Share via

使用 Power Platform 和 Dynamics 365 中的客户密码箱安全地访问客户数据

  • 项目

Microsoft 人员（包括后续处理者）执行的大多数操作、支持和故障排除都不需要访问客户数据。 借助 Power Platform 客户密码箱，我们为客户提供一个界面，可在极少数需要访问客户数据的情况下查看和批准（或拒绝）数据访问请求。 它用于 Microsoft 工程师需要访问客户数据的情况，无论是响应客户发起的支持票证还是 Microsoft 发现的问题。

本文介绍如何启用客户密码箱以及如何发起、跟踪和存储密码箱请求以供以后查看和审核。

备注

Customer Lockbox 可用于公共云、美国政府社区云 (GCC)、GCC High 和国防部 (DoD) 区域。

总结

您可以为租户内的数据源启用客户密码箱。 启用“客户密码箱”将仅对激活了托管环境的环境执行此策略。 全局管理员和 Power Platform 管理员可以启用密码箱策略。

有关详细信息，请转到启用密码箱策略。

在极少数 Microsoft 尝试访问存储在 Power Platform（例如，Dataverse）中的客户数据的情况下，会向全局管理员和 Power Platform 管理员发送密码箱请求以供审批。 有关详细信息，请转到查看密码箱请求。

密码箱请求的所有更新都会被记录下来，并作为审核日志提供给您的组织。 有关详细信息，请转到审核密码箱请求。

Power Platform 和 Dynamics 365 应用程序和服务将客户数据存储在多项 Azure 存储技术中。 当您为环境打开客户密码箱时，与相应环境关联的客户数据都会受密码箱策略的保护，无论存储类型如何。

备注

  • 目前，启用后将实施密码箱策略的应用程序和服务为 Power Apps（不包括 Cards for Power Apps）、AI Builder、Power Pages、Power Automate、Microsoft Copilot Studio（不包括 GPT AI 功能）、Dataverse、Customer Insights、Customer Service、Communities、Guides、Connected Spaces、Finance（不包括 Lifecycle Services）、Project Operations（不包括 Lifecycle Services）、Supply Chain Management（不包括 Lifecycle Services）和 Marketing 应用的实时营销功能区域。
  • 由 Azure OpenAI Service 支持的功能被排除在密码箱策略实施之外，除非给定功能的产品文档声明密码箱适用。
  • Nuance Conversational IVR 被排除在密码箱策略实施之外，除非给定功能的产品文档声明密码箱适用。
  • 制作者欢迎内容从 Lockbox 策略实施中排除。
  • 您必须从您的网站禁用 Lucene.NET 搜索，然后转到 Dataverse 搜索，才能使用客户密码箱。 详细信息：使用 Lucene.NET 搜索进行门户搜索已弃用。

Workflow

  1. 您的组织的 Microsoft Power Platform 出现问题，通过 Microsoft 支持部门提出支持请求。 或者，Microsoft 主动发现问题（例如，触发主动通知），Microsoft 发起的事件打开，调查和缓解或修复根本原因。

  2. Microsoft 操作员查看支持请求/事件并尝试使用标准工具和遥测解决问题。 如果需要访问客户数据以进行进一步的故障排除，Microsoft 工程师将触发访问客户数据的内部审批流程，无论是否启用密码箱策略。

  3. 此外，如果相应的数据存储与根据密码箱策略启用保护的环境相关联，将会生成密码箱请求。 有关来自 Microsoft 的待处理数据访问请求的电子邮件通知将发送给指定的审批者（全局管理员和 Power Platform 管理员）。

    重要提示

    在密码箱请求获得客户批准之前，Microsoft 工程师无法继续调查。 这可能会导致对支持票证的处理延迟或中断时间延长。 请确保您在 Power Platform 管理中心监视电子邮件通知和/或密码箱请求并及时响应以避免服务中断。

    示例密码箱请求。

  4. 审批者登录 Power Platform 管理中心审批请求。 如果请求在四天内被拒绝或未获批准，将会过期，不会向 Microsoft 工程师授予访问权限。

  5. 在您的组织的审批者批准请求后，Microsoft 工程师将获得最初请求的提升权限并修复您的问题。 Microsoft 工程师有一个固定的时间（8 小时）来修复问题，之后，访问权限将自动撤销。

启用密码箱策略

全局管理员或 Power Platform 管理员可以在 Power Platform 管理中心创建或更新密码箱策略。 启用租户级别策略仅适用于激活了托管环境的环境。 所有数据源和所有环境可能最多需要 24 小时实施客户密码箱。

  1. 登录 Power Platform 管理中心。

  2. 使用租户设置页面查看和管理租户级设置。 要查看租户级别设置，请选择 Microsoft Power Platform 站点右上角的齿轮图标 (齿轮图标。)，然后在左侧导航窗格中选择 Power Platform设置>设置>租户设置。

  3. 将客户密码箱设置为启用。

    启用密码箱策略。

查看密码箱请求

  1. 登录 Power Platform 管理中心。

  2. 选择策略>客户密码箱。

  3. 查看请求详细信息。

    字段 说明
    支持请求 ID 与密码箱请求关联的支持票证的 ID。 如果请求是 Microsoft 发起的内部警报的结果，此值将是“Microsoft initiated”。
    环境 请求数据访问的环境的显示名称。
    状态 密码箱请求的状态。
    • 需要操作：等待客户审批
    • 已过期：未获得客户的批准
    • 已批准：客户已批准
    • 已拒绝：被客户拒绝
    请求时间 Microsoft 工程师请求访问客户环境中的客户数据的时间。
    请求到期时间 客户需要审批密码箱请求的时间。 如果在此时间前未进行审批，请求的状态将变为已过期。
    访问时段 请求者希望访问客户数据的时间长度。 此值默认为 8 小时，无法更改。
    访问到期时间 如果授予访问权限，此时间是 Microsoft 工程师有权访问客户数据的截止时间。

  4. 选择密码箱请求，然后选择批准或拒绝。

    批准或拒绝密码箱请求

    备注

    过去 28 天内发生的密码箱请求显示在近期表中。

    请求被批准后，在 8 小时访问期间的整个持续时间内不能被撤销。

审核密码箱请求

Microsoft 365 Defender 中会自动记录与密码箱请求接受、拒绝或到期相关的操作。

Microsoft 365 Defender 页面。

审核跟踪中为每个密码箱请求包括以下和其他一些字段：

  • 请求的唯一标识符
  • 请求创建时间
  • 组织 ID
  • 用户 ID（执行请求的 Microsoft 操作员的唯一标识符）
  • 请求状态
  • 关联的支持票证 ID
  • 请求到期时间
  • 数据访问到期时间
  • 环境 ID
  • 请求理由

Microsoft 365 审核选项卡允许管理员搜索与密码箱会话关联的事件。 查看 Power Platform 相关密码箱事件的 Power Platform 密码箱类别。

选择 Power Platform 密码箱类别。

管理员可以根据筛选条件直接导出结果集。

密码箱审核搜索结果。

客户密码箱生成两种类型的审核日志：

  1. 由 Microsoft 启动的日志，对应于正在创建、已过期或访问会话结束时的密码箱请求。 这组审核日志与特定的用户 ID 不对应，因为操作是由 Microsoft 发起的。
  2. 由最终用户操作启动的日志，如当用户批准或拒绝密码箱请求时。 如果执行这些操作的用户没有被分配 E5 许可证，日志将被筛选掉，不会显示在审核日志中。

默认情况下，审核日志将保留一年。 您需要有 10 年审核日志保留附加产品许可证才能将审核记录保留 10 年。 有关审核日志保留的更多详细信息，请参阅审核（高级）。

客户密码箱的许可要求

将仅在为托管环境激活的环境中强制执行客户密码箱策略。 托管环境作为一项权利包含在授予高级使用权限的独立 Power Apps、Power Automate、Microsoft Copilot Studio、Power Pages 和 Dynamics 365 许可证中。 要了解有关托管环境许可的更多信息，请参阅许可和 Microsoft Power Platform 许可概述。

此外，访问 Microsoft Power Platform 和 Dynamics 365 的客户密码箱需要在执行密码箱策略的环境中的用户具有以下任何订阅：

  • Microsoft 365 或 Office 365 A5/E5/G5
  • Microsoft 365 A5/E5/F5/G5 合规
  • Microsoft 365 F5 安全与合规
  • Microsoft 365 A5/E5/F5/G5 内部人员风险管理
  • Microsoft 365 A5/E5/F5/G5 信息保护和治理 详细了解适用的许可证。

排除情况

  • 在以下工程支持场景中不会触发密码箱请求：

    • 标准操作程序之外的紧急情况，如需要立即注意以在意外或不可预测的情况下恢复服务的重大服务中断。 这些“打碎玻璃”事件很少见，在大多数情况下，不需要访问客户数据来加以解决。

    • 作为故障排除的一部分，Microsoft 工程师会访问基础平台，但无意中接触到了客户数据。 这种情况很少会导致访问大量客户数据。

  • 也不会因外部的数据法律要求触发客户密码箱请求。 有关详细信息，请参阅 Microsoft 信任中心中有关政府数据请求的讨论。

  • 客户密码箱不适用于访问和手动审查对 Copilot AI 功能共享的客户数据。 客户密码箱将对所有范围内的数据保持启用状态。

已知问题

  • 启用客户密码箱后，不支持租户间迁移。 您必须禁用客户密码箱才能将环境移到其他租户。 迁移完成后，可以重新启用客户密码箱。