Copilot Studio für US-Regierungskunden

Dieser Artikel richtet sich an Kunden von US-Behörden, die Copilot Studio als Bestandteil eines Copilot Studio Government Community Cloud (GCC) Plans bereitstellen. Er bietet einen Überblick über die Funktionen, die für diese Pläne spezifisch sind.

Die Government-Pläne sind für die besonderen Anforderungen von Organisationen konzipiert, die die US-Compliance- und Sicherheitsstandards erfüllen müssen.

Lesen Sie diesen Artikel und die Übersicht über Copilot Studio.

Die Copilot Studio US Government Service Description dient als Ergänzung zur allgemeinen Copilot Studio-Dienstbeschreibung. Es definiert die einzigartigen Verpflichtungen und Unterschiede im Vergleich zu den allgemeinen Copilot Studio-Angeboten, die Kunden seit Dezember 2019 zur Verfügung stehen.

Copilot Studio US Government-Pläne und -Umgebungen

Die Lizenzierung für Copilot Studio US Government-Pläne ist identisch mit der öffentlichen Cloud. Sie sind über die Kanäle Volumenlizenzierung und Cloud Solution Provider zum Kauf erhältlich. Weitere Informationen siehe Benutzerlizenzen zuweisen und Zugriff verwalten.

Die Copilot Studio GCC Umgebung ist konform mit den Bundesanforderungen für Cloud Services, einschließlich FedRAMP High.

Neben den Features und Funktionen von Copilot Studio profitieren Organisationen, die Copilot Studio US Government-Pläne verwenden, von den folgenden einzigartigen Features:

Die Kundeninhalte Ihrer Organisation werden physisch von den Kundeninhalten in nicht-US-Government-Plänen für Copilot Studio getrennt.
Die Kundeninhalte Ihrer Organisation werden im USA gespeichert.
Der Zugriff auf die Kundeninhalte Ihres Unternehmens ist auf geprüfte Microsoft-Mitarbeiter beschränkt.
Copilot Studio US Government erfüllt alle Zertifizierungen und Akkreditierungen, die kunden des US-öffentlichen Sektors benötigen.

GCC High-Umgebung

Ab Februar 2022 können berechtigte Kunden Copilot Studio US Government in der GCC High-Umgebung bereitstellen.

Microsoft hat die Plattform und die Vorgänge so gestaltet, dass sie den Anforderungen des Compliance-Frameworks des DISA SRG IL4 (Defense Information Systems Agency Security Requirements Guide Impact Level 4) entsprechen.

Diese Option ermöglicht und erfordert, dass der Kunde Microsoft Entra ID für Behörden für Kundenidentitäten verwendet. Im Gegensatz dazu verwendet GCC die öffentliche Microsoft Entra ID.

Für den Kundenbestand im US-Verteidigungsministerium betreibt Microsoft den Service so, dass diese Kunden die ITAR-Bestimmungen (International Traffic in Arms Regulations) und die DFARS-Beschaffungsvorschriften (Defense Federal Acquisition Regulation Supplement) erfüllen können, wie sie in ihren Verträgen mit dem US-Verteidigungsministerium dokumentiert und gefordert sind. DISA hat eine provisorische Betriebserlaubnis erteilt.

Kundenberechtigung

Copilot Studio US-Government-Pläne sind verfügbar für:

(1) US-Bundes-, Landes-, Kommunal-, Stammes- und territoriale Regierungs-Entitäten, und
(2) andere Entitäten, die Daten verarbeiten, die behördlichen Vorschriften und Anforderungen unterliegen und wenn die Verwendung von Copilot Studio US Government-Plänen geeignet ist, um diese Anforderungen zu erfüllen, vorbehaltlich der Validierung der Berechtigung.

Die Überprüfung der Berechtigung durch Microsoft beinhaltet:

Bestätigung des Umgangs mit Daten, die der ITAR unterliegen
Strafverfolgungsdaten, die der Criminal Justice Information Services (CJIS)-Richtlinie des Federal Bureau of Investigation (FBI) unterliegen
Andere staatlich regulierte oder kontrollierte Daten

Die Prüfung erfordert möglicherweise die Unterstützung einer Regierungsentität mit spezifischen Anforderungen für die Verarbeitung von Daten.

Entitäten mit Fragen zur Berechtigung für Copilot Studio US Government sollten ihr Kontoteam konsultieren. Microsoft überprüft die Berechtigung erneut, wenn Kundenverträge für Copilot Studio US Government-Pläne verlängert werden.

Unterschiede zwischen Kundendaten und Kundeninhalten

Unter Kundendaten im Sinne der Bedingungen für Online-Dienste versteht man alle Daten, die Microsoft von oder im Namen von Kunden bereitgestellt werden, die einen Online-Dienst nutzen. Dies beinhaltet sämtliche Text-, Ton-, Video- und Bilddateien sowie Software.

Kundeninhalte beziehen sich auf eine bestimmte Teilmenge von Kundendaten, die direkt von Benutzern erstellt wurden. Dazu können beispielsweise Inhalte gehören, die durch Einträge in Dataverse-Entitäten in Datenbanken gespeichert werden (z. B. Kontaktinformationen). Inhalte gelten allgemein als vertraulich und werden im normalen Dienstbetrieb nicht unverschlüsselt über das Internet übertragen.

Weitere Informationen dazu, wie Copilot Studio Kundendaten schützt, finden Sie im Microsoft Online Services Trust Center.

Datentrennung für die Government-Community-Cloud

Wenn Sie Copilot Studio im Rahmen von Tarifen für die US-Regierung bereitstellen, bietet Microsoft den Dienst gemäß den Vorgaben des National Institute of Standards and Technology (NIST) an.

Neben der logischen Trennung von Kundeninhalten auf der Anwendungsebene bietet der Copilot Studio US Government-Dienst Ihrer Organisation eine sekundäre Schicht der physischen Trennung für Kundeninhalte. Diese Trennung wird durch die Verwendung der Infrastruktur erreicht, die von der Infrastruktur getrennt ist, die für kommerzielle Copilot Studio-Kunden verwendet wird. Diese Art der Nutzung umfasst die Verwendung von Azure Diensten in der Government Cloud von Azure. Weitere Informationen finden Sie unter Azure Government.

In den Vereinigten Staaten befindlicher Kundeninhalt

Der Copilot Studio US Government-Dienst wird in Rechenzentren ausgeführt, die sich physisch in der USA befinden. Es speichert Kundeninhalte im Ruhezustand in Rechenzentren, die sich physisch nur in den Vereinigten Staaten befinden.

Eingeschränkter Datenzugriff für Administratoren

Microsoft-Administratoren können nur dann auf Inhalte für Kunden der US-Regierung in Copilot Studio zugreifen, wenn sie US-Staatsbürger sind. Dieses Personal wird gemäß den einschlägigen staatlichen Standards Sicherheitsüberprüfungen unterzogen.

Copilot Studio-Support- und Service engineering-Mitarbeiter haben keinen ständigen Zugriff auf Kundeninhalte, die im Copilot Studio US Government-Dienst gehostet werden. Jeder Mitarbeiter, der eine temporäre Berechtigungserhöhung beantragt, die Zugriff auf Kundeninhalte gewährt, muss zuvor die folgenden Hintergrundprüfungen bestanden haben.

Personaluntersuchung und Hintergrundprüfungen von Microsoft ¹	Description
US-Staatsbürgerschaft	Überprüfung der US-Staatsbürgerschaft
Überprüfung des Beschäftigungsverlaufs	Überprüfung des Beschäftigungsverlaufs der letzten sieben (7) Jahre
Überprüfung der Ausbildung	Überprüfung des höchsten Bildungsabschlusses
Sozialversicherungsnummer (SSN)-Suche	Bestätigung der Gültigkeit der vom Mitarbeiter angegebenen US-Sozialversicherungsnummer
Überprüfung des Strafregisters	Eine Überprüfung des Strafregisters für die vergangenen sieben (7) Jahre in Bezug auf Verbrechen und minderschwere Straftaten auf Ebene der Bundesstaaten, Countys und Kommunen sowie auf Bundesebene
Liste des Office of Foreign Assets Control (OFAC, Amt für Kontrolle von Auslandsvermögen)	Überprüfung anhand der Liste des US-Finanzministeriums von Gruppen, mit denen US-Bürger im Rahmen von Handels- oder Finanztransaktionen nicht interagieren dürfen
Liste des Bureau of Industry and Security (BIS, Amt für Industrie und Sicherheit)	Validierung anhand der Liste des Handelsministeriums von natürlichen und juristischen Personen, die von Exportaktivitäten ausgeschlossen sind
Office of Defense Trade Controls Debarred Persons List (DDTC, Liste gesperrter Personen des Kontrollgremiums für den Handel mit Verteidigungswaffen)	Überprüfung der Liste von Einzelpersonen und Entitäten des Außenministeriums, die keine Exportaktivitäten im Zusammenhang mit der Verteidigungsindustrie ausüben dürfen
Fingerabdruckprüfung	Hintergrundüberprüfung anhand von Fingerabdrücken in FBI-Datenbanken
CJIS-Hintergrundüberprüfung	Vom Bundesstaat durchgeführte Überprüfung der bundes- und einzelstaatlichen strafrechtlichen Historie durch die von der CSA benannte zuständige Behörde in jedem Bundesstaat, der sich für das Microsoft CJIS IA-Programm angemeldet hat.
Verteidigungsministerium IT-2	Mitarbeiter, die erhöhte Berechtigungen für Kundendaten oder privilegierten administrativen Zugriff auf DoD SRG L5 Service-Kapazitäten beantragen, müssen die DoD IT-2-Bescheidung, basierend auf einer erfolgreichen OPM Tier 3-Untersuchung, bestehen.

1. Gilt nur für Mitarbeiter mit temporärem oder ständigem Zugriff auf Kundeninhalte, die in Copilot Studio US Government (GCC und GCC High) gehostet werden.

Zertifizierung und Akkreditierung

Pläne für Copilot Studio für US-Regierungsbehörden sind so konzipiert, dass sie die Akkreditierung des Federal Risk and Authorization Management Program (FedRAMP) auf einer hohen Auswirkungsstufe unterstützen. FedRAMP-Artefakte sind für die Prüfung durch bundesstaatliche Kunden verfügbar, die angehalten sind, FedRAMP zu erfüllen. Bundesbehörden können diese Artefakte zur Unterstützung ihrer Überprüfung einsehen, um eine Betriebserlaubnis (Authority to Operate, ATO) zu erteilen.

Note

Copilot Studio ist innerhalb der Azure Government FedRAMP ATO als Dienst autorisiert.

Weitere Informationen, einschließlich des Zugriffs auf die FedRAMP-Dokumente, finden Sie im FedRAMP Marktplatz.

Copilot Studio US Government-Pläne verfügen über Features zur Unterstützung der CJIS-Richtlinienanforderungen von Kunden für Strafverfolgungsbehörden.

Copilot Studio US Government und andere Microsoft-Dienste

Pläne für Copilot Studio für US Regierungsbehörden umfassen verschiedene Features, mit denen Benutzer eine Verbindung mit anderen Microsoft Unternehmensdiensten herstellen und eine Integration in diese vornehmen können, wie beispielsweise Power Apps und Power Automate US Government.

Copilot Studio US Government-Dienste werden innerhalb von Microsoft-Rechenzentren auf eine Weise ausgeführt, die mit einem mehrinstanzigen, öffentlichen Cloudbereitstellungsmodell konsistent ist. Clientanwendungen sind jedoch auf den Webbenutzerclient beschränkt und sind in Microsoft Teams nicht verfügbar. Kunden der Regierung sind für die Verwaltung von Client-Anwendungen verantwortlich.

Pläne für Copilot Studio für US Regierungsbehörden verwenden die Office 365-Kundenadministrator-Benutzeroberfläche für die Kundenverwaltung und -abrechnung.

Der Copilot Studio US Government-Dienst verwaltet die tatsächlichen Ressourcen, den Informationsfluss und die Datenverwaltung. Für die Zwecke der FedRAMP ATO-Vererbung verwenden Pläne für Copilot Studio für US Regierungsbehörden Azure (einschließlich Azure for Government) ATOs für Infrastruktur- bzw. Plattformdienste.

Wenn Sie die Verwendung von Active Directory-Verbunddienste (AD FS) (ADFS) 2.0 übernehmen und Richtlinien einrichten, um sicherzustellen, dass Ihre Benutzer über einmaliges Anmelden eine Verbindung mit den Diensten herstellen, befinden sich alle vorübergehend zwischengespeicherten Kundeninhalte im USA.

Copilot Studio US-Regierung und Drittanbieterdienste

Copilot Studio US Government-Pläne bieten die Möglichkeit, Anwendungen von Drittanbietern über Power Automate Cloud Flow in den Dienst zu integrieren, der Connectors und Skills verwendet. Diese Drittanbieteranwendungen und -dienste können das Speichern, Übertragen und Verarbeiten der Kundendaten Ihrer Organisation auf Drittanbietersystemen umfassen, die sich außerhalb der Copilot Studio US Government-Infrastruktur befinden. Daher werden diese Anwendungen und Dienste von Drittanbietern nicht von den Copilot Studio US Government Compliance- und Datenschutzverpflichtungen abgedeckt.

Important

Überprüfen Sie die von den Drittanbietern bereitgestellten Datenschutz- und Konformitätserklärungen, wenn Sie die etwaige Nutzung dieser Dienste für Ihre Organisation prüfen.

Überlegungen zur Governance können Ihrer Organisation dabei helfen, das Bewusstsein für die Funktionalitäten zu schärfen, die über mehrere zusammenhängende Themen wie Architektur, Sicherheit, Warnung und Maßnahmen sowie Überwachung verfügbar sind.

Copilot Studio US Government und Azure-Dienste

Microsoft stellt die Copilot Studio-Dienste für die US-Regierung auf Microsoft Azure Government bereit. Microsoft Entra ID ist nicht Teil der Copilot Studio US Government-Akkreditierungsgrenze. Für Kundenmandanten- und Identitätsfunktionen sind die Dienste jedoch auf den Microsoft Entra ID-Mandanten eines Kunden angewiesen. Diese Abhängigkeit umfasst:

Authentifizierung
Verbundauthentifizierung
Lizenzierung

Wenn ein Benutzer einer Organisation, die ADFS einsetzt, versucht, auf den Service von Copilot Studio für US-Regierungsbehörden zuzugreifen, wird der Benutzer auf eine Anmeldeseite umgeleitet, die auf dem ADFS-Server der Organisation gehostet wird.

Der Benutzer gibt seine Anmeldeinformationen für den ADFS-Server der Organisation ein. Der ADFS-Server der Organisation versucht, die Anmeldeinformationen mithilfe der vorhandenen Active Directory-Infrastruktur der Organisation zu authentifizieren.

Wenn die Authentifizierung erfolgreich ist, stellt der ADFS-Server der Organisation ein SAML-Ticket (Security Assertion Markup Language) aus, das Informationen über die Identität und Gruppenmitgliedschaft des Benutzers enthält.

Der ADFS-Server des Kunden signiert das Ticket mithilfe einer Hälfte eines asymmetrischen Schlüsselpaars und sendet das Ticket via verschlüsselter TLS (Transport Layer Security)an Microsoft Entra ID. Microsoft Entra ID überprüft die Signatur mithilfe der anderen Hälfte des asymmetrischen Schlüsselpaars und gewährt dann Zugriff gemäß dem Ticket.

Die Identitäts- und Gruppenmitgliedschaftsinformationen des Benutzers bleiben in Microsoft Entra ID verschlüsselt. Mit anderen Worten: Nur begrenzte benutzeridentifizierbare Informationen werden in Microsoft Entra ID gespeichert.

Ausführliche Informationen zur Sicherheitsarchitektur von Microsoft Entra ID und zur Implementierung der Kontrollmaßnahmen finden Sie unter Zertifizierungsdokumente – FedRAMP, wo Sie auch erfahren, wie Sie auf den Azure-Systemsicherheitsplan (SSP) zugreifen können.

Microsoft Global Foundation Services (GFS) hostet die Microsoft Entra ID-Kontenverwaltungsdienste auf physischen Servern, die von GFS verwaltet werden. Von GFS verwaltete Netzwerkgeräte steuern den Netzwerkzugriff auf diese Server anhand von Regeln, die von Azure festgelegt wurden. Benutzer interagieren nicht direkt mit Microsoft Entra ID.

Microsoft Copilot Studio URLs für US-Regierungsdienste

Um auf die Copilot Studio-Umgebungen der US-Regierung zuzugreifen, verwenden Sie andere URLs. Die folgende Tabelle enthält diese URLs sowie die kommerziellen URLs als kontextbezogene Referenz.

Kommerziell	US-Regierung (GCC)	US-Regierung (GCC High)
copilotstudio.microsoft.com	gcc.powerva.microsoft.us	high.powerva.microsoft.us
flow.microsoft.com	gov.flow.microsoft.us	high.flow.microsoft.us
make.powerapps.com	make.gov.powerapps.us	make.high.powerapps.us
flow.microsoft.com/connectors	gov.flow.microsoft.us/connectors	high.flow.microsoft.us/connectors
admin.powerplatform.microsoft.com	gcc.admin.powerplatform.microsoft.us	high.admin.powerplatform.microsoft.us
api.powerva.microsoft.com	gcc.api.powerva.microsoft.us	high.api.powerva.microsoft.us

Wenn Sie Netzwerkeinschränkungen einrichten, stellen Sie sicher, dass die Zugangspunkte Ihrer Benutzer die folgenden Domänen erreichen können:

.azure.net
.azure.us
.azure-apihub.us
.azureedge.net
.crm9.dynamics.com
.microsoft.com
.microsoft.us
.microsoftonline.com
.usgovcloudapi.net
.windows.net

Um den Zugriff auf Dataverse-Instanzen zu ermöglichen, die Benutzer und Administratoren möglicherweise in Ihrem Mandanten erstellen, sehen Sie sich die IP-Bereiche für AzureCloud.usgovtexas und AzureCloud.usgovvirginia an.

Konnektivität zwischen Copilot Studio US Government and Public Azure Cloud Services

Azure wird zwischen mehreren Clouds verteilt. Standardmäßig ist es Mandanten erlaubt, Firewallregeln für eine cloudspezifische Instanz zu öffnen, aber der cloudübergreifende Netzwerkbetrieb gestaltet sich anders und erfordert das Öffnen spezifischer Firewallregeln für die Kommunikation zwischen Diensten. Wenn Sie ein Copilot Studio-Kunde sind und Sie bestehende SQL-Instanzen in der Azure Public Cloud haben, auf die Sie zugreifen müssen, müssen Sie bestimmte Firewall-Ports in SQL für den Azure Government Cloud-IP-Raum für die folgenden Rechenzentren öffnen:

US Government, Virginia
USGov Texas

Lesen Sie das Dokument Azure IP-Bereiche und Diensttags – US Government Cloud und konzentrieren Sie sich auf AzureCloud.usgovtexas und AzureCloud.usgovvirginia. Beachten Sie auch, dass dies die IP-Bereiche sind, die Ihre Benutzenden für den Zugriff auf die Dienst-URLs benötigen.

Beschränkungen für Copilot Studio US Government-Funktionen

Einige Funktionen, die in der kommerziellen Version von Copilot Studio verfügbar sind, stehen US Government-Kunden von Copilot Studio nicht zur Verfügung. Das Copilot Studio-Team arbeitet aktiv daran, diese Features für US Government-Kunden verfügbar zu machen und diesen Artikel zu aktualisieren, wenn diese Features verfügbar sind.