хмарне рішення з багаторівневим і поглибленим аналізом безпеки для своїх даних бізнес-аналітики, звертають свою увагу на Power Platform. Агенції національної безпеки, фінансові установи та медичні заклади довіряють Power Platform свою найбільш делікатну інформацію.

Microsoft з середини 2000-х років зробив величезні інвестиції в безпеку. Понад 3 500 Microsoft інженерів працюють над проактивною боротьбою з постійно мінливим ландшафтом загроз. Microsoft Безпека починається з ядра BIOS на чіпі і поширюється аж до користувацького досвіду. На сьогоднішній день наш стек безпеки є найдосконалішим у цій галузі. Microsoft широко розглядається як світовий лідер у боротьбі зі зловмисниками. Мільярди комп’ютерів, трильйони логінів і зеттабайти даних довірені Microsoft захисту.

Power Platform створено на цій міцній основі. Ця програма використовує той самий стек безпеки, який здобув Azure право на обслуговування та захист найчутливіших даних у світі. Вона також інтегрується з найдосконалішими засобами захисту даних та інструментами відповідності вимогам Microsoft 365. Power Platform забезпечує комплексний захист, спроектований навколо найскладніших проблем у хмарній епосі:

  • Як контролювати те, хто підключається, з якого місця він підключається та як він підключається? Як контролювати підключення?
  • Як зберігаються наші дані? Як вони зашифровані? Які елементи керування є для наших даних?
  • Як контролювати та захищати наші делікатні дані? Як можна забезпечити захист від витоку даних за межі організації?
  • Як можна відстежити того, хто може це зробити? Як ми можемо швидко реагувати, якщо виявимо підозрілу активність?

Система керування

Ця Power Platform служба регулюється Умовами Microsoft використання служб Online Services і Microsoft Декларацією про конфіденційність Enterprise. Щоб дізнатися про місце обробки даних, зверніться до Microsoft Умов використання онлайнових служб і Додаткової угоди про захист даних.

Центр Microsoft безпеки та конфіденційності – це основний ресурс для Power Platform отримання інформації про відповідність вимогам. Дізнайтеся більше в Microsoft розділі Пропозиції щодо відповідності вимогам.

Служба Power Platform регулюється Принципами розробки безпечного ПЗ (SDL). SDL — це набір суворих інструкцій, які підтримують забезпечення захисту та вимоги щодо відповідності. Дізнайтеся більше в статті Microsoft Практики життєвого циклу розробки систем безпеки.

Загальні концепції безпеки в Power Platform

Power Platform включає кілька служб. Деякі з концепцій безпеки, які ми розкриваємо в цих статтях, стосуються всіх із них. Інші концепції характерні для окремих служб. Якщо концепції безпеки відрізняються, ми опишемо це.

Спільні концепції безпеки для всіх служб Power Platform включають:

Архітектура служби Power Platform

Power Platform послуги побудовані на платформі хмарних обчислень Azure Microsoft. Архітектура служби Power Platform складається з чотирьох компонентів:

  • Кластер веб-інтерфейсу користувача
  • Серверний кластер
  • Преміум-інфраструктура
  • Мобільні платформи

Кластер веб-інтерфейсу користувача

Застосовується до служб Power Platform, які відображують веб-інтерфейс. Кластер веб-інтерфейсу користувача передає домашню сторінку програми або служби в браузер користувача. Він використовується Microsoft Entra для початкової автентифікації клієнтів і надання токенів для подальших підключень клієнтів до серверної служби Power Platform .

Діаграма, яка ілюструє, як Power Platform веб-інтерфейсний кластер працює з середовищем Azure App Service Environment[ ASP.NETen] і Power Platform внутрішніми кластерами служб.

Кластер веб-інтерфейсу користувача складається з веб-сайту ASP.NET, який працює в середовищі обслуговування програми Azure. Коли користувач відвідує службу або програму Power Platform, служба DNS клієнта може отримати найбільш відповідний (зазвичай найближчий) центр обробки даних із диспетчера трафіку Azure. Додаткові відомості див. в розділі Ефективний метод маршрутизації трафіку для диспетчера трафіку Azure.

Кластер веб-інтерфейсу користувача керує послідовністю входу та автентифікації. Він отримує Microsoft Entra токен доступу після автентифікації користувача. Компонент ASP.NET аналізує маркер, щоб визначити організацію, до якої належить користувач. Потім компонент звертається до глобальної серверної служби Power Platform, щоб указати браузеру, який серверний кластер містить клієнта організації. Подальша взаємодія клієнта відбувається безпосередньо з серверним кластером, без необхідності використовувати посередника у вигляді веб-інтерфейсу.

Браузер виводить статичні ресурси, наприклад JS, CSS і файли зображень, головним чином з мережі доставки вмісту Azure (CDN). Розгортання кластера національного уряду є винятком. З міркувань відповідності ці розгортання пропускають CDN Azure. Натомість для розміщення статичного вмісту вони використовують кластер веб-інтерфейсу користувача із сумісного регіону.

Серверний кластер Power Platform

Серверний кластер – це основа всієї функціональності, доступної в службі Power Platform. Складається з кінцевих точок служби, фонових робочих служб, баз даних, кешів та інших компонентів.

Серверний кластер доступний у більшості регіонів Azure. Його також буде розгорнуто в нових регіонах, коли вони стануть доступними. В одному регіоні може міститися кілька кластерів. Ця конфігурація дає службам Power Platform можливості необмеженого горизонтального масштабування після досягнення вертикальних і горизонтальних обмежень масштабування одного кластера.

Серверні кластери мають контроль стану підключень. У серверному кластері розміщено всі дані всіх призначених йому клієнтів. Кластер, який містить дані певного клієнта, називається домашнім кластером клієнта. Відомості про автентифікований домашній кластер користувача надає глобальна серверна служба Power Platform до кластера веб-інтерфейсу користувача. Веб-інтерфейс користувача використовує інформацію для маршрутизації запитів до домашнього серверного кластера клієнта.

Метадані та дані клієнта зберігаються в межах кластера. Виняток — це реплікація даних до допоміжного серверного кластера, розташованого в парному регіоні в тій самій географічній зоні Azure. Допоміжний кластер служить резервним ресурсом, якщо існує регіональна недоступність, і є пасивним у будь-який інший час. Мікрослужби, які працюють на різних комп’ютерах у віртуальній мережі кластера, також обслуговують функціональні можливості сервера. Лише дві з цих мікрослужб є загальнодоступними для користувачів мережі Інтернет.

  • Служба шлюзу
  • Керування API Azure

Діаграма Power Platform внутрішніх служб, що показує три основні елементи: API та служби Gateway, які доступні з загальнодоступного Інтернету, а також колекцію мікросервісів, які є приватними.

Преміум-інфраструктура Power Platform

Преміум-версія Power Platform забезпечує доступ до розширеного набору з’єднувачів як платна послуга. Розробники Power Platform не обмежені у використанні лише преміум-з’єднувачами, але користувачі програм обмежені. Тобто, користувачі програми, яка містить преміум-з’єднувачі повинні мати відповідну ліцензію для доступу до них. Серверна служба Power Platform визначає, чи має користувач доступ до відповідних з’єднувачів.

Мобільні платформи

Power Platform підтримує Android, iOS, а також програми Windows (UWP). Міркування щодо безпеки мобільних програм поділяються на дві категорії:

  • Зв’язок із пристроєм
  • Програма та дані на пристрої

Зв’язок із пристроєм

Мобільні програми Power Platform використовують ті самі послідовності підключення та автентифікації, що використовуються браузерами. Android і iOS програми відкривають сеанс браузера в програмі. Програми Windows використовують брокер, щоб налагодити канал зв’язку зі службами Power Platform для процесу входу.

У наведеній нижче таблиці показано підтримку автентифікації на основі сертифікатів (CBA) для мобільних програм.

Підтримка CBA iOS Android Вікна
Увійдіть до служби Підтримується Підтримується Не підтримується
Локальна служба SSRS ADFS (підключення до сервера SSRS) Не підтримується Підтримується Не підтримується
Проксі-сервер програми SSRS Підтримується Підтримується Не підтримується

Мобільні програми активно спілкуються зі службами Power Platform. Статистика використання програми й подібні дані передаються в служби, що відстежують використання й діяльність. Дані клієнтів не включені.

Програма та дані на пристрої

Мобільна програма та необхідні для неї дані надійно зберігаються на пристрої. Microsoft Entra А токени Refresh зберігаються з використанням стандартних галузевих заходів безпеки.

Дані, кешовані на пристрої, включають дані програм, параметри користувачів, а також приладні дошки та звіти, які було відкрито під час попередніх сеансів. Кеш зберігається у ізольованому внутрішньому сховищі. Кеш доступний лише програмі й може бути зашифрований операційною системою.

  • iOS: шифрування відбувається автоматично, коли користувач встановлює код допуску.
  • Android: шифрування можна налаштувати в параметрах.
  • Windows: шифрування обробляється BitLocker.

Microsoft Шифрування на рівні файлу Intune можна використовувати для покращення шифрування даних. Intune — це служба програмного забезпечення, яка надає керування мобільними пристроями та програмами. Усі три мобільні платформи підтримують Intune. Якщо ввімкнути та налаштувати Intune, дані на мобільному пристрої шифруються, і програму Power Platform не можна інсталювати на SD-картку.

Програми Windows також підтримують Захист даних Windows (WIP).

Кешовані дані буде видалено, якщо користувач:

  • видаляє програму
  • виходить із служби Power Platform
  • не може виконати вхід після змінення пароля або минає термін дії маркера

Географічне положення вмикається або вимикається явно користувачем. Якщо цей параметр увімкнено, дані геолокації не зберігаються на пристрої та не передаються Microsoft.

Сповіщення вмикаються або вимикаються явно користувачем. Якщо сповіщення ввімкнено Android та iOS не підтримуються вимоги щодо місця проживання в географічних даних.

Мобільні служби Power Platform не мають доступу до інших папок програм і файлів на пристрої.

Деякі дані автентифікації на основі маркера доступні іншим Microsoft програмам, як-от Authenticator, щоб увімкнути єдиний вхід. Цими даними керує SDK бібліотеки Microsoft Entra автентифікації.

Автентифікація в Power Platform службах
Підключення та автентифікація до джерел даних
Зберігання даних в Power Platform
Power Platform Поширені запитання про безпеку

Див. також