Datalagring och styrning i Power Platform

Power Platform bearbetar både personuppgifter och kunddata. Den här bearbetningen omfattar data från:

• Anpassade kopplingar
• Dataverse
• Microsoft Remote Assist
• Power Apps
• Power Automate
• Power Pages

Mer information om personuppgifter och kunddata finns i Microsoft Trust Center.

Datahemvist

En Microsoft Entra-innehavare lagrar information som är relevant för en organisation och dess säkerhet. När en Microsoft Entra klientorganisation registrerar sig för Power Platform-tjänster mappar klientorganisationens valda makroregion till den lämpligaste Azures makroregionsgeografi där en Power Platform-distribution finns. Power Platform lagrar kunddata i klientorganisationens tilldelade Azure-makroregionsgeografi eller home geo, såvida inte organisationer distribuerar tjänster i flera regioner. Ett makroområdesgeografi representerar den dataplaceringsgräns som överensstämmer med lagar om datahemvist för ett visst geografiskt område. Information om de regioner som är tillgängliga i en viss makroregionsgeografi finns i Power Platform och Dynamics 365 makroregionsgeografi.

Som administratör kan du välja en makroområdesgeografi, till exempel Nordamerika, Europa eller Asia-Pacific, i stället för en specifik datacenterregion. Plattformen tilldelar sedan automatiskt den optimala datacenterregionen inom det valda makroområdets geografiska område baserat på kapacitet, tillgänglighet och prestandaöverväganden. Den här metoden hjälper till att säkerställa en mer skalbar, elastisk och högpresterande upplevelse för alla kunder samtidigt som du fortsätter att respektera åtaganden för datahemvist. Valet av intelligent region säkerställer att miljöer placeras i regioner med optimal kapacitet och hälsa, vilket förbättrar drifttiden och svarstiden.

Vissa organisationer har global närvaro. Ett företag kan till exempel ha sitt huvudkontor i USA men göra affärer i Australien. Vissa Power Platform-data kan behöva lagras i Australien för att följa lokala regler. När Power Platform-tjänster distribueras i mer än en Azure-geografi kallas det för en distribution med multi-geo. I det här fallet lagras endast metadata som är relaterade till miljön i home macro geo. Alla metadata och produktdata för den miljön lagras i det fjärranslutna makrogeot.

Power Platform-tjänster är tillgängliga i vissa Azure-geografier. Mer information om var Power Platform-tjänster är tillgängliga, var dina data lagras och replikeras för återhämtning och hur de används finns på Microsoft Trust Center. Åtaganden om var kunddata lagras anges i databehandlingsvillkoren i Microsoft Online Services Terms. Microsoft tillhandahåller även datacenter för suveräna enheter.

Datahantering

I det här avsnittet beskrivs hur Power Platform lagrar, bearbetar och överför kunddata.

Data i vila

Om inget annat anges i dokumentationen finns kunddata kvar i ursprungskällan (till exempel Dataverse eller SharePoint). Power Platform-appar lagras i Azure Storage som en del av en miljö. Mobilappdata krypteras och lagras i SQL Express. I de flesta fall använder program Azure Storage för att bevara Power Platform servicedata och Azure SQL Database för att bevara tjänstmetadata. Data som appanvändare anger lagras i respektive datakälla för tjänsten, till exempel Dataverse.

Power Platform krypterar alla lagrade data som standard med Microsoft-hanterade nycklar. Kunddata som lagras i Azure SQL Database är fullständigt krypterade med hjälp av Azure SQL-tekniken Transparent datakryptering (TDE). Kunddata som lagras i Azure blobblagring krypteras med Azure Storage Encryption.

Data under bearbetning

Data bearbetas när de används som en del av ett interaktivt scenario eller när en bakgrundsprocess, till exempel en uppdatering, påverkar dem. Power Platform läser in data under bearbetning i minnesutrymmet för en eller flera servicearbetsbelastningar. För att arbetsbelastningen ska fungera är data som lagras i minnet inte krypterade.

Data i överföring

Power Platform krypterar all inkommande HTTP-trafik med hjälp av TLS 1.2 eller senare. Plattformen avvisar begäranden som försöker använda TLS 1.1 eller lägre.

Avancerade säkerhetsfunktioner

Vissa av Power Platform avancerade säkerhetsfunktioner kräver specifika licenser.

Serviceetiketter

En tjänsttagg representerar en grupp IP-adressprefix från en viss Azure-tjänst. Du kan använda tjänstetaggar för att definiera nätverksåtkomstkontroller på nätverkssäkerhetsgrupperna eller Azure-brandväggen.

service tags hjälper till att minimera komplexiteten i frekventa uppdateringar av nätverkssäkerhetsregler. Använd tjänsttaggar i stället för specifika IP-adresser när du skapar säkerhetsregler som till exempel tillåter eller nekar trafik för motsvarande tjänst.

Microsoft hanterar adressprefixen i tjänstetaggen och uppdaterar den automatiskt när adresser ändras. För mer information, se Azure IP Ranges and Service Tags – Public Cloud.

Datapolicyer

Power Platform innehåller omfattande dataprincipfunktioner som hjälper dig att hantera datasäkerhet.

IP-begränsning för Storage Shared Access Signature (SAS)

Den här funktionsuppsättningen är en klientorganisationsspecifik funktion som begränsar SAS-tokens (Storage Shared Access Signature) och som styrs via ett meny i Power Platform administrationscenter. Den här inställningen begränsar vem, baserat på IP (IPv4 och IPv6), som kan använda enterprise-SAS-token.

Du hittar de här inställningarna i inställningarna för sekretess + säkerhet i administrationscentret. Aktivera alternativet Aktivera IP-adressbaserad regeln Storage Shared Access Signature (SAS).

Administratörer kan välja ett av följande fyra alternativ för den här inställningen:

Produkter som tillämpar IP-bindning när funktionen är aktiverad:

• Dataverse
• Power Automate
• Anpassade anslutningar
• Power Apps

Påverkan på användarupplevelsen

• När en användare, som inte uppfyller IP-adressbegränsningarna för en miljö, öppnar en app: Användare får ett felmeddelande med hänvisning till ett allmänt IP-problem.

• När en användare som uppfyller IP-adressbegränsningarna öppnar en app: Följande händelser inträffar:

  • Användarna kan få en banderoll som snabbt försvinner och som informerar användarna om att en IP-inställning har ställts in och att de ska kontakta administratören för mer information eller uppdatera alla sidor som tappar anslutningen.
  • På grund av den IP-validering som används för den här säkerhetsinställningen kan vissa funktioner fungera långsammare än om den var avstängd.

Uppdatera inställningarna programmatiskt

Administratörer kan använda automatisering för att ange och uppdatera både IP-bindnings- respektive brandväggsinställningen, IP-intervallet som tillåts och växlingsknappen Loggning. Läs mer i Självstudier: Skapa, uppdatera och lista inställningar för miljöhantering.

Loggning av SAS-anrop

Med den här inställningen kan alla SAS-anrop i Power Platform loggas i Purview. Den här loggningsloggen visar relevanta metadata för alla skapande- och användningshändelser och kan aktiveras oberoende av SAS IP-begränsningar ovan. Power Platform-tjänster onboardar just nu SAS-samtal under 2024.

Aktivera granskningsloggning i Purview

För att loggarna ska visas i Purview-instansen måste du först aktivera den för varje miljö som du vill ha loggar för. Denna inställning kan uppdateras i administratörscentret för Power Platform av en klientorganisationsadministratör.

1. Logga in på administrationscentret för Power Platform med autentiseringsuppgifter för klientorganisationsadministratör.
2. I navigeringsfönstret väljer du Hantera.
3. I rutan Hantera väljer du Miljöer.
4. Välj den miljö som du vill aktivera administratörsloggning för.
5. Välj Inställningar i kommandofältet.
6. Välj Produkt>Sekretess + Säkerhet.
7. Under Storage Shared Access Signature (SAS) Security Settings (Preview) aktiverar du funktionen Aktivera SAS-loggning i Purview.

Sök i granskningsloggar

Klientorganisationsadministratörer kan använda Purview för att visa granskningsloggar som genereras för SAS-åtgärder och kan självdiagnostisera fel som kan returneras vid IP-valideringsproblem. Purview-loggar är den mest tillförlitliga lösningen.

Använd följande steg för att diagnostisera problem eller bättre förstå SAS-användningsmönster i din tenant.

1. Se till att granskningsloggning är aktiverat för miljön. Se Aktivera granskningsloggning i Purview.

2. Gå till Microsoft Purview-efterlevnadsportalen och logga in med autentiseringsuppgifter för klientorganisationsadministratör.

3. Välj Audit i vänstra navigeringsfönstret. Om det här alternativet inte är tillgängligt för dig innebär det att den inloggade användaren inte har administratörsåtkomst för att söka i granskningsloggar.

4. Välj datum- och tidsintervall i UTC för att söka efter loggar. Till exempel när ett fel av typen 403 Förbjudet fel med en felkod a typen unauthorized_caller returnerades.

5. I listrutan Activities - friendly names söker du efter Power Platform storage operations och väljer Created SAS URI och Used SAS URI.

6. Ange ett nyckelord i Nyckelordssökning. Mer information om det här fältet finns i Kom igång med sökning i Purview-dokumentationen. Du kan använda ett värde från något av fälten som beskrivs i tabellen ovan beroende på ditt scenario, men nedan visas de rekommenderade fälten att söka efter (i prioritetsordning):

   • Värdet på svarshuvudet x-ms-service-request-id. Det här värdet filtrerar resultatet till en SAS URI-skapandehändelse eller en SAS URI-användningshändelse, beroende på vilken typ av begäran som rubriken kommer från. Det är användbart när du undersöker ett 403 Forbidden-fel som returneras till användaren. Du kan också använda den för att hämta powerplatform.analytics.resource.sas.operation_id värdet.
   • Värdet för svarshuvudet x-ms-sas-operation-id. Det här värdet filtrerar resultatet till en SAS URI-skapandehändelse och en eller flera användningshändelser för den SAS-URI:n beroende på hur många gånger den användes. Det motsvarar fältet powerplatform.analytics.resource.sas.operation_id.
   • Fullständig eller partiell SAS-URI, minus signaturen. Detta kan returnera många skapanden av SAS-URI:er och många användningshändelser för SAS-URI:er, eftersom det är möjligt att samma URI begärs för generering så många gånger som behövs.
   • Anroparens IP-adress. Returnerar alla skapande- och användningshändelser för den IP-adressen.
   • Miljö-ID. Detta kan returnera en stor uppsättning data som kan sträcka sig över många olika erbjudanden av Power Platform, så undvik om möjligt eller överväg att begränsa sökfönstret.

   Varning

   Sök inte efter User Principal Name eller objekt-ID eftersom dessa värden endast sprids till händelser vid skapande, inte användningshändelser.

7. Välj Sök och vänta tills resultaten visas.

   

Felsöka felet 403 Förbjudet/unauthorized_caller

Du kan använda skapande- och användningsloggar för att avgöra varför ett anrop skulle resultera i ett 403 Förbjudet-felmeddelande med en felkod av typen unauthorized_caller.

1. Hitta loggar i Purview enligt beskrivningen i föregående avsnitt. Överväg att använda antingen x-ms-service-request-id eller x-ms-sas-operation-id från svarshuvudena som sökord.
2. Öppna användningshändelsen, Använd SAS-URI:n, och leta efter fältet powerplatform.analytics.resource.sas.computed_ip_filters under PropertyCollection. Det här IP-intervallet är vad SAS-anropet använder för att avgöra om begäran har behörighet att fortsätta eller inte.
3. Jämför det här värdet med fältet IP-adress i loggen, vilket bör vara tillräckligt för att avgöra varför begäran misslyckades.
4. Om du tror att värdet för powerplatform.analytics.resource.sas.computed_ip_filters är felaktigt fortsätter du med nästa steg.
5. Öppna skapandehändelsen, Skapad SAS-URI, genom att söka med hjälp av värdet för x-ms-sas-operation-id-svarshuvudet (eller värdet för fältet powerplatform.analytics.resource.sas.operation_id från skapandeloggen).
6. Hämta värdet för fältet powerplatform.analytics.resource.sas.ip_binding_mode. Om den saknas eller är tom innebär det att IP-bindning inte aktiverades för den miljön vid tidpunkten för den specifika begäran.
7. Hämta värdet för fältet powerplatform.analytics.resource.sas.admin_provided_ip_ranges. Om den saknas eller är tom innebär det att IP-brandväggsintervall inte har angetts för den miljön vid tidpunkten för den specifika begäran.
8. Hämta värdet för powerplatform.analytics.resource.sas.computed_ip_filters, som ska vara identiskt med användningshändelsen och härleds baserat på IP-bindningsläge och IP-brandväggsintervall som tillhandahålls av administratören. Se härledningslogiken i Datalagring och styrning i Power Platform.

Den här informationen hjälper tenantadministratörer att korrigera eventuella felkonfigurationer i miljöns IP-bindningsinställningar.

Relaterade artiklar

Säkerhetsöversikt
Autentisering till Power Platform-tjänster
Ansluta till och autentisera mot datakällor
Vanliga frågor om säkerhet i Power Platform

Se även

• Microsoft Säkerhetscenter
• Välj region när du upprättar en miljö
• Azure IP-intervall och Service Tags – offentligt moln
• Datapolicyfunktioner