使用 Power Platform 和 Dynamics 365 中的客户密码箱安全地访问客户数据

由 Microsoft 人员（包括子处理商）执行的大多数操作、支持和故障排除不需要访问客户数据。 借助 Power Platform 客户密码箱，我们为客户提供一个界面，可在极少数需要访问客户数据的情况下查看和批准（或拒绝）数据访问请求。 它用于工程师需要访问客户数据的情况 Microsoft ，无论是回复客户发起的支持票证还是发现的问题 Microsoft。

本文介绍如何启用客户密码箱以及如何发起、跟踪和存储密码箱请求以供以后查看和审核。

备注

Customer Lockbox 可用于公共云、美国政府社区云 (GCC)、GCC High 和国防部 (DoD) 区域。

总结

您可以为租户内的数据源启用客户密码箱。 启用“客户密码箱”将仅对激活了托管环境的环境执行此策略。 Power Platform 管理员可以启用密码箱策略。

有关详细信息，请转到启用密码箱策略。

在极少数情况下，当 Microsoft 尝试访问存储在 Power Platform 其中的客户数据时（例如）， Dataverse将向管理员发送 Power Platform 密码箱请求以供审批。 有关详细信息，请转到查看密码箱请求。

密码箱请求的所有更新都会被记录下来，并作为审核日志提供给您的组织。 有关详细信息，请转到审核密码箱请求。

Power Platform 和 Dynamics 365 应用程序和服务将客户数据存储在多项 Azure 存储技术中。 当您为环境打开客户密码箱时，与相应环境关联的客户数据都会受密码箱策略的保护，无论存储类型如何。

备注

• 目前，启用密码箱策略后将强制执行密码箱策略的应用程序和服务包括 Power Apps （不包括以下卡片 Power Apps）、 AI Builder、 Power Pages Power Automate Microsoft Copilot Studio 、（不包括 GPT AI 功能和代理生成器）、 DataverseCustomer Insights、客户服务、社区、指南、连接空间、财务（生命周期服务除外）、项目运营（生命周期服务除外）、供应链管理（Lifecycle Services 除外）和 Marketing 应用程序的实时营销功能区域。
• 由 Azure OpenAI Service 支持的功能被排除在密码箱策略实施之外，除非给定功能的产品文档声明密码箱适用。
• Nuance Conversational IVR 被排除在密码箱策略实施之外，除非给定功能的产品文档声明密码箱适用。
• 制作者欢迎内容 被排除在密码箱策略实施之外。
• 您必须从您的网站禁用 Lucene.NET 搜索，然后转到 Dataverse 搜索，才能使用客户密码箱。 详细信息：使用 Lucene.NET 搜索进行门户搜索已弃用。

Workflow

1. 您的组织有问题 Microsoft Power Platform ，并向 Support 提交支持请求 Microsoft 。 Alternatively， Microsoft 主动识别问题（例如，触发主动通知），并打开 A Microsoft 发起的事件以调查和缓解或修复根本原因。

2. Microsoft 操作员查看支持请求/事件，并尝试使用标准工具和遥测来解决问题。 如果需要访问客户数据以进行进一步的故障排除，工程师会 Microsoft 触发访问客户数据的内部审批流程，无论是否启用密码箱策略。

3. 此外，如果相应的数据存储与根据密码箱策略启用保护的环境相关联，将会生成密码箱请求。 将向指定的审批者（Power Platform 管理员）发送一封电子邮件通知，告知其 Microsoft待处理的数据访问请求。

   重要提示

   在客户批准密码箱请求之前， Microsoft 工程师将无法继续进行调查。 这可能会导致对支持票证的处理延迟或中断时间延长。 请确保您在 Power Platform 管理中心监视电子邮件通知和/或密码箱请求并及时响应以避免服务中断。

   

4. 审批者登录 Power Platform 管理中心审批请求。 如果请求在 4 天内被拒绝或未获得批准，则请求将过期，并且不会向 Microsoft 工程师授予任何访问权限。

5. 在组织的审批者批准请求后， Microsoft 工程师将获得最初请求的提升权限并修复您的问题。 Microsoft 工程师有一定的时间（8 小时）来解决问题，之后，访问权限将自动撤销。

启用密码箱策略

Power Platform 管理员可以在 Power Platform 管理中心创建或更新密码箱策略。 启用租户级别策略仅适用于激活了托管环境的环境。 所有数据源和所有环境可能最多需要 24 小时实施客户密码箱。

1. 登录 Power Platform 管理中心。

2. 使用租户设置页面查看和管理租户级设置。 要查看租户级别设置，请选择 Microsoft Power Platform 站点右上角的齿轮图标 ()，然后在左侧导航窗格中选择 Power Platform设置 > 设置 > 租户设置。

3. 将客户密码箱设置为启用。

   

查看密码箱请求

1. 登录 Power Platform 管理中心。

2. 选择策略>客户密码箱。

3. 查看请求详细信息。

   字段	说明
   支持请求 ID	与密码箱请求关联的支持票证的 ID。 如果请求是 Microsoft initiated internal alert 的结果，则该值将为“Microsoft initiated”。
   Environment	请求数据访问的环境的显示名称。
   状态	密码箱请求的状态。 所需操作：等待客户的批准 已过期：未收到客户的批准 Approved：由客户批准 Denied：客户拒绝
   请求时间	工程师请求访问客户环境中的客户数据的时间 Microsoft 。
   请求到期时间	客户需要审批密码箱请求的时间。 如果在此时间前未进行审批，请求的状态将变为已过期。
   访问时段	请求者希望访问客户数据的时间长度。 此值默认为 8 小时，无法更改。
   访问到期时间	如果授予访问权限，则这是工程师有权访问客户数据的时间 Microsoft 。

4. 选择密码箱请求，然后选择批准或拒绝。

   

   备注

   过去 28 天内发生的密码箱请求显示在近期表中。

   请求被批准后，在 8 小时访问期间的整个持续时间内不能被撤销。

审核密码箱请求

警告

本节中记录的用于密码箱审计事件的架构已过时，从 2024 年 7 月开始将不可用。 您可以使用活动类别：密码箱操作中提供的新架构来审核客户密码箱事件。

Microsoft 365 Defender 中会自动记录与密码箱请求接受、拒绝或到期相关的操作。

审核跟踪中为每个密码箱请求包括以下和其他一些字段：

• 请求的唯一标识符
• 请求创建时间
• 组织 ID
• 用户 ID（执行请求的操作员的唯一标识符 Microsoft ）
• 请求状态
• 关联的支持票证 ID
• 请求到期时间
• 数据访问到期时间
• 环境 ID
• 请求理由

Microsoft 365 审核选项卡允许管理员搜索与密码箱会话关联的事件。 查看 Power Platform 相关密码箱事件的 Power Platform 密码箱类别。

管理员可以根据筛选条件直接导出结果集。

客户密码箱生成两种类型的审核日志：

1. 由 Microsoft 正在创建、过期或访问会话结束时的密码箱请求启动并与之对应的日志。 这组审核日志不对应于特定的用户 ID，因为操作是由 Microsoft.
2. 由最终用户操作启动的日志，如当用户批准或拒绝密码箱请求时。 如果执行这些操作的用户没有被分配 E5 许可证，日志将被筛选掉，不会显示在审核日志中。

默认情况下，审核日志将保留一年。 您需要有 10 年审核日志保留附加产品许可证才能将审核记录保留 10 年。 有关审核日志保留的更多详细信息，请参阅审核（高级）。

客户密码箱的许可要求

将仅在为托管环境激活的环境中强制执行客户密码箱策略。 托管环境作为一项权利包含在授予高级使用权限的独立 Power Apps、Power Automate、Microsoft Copilot Studio、Power Pages 和 Dynamics 365 许可证中。 要了解有关托管环境许可的更多信息，请参阅许可和 Microsoft Power Platform 许可概述。

此外，访问 Microsoft Power Platform 和 Dynamics 365 的客户密码箱需要在执行密码箱策略的环境中的用户具有以下任何订阅：

• Microsoft 365 或 Office 365 A5/E5/G5
• Microsoft 365 A5/E5/F5/G5 合规
• Microsoft 365 F5 安全与合规
• Microsoft 365 A5/E5/F5/G5 内部人员风险管理
• Microsoft 365 A5/E5/F5/G5 信息保护和治理 详细了解适用的许可证。

排除情况

• 在以下工程支持场景中不会触发密码箱请求：

  • 标准操作程序之外的紧急情况，如需要立即注意以在意外或不可预测的情况下恢复服务的重大服务中断。 这些“打碎玻璃”事件很少见，在大多数情况下，不需要访问客户数据来加以解决。

  • Microsoft 工程师在故障排除过程中访问底层平台，并无意中接触到客户数据。 这种情况很少会导致访问大量客户数据。

• 也不会因外部的数据法律要求触发客户密码箱请求。 有关详细信息，请参阅信任中心中 Microsoft 有关政府数据请求的讨论。

• 客户密码箱不适用于访问和手动审查对 Copilot AI 功能共享的客户数据。 客户密码箱将对所有范围内的数据保持启用状态。

已知问题

• 启用客户密码箱后，不支持租户间迁移。 您必须禁用客户密码箱才能将环境移到其他租户。 迁移完成后，可以重新启用客户密码箱。