Microsoft Power Platform 中的安全性
Power Platform 让非专业和专业开发人员都能够快速轻松地创建端到端解决方案。 安全对于这些解决方案至关重要。 Power Platform 的用途是提供行业领先的保护。
组织正在加速向云的转换，将先进技术引入运营和业务决策。 更多员工在远程工作。 客户对在线服务的需求不断上升。 传统的本地应用程序安全性已不能再满足需求。 为其商业智能数据寻找云原生、多层、深层防御的安全解决方案的组织转向 Power Platform。 国家安全机构、金融机构和医疗保健提供商将最敏感的信息委托给 Power Platform。
自 21 世纪前十年中期以来，Microsoft 在安全方面进行了大量投资。 超过 3,500 名 Microsoft 工程师致力于积极应对不断变化的威胁形势。 Microsoft 安全性从片上 BIOS 内核开始，一直延伸到用户体验。 今天，我们的安全堆栈是业内最先进水平。 Microsoft 被广泛视为打击恶意行为者的全球领导者。 数十亿台计算机、数万亿次登录和以泽字节为单位的数据都委托给 Microsoft 保护。
Power Platform 建立在这个坚实的基础之上。 它使用的安全堆栈使 Azure 有权为世界上最敏感的数据提供服务和保护，并且它与 Microsoft 365 最先进的信息保护和合规工具集成。 Power Platform 提供围绕客户在云时代最具挑战性的问题而设计的端到端保护：
- 我们如何控制谁可以连接、他们从哪里连接以及他们如何连接？ 如何控制连接？
- 我们的数据如何存储？ 如何对数据进行加密？ 我们可以对数据进行哪些控制？
- 我们如何控制和保护敏感数据？ 我们如何确保数据不会泄露到组织之外？
- 我们如何审核谁可以执行哪些操作？ 如果我们检测到可疑活动，我们如何快速作出反应？
治理
Power Platform 服务受 Microsoft 在线服务条款和 Microsoft 企业隐私声明约束。 有关数据处理的位置，请参阅 Microsoft 在线服务条款和数据保护附录。
Microsoft 信任中心是主要的 Power Platform 合规性信息资源。 在 Microsoft 合规性产品了解详细信息。
Power Platform 服务遵循安全开发生命周期 (SDL)。 SDL 是一组支持安全保证和合规性要求的严格实践。 要了解详细信息，请访问 Microsoft 安全开发生命周期实践。
常见的 Power Platform 安全概念
Power Platform 包括多项服务。 我们将在本系列中介绍的一些安全概念适用于所有服务。 其他概念特定于单个服务。 在安全概念不同的地方，我们会指出。
所有 Power Platform 服务共有的安全概念包括：
- Power Platform 服务体系结构，或信息如何在系统中流动
- 对 Power Platform 服务进行身份验证，或用户如何获取服务访问权限
- 连接到数据源并对其进行身份验证，或服务如何连接到数据源以及用户如何获取对数据的访问权限
- Power Platform 中的数据存储，或者如何保护数据，无论是静止还是在系统和服务之间传输
Power Platform 服务体系结构
Power Platform 服务建立在 Microsoft 的云计算平台 Azure 之上。 Power Platform 服务体系结构由四个组件组成：
- Web 前端群集
- 后端群集
- 高级基础结构
- 移动平台
Web 前端群集
适用于显示 Web UI 的 Power Platform 服务。 Web 前端群集将应用程序或服务主页提供给用户的浏览器。 它最初使用 Microsoft Entra 对客户端进行身份验证，并向 Power Platform 后端服务提供用于后续客户端连接的令牌。
Web 前端群集由在 Azure 应用服务环境中运行的 ASP.NET 网站组成。 当用户访问 Power Platform 服务或应用程序时，客户端的 DNS 服务可能会从 Azure 流量管理器获取最合适（通常是最近）的数据中心。 有关详细信息，请参阅 Azure 流量管理器的性能流量路由方法。
Web 前端群集管理登录和身份验证序列。 它在用户通过身份验证后获取 Microsoft Entra 访问令牌。 ASP.NET 组件分析此令牌以确定用户属于哪个组织。 然后此组件咨询 Power Platform 全局后端服务以向浏览器指定哪个后端群集保留组织的租户。 随后的客户端交互直接与后端群集进行，无需 Web 前端中转。
浏览器主要从 Azure 内容传送网络 (CDN) 获取静态资源，如 .js、.css 和图像文件。 主权政府群集部署是一个例外。 出于合规性原因，这些部署省略了 Azure CDN。 而是使用来自合规区域的 Web 前端群集托管静态内容。
Power Platform 后端群集
后端群集是 Power Platform 服务中可用的全部功能的支柱。 它由服务终结点、后台工作服务、数据库、缓存和其他组件组成。
后端在大多数 Azure 区域中可用，并在新区域可用时部署到新区域中。 一个区域可以托管多个群集。 此配置在达到单个群集的垂直和水平扩展限制后，允许 Power Platform 服务进行无限的水平扩展。
后端群集的状态会被监控。 后端群集托管分配给它的所有租户的所有数据。 包含特定租户数据的群集称为租户的主群集。 Power Platform 全局后端服务将有关经过身份验证的用户的主群集的信息提供给 Web 前端群集。 Web 前端使用这些信息将请求路由到租户的主后端群集。
租户元数据和数据在群集限制内存储。 例外情况是将数据复制到位于同一 Azure 地理位置的配对区域中的辅助后端群集。 辅助群集在出现区域中断的情况下用作故障转移群集，在任何其他时间都是被动群集。 在群集虚拟网络的不同计算机上运行的微服务也提供后端功能。 这些微服务中只有两个可以从公共 Internet 访问：
- 网关服务
- Azure API 管理
Power Platform Premium 基础结构
Power Platform Premium 作为付费服务提供对扩展连接器集的访问。 Power Platform 制作者在使用高级连接器方面不受限制，但应用用户有限制。 即，包含高级连接器的应用的用户必须有正确的许可证才能访问这些连接器。 Power Platform 后端服务确定用户是否可以访问高级连接器。
移动平台
Power Platform 支持 Android、iOS 和 Windows (UWP) 应用程序。 移动应用的安全注意事项分为两类：
- 设备通信
- 设备上的应用程序和数据
设备通信
Power Platform 移动应用使用与浏览器相同的连接和身份验证序列。 Android 和 iOS 应用在应用中打开浏览器会话。 Windows 应用使用中转站建立与 Power Platform 服务的通信渠道来实现登录流程。
下表显示了移动应用的基于证书的身份验证 (CBA) 支持：
| CBA 支持 | iOS | Android | 窗户 |
|---|---|---|---|
| 登录到服务 | 受支持 | 受支持 | 不支持 |
| SSRS ADFS 本地（连接到 SSRS 服务器） | 不支持 | 受支持 | 不支持 |
| SSRS 应用代理 | 受支持 | 受支持 | 不支持 |
移动应用会主动与 Power Platform 服务通信。 应用使用统计数据和类似数据被传输到监视使用情况和活动的服务。 不包括客户数据。
设备上的应用程序和数据
移动应用及其所需的数据安全地存储在设备上。 Microsoft Entra 和刷新令牌使用行业标准的安全措施进行存储。
缓存在设备上的数据包括应用数据、用户设置以及在之前会话中访问的仪表板和报表。 缓存存储在内部存储的沙盒中。 缓存只能由应用访问，可以由操作系统加密。
- iOS：加密在用户设置密码时自动完成。
- Android：可以在设置中配置加密。
- Windows：加密由 BitLocker 处理。
Microsoft Intune 文件级加密可用于增强数据加密。 Intune 是一项提供移动设备和应用程序管理的软件服务。 所有三个移动平台都支持 Intune。 启用并配置 Intune 后，将加密移动设备上的数据，Power Platform 应用无法安装在 SD 卡上。
Windows 应用还支持 Windows 信息保护 (WIP)。
当用户执行以下操作时将删除缓存的数据：
- 卸载应用
- 注销 Power Platform 服务
- 更改密码或令牌过期后无法登录
用户显式启用或禁用了地理位置。 如果已启用，则地理位置数据不会保存在设备上，并且不会与 Microsoft 共享。
用户显式启用或禁用了通知。 如果启用通知，Android 和 iOS 不支持地理数据驻留要求。
Power Platform Mobile 服务无法访问设备上的其他应用程序文件夹或文件。
一些基于令牌的身份验证数据可被其他 Microsoft 应用（如 Authenticator）用来启用单一登录。 此数据由 Microsoft Entra 身份验证库 SDK 管理。
相关文章
向 Power Platform 服务进行身份验证
连接到数据源并向其进行身份验证
Power Platform 中的数据存储
Power Platform 安全性常见问题解答