Dataverse 和 Power Platform 的存取控制
Dataverse 和 Power Platform 提供微調的多層級存取控制，可協助系統管理員確保其使用者和應用程式符合主權需求。 本文說明這些控制。
角色型存取控制 (RBAC)
角色型存取控制 (RBAC) 也稱為角色型安全性，這種方法會根據終端使用者在組織中的角色，將權限授與他們。 可協助您以簡單且易於管理的方式來管理存取。 還能減少個別指派權限時可能發生的錯誤。
Dataverse 中的微調 RBAC 控制可以確保使用者恰好擁有其角色所需的權限。 可以在環境、角色、資料庫、資料表、資料列和資料行層級授與權限。 組織可以定義可讀取、寫入、刪除或修改特定記錄、欄位或應用程式的人員。 這種細微性有助於維護客戶資料主權。 如需詳細資訊，請參閱設定環境中使用者安全性 - Power Platform | Microsoft Learn。
Dataverse 環境隨附預先定義的資訊安全角色，這些角色遵循所需的最低存取權限的原則。 這些角色賦予使用者在特定應用程式中完成其工作所需的最低存取權限。 可用的角色取決於環境類型以及已安裝的應用程式。
如果環境有 Dataverse 資料庫，請遵循「所需的最低存取權限」原則，並盡量減少有權存取系統管理員角色的使用者數目。
在沒有 Dataverse 資料庫的環境中，有兩個預先定義的角色：
環境管理員：執行管理作業、準備資料庫、管理資源，以及建立資料外洩防護原則。
環境建立者：建立資源 (應用程式、連接、API 等)，但缺少資料存取權限。
若要透過 Power Apps 控制對應用程式與 Dataverse 的存取，請遵循如何控制中應用程式與 Dataverse 存取 - Power Platform 社群 (microsoft.com) 這裡的指引。
Privileged Identity Management (PIM)
PIM 是 Microsoft Entra ID 中的服務，可協助您管理、控制和監視對重要資源的存取。 您可以使用該服務來保護主權 Dataverse 資料免受惡意內部人員或惡意 Microsoft Cloud 提供者存取的風險。 以下是 PIM 可協助您的一些功能：
Just-In-Time 存取：PIM 為使用者提供對 Microsoft Entra ID 和 Azure 資源的 Just-In-Time 特殊權限存取。 這表示使用者獲得暫時權限來執行需要權限的工作，從而防止惡意或未經授權的使用者在權限過期後獲得存取權。
限時存取：您可以使用開始日期和結束日期來設定對資源的限時存取。 這種類型的存取限制使用者可以存取敏感性資料的時間，並降低暴露風險。
核准型角色啟用：PIM 需要核准才能啟用特殊權限角色。 此步驟確保由上級授權單位核准角色啟用，多加了一層控制和透明度。
多重要素驗證：PIM 強制執行多重要素驗證以啟用任何角色。 此程序要求使用者透過至少兩種不同的驗證形式來證實其身分。
存取權檢閱：PIM 允許你進行存取權檢閱，以確定使用者仍然需要指派的角色。 這些檢閱協助您移除不必要的存取權限，並降低內部威脅的風險。
借助 Entra 的其他條件式存取和位置感知控制，PIM 可以僅允許受信任裝置、位置及其他條件 (可以評估這些條件進行驗證) 來協助您控制對環境的存取。 您可以使用 PIM 的這些功能來降低惡意內部人員或遭入侵 Microsoft Cloud 提供者存取 Dynamics 雲端儲存資料的風險。 如需 PIM 的詳細資訊，請參閱什麼是 Privileged Identity Management？- Microsoft Entra ID 治理 | Microsoft Learn。
安全性角色
您可以使用定義資料列、欄位、階層和群組保護的 Dataverse 授權和資料層級資訊安全角色來保護資料並確保使用者擁有所需的最低權限。 這些角色讓您可以指定精細的欄位層級安全性。 Dataverse 同時實作權限檢查和存取檢查，以協助您維護此控制措施。 權限透過資訊安全角色或團隊指派進行管理，而存取檢查則透過擁有權、角色存取、共用存取或階層存取進行管理。
例如，為了降低意外資料洩漏的風險並確保只有授權人員才能進行資料傳輸，請設定使用者權限以限制 Entra Guest 使用者帳戶建立 Power Apps。 確保在將權限和繼承指派給使用者或團隊時，每個人只能獲得相應等級的權限。
有關Dataverse 資訊安全角色和權限的詳細資訊可協助您確保只有授權使用者才能存取您的主權資產。
業務單位
每個 Dataverse 資料庫都有一個基本業務單位。 此業務單位定義安全邊界，此邊界使用角色型安全性來管理使用者以及他們所能存取的資料。 這些可以輔助主權控制，特別是在具有多個業務單位 (各有不同等級的存取和限制) 的大型或複雜組織中。 建立下層業務單位，並為角色提供最低必要存取權限做為保護資料主權的護欄。 業務單位適合特定環境，可透過系統管理中心環境控制進行管理。
Dataverse 還會使用 Microsoft Entra 身分識別控制和存取管理機制，協助確保只有經過授權的使用者可以存取環境、資料和報表。 此外，也因為 Dataverse 是在 Azure 的基礎上進行建置，受益於 Azure 平台的強大資訊安全技術。
加密和金鑰管理
Dynamics 365 做為多組織用戶共享服務在 Azure 中執行。 這意味著多個客戶的部署、虛擬機器和資料都儲存在相同的實際硬體上。 Azure 使用邏輯控制來提供多租戶服務的規模和經濟效益，同時防止客戶訪問彼此的資料。
Dataverse 中的客戶資料會保留在其原始來源 (例如，Dataverse 或 SharePoint)。 Power Platform 應用程式使用 Azure 儲存體和 Azure SQL Database 來實現資料持續性。 行動應用程式中使用的資料經過加密並儲存在 SQL Express 中。
Dataverse 使用 Microsoft 管理的強式金鑰，透過 SQL Server 透明資料加密 (TDE) 即時加密磁碟上的資料。 Azure 儲存體加密對儲存在 Azure Blob 儲存體中的客戶資料進行加密。 Power Platform 預設使用 Microsoft 管理的金鑰，對其儲存的所有資料進行加密。 有正確授權和訂閱的 Dynamics 受控環境客戶應盡可能使用客戶自控金鑰。 客戶自控金鑰適用於 Dataverse 和大多數 Dynamics 365 應用。
注意
請注意，如果將客戶自控金鑰套用至已有現有 Power Automate 流程的環境，則流程資料會繼續使用 Microsoft 管理的金鑰進行加密，而不是使用客戶的金鑰進行加密。 此外，客戶自控金鑰也只會加密儲存在 Microsoft Dataverse 中的資料；任何非 Dataverse 資料和所有連接器設定都是以 Microsoft 管理的金鑰進行加密。請注意，磁碟加密不會在使用資料時停止操作員存取。
對於 Power BI，Microsoft 管理的金鑰預設會加密待用資料和處理中資料。 為了更充分滿足主權需求，您應該盡可能攜帶您自己的金鑰 (BYOK) 來管理從 Power BI Desktop (.pbix) 檔案上傳的語意模型資料。 視特定需求而定，可以將客戶自控金鑰或 BYOK 金鑰保存在 Azure Key Vault 或您自己的內部部署硬體安全模組 (HSM) 中。 為了提供更多的存取控制和透明度，Azure Key Vault 會記錄每次成功或嘗試的存取。 Dataverse 的 Azure 受控 HSM (mHSM) 支援目前為預覽版。 這可讓您在需要時撤銷 Microsoft 對金鑰的存取權。
如需詳細資訊，請參閱管理 Power Platform 中的客戶自控加密金鑰 - Power Platform | Microsoft Learn。