Microsoft 人員 (包括轉包處理者) 執行的大多數作業、支援和疑難排解不需要存取客戶資料。 透過使用 Power Platform Customer Lockbox，客戶可在 Microsoft 需要存取客戶資料的罕見情況下，審查並批准（或拒絕）資料存取請求。 在 Microsoft 工程師需要存取客戶資料時，無論是回應客戶發起的支援工單，還是 Microsoft 發現的問題時，都可以使用這個功能。
本文介紹如何啟用客戶加密箱以及如何啟動、追蹤和儲存加密箱要求，以供日後審查和核准。
注意
客戶加密箱可在公用雲端、美國政府社群雲 (GCC)、GCC High 和國防部 (DoD) 區域中使用。
摘要
您可以為租用戶中的資料來源啟用客戶加密箱。 啟用客戶加密箱僅對受控環境啟用的環境強制此原則。 Power Platform 管理員可以啟用加密箱原則。
欲了解更多資訊，請參閱 啟用鎖箱政策。
在極少數情況下，Microsoft 會在嘗試存取儲存在 Power Platform (例如 Dataverse) 中的客戶資料時，將加密箱要求傳送至 Power Platform 管理員以供核准。 欲了解更多資訊，請參閱 檢視鎖箱申請。
加密箱要求的所有更新都會記錄下來，並做為稽核記錄提供給您的組織。 如需詳細資訊，請參閱稽核加密箱要求。
Power Platform 與 Dynamics 365 應用程式與服務將客戶資料儲存在多種 Azure 儲存技術中。 環境開啟客戶加密箱時，與各自環境相關聯的客戶資料會受到加密箱原則的保護，無論儲存類型如何。
注意
- 目前，啟用鎖箱政策後，會強制執行的應用程式和服務包括 Power Apps（不包含 Power Apps 卡片）、AI Builder、Power Pages、Power Automate、Microsoft Copilot Studio、Dataverse、Customer Insights、Customer Service、Sales（不含對話智慧）、Communities、Guides、Connected Spaces、財務（不包含 Lifecycle Services）、專案營運（不包含 Lifecycle Services）、供應鏈管理（不包含 Lifecycle Services）以及行銷應用程式中的即時行銷功能區域。
- 由 Azure OpenAI Service 驅動的功能不包含在 Lockbox 政策執行中，除非某功能的產品文件明確說明 Lockbox 適用。
- Nuance Conversational IVR 不參與 Lockbox 策略執行，除非給定功能的產品文件聲明 Lockbox 適用。
- 製作者歡迎內容已從加密箱原則強制中排除。
- 您必須從網站停用 Lucene.NET 搜尋，並切換到 Dataverse 搜尋，才能使用 Customer Lockbox。 欲了解更多資訊，請參閱 使用 Lucene.NET 搜尋的 Portals 搜尋已停用。
Workflow
您的組織在使用 Microsoft Power Platform 時遇到問題，並向 Microsoft Support 提出支援請求。 或者，Microsoft 主動識別問題 (例如，觸發主動通知)，並開啟 Microsoft 啟動的事件以調查並減輕或修正根本原因。
Microsoft 操作員會審查支援請求或事件，並嘗試使用標準工具與遙測技術來排除問題。 若營運商需要存取客戶資料以進行進一步故障排除，Microsoft 工程師會啟動內部審核流程，確保存取客戶資料，無論鎖箱政策是否啟用。
若該資料儲存區與根據鎖盒政策啟用保護的環境相關聯，程序也會產生鎖箱請求。 指定的核准者（Power Platform 管理員）會收到 Microsoft 關於待處理資料存取請求的電子郵件通知。
重要
Microsoft 工程師必須等客戶批准鎖盒請求後才能繼續調查。 此核准步驟可能會導致支援票證處理延遲或停機時間延長。 務必在 Power Platform 管理中心監控電子郵件通知和鎖箱請求。 請及時回應，以避免服務中斷。
核准者登入 Power Platform 系統管理中心並核准要求。 如果審核方在四天內拒絕或未批准申請，申請即失效，Microsoft 工程師將無法取得存取權限。
在你們組織的審核員批准申請後，Microsoft 工程師會取得他們最初申請的提升權限並修復你的問題。 Microsoft 工程師有固定時間——八小時——來修復問題，之後存取權會自動被撤銷。
啟用加密箱原則
Power Platform 管理員可以在 Power Platform 系統管理中心建立或更新加密箱原則。 啟用租用戶層級原則僅適用於受控環境啟用的環境。 實作所有資料來源和所有環境的客戶加密箱最多可能需要 24 小時。
- 登入 Power Platform 系統管理中心。
- 在導覽窗格中，選擇管理。
- 在 管理面板中，選擇 租戶設定。
- 選擇 「客戶鎖定框」，然後選擇 啟用。
檢閱加密箱要求
在導覽窗格中，選擇安全性。
在 安全性 選區，選擇 合規。
在 合規 頁面，選擇 客戶鎖定框。
檢閱要求詳細資料。
欄位 描述 支援要求識別碼 與加密箱要求相關聯的支援票證識別碼。 若請求是 Microsoft 發起的內部警報，則該值為「Microsoft 發起」。 環境 要求資料存取之環境的顯示名稱。 狀態 加密箱要求的狀態。
- 需要採取的動作：尚待客戶核准
- 已到期：未收到客戶的核准
- 已核准：已由客戶核准
- 已拒絕：客戶已拒絕
已要求 Microsoft 工程師請求存取客戶環境資料的時間點。 要求到期 客戶需要核准加密箱要求的截止時間。 如果到此時仍未獲核准，則要求的狀態會變更為已到期。 存取期間 要求者要存取客戶資料的時間長度。 此值預設為 8 小時，且無法變更。 存取權到期 如果已授與存取權，這會是 Microsoft 工程師有權存取客戶資料的時間。 選取加密箱要求，然後選取核准或拒絕。
注意
過去 28 天內發生的加密箱要求會顯示在最近資料表中。
要求獲核准後，在整個 8 小時的存取期間內都無法撤銷。
稽核加密箱要求
警告
本節中記錄的加密箱稽核事件結構描述已棄用，從 2024 年 7 月開始不再可用。 您可以使用 活動類別：加密箱作業 提供的新架構稽核客戶加密箱事件
與接受、拒絕或終止鎖箱請求相關的操作會自動記錄在Microsoft 365 Defender中。
稽核追蹤包括每個加密箱要求的這些及其他欄位：
- 要求的唯一識別碼
- 要求的建立時間
- 組織識別碼
- 使用者識別碼 (執行要求的 Microsoft 操作員唯一識別碼)
- 要求狀態
- 關聯的支持票證識別碼
- 要求的到期時間
- 資料存取到期時間
- 環境識別碼
- 要求理由
Microsoft 365 Audit分頁允許管理員搜尋與鎖箱會話相關的事件。 檢視 Power Platform 加密箱類別以了解 Power Platform 相關加密箱事件。
管理員可以根據篩選準則，直接匯出結果集。
客戶加密箱會產生兩種類型的稽核紀錄：
- 由 Microsoft 啟動的記錄，對應至建立中、已到期或存取工作階段結束時的加密箱要求。 這組稽核記錄沒有對應至特定使用者識別碼，因為這些動作是由 Microsoft 所啟動。
- 由終端使用者動作啟動 (例如在使用者核准或拒絕加密箱要求時啟動) 的記錄。 如果未將 E5 授權指派給執行這些作業的使用者，則記錄會遭篩除，無法顯示在稽核記錄中。
預設會保留稽核記錄一年期間。 您必須有 10 年稽核日記保留附加元件授權，才能將稽核紀錄保留 10 年。 如需稽核記錄保留的詳細資料，請參閱稽核 (進階) 。
客戶加密箱的授權需求
客戶加密箱原則僅對受控環境啟用的環境強制執行。 管理環境作為權利包含在獨立的 Power Apps、Power Automate、Microsoft Copilot Studio、Power Pages 及 Dynamics 365 授權中，這些授權提供高級使用權。 欲了解更多關於管理環境授權的資訊，請參閱Licensing及Microsoft Power 平台的授權概覽。
此外，Microsoft Power Platform 與 Dynamics 365 的客戶 Lockbox 存取權要求在執行 Lockbox 政策的環境中，使用者必須擁有以下任一訂閱：
- Microsoft 365 或 Office 365 A5/E5/G5
- Microsoft 365 A5/E5/F5/G5 合規
- Microsoft 365 F5 安全與合規
- Microsoft 365 A5/E5/F5/G5 內部風險管理
- Microsoft 365 A5/E5/F5/G5 資訊保護與治理了解更多 關於適用授權。
排除項目
下列工程支援案例將不會觸發加密箱要求：
標準作業程序之外的緊急案例，例如需要立即注意以在意外或不可預測的情況下恢復或恢復服務的重大服務中斷。 這類「破碎玻璃」事件罕見，且大多數情況下不需要存取客戶資料即可解決。
Microsoft 工程師會將基礎平台存取為疑難排解的一部分，並無意中接觸客戶資料。 這種案例很少會讓您存取有意義的客戶資料量。
客戶加密箱要求也不會由外部對資料的法律要求觸發。 如需詳細資訊，請參考 Microsoft 信任中心中有關政府要求資料的討論。
客戶鎖箱不適用於 Copilot AI 功能中分享的客戶資料存取與手動審查。 所有範圍內的資料仍然啟用客戶加密箱。
已知問題
- 客戶加密箱已啟用時，不支援租用戶對租用戶的移轉。 您必須停用客戶加密箱，才能將環境移至另一個租用戶。 完成移轉後，您可以重新啟用客戶加密箱。