Безпека в Microsoft Power Platform
Power Platform надає технології для швидкого та легкого створення комплексних рішень не тільки професійним, але й непрофесійним розробникам. Безпека має вирішальне значення для цих рішень. Power Platform створена для забезпечення провідного в галузі захисту.
Організації прискорюють перехід до хмари, об’єднуючи передові технології в операціях і процесах ухвалення бізнес-рішень. Більше працівників працюють віддалено. Запит клієнтів на онлайнові служби стрімко росте. Безпеки традиційних локальних програм уже недостатньо. Організації, які шукають хмарне рішення з багаторівневим і поглибленим аналізом безпеки для своїх даних бізнес-аналітики, звертають свою увагу на Power Platform. Агенції національної безпеки, фінансові установи та медичні заклади довіряють Power Platform свою найбільш делікатну інформацію.
Корпорація Майкрософт здійснила величезні інвестиції в безпеку із середини 2000-х років. Більше 3500 інженерів корпорації Майкрософт працюють, щоб проактивно реагувати на мінливу картину загроз. Система безпеки Майкрософт починається в ядрі BIOS, вбудованому в чіп, і поширюється на все аж до інтерфейсу клієнта. На сьогоднішній день наш стек безпеки є найдосконалішим у цій галузі. Корпорація Майкрософт широко розглядається як глобальний лідер у боротьбі за зловмисниками. Мільярди комп’ютерів, трильйони входів і зетабайти даних довірені захисту корпорації Майкрософт.
Power Platform створено на цій міцній основі. Ця програма використовує той самий стек безпеки, який здобув Azure право на обслуговування та захист найчутливіших даних у світі. Вона також інтегрується з найдосконалішими засобами захисту даних та інструментами відповідності вимогам Microsoft 365. Power Platform забезпечує комплексний захист, спроектований навколо найскладніших проблем у хмарній епосі:
- Як контролювати те, хто підключається, з якого місця він підключається та як він підключається? Як контролювати підключення?
- Як зберігаються наші дані? Як вони зашифровані? Які елементи керування є для наших даних?
- Як контролювати та захищати наші делікатні дані? Як можна забезпечити захист від витоку даних за межі організації?
- Як можна відстежити того, хто може це зробити? Як ми можемо швидко реагувати, якщо виявимо підозрілу активність?
Система керування
Служба Power Platform регулюється Умовами використання онлайнових служб Microsoft і Декларацією корпорації Майкрософт про конфіденційність для корпоративних користувачів. Відомості про розташування центрів обробки даних див. в Умовах використання онлайнових служб Microsoft і розділі Додатку про захист даних.
Центр безпеки та конфіденційності Microsoft — це основний ресурс для отримання відомостей про відповідність Power Platform. Додаткові відомості див. в розділі Пропозиції Microsoft для відповідності вимогам.
Служба Power Platform регулюється Принципами розробки безпечного ПЗ (SDL). SDL — це набір суворих інструкцій, які підтримують забезпечення захисту та вимоги щодо відповідності. Додаткові відомості див. в розділі Принципи розробки безпечного ПЗ.
Загальні концепції безпеки в Power Platform
Power Platform включає кілька служб. Деякі з концепцій безпеки, які ми розкриваємо в цих статтях, стосуються всіх із них. Інші концепції характерні для окремих служб. Якщо концепції безпеки відрізняються, ми опишемо це.
Спільні концепції безпеки для всіх служб Power Platform включають:
- Архітектура служби Power Platform або як інформація проходить через систему
- Автентифікація в службах Power Platform або отримання користувачами доступу до служб
- Підключення та автентифікація в джерелах даних або як служби підключаються до джерел даних і користувачі отримують доступ до даних
- Сховище даних у Power Platform або як дані захищаються незалежно від того, чи знаходяться вони в стані зберігання чи транзиту між системами та службами
Архітектура служби Power Platform
Служби Power Platform створені на платформі хмарних обчислень Microsoft Azure. Архітектура служби Power Platform складається з чотирьох компонентів:
- Кластер веб-інтерфейсу користувача
- Серверний кластер
- Преміум-інфраструктура
- Мобільні платформи
Кластер веб-інтерфейсу користувача
Застосовується до служб Power Platform, які відображують веб-інтерфейс. Кластер веб-інтерфейсу користувача передає домашню сторінку програми або служби в браузер користувача. Він використовується Microsoft Entra для початкової автентифікації клієнтів і надання токенів для подальших клієнтських підключень до серверної служби Power Platform .
Кластер веб-інтерфейсу користувача складається з веб-сайту ASP.NET, який працює в середовищі обслуговування програми Azure. Коли користувач відвідує службу або програму Power Platform, служба DNS клієнта може отримати найбільш відповідний (зазвичай найближчий) центр обробки даних із диспетчера трафіку Azure. Додаткові відомості див. в розділі Ефективний метод маршрутизації трафіку для диспетчера трафіку Azure.
Кластер веб-інтерфейсу користувача керує послідовністю входу та автентифікації. Він отримує Microsoft Entra токен доступу після автентифікації користувача. Компонент ASP.NET аналізує маркер, щоб визначити організацію, до якої належить користувач. Потім компонент звертається до глобальної серверної служби Power Platform, щоб указати браузеру, який серверний кластер містить клієнта організації. Подальша взаємодія клієнта відбувається безпосередньо з серверним кластером, без необхідності використовувати посередника у вигляді веб-інтерфейсу.
Браузер виводить статичні ресурси, наприклад JS, CSS і файли зображень, головним чином з мережі доставки вмісту Azure (CDN). Розгортання кластера національного уряду є винятком. З міркувань відповідності ці розгортання пропускають CDN Azure. Натомість для розміщення статичного вмісту вони використовують кластер веб-інтерфейсу користувача із сумісного регіону.
Серверний кластер Power Platform
Серверний кластер – це основа всієї функціональності, доступної в службі Power Platform. Складається з кінцевих точок служби, фонових робочих служб, баз даних, кешів та інших компонентів.
Серверний кластер доступний у більшості регіонів Azure. Його також буде розгорнуто в нових регіонах, коли вони стануть доступними. В одному регіоні може міститися кілька кластерів. Ця конфігурація дає службам Power Platform можливості необмеженого горизонтального масштабування після досягнення вертикальних і горизонтальних обмежень масштабування одного кластера.
Серверні кластери мають контроль стану підключень. У серверному кластері розміщено всі дані всіх призначених йому клієнтів. Кластер, який містить дані певного клієнта, називається домашнім кластером клієнта. Відомості про автентифікований домашній кластер користувача надає глобальна серверна служба Power Platform до кластера веб-інтерфейсу користувача. Веб-інтерфейс користувача використовує інформацію для маршрутизації запитів до домашнього серверного кластера клієнта.
Метадані та дані клієнта зберігаються в межах кластера. Виняток — це реплікація даних до допоміжного серверного кластера, розташованого в парному регіоні в тій самій географічній зоні Azure. Допоміжний кластер служить резервним ресурсом, якщо існує регіональна недоступність, і є пасивним у будь-який інший час. Мікрослужби, які працюють на різних комп’ютерах у віртуальній мережі кластера, також обслуговують функціональні можливості сервера. Лише дві з цих мікрослужб є загальнодоступними для користувачів мережі Інтернет.
- Служба шлюзу
- Керування API Azure
Преміум-інфраструктура Power Platform
Преміум-версія Power Platform забезпечує доступ до розширеного набору з’єднувачів як платна послуга. Розробники Power Platform не обмежені у використанні лише преміум-з’єднувачами, але користувачі програм обмежені. Тобто, користувачі програми, яка містить преміум-з’єднувачі повинні мати відповідну ліцензію для доступу до них. Серверна служба Power Platform визначає, чи має користувач доступ до відповідних з’єднувачів.
Мобільні платформи
Power Platform Androidпідтримує та iOS програми Windows (UWP). Міркування щодо безпеки мобільних програм поділяються на дві категорії:
- Зв’язок із пристроєм
- Програма та дані на пристрої
Зв’язок із пристроєм
Мобільні програми Power Platform використовують ті самі послідовності підключення та автентифікації, що використовуються браузерами. Android і iOS програми відкривають сеанс браузера в програмі. Програми Windows використовують брокер, щоб налагодити канал зв’язку зі службами Power Platform для процесу входу.
У наведеній нижче таблиці показано підтримку автентифікації на основі сертифікатів (CBA) для мобільних програм.
| Підтримка CBA | iOS | Android | Вікна |
|---|---|---|---|
| Увійдіть до служби | Підтримується | Підтримується | Не підтримується |
| Локальна служба SSRS ADFS (підключення до сервера SSRS) | Не підтримується | Підтримується | Не підтримується |
| Проксі-сервер програми SSRS | Підтримується | Підтримується | Не підтримується |
Мобільні програми активно спілкуються зі службами Power Platform. Статистика використання програми й подібні дані передаються в служби, що відстежують використання й діяльність. Дані клієнтів не включені.
Програма та дані на пристрої
Мобільна програма та необхідні для неї дані надійно зберігаються на пристрої. Microsoft Entra А токени Refresh зберігаються з використанням стандартних галузевих заходів безпеки.
Дані, кешовані на пристрої, включають дані програм, параметри користувачів, а також приладні дошки та звіти, які було відкрито під час попередніх сеансів. Кеш зберігається у ізольованому внутрішньому сховищі. Кеш доступний лише програмі й може бути зашифрований операційною системою.
- iOS: шифрування відбувається автоматично, коли користувач встановлює код допуску.
- Android: шифрування можна налаштувати в параметрах.
- Windows: шифрування обробляється BitLocker.
Шифрування на рівні файлу Microsoft Intune можна використовувати для підсилення шифрування даних. Intune — це служба програмного забезпечення, яка надає керування мобільними пристроями та програмами. Усі три мобільні платформи підтримують Intune. Якщо ввімкнути та налаштувати Intune, дані на мобільному пристрої шифруються, і програму Power Platform не можна інсталювати на SD-картку.
Програми Windows також підтримують Захист даних Windows (WIP).
Кешовані дані буде видалено, якщо користувач:
- видаляє програму
- виходить із служби Power Platform
- не може виконати вхід після змінення пароля або минає термін дії маркера
Географічне положення вмикається або вимикається явно користувачем. Якщо ввімкнути цю функцію, дані геолокації не зберігаються на пристрої та Microsoft не надається доступ до них.
Сповіщення вмикаються або вимикаються явно користувачем. Якщо сповіщення ввімкнено Android й iOS вони не підтримують вимоги щодо місця проживання географічних даних.
Мобільні служби Power Platform не мають доступу до інших папок програм і файлів на пристрої.
Деякі дані автентифікаційні на основі маркерів доступні іншим програмам Microsoft, наприклад, Authenticator, для активації єдиного входу. Цими даними керує SDK бібліотеки Microsoft Entra автентифікації.
Пов’язані статті
Автентифікація в службах Power Platform
Підключення до джерел даних і автентифікація в них
Зберігання даних у Power Platform
Безпека Power Platform: запитання й відповіді
Див. також
- Безпека в Microsoft Dataverse
- Умови використання онлайнових служб Microsoft
- Декларація корпорації Майкрософт про конфіденційність для корпоративних користувачів
- Додаток про захист даних
- Принципи розробки безпечного ПЗ Microsoft
- Ефективний метод маршрутизації трафіку для диспетчера трафіку Azure
- Microsoft Intune
- Захист даних Windows (WIP)