Microsoft 人員 (包括轉包處理者) 執行的大多數作業、支援和疑難排解不需要存取客戶資料。 透過使用 Power Platform Customer Lockbox，客戶可在 Microsoft 需要存取客戶資料的罕見情況下，審查並批准（或拒絕）資料存取請求。 在 Microsoft 工程師需要存取客戶資料時，無論是回應客戶發起的支援工單，還是 Microsoft 發現的問題時，都可以使用這個功能。
本文介紹如何啟用客戶加密箱以及如何啟動、追蹤和儲存加密箱要求，以供日後審查和核准。
注意
客戶加密箱可在公用雲端、US Government Community Cloud (GCC)、GCC High 和 Department of Defense (DoD) 區域中使用。
綜合
您可以為租用戶內的資料來源啟用客戶加密箱。 啟用客戶密碼箱僅對為託管環境啟動 的環境強制實施策略。 Power Platform 管理員可以啟用加密箱原則。
欲了解更多資訊，請參閱 啟用鎖箱政策。
在極少數情況下，當 Microsoft 嘗試存取儲存在 Power Platform (例如 Dataverse) 中的客戶資料時，會將加密箱請求傳送給 Power Platform 管理員以供核准。 欲了解更多資訊，請參閱 檢視鎖箱申請。
加密箱要求的所有更新都會記錄下來，並作為稽核記錄提供給您的組織。 欲了解更多資訊，請參閱審計鎖箱請求。
Power Platform 和 Dynamics 365 應用程式與服務使用數種 Azure 儲存體技術來儲存客戶資料。 當您為環境打開 [客戶加密箱] 時，與各自環境相關聯的客戶資料會受到加密箱原則的保護，無論儲存類型如何。
注意
- 目前，啟用後會強制執行鎖箱政策的應用程式與服務包括 Power Apps（不包括 Power Apps 卡片）、AI Builder、Power Pages、Power Automate、Microsoft Copilot Studio、Dataverse、Customer Insights、Customer Service、銷售（對話智慧除外）、Communities、Guides、Connected Spaces、財務（生命周期服務除外）、專案營運（生命周期服務除外）、供應鏈管理（生命周期服務除外），以及行銷應用程式的即時行銷功能區域。
- 由 Azure OpenAI 服務提供的功能不參與加密箱原則強制執行，除非指定功能的產品文件聲明加密箱適用。
- Nuance 對話式 IVR 從密碼箱策略強制實施中排除，除非給定功能的產品文檔指出密碼箱適用。
- 製作者歡迎內容不受 Lockbox 原則執行的約束。
- 您必須從您的網站停用 Lucene.NET 搜尋，並移動到 Dataverse 搜尋，才能使用客戶加密箱。 欲了解更多資訊，請參閱 入口網站中使用的 Lucene.NET 搜尋功能已不再支援。
Workflow
您的組織存在 Microsoft Power Platform 問題，請透過 Microsoft 支援服務打開支援要求。 或者，Microsoft 主動識別問題 (例如，觸發主動通知)，並打開 Microsoft 發起的事件以調查並緩解或修正根本原因。
Microsoft 操作員會審查支援請求或事件，並嘗試使用標準工具與遙測技術來排除問題。 若營運商需要存取客戶資料以進行進一步故障排除，Microsoft 工程師會啟動內部審核流程，確保存取客戶資料，無論鎖箱政策是否啟用。
若該資料儲存區與根據鎖盒政策啟用保護的環境相關聯，程序也會產生鎖箱請求。 指定的核准者（Power Platform 管理員）會收到 Microsoft 關於待處理資料存取請求的電子郵件通知。
重要
Microsoft 工程師必須等客戶批准鎖盒請求後才能繼續調查。 此核准步驟可能導致支援單處理延誤或長期中斷。 務必在 Power Platform 管理中心監控電子郵件通知和鎖箱請求。 請及時回應，以避免服務中斷。
核准人登入 Power Platform 系統管理中心並核准要求。 如果審核方在四天內拒絕或未批准申請，申請即失效，Microsoft 工程師將無法取得存取權限。
在你們組織的審核員批准申請後，Microsoft 工程師會取得他們最初申請的提升權限並修復你的問題。 Microsoft 工程師有固定時間——八小時——來修復問題，之後存取權會自動被撤銷。
啟用加密箱原則
Power Platform 管理員可以在 Power Platform 系統管理中心建立或更新加密箱原則。 啟用租戶級別策略僅適用於為託管環境 激活的環境。 完成客戶鎖箱在所有資料來源和環境中的實施可能需要最多 24 小時。
- 登入 Power Platform 系統管理中心。
- 在導覽窗格中，選擇管理。
- 在 管理面板中，選擇 租戶設定。
- 選擇 「客戶鎖定框」，然後選擇 啟用。
檢閱加密箱要求
在導覽窗格中，選擇安全性。
在 安全性 選區，選擇 合規。
在 合規 頁面，選擇 客戶鎖定框。
檢閱要求詳細資料。
欄位 描述 支援要求識別碼 與加密箱要求相關的支援票證識別碼。 若請求是 Microsoft 發起的內部警報，則該值為「Microsoft 發起」。 Environment 要求資料存取之環境的顯示名稱。 狀態 加密箱要求的狀態。
- 需要採取的動作：待客戶核准
- 已到期：未收到客戶的核准
- 已核准：已由客戶核准
- 已拒絕：客戶已拒絕
已要求 Microsoft 工程師請求存取客戶環境資料的時間點。 要求到期 客戶需要核准加密箱要求的時間。 如果此時未給予批准，則請求的狀態將更改為 「已 過期」。 存取時段 要求者要存取客戶資料的時間長度。 此值預設為 8 小時，且無法變更。 存取權到期 如果已授與存取權，則這是 Microsoft 工程師有權存取客戶資料的時間。 選取加密箱要求，然後選取核准或拒絕。
注意
過去 28 天內發生的加密箱要求會顯示在最近資料表格中。
請求獲得批准后，在 8 小時的整個訪問期內無法撤銷該請求。
稽核加密箱要求
警告
本章節中記錄的加密箱稽核事件架構已棄用，從 2024 年 7 月開始將不再可用。 您可以使用 活動類別：加密箱作業 提供的新架構稽核客戶加密箱事件
與接受、拒絕或到期加密箱要求相關的作業會自動記錄在 Microsoft 365 Defender 中。
稽核追衝包括每個加密箱要求的這些及其他欄位：
- 要求的唯一識別碼
- 要求的建立時間
- 組織識別碼
- 使用者識別碼 (執行要求的 Microsoft 操作員唯一識別碼)
- 要求狀態
- 關聯的支持票證識別碼
- 要求的到期時間
- 資料存取到期時間
- 環境識別碼
- 要求理由
Microsoft 365 Audit 索引標籤可讓管理員搜尋與加密箱工作階段相關的事件。 查看 Power Platform 加密箱類別以了解 Power Platform 相關加密箱事件。
管理員可以根據篩選準則，直接匯出結果集。
客戶加密箱會產生兩種類型的稽核紀錄：
- 由 Microsoft 發起的紀錄，且對應至要建立、過期或存取工作階段結束的加密箱要求。 這組審核日誌不對應於特定使用者 ID，因為作是由 Microsoft 啟動的。
- 由使用者動作發起的紀錄，例如當使用者核准或拒絕加密箱要求時。 如果執行這些作的使用者未分配 E5 許可證，則日誌將被篩選掉，並且不會顯示在審核日誌中。
根據預設，稽核記錄會保留一年。 您必須有 10 年稽核日記保留附加元件授權，才能將稽核紀錄保留 10 年。 如需稽核記錄保留的詳細資料，請參閱稽核 (進階) 。
客戶加密箱的授權需求
客戶密碼箱策略僅在為託管環境啟動的環境中強制實施。 受管理的環境是作為一項權利包含在獨立的 Power Apps、Power Automate、Microsoft Copilot Studio、Power Pages 和 Dynamics 365 授權中，提供進階使用權利。 若要進一步瞭解受管理環境授權，請參閱授權和 Microsoft Power Platform 授權概觀。
此外，存取 Microsoft Power Platform 和 Dynamics 365 的客戶加密箱，還要求強制執行加密箱原則所在環境中的使用者必須有下列任何一個訂閱：
- Microsoft 365 或 Office 365 A5/E5/G5
- Microsoft 365 A5/E5/F5/G5 合規性
- Microsoft 365 F5 安全性與合規性
- Microsoft 365 A5/E5/F5/G5 測試人員風險管理
- Microsoft 365 A5/E5/F5/G5 資訊保護和治理深入了解適當的授權。
排除項目
下列工程支援案例將不會觸發加密箱要求：
標準作業程序之外的緊急情況，例如需要立即注意以在意外或不可預測的情況下恢復或恢復服務的重大服務中斷。 這類「破碎玻璃」事件罕見，且大多數情況下不需要存取客戶資料即可解決。
Microsoft 工程師會將基礎平台存取為疑難排解的一部分，並無意中接觸客戶資料。 這種案例很少會讓您存取有意義的客戶資料量。
客戶加密箱要求也不會由外部對資料的法律要求觸發。 如需詳細資訊，請參考 Microsoft 信任中心中有關政府要求資料的討論。
客戶加密箱不適用於 Copilot AI 功能共用的客戶資料存取和手動審查。 客戶密碼箱仍為所有範圍內的數據啟用。
已知問題
- 已啟用客戶加密箱時，不支援租用戶對租用戶的遷移。 您必須停用客戶加密箱，才能將環境移至另一個租用戶。 完成移轉後，您可以重新啟用客戶加密箱。