Dataverse 和 Power Platform 環境中的資料主權
Microsoft Power Platform 系統管理中心集中管理 Power Platform 的環境和設定 ，並協助管理資料落地和資料存取控制，以支援您的主權需求。 系統管理中心的租用戶設定可讓您控制如何建立和管理租用戶中的環境。 此設定可讓您控制哪些系統管理員可以建立新環境，並將此功能限制為只有全域、Dynamics 365 和 Power Platform 管理員。 這會增強您對資料資產存取位置、方法和人員的控制。
管理使用者及權限
您目前可以使用系統管理中心來管理使用者和權限管理設定。 例如，您可以：
Dataverse 團隊：建議使用 Microsoft Entra 群組團隊來簡化使用者管理並確保一致實作特殊權限和權限。
指派資訊安全角色給使用者：建議使用系統管理中心 UI，透過建立資訊安全角色來管理使用者。
設定環境中的使用者安全性：在系統管理中心中，指定特定環境中的資訊安全角色，以限制哪些使用者可以執行哪些操作。 許多既有的角色都已設定來協助您簡化此程序。 租用戶層級原則可以透過將範圍設定為所有環境來提供最上層控制，最大限度地降低因個別環境設定錯誤而導致資料遺失的風險。如需詳細資訊，請參閱 Microsoft Dataverse 中的安全性概念 - Power Platform
啟用受控環境
受控環境提供廣泛的功能來協助您設定 Dataverse 和 Power Platform，降低意外資料洩露的風險，並符合您的安全性和主權需求。 這些功能包括 IP Cookie 繫結、客戶加密箱、IP 防火牆、客戶自控金鑰等。
在系統管理中心，您可以管理受控環境的資料原則。 強烈建議使用資料原則來保護租用戶中所有的環境。例如，資料外洩防護原則
在系統管理中心，您可以在受控環境中設定解決方案檢查工具，根據一組最佳做法規則，強制查看您的解決方案，並快速找出有問題的模式。 此檢查可協助您避免不良的資料管理做法，這些做法會導致違反主權需求的資料存取或發佈。
受控環境也是開放預覽的預設環境路由 (新的主權控制支援功能)，讓新的製作者在進入 Power Apps 時自動路由到他們自己的個人開發人員空間 (而不是共用的預設環境)，他們可以在其中進行建置，而不會有其他製作者存取其應用程式或資料的風險。
如需詳細資訊，請參閱啟用受控環境和 Power Platform 和資料原則 - Power Platform
Power Platform 中的資料落地
資料落地涉及儲存和處理資料的實際位置。 資料落地需求是公共部門客戶普遍關心的問題，他們經常要求 Microsoft 限制不同類型資料的儲存和處理位置。 Power Platform 提供控制措施和機制來確保個人資料和客戶資料都受到保護，以限制終端使用者所能使用的服務和區域，並強制服務設定以協助客戶滿足其資料落地需求。
地理位置選擇
當您註冊 Power Platform 服務時，租用戶選取的國家/地區會對應至具有 Power Platform 部署的最合適 Azure 地理位置。 對於多地區租用戶，您可以指定環境的地區。 環境中的中繼資料與產品資料都會儲存在遠端地區。 如需詳細資訊，請參閱Power Platform 中的資料儲存和治理。
租用戶隔離
為了降低未經授權資料共享的可能性，應將 Power Platform 設定為開啟租用戶隔離，確保只有為數不多的租用戶 (或沒有租用戶) 可以與其主權租用戶連接。 我們建議防止超出主權邊界的連入和連出連接。 例如，原則控制可以指示可接受透過主權邊界內的其他 tenant_ids連接您的租用戶，但不接受該邊界外的區域來連接。 如需租用戶隔離的詳細資訊，請參閱：限制跨租用戶連入和連結出存取 - Power Platform。
備份/容錯移轉
Microsoft 可能會將非個人資料 (例如員工驗證資訊) 複寫至其他區域以進行資料復原。 但是，永遠不會個人和客戶資料複寫或移動到地區範圍之外。 生產環境的系統備份會自動進行，並且以異地備援方式提供復原能力和可用性。 在某些情況下，備份區域可能位於主權邊界之外。
若要深入了解 Dataverse 與 F&O 應用程式的商務持續性/災害復原、容錯移轉和後援程序，請參閱：Dynamics 365 SaaS 應用程式的商務持續性和災害復原 - Power Platform。
資料外洩防護原則
Power Platform 資料外洩防護 (DLP) 原則猶如護欄，可協助強制資料落地需求。 DLP 原則也有助於強制限定可相互通訊的連接器，以防止無意或故意將敏感性業務資料傳輸到主權區域範圍外。 預設情況下，最初都會將所有連接器指派給非商務 (個人使用) 資料群組。
為了降低敏感性資訊洩露到主權環境之外的風險，應將用於敏感性資料的連接器指派給商務資料群組。 為了進一步保護 Dynamics 365 環境，這些連接器也必須指派至商務資料群組。 如需有關管理 DLP 原則的詳細資訊，請參閱：管理資料外洩防護 (DLP) 原則 - Power Platform。
雙重寫入
雙重寫入在財務和營運應用程式與 Dataverse 之間提供緊密聯結的雙向整合。 財務和營運應用程式中的資料變更可以造成對 Dataverse 的寫入，而 Dataverse 中的資料變更也可以造成對財務和營運應用程式的寫入。 這種自動化的資料流程在各個應用程式之間提供了整合的使用者體驗。
雙重寫入必須有特定的資訊安全角色和權限，才能依預期正常運作。 所有 Microsoft Dataverse 使用者都必須新增至雙重寫執行階段使用者和雙重寫入應用使用者資訊安全角色。 如果沒有正確管理這些角色，可能會導致未經授權的存取。
資料落地和合規性需求可能因儲存和處理資料的地理位置而異。 請務必確保資料流程符合所有相關區域和國際資料保護法規。 如需詳細資訊，請參閱雙重寫入和設定雙重寫入資訊安全角色和權限。
如需詳細資訊，請參閱用於控制對 Power Pages 網站中 Dataverse 資料匿名存取的治理設定。