Sécuriser vos projets Copilot Studio

Prenez en compte les recommandations suivantes pour sécuriser votre projet Copilot Studio :

  • Attribuez des licences aux utilisateurs via les groupes Microsoft Entra ID. Accordez la licence « Microsoft Copilot Studio d’utilisateur »  aux utilisateurs par un groupe plutôt que par des affectations individuelles.

  • Gérez l’accès des utilisateurs aux environnements via les groupes Microsoft Entra ID. Seuls les auteurs d’assistants et les administrateurs juste-à-temps doivent avoir accès à vos environnements et magasins de données.

  • Gérer l’attribution des rôles de sécurité via les équipes de groupe Microsoft Entra ID. Dans chaque environnement Dataverse, utilisez des équipes de groupe pour attribuer des rôles de sécurité aux utilisateurs.

  • Appliquez des politiques de données restrictives à votre environnement. Appliquez des politiques de données à vos environnements pour bloquer tous les connecteurs dont le projet n’a pas besoin, ainsi que tout canal ou paramètre qui n’est pas utile pour le projet (par exemple, utilisation non authentifiée, utilisation de compétences, etc.).

  • Passez en revue et activez uniquement les paramètres tenant, environnement et assistant qui sont pertinents. Les administrateurs client peuvent désactiver la publication des assistants alimentés par GenAI. Les administrateurs d’environnement peuvent désactiver les fonctionnalités GenAI qui nécessitent le déplacement des données hors de leur région. Les auteurs d’assistants peuvent avoir besoin d’un accès sécurisé au canal web. L’utilisation des assistants internes peut être limitée à des groupes spécifiques au lieu d’être accessible à tous. Les connexions devraient exiger une authentification forte. Stockez les secrets dans un lieu sécurisé (par exemple, Azure Key Vault). Utilisez la délégation, l’usurpation d’identité ou le filtrage de l’accès aux données dans le contexte de l’utilisateur final.

  • Mettre en place un processus de mise en production contrôlé. Le déploiement des modifications du développement au test et à la production devrait nécessiter des revues et faire partie d’un processus contrôlé.

  • Découvrez des fonctionnalités de sécurité supplémentaires liées à Power Platform, Dataverse et Microsoft Entra ID. Par exemple, journaux d’audit, clés de chiffrement gérées par le client, Customer Lockbox, pare-feu IP, isolation réseau, authentification multifacteur, évaluation continue des accès, et bien plus encore. En savoir plus :

Attribuez des autorisations d’écriture dans Copilot Studio à l’aide de rôles de sécurité

Pour les assistants auteurs, attribuez aux utilisateurs un rôle de sécurité dans l’environnement. Attribuez le rôle Créateur d’environnement aux utilisateurs qui ont besoin de créer des assistants. Si l’utilisateur a besoin d’un ensemble différent d’autorisations, attribuez-lui un autre rôle prédéfini ou un rôle personnalisé.

Le tableau suivant présente les rôles de sécurité Dataverse prédéfinis que vous pouvez utiliser pour créer des assistants, ainsi que leurs autorisations sur les tables Dataverse utilisées dans Copilot Studio :

Rôle de sécurité Copilot (bot) Sous-composant de Copilot (botcomponent) Transcription de conversation (conversationtranscript)
Administrateur système Organisation (CRUD) Organisation (CRUD) Organisation (CRUD)
Personnalisateur du système Organisation (CRUD) Organisation (CRUD) Aucune
Créateur d’environnement Utilisateur (CRUD) Utilisateur (CRUD) Aucune
Visionneuse de transcription de bot None None Utilisateur (Lecture)
Auteur du bot (déprécié) Utilisateur (CRUD) Utilisateur (CRUD) Utilisateur (CRU)
Collaborateur de bot Utilisateur (Lecture) Utilisateur (CRUD) Aucune
Administrateur d’Omnicanal Organisation (Lecture)

Lorsque vous créez un assistant, vous créez également une équipe et partagez l’assistant avec cette équipe. Vous partagez également les sous-composants de Copilot, tels que les rubriques, les entités et les fichiers, avec la même équipe. Les transcriptions de conversation sont implicitement partagées avec l’équipe de leur assistant parent, mais seuls les utilisateurs disposant d’un accès en lecture à la table de transcription de conversation peuvent y accéder.

Appliquer les politiques de données à un environnement Power Platform

Pour réduire le risque d’exposition des données organisationnelles, un administrateur peut créer des politiques de données et les appliquer à tous les utilisateurs d’un environnement. Dans une stratégie de données, vous pouvez restreindre les capacités d’élaboration de Copilot Studio et l’accès à des connecteurs distincts. Après avoir créé une politique de données, vous pouvez l’appliquer à un seul environnement, un groupe d’environnement, ou à l’ensemble du locataire.

Utilisez une politique de données pour faire respecter l’autorisation ou le blocage des capacités d’auteur suivantes dans Copilot Studio :

  • Utilisations non authentifiées
  • Canaux individuels
  • Sources de connaissances
  • Connecteurs individuels
  • Connexion aux compétences
  • Application Insights

La configuration recommandée des politiques de données et des capacités de l’environnement géré varie selon le type d’environnement. Les configurations vont de politiques strictes dans les environnements de développement personnel à des politiques assouplies dans les environnements de test et de production, soutenant une adoption plus large après examen.

  • Environnement personnel de développement

    • Politiques de données strictes
    • Règles strictes de l’environnement géré
    • Par exemple, vous ne pouvez pas utiliser d’assistants non authentifiés et la plupart des canaux et connecteurs sont bloqués

  • Environnement de développement dédié

    • Politiques de données assouplies
    • Règles strictes de l’environnement géré
    • Par exemple, vous ne pouvez pas utiliser d’assistants non authentifiés mais vous pouvez utiliser les canaux et connecteurs souhaités

  • Environnements de test et de production dédiés

    • Politiques de données assouplies
    • Règles assouplies pour un environnement géré
    • Par exemple, vous pouvez utiliser des assistants non authentifiés sur tous les canaux avec un nombre illimité d’utilisateurs

L’utilisation des fonctionnalités d’environnement géré exige que les assistants Copilot Studio soient créés ou déployés dans un environnement géré. La licence de l’assistant Copilot Studio inclut des droits pour des connecteurs Premium ; il n’est donc pas nécessaire d’acquérir des licences supplémentaires pour utiliser l’assistant.

Sécurisation des cas d’usage critiques de Copilot Studio

Pour sécuriser des cas d’usage critiques Copilot Studio, considérez les approches suivantes :

  • Réseaux virtuels : exécuter des connecteurs dans le contexte des réseaux virtuels. Cette approche rend les ressources internes accessibles sans les exposer à l’Internet public.

  • Pare-feu IP : sécurisez les points d’accès Copilot Studio derrière un pare-feu. Lorsque des connexions sont établies depuis l’extérieur du réseau vers Copilot Studio, le pare-feu bloque les assistants provenant de toute plage IP restreinte.

  • Évaluation continue de l’accès : exigez que l’utilisateur actualise immédiatement son jeton lorsqu’un événement critique survient ou qu’un changement d’emplacement réseau l’oblige, plutôt que d’attendre qu’il expire.

  • Gestion des secrets : exigez un secret pour obtenir un jeton de conversation en échange lors de l’accès à un point de terminaison Copilot Studio.

Créer des règles de partage pour contrôler l’adoption des assistants

Les règles de partage déterminent si le propriétaire ou l’éditeur d’un assistant peut accorder des autorisations Éditeur ou Visualiseur à d’autres personnes dans l’environnement. Si l’attribution de ces autorisations est bloquée, seuls les administrateurs peuvent les accorder. Les éditeurs peuvent modifier, partager, publier et utiliser les assistants, tandis que les lecteurs peuvent uniquement les utiliser.

Définissez le nombre maximal de lecteurs autorisés pour un assistant afin d’éviter un partage trop large. Vous pouvez également restreindre le partage à des utilisateurs individuels, en excluant les groupes de sécurité.

Gérer la résidence des données et la conformité pour les assistants

La résidence géographique des données fait référence aux politiques et pratiques qui régissent l’endroit où les données sont stockées, traitées et gérées d’un point de vue géographique. Elle garantit le respect des réglementations régionales et des politiques organisationnelles.

Les organisations peuvent choisir l’emplacement de stockage de leurs données, offrant ainsi la flexibilité nécessaire pour répondre aux exigences régionales de résidence des données en utilisant divers centres de données Azure dans le monde.

Copilot Studio est conçu pour se conformer au Règlement général sur la protection des données (RGPD), garantissant que les données sont stockées dans des limites géographiques désignées et respectant les droits des personnes concernées. Il utilise des mesures de sécurité robustes, incluant le chiffrement et des contrôles d’accès stricts, pour protéger les données au repos et en transit. Il applique également des politiques de confidentialité strictes pour garantir la protection et l’utilisation responsable des données des utilisateurs.

En savoir plus : Résidence des données géographiques et sécurité dans Copilot Studio

Activer les restrictions de déplacement des données entre les zones géographiques

En utilisant les fonctionnalités d’IA générative alimentées par le service Azure Open API et Bing Search, vous pouvez créer des assistants à forte valeur ajoutée sans configurations complexes. Lorsque les utilisateurs situés en dehors des États-Unis accèdent à ces fonctionnalités, les données traversent les frontières régionales. Un administrateur de Power Platform peut activer ou désactiver cette fonctionnalité.

En savoir plus : Configurer le déplacement des données entre les zones géographiques pour les fonctionnalités d’IA générative

Étape suivante

Renforcez votre processus de publication en définissant la manière dont vous validez la qualité, la performance et la fiabilité avant que vos assistants n’atteignent les utilisateurs.

Concevoir une stratégie de test pour vos assistants

  • Last updated on