Chia sẻ qua

Bảo mật trong Microsoft Power Platform

  • Bài viết

Power Platform đặt sức mạnh để tạo ra các giải pháp đầu cuối một cách nhanh chóng và dễ dàng trong tay các nhà phát triển không chuyên nghiệp và chuyên nghiệp. Bảo mật là rất quan trọng đối với các giải pháp này. Power Platform được xây dựng để cung cấp sự bảo vệ hàng đầu trong ngành.

Các tổ chức đang đẩy nhanh quá trình chuyển đổi sang đám mây, kết hợp các công nghệ tiên tiến trong hoạt động và ra quyết định kinh doanh. Nhiều nhân viên đang làm việc từ xa. Nhu cầu của khách hàng đối với các dịch vụ trực tuyến đang tăng vọt. Bảo mật ứng dụng tại chỗ truyền thống không còn đủ nữa. Các tổ chức đang tìm kiếm giải pháp bảo mật chuyên sâu, đa tầng, dựa trên nền tảng đám mây cho dữ liệu kinh doanh thông minh của họ chuyển sang sử dụng Power Platform. Các cơ quan an ninh quốc gia, tổ chức tài chính và nhà cung cấp dịch vụ chăm sóc sức khỏe tin tưởng Power Platform với thông tin nhạy cảm nhất của họ.

Microsoft đã đầu tư lớn vào bảo mật từ giữa những năm 2000. Hơn 3.500 kỹ sư của Microsoft làm việc để chủ động giải quyết bối cảnh mối đe dọa luôn thay đổi. Bảo mật của Microsoft bắt đầu từ nhân BIOS trên chip và mở rộng đến tận trải nghiệm người dùng. Ngày nay, ngăn xếp bảo mật của chúng tôi là tiên tiến nhất trong ngành. Microsoft được coi là công ty hàng đầu toàn cầu trong cuộc chiến chống lại các tác nhân độc hại. Hàng tỷ máy tính, hàng nghìn tỷ lần đăng nhập và hàng zettabyte dữ liệu được ủy thác cho sự bảo vệ của Microsoft.

Power Platform xây dựng trên nền tảng vững chắc này. Nó sử dụng cùng một ngăn xếp bảo mật giúp Azure có quyền cung cấp và bảo vệ dữ liệu nhạy cảm nhất trên thế giới, đồng thời tích hợp với các công cụ tuân thủ và bảo vệ thông tin tiên tiến nhất của Microsoft 365. Power Platform cung cấp khả năng bảo vệ đầu cuối được thiết kế xoay quanh những mối quan tâm thách thức nhất của khách hàng của chúng tôi trong kỷ nguyên đám mây:

  • Làm cách nào chúng tôi có thể kiểm soát ai có thể kết nối, họ kết nối từ đâu và họ kết nối như thế nào? Làm thế nào chúng ta có thể kiểm soát các kết nối?
  • Cách lưu trữ dữ liệu của chúng tôi? Cách mã hóa dữ liệu? Chúng tôi có những kiểm soát nào đối với dữ liệu của mình?
  • Làm cách nào chúng tôi có thể kiểm soát và bảo vệ dữ liệu nhạy cảm của mình? Làm cách nào chúng tôi có thể đảm bảo dữ liệu của mình không bị rò rỉ ra bên ngoài tổ chức?
  • Làm thế nào chúng ta có thể kiểm tra ai có thể làm gì? Làm cách nào để chúng tôi có thể phản ứng nhanh chóng nếu phát hiện hoạt động đáng ngờ?

Quản trị

Dịch vụ Power Platform được chi phối bởi Điều khoản dịch vụ trực tuyến của Microsoft và Tuyên bố về quyền riêng tư của Microsoft Enterprise. Để biết vị trí xử lý dữ liệu, hãy tham khảo Điều khoản dịch vụ trực tuyến của Microsoft và Phụ lục bảo vệ dữ liệu.

Trung tâm tin cậy của Microsoft là tài nguyên chính cho thông tin tuân thủ Power Platform. Tìm hiểu thêm tại Dịch vụ tuân thủ Microsoft.

Dịch vụ Power Platform tuân theo Vòng đời phát triển bảo mật (SDL). SDL là một tập hợp các thực hành nghiêm ngặt hỗ trợ các yêu cầu tuân thủ và đảm bảo an ninh. Tìm hiểu thêm tại Thực tiễn vòng đời phát triển bảo mật của Microsoft.

Khái niệm bảo mật trong Power Platform phổ biến

Power Platform bao gồm một số dịch vụ. Một số khái niệm bảo mật mà chúng tôi sẽ trình bày trong loạt bài này áp dụng cho tất cả chúng. Các khái niệm khác là cụ thể cho các dịch vụ cá nhân. Trường hợp các khái niệm bảo mật là khác nhau, chúng tôi sẽ gọi chúng ra.

Các khái niệm bảo mật chung cho tất cả các dịch vụ Power Platform bao gồm:

Kiến trúc dịch vụ Power Platform

Các dịch vụ Power Platform được xây dựng trên Azure, nền tảng điện toán đám mây của Microsoft. Kiến trúc dịch vụ Power Platform bao gồm bốn thành phần:

  • Cụm ngoại vi web
  • Cụm phụ trợ
  • Cơ sở hạ tầng cao cấp
  • Nền tảng di động

Cụm ngoại vi web

Áp dụng cho các dịch vụ Power Platform hiển thị giao diện người dùng web. Cụm ngoại vi web phục vụ trang chủ của ứng dụng hoặc dịch vụ cho trình duyệt của người dùng. Nó sử dụng Microsoft Entra ban đầu để xác thực ứng dụng khách và cung cấp mã thông báo cho các kết nối ứng dụng khách tiếp theo cho dịch vụ phụ trợ Power Platform .

Sơ đồ minh họa cách Power Platform cụm giao diện người dùng web hoạt động với Môi trường dịch vụ ứng dụng Azure, ASP.NET và Power Platform cụm dịch vụ phụ trợ.

Cụm ngoại vi web bao gồm một trang web ASP.NET chạy trong Môi trường dịch vụ ứng dụng Azure. Khi người dùng truy cập một dịch vụ Power Platform hoặc ứng dụng, dịch vụ DNS của khách hàng có thể lấy trung tâm dữ liệu phù hợp nhất (thường là gần nhất) từ Trình quản lý lưu lượng truy cập Azure. Để biết thêm thông tin, hãy xem Phương pháp định tuyến lưu lượng hiệu suất cho Trình quản lý lưu lượng Azure.

Cụm ngoại vi web quản lý trình tự đăng nhập và xác thực. Nó nhận được Microsoft Entra mã thông báo truy cập sau khi người dùng được xác thực. Thành phần ASP.NET phân tích cú pháp mã thông báo để xác định người dùng thuộc tổ chức nào. Sau đó, thành phần này sẽ tham khảo dịch vụ phụ trợ toàn cầu của Power Platform để chỉ định cho trình duyệt cụm phụ trợ nào chứa đối tượng thuê của tổ chức. Các tương tác khách hàng tiếp theo diễn ra trực tiếp với cụm phụ trợ mà không cần trung gian ngoại vi web.

Trình duyệt tìm nạp các tài nguyên tĩnh, chẳng hạn như tệp .js, .css và hình ảnh, chủ yếu từ Mạng phân phối nội dung Azure (CDN). Việc triển khai cụm Chính phủ có chủ quyền là một ngoại lệ. Vì lý do tuân thủ, các triển khai này bỏ qua Azure CDN. Thay vào đó, họ sử dụng cụm ngoại vi web từ khu vực tuân thủ để lưu trữ nội dung tĩnh.

Cụm phụ trợ Power Platform

Cụm phụ trợ là xương sống của tất cả chức năng có sẵn trong dịch vụ Power Platform. Nó bao gồm các điểm cuối dịch vụ, dịch vụ chạy nền, cơ sở dữ liệu, bộ đệm và các thành phần khác.

Cụm phụ trợ khả dụng ở hầu hết các khu vực Azure và được triển khai ở các khu vực mới khi chúng khả dụng. Một khu vực có thể lưu trữ nhiều cụm. Cấu hình này cho phép các dịch vụ Power Platform mở rộng theo chiều ngang không giới hạn sau khi đạt đến giới hạn chia tỷ lệ theo chiều dọc và chiều ngang của một cụm.

Các cụm phụ trợ có trạng thái. Một cụm phụ trợ lưu trữ tất cả dữ liệu của tất cả các đối tượng thuê được chỉ định cho nó. Cụm chứa dữ liệu của một đối tượng thuê cụ thể được gọi là cụm nhà của đối tượng thuê. Thông tin về cụm trang chủ của người dùng đã xác thực được cung cấp bởi dịch vụ phụ trợ toàn cầu của Power Platform cho cụm trang chủ web. Ngoại vi web sử dụng thông tin để định tuyến các yêu cầu đến cụm phụ trợ chính của đối tượng thuê.

Dữ liệu và siêu dữ liệu của đối tượng thuê được lưu trữ trong giới hạn cụm. Ngoại lệ là sao chép dữ liệu sang cụm phụ trợ nằm trong khu vực được ghép nối trong cùng một địa lý Azure. Cụm thứ cấp đóng vai trò chuyển đổi dự phòng nếu có sự cố mất điện trong khu vực và ở trạng thái thụ động vào bất kỳ thời điểm nào khác. Các dịch vụ vi mô chạy trên các máy khác nhau trong mạng ảo của cụm cũng phục vụ chức năng phụ trợ. Chỉ có hai trong số các dịch vụ vi mô này có thể truy cập được từ Internet công cộng:

  • Dịch vụ cổng kết nối
  • Quản lý API Azure

Sơ đồ Power Platform các dịch vụ phụ trợ hiển thị ba phần chính: dịch vụ API và Cổng, có thể truy cập được từ Internet công cộng và một tập hợp các dịch vụ vi mô, riêng tư.

Cơ sở hạ tầng cao cấp của Power Platform

Power Platform Premium cung cấp quyền truy cập vào một bộ trình kết nối mở rộng dưới dạng dịch vụ trả phí. Người tạo Power Platform không bị hạn chế trong việc sử dụng trình kết nối cao cấp, nhưng người dùng ứng dụng thì có. Nghĩa là, người dùng ứng dụng bao gồm các trình kết nối cao cấp phải có giấy phép phù hợp để truy cập chúng. Dịch vụ phụ trợ Power Platform xác định xem người dùng có quyền truy cập vào trình kết nối cao cấp hay không.

Nền tảng di động

Power Platform hỗ trợ các ứng dụng Android, iOS và Windows (UWP). Cân nhắc bảo mật cho ứng dụng dành cho thiết bị di động thuộc hai loại:

  • Liên lạc giữa các thiết bị
  • Ứng dụng và dữ liệu trên thiết bị

Liên lạc giữa các thiết bị

Ứng dụng dành cho thiết bị di động Power Platform sử dụng cùng một kết nối và trình tự xác thực được sử dụng bởi các trình duyệt. Android và iOS các ứng dụng sẽ mở phiên trình duyệt trong ứng dụng. Các ứng dụng Windows sử dụng trình cung cấp để thiết lập kênh liên lạc với các dịch vụ Power Platform cho quá trình đăng nhập.

Bảng sau đây hiển thị hỗ trợ xác thực dựa trên chứng chỉ (CBA) cho các ứng dụng dành cho thiết bị di động:

Hỗ trợ CBA iOS Android Cửa sổ
Đăng nhập vào dịch vụ Hỗ trợ Hỗ trợ Không được hỗ trợ
SSRS ADFS tại chỗ (kết nối đến máy chủ SSRS) Không được hỗ trợ Hỗ trợ Không được hỗ trợ
Proxy ứng dụng SSRS Hỗ trợ Hỗ trợ Không được hỗ trợ

Các ứng dụng dành cho thiết bị di động giao tiếp chủ động với các dịch vụ Power Platform. Thống kê sử dụng ứng dụng và dữ liệu tương tự được truyền đến các dịch vụ giám sát việc sử dụng và hoạt động. Không bao gồm dữ liệu khách hàng.

Ứng dụng và dữ liệu trên thiết bị

Ứng dụng dành cho thiết bị di động và dữ liệu mà nó yêu cầu được lưu trữ an toàn trên thiết bị. Microsoft Entra và mã thông báo làm mới được lưu trữ bằng các biện pháp bảo mật tiêu chuẩn ngành.

Dữ liệu được lưu trong bộ nhớ đệm trên thiết bị bao gồm dữ liệu ứng dụng, cài đặt người dùng, trang tổng quan và báo cáo được truy cập trong các phiên trước đó. Bộ đệm được lưu trữ trong hộp cát trong bộ nhớ trong. Bộ đệm chỉ có thể truy cập được vào ứng dụng và có thể được hệ điều hành mã hóa.

  • iOS: Mã hóa tự động khi người dùng đặt mật mã.
  • Android: Mã hóa có thể được định cấu hình trong cài đặt.
  • Windows: Mã hóa được xử lý bởi BitLocker.

Mã hóa cấp tệp Microsoft Intune có thể được sử dụng để tăng cường mã hóa dữ liệu. Intune là một dịch vụ phần mềm cung cấp khả năng quản lý ứng dụng và thiết bị di động. Cả ba nền tảng di động đều hỗ trợ Intune. Khi đã bật và định cấu hình Intune, dữ liệu trên thiết bị di động sẽ được mã hóa và không thể cài đặt ứng dụng Power Platform trên thẻ SD.

Các ứng dụng Windows cũng hỗ trợ Windows Information Protection (WIP).

Dữ liệu được lưu vào bộ nhớ đệm bị xóa khi người dùng:

  • gỡ cài đặt ứng dụng
  • đăng xuất khỏi dịch vụ Power Platform
  • không đăng nhập được sau khi thay đổi mật khẩu hoặc mã thông báo hết hạn

Định vị địa lý được bật hoặc tắt một cách rõ ràng bởi người dùng. Nếu được bật, dữ liệu vị trí địa lý sẽ không được lưu trên thiết bị và không được chia sẻ với Microsoft.

Thông báo được bật hoặc tắt một cách rõ ràng bởi người dùng. Nếu thông báo được bật Android và iOS không hỗ trợ các yêu cầu về nơi lưu trữ dữ liệu địa lý.

Dịch vụ di động Power Platform không truy cập vào các tệp hoặc thư mục ứng dụng khác trên thiết bị.

Một số dữ liệu xác thực dựa trên mã thông báo có sẵn cho các ứng dụng khác của Microsoft, chẳng hạn như Authenticator, để bật đăng nhập một lần. Dữ liệu này được quản lý bởi Microsoft Entra SDK Thư viện xác thực.

Xác thực các dịch vụ của Power Platform
Kết nối và xác thực các nguồn dữ liệu
Lưu trữ dữ liệu trong Power Platform
Câu hỏi thường gặp về bảo mật Power Platform

Xem thêm