Power Automate を使用してプロセスを自動化する際、機密データの保護は極めて重要です。 この記事では、データを保護するためのベストプラクティスと具体的な手順について説明します。具体的には、認証情報の設定、機密変数の管理、デスクトップ フローおよび関連コンポーネントへのアクセス制御、データ漏洩防止 (DLP) ポリシーの適用、監査ログの記録などです。 セキュリティ基準を遵守し、自動化ワークフローを保護するために、以下のガイドラインに従ってください。
Power Automate の資格情報を設定する
Azure Key Vaultまたは CyberArk を使用して、Power Automate資格情報を作成、編集、共有します。 これらをデスクトップ フロー接続、デスクトップ フロー、またはネットワーク接続で使用します。
デスクトップ フロー接続: デスクトップ フローの接続で認証情報を使用し、実行時 (アテンド型および非アテンド型実行) にコンピューターにログインします。 詳細については、デスクトップ フロー接続の管理を参照してください。
- 各コンピューターまたは Windows セッションに専用の認証情報でサインインできるよう、コンピューターとユーザーアカウントの認証情報のマッピングを作成します。 詳細情報については、コンピューターのマッピングを参照してください。
- 多要素認証 (MFA) の要件を満たすには、証明書ベースの認証を参照してください。
デスクトップ フロー: デスクトップ フローのアクションで認証情報を使用して、アプリケーションやファイルにサインインします。 こうすることで、スクリプト内に機密情報を残すことなく、パスワードや機密値を入力することができます。 たとえば、SAP の認証情報、SharePoint の認証情報、または Excel のパスワードなどです。 Power Automate のシークレット変数アクションの詳細情報。
ネットワーク: Microsoft Entra ハイブリッド参加ネットワーク接続を作成する際は、認証情報を使用して、ホスト型コンピューター グループを Active Directory (AD) ドメインに接続します。 詳細については、ホストされたマシン グループでカスタム仮想ネットワークを使用するを参照してください。
ヒント
- デスクトップ フローでは、機密情報を入力変数として渡すのではなく、資格情報の取得アクションを使用して取得してください。 この方法により、認証情報変数は既定で機密情報としてマークされ、フローの実行ログには保存されなくなります。
- アプリケーションまたはファイルの資格情報を取得するもう 1 つの方法は、Dataverse コネクタのアクションを使用して環境変数を使用することです。デスクトップ フロー で選択した環境でバインドされていないアクションを実行 します。 そのアクションの出力を必ず機密としてマークします。 詳細については、Azure Key Vault のシークレットに環境変数を使用するを参照してください。
機密変数を使用する
フロー デザイナーは、デバッグ中に機密性の高い変数の値をマスクし、フロー実行ログに格納しません。
入力変数、出力変数、フロー変数など、機密データを格納または使用するすべての変数を機密としてマークします。
機密性の高い値は、機密性のない変数に格納しないでください。機密性は継承されないためです (認証情報変数型を除く)。 たとえば、機密性の高いパスワード変数を、機密性のない接続文字列では使用しないでください。
機密性の高い値を入力変数としてデスクトップ フローに渡すのではなく、資格情報の取得アクションを使用してください。 この方法により、認証情報変数は既定で機密情報としてマークされ、フロー実行ログには保存されなくなります。
詳細については、機密変数とデスクトップ フローでのパスワードの使用を参照してください。
デスクトップ フローへのアクセスを管理する
デスクトップ フローにアクセスできるユーザーは、所有者、共同所有者、またはユーザーのいずれかの権限を持つことができます。
- 他の作成者があなたのフローを管理したり、共同作業を行ったりできるようにするには、共同所有者のアクセス権を付与して共有してください。
- 他のユーザーが追加のアクセス権限を付与されずにフローを実行できるようにするには、ユーザーアクセスでそのフローを共有してください。
注
- デスクトップ フローは、他の種類のフローとともに Process Dataverse テーブルに保存されます。
- 「Process」テーブル内のすべてのレコードに対する読み取りアクセス権を持つ Dataverse セキュリティ ロールが付与されているユーザーは、その環境内のすべてのデスクトップ フローの共同所有者に自動的になります。
詳細については、デスクトップ フローへのアクセス管理とPower Automate のセキュリティ管理を参照してください。
デスクトップ フローに関連するコンポーネントへのアクセスを管理する
他の Power Platform コンポーネントを参照するデスクトップ フローを共有する場合は、エンド ユーザーがコネクタに適切にアクセスできることを確認します。
Power Automate ポータルの各コンポーネントの専用ページ、またはコンポーネントのテーブル内のレコードへのアクセスを許可する Dataverse セキュリティ ロールを使用して、アクセスを管理します。
次の表に、デスクトップ フローが参照する可能性がある最も一般的なコンポーネント、フローを通じて参照する方法、アクセス管理設定の場所、およびそれぞれの Dataverse テーブルを示します。
| コンポーネント | デザイナーでコンポーネントを参照する方法 | アクセス管理の設定 | Dataverse テーブル |
|---|---|---|---|
| (子) デスクトップ フロー | デスクトップの実行フローアクションを使用します | デスクトップ フローの共有 | 処理 |
| 作業キュー | 作業キューアクション グループのアクションを使用する | 作業キューの共有 | 作業キュー、作業キュー項目 |
| 資格情報 | 資格情報を取得アクションを使用します | 資格情報を共有する | 資格情報 |
| UI 要素コレクション | 資産ライブラリを開き、コレクションを追加します | UI 要素コレクションの共有 | デスクトップ フロー モジュール |
| カスタム アクション | 資産ライブラリを開き、カスタム アクションを追加します | カスタム アクションを共有する | デスクトップ フロー モジュール |
| 接続参照情報 | クラウド コネクタ アクションを追加し、接続参照を通じて管理する | デスクトップ フロー共有を使用してアクセスを管理します。 詳細については、コネクタアクションを含むデスクトップ フローを共有するを参照してください。 | 接続参照情報 |
ヒント
レポート作成や可観測性のために頻繁に使用される、自動化関連の追加テーブルの一覧を確認してください。
データ消失防止 (DLP) ポリシーの有効化
デスクトップ フローのアクショングループをビジネスまたは非ビジネスに分類し、アクションやアクショングループをブロックとしてマークするポリシーを作成、適用することで、ビジネス データを保護します。
詳細な制御を行う場合は、[ その他のアクション>コネクタの構成>Connector アクション を選択して、特定のグループ内の個々のアクションを許可またはブロックします。 既定のコネクタ アクション設定を設定し、今後このコネクタに追加される新しいコネクタ アクションを許可またはブロックするようにします。
詳細については、デスクトップ フローにおけるデータ漏洩防止 (DLP) ポリシーを参照してください。
監査ログの取得
Dataverse の監査機能を使用して、デスクトップ フローに関連するテーブルへの変更やアクセスを追跡します。
環境レベルとログを記録する予定の特定の自動化関連テーブルの両方で、Dataverse の監査機能を有効にしてください。
Dataverse の監査の管理の詳細については、参照してください。