Säkra standardmiljön

Varje anställd i en organisation har åtkomst till Power Platform standardmiljön. Som Power Platform-administratör måste du fundera över hur du kan trygga miljön och samtidigt hålla den tillgänglig för utvecklare personliga produktivitet.

Tilldela administratörsroller med omtanke

Överväg om administratörerna måste ha Power Platform-administratörsrollen. Skulle rollen som miljöadministratör eller systemadministratör vara mer lämplig? Begränsa den mer kraftfulla Power Platform-administratörsrollen till bara ett fåtal användare. Läs mer om administrering av Power Platform-miljöer.

Undvik permanent eller stående åtkomst med hjälp av JIT-funktionerna (just-in-time) i din identitetsprovider. Följ processen för åtkomst vid nödsituationer när nödfall uppstår. Använd Privileged Identity Management (PIM), en funktion i Microsoft Entra ID, för att hantera, kontrollera och övervaka användningen av dessa roller med hög behörighet.

Granska Konfigurera identitets- och åtkomsthantering för fler rekommendationer.

Kommunicera avsikt

En av de främsta utmaningarna för Power Platform Center of Excellence (CoE)-teamet är att kommunicera den avsedda användningen av standardmiljöerna. Här följer några rekommendationer.

Byta namn på standardmiljön

Standardmiljön skapas med namnet: TenantName (standard). Om du tydligt vill framhäva syftet med miljön ändrar du namnet till något mer beskrivande, till exempel Personlig produktivitetsmiljö.

Konfigurera välkomstinnehåll för utvecklare

Konfigurera ett anpassat välkomstmeddelande för att hjälpa utvecklare komma i gång med Power Apps och Copilot Studio. Välkomstmeddelandet ersätter Power Apps standardhjälpupplevelse för förstaanvändare. Ta tillfället i akt att dela avsikten med standardmiljön med alla tillverkare så snart de hamnar i standardmiljön.

Använda Power Platform-navet

Microsoft Power Platform-navet är SharePoint-kommunikationswebbplatsen. Den utgör en utgångspunkt för en central informationskälla för utvecklare om hur organisationen använder den Power Platform. Innehåll i startmotorn och sidmallar gör det enkelt att erbjuda utvecklare information som:

• Användningsfall för personlig produktivitet
• Information om:
  • Hur skapar man program och flöden
  • Var skapar man program och flöden
  • Hur kontaktar man supportteamet för CoE
• Regler för integrering med externa tjänster

Lägg till länkar i interna resurser som utvecklarna kan ha nytta av.

Aktivera hanterade miljöer

Upprätthåll robust säkerhet och styrning genom att använda funktioner för hanterad miljö i standardmiljön. Funktioner för hanterad miljö ger avancerade funktioner, till exempel övervakning, efterlevnad och säkerhetskontroller som är viktiga för att skydda dina data. Genom att aktivera den här funktionen kan du konfigurera delningsgränser, få fler användningsinsikter, begränsa användaråtkomsten till Microsoft Dataverse från endast tillåtna IP-platser och använda åtgärdssidan för att få anpassade rekommendationer för att optimera miljön. Utvärdera de aktuella funktionerna i hanterade miljöer och håll dig uppdaterad med produktens färdplan för att upprätthålla en säker, kompatibel och välstyrd standardmiljö.

Förhindra överdelning av information

Power Platform är utformad för att vara en lågkodsplattform som gör det möjligt för användare att snabbt skapa appar och flöden. Den här användarvänligheten kan dock leda till överdriven delning av appar och flöden, vilket kan utgöra säkerhetsrisker.

Konfigurera delningsgränser

För att förbättra säkerheten och förhindra överdriven delning i Power Platform standardmiljön begränsar du hur brett användarna kan dela arbetsyteappar, flöden och agenter. Överväg att konfigurera delningsgränser för att behålla bättre kontroll över åtkomsten. Sådana gränser minskar risken för obehörig användning, överdriven delning och överanvändning utan nödvändiga styrningskontroller. Genom att implementera delningsgränser kan du skydda kritisk information samtidigt som du främjar ett säkrare och mer hanterbart ramverk för delning inom Power Platform.

Begränsa delning med alla

Utvecklare kan dela sina program med andra enskilda användare och säkerhetsgrupper. Som standard är delning med hela organisationen, eller Alla, inaktiverat. Överväg att använda en kontrollerad process kring allmänt använda appar för att upprätthålla policyer och krav. Till exempel:

• Granskningspolicy för säkerhet
• Granskningspolicy för verksamhet
• Krav för hantering av programmets livscykel (ALM)
• Krav på användarupplevelse och anpassning

Funktionen Dela med alla är inaktiverad som standard i Power Platform. Vi rekommenderar att du håller den här inställningen inaktiverad för att begränsa överexponeringen av arbetsyteappar med oavsiktliga användare. Gruppen Alla för din organisation innehåller alla användare som någonsin har loggat in på din klientorganisation, vilket inkluderar gäster och interna medlemmar. Det omfattar inte bara interna anställda i din klientorganisation. Dessutom går det inte att redigera eller visa medlemskapet i gruppen Alla. Läs mer om speciella identitetsgrupper.

Om du vill dela med alla interna anställda eller en stor grupp personer bör du överväga att använda en befintlig säkerhetsgrupp eller skapa en säkerhetsgrupp för att dela din app.

När Dela med alla är inaktiverat kan endast Dynamics 365-administratörer, Power Platform-administratörer och globala administratörer dela ett program med alla i miljön. Om du är administratör kan du köra följande PowerShell kommando för att tillåta delning med Alla:

1. Öppna först PowerShell som administratör och logga in på ditt Power Apps-konto genom att köra det här kommandot:

   Add-PowerAppsAccount
   

2. Kör Get-TenantSettings cmdlet för att få listan över din organisations klientinställningar som ett objekt.

   Objektet powerPlatform.PowerApps innehåller tre flaggor:

   

3. Kör följande PowerShell kommandon för att hämta inställningsobjektet och ange variabeln disableShareWithEveryone till $false:

   $settings=Get-TenantSettings 
   $settings.powerPlatform.powerApps.disableShareWithEveryone=$false 
   

4. Kör cmdleten Set-TenantSettings med settings-objektet så att utvecklare kan dela sina program med alla i klientorganisationen.

     Set-TenantSettings $settings
   

   Om du vill inaktivera delning med Alla följer du samma steg men ställer in $settings.powerPlatform.powerApps.disableShareWithEveryone = $true.

Upprätta en datapolicy

Ett annat sätt att skydda standardmiljön är att skapa en dataprincip för den. Att ha en dataprincip på plats är särskilt viktigt för standardmiljön eftersom alla anställda i organisationen har åtkomst till den. Här är några rekommendationer som hjälper dig att genomföra policyn.

Anpassa meddelandet om datapolicystyrning

Anpassa felmeddelandet som visas om en tillverkare skapar en app som bryter mot organisationens dataprincip. Rikta utvecklaren till organisationens Power Platform-nav och tillhandahåll CoE-teamets e-postadress.

Eftersom CoE-teamet förfinar datapolicyn över tid kan du oavsiktligt skada vissa appar. Kontrollera att meddelandet om dataprincipöverträdelse innehåller kontaktuppgifter eller en länk till mer information för att tillhandahålla en väg framåt för skaparna.

Använd följande PowerShell-cmdlets för att anpassa policymeddelandet för styrning:

Skapa en dataprincip för standardmiljön

Om standardmiljön är en hanterad miljö kan du förhindra att agenter, appar och flöden anropar någon tjänst:

• Omfång: Endast standardmiljö.
• Företag: Tomt.
• Ej företag: Tomt.
• Blockerad: Alla anslutningar. Blockering av alla anslutningar är tillgänglig via avancerade anslutningspolicyer (ACP). Läs mer i Avancerade anslutningsprinciper – Kända begränsningar.

Om du inte kan aktivera hanterade miljöer för standardmiljön följer du de andra rekommendationerna i det här avsnittet: blockera nya anslutningsappar, begränsa tillverkare till fördefinierade anslutningsappar och begränsa anpassade anslutningsappar.

Blockera nya anslutningsprogram i standardmiljön

Som standard placeras alla nya anslutningar i icke-affärsgruppen för din datapolicy. Du kan alltid ändra standardgruppen till antingen Företag eller Blockerad. För en dataprincip som tillämpas på standardmiljön rekommenderar vi att du ställer in gruppen Blockerad som standard för att se till att nya kontakter förblir oanvändbara tills de har granskats av en av dina administratörer.

Begränsa utvecklare till fördefinierade anslutningsprogram

Begränsa skapare till grundläggande, icke-blockerbara anslutningsprogram för att blockera åtkomst till andra anslutningsprogram.

• Flytta alla anslutningsprogram som inte kan blockeras till affärsdatagruppen.
• Flytta alla anslutningsprogram som kan blockeras till den blockerade datagruppen.

Begränsade anpassade anslutningsprogram

Anpassade anslutningsprogram integrerar en app eller ett flöde med en inhemsk tjänst. Dessa tjänster är avsedda för tekniska användare, t.ex. utvecklare. Du rekommenderas att minska fotavtrycket från API:er skapade av din organisation som kan anropas från program eller flöden i standardmiljön. För att förhindra att utvecklare skapar och använder anpassade anslutningsprogram för API:er i standardmiljön skapar du en regel som blockerar alla URL-mönster.

Om du vill tillåta beslutsfattare att få åtkomst till vissa API:er (till exempel en tjänst som returnerar en lista med företagssemestrar), konfigurerar du flera regler som kategoriserar olika URL-mönster i affärs- och icke-affärsdatagrupper. Se till att HTTPS-protokollet alltid används för anslutningarna. Läs mer om datapolicyer för anpassade anslutningar.

Säkerställa integrering med Exchange

Office 365 Outlook-anslutningsprogram är ett av standardanslutningsprogrammen inte kan blockeras. Detta låter utvecklare skicka, ta bort och svara på e-postmeddelanden i postlådorna denne har åtkomst till. Risken med detta anslutningsprogram är också en av de mest kraftfulla funktionerna – möjligheten att skicka ett e-postmeddelande. En utvecklare kan exempelvis skapa ett flöde som skickar en e-postkampanj.

Din organisations Exchange-administratör kan konfigurera regler i Exchange Server för att förhindra att e-postmeddelanden skickas från program. Det går också att utesluta specifika flöden eller program från de regler som upprättats för att blockera utgående e-post. Du kan kombinera dessa regler med en "Tillåtna-lista" med e-postadresser för att säkerställa att e-post från program och flöden endast kan skickas från en liten grupp brevlådor.

När ett program eller ett flöde skickar ett e-postmeddelande via anslutningsprogrammet Office 365 Outlook infogas specifika SMTP-sidhuvuden i meddelandet. Du kan använda reserverade fraser i rubrikerna för att identifiera om ett e-postmeddelande kommer från ett flöde eller en app.

SMTP-huvudet som infogas i ett e-postmeddelande som skickas från ett flöde ser ut ungefär som i följande exempel:

 x-ms-mail-application: Microsoft Power Automate; 
 User-Agent: azure-logic-apps/1.0 (workflow 2321aaccfeaf4d7a8fb792e29c056b03;version 08585414259577874539) microsoft-flow/1.0
 x-ms-mail-operation-type: Send
 x-ms-mail-environment-id: 0c5781e0-65ec-ecd7-b964-fd94b2c8e71b 

Sidhuvudinformation

x-ms-mail-application

Följande tabell beskriver de värden som kan visas i rubriken x-ms-mail-application beroende på vilken tjänst som används.

x-ms-mail-operation-type

Följande tabell beskriver de värden som kan visas i rubriken x-ms-mail-operation-type beroende på vilken åtgärd som utförs.

x-ms-mail-environment-id

Sidhuvudet x-ms-mail-environment-id innehåller värdet för miljö-ID. Närvaron av detta sidhuvud beror på vilken produkt du använder.

• I Power Apps finns den alltid med.
• I Power Automate visas den endast i anslutningar som skapats efter juli 2020.
• I Logic Apps kommer den aldrig att finnas med.

Möjliga Exchange-regler för standardmiljön

Här följer några e-poståtgärder som du kanske vill blockera med hjälp av Exchange-regler.

• Blockera utgående e-postmeddelanden till externa mottagare: Blockera alla utgående e-postmeddelanden som skickas till externa mottagare från Power Automate och Power Apps. Den här regeln förhindrar att utvecklare skickar e-postmeddelanden till partner, leverantörer eller klienter från sina appar eller flöden.

• Blockera utgående vidarebefordran: Blockera alla utgående e-postmeddelanden som skickas till externa mottagare från Power Automate och Power Apps där avsändaren inte kommer från en lista med tillåtna brevlådor. Den här regeln förhindrar att utvecklare skapar ett flöde som automatiskt vidarebefordrar inkommande e-postmeddelanden till en extern mottagare.

Undantag att överväga med regler för e-postblockering

Här följer några möjliga undantag från Exchange-reglerna för att blockera e-post i syfte att skapa flexibilitet:

• Undanta specifika appar och flöden: Lägg till en undantagslista till de regler som föreslagits tidigare så att godkända appar eller flöden kan skicka e-post till externa mottagare.

• Lista över tillåtna på organisationsnivå: I detta scenario är det meningsfullt att flytta lösningen till en dedikerad miljö. Om flera flöden i miljön måste skicka utgående e-postmeddelanden kan du skapa en ramundantagsregel som tillåter utgående e-postmeddelanden från den miljön. Utvecklar- och administratörsbehörigheten i den miljön måste styras och begränsas noga.

Läs mer om hur du konfigurerar lämpliga exfiltreringsregler för Power Platform relaterad e-posttrafik.

Tillämpa isolering av klientorganisation

Power Platform har ett system med anslutningsprogram baserat på Microsoft Entra som gör det möjligt för behöriga Microsoft Entra-användare att ansluta program och flöden till datalagringar. Isolering av klientorganisation styr effektivt rörelsen av data från Microsoft Entra auktoriserade datakällor till och från sin klientorganisation.

Isolering av klientorganisation tillämpas på klientorganisationsnivå och påverkar alla miljöer i klientorganisationen, inklusive standardmiljön. Eftersom alla anställda utgör utvecklare i standardmiljön är det mycket viktigt att konfigurera en robust policy för isolering av klientorganisation i syfte att säkra miljön. Vi rekommenderar att du uttryckligen konfigurerar de klienter som dina anställda kan ansluta till. Alla andra klientorganisationer ska omfattas av standardregler som blockerar både ingående och utgående dataflöden.

Power Platform isolering av klientorganisation skiljer sig från Microsoft Entra ID-övergripande klientbegränsning. Det påverkar Microsoft Entra ID-baserad åtkomst utanför Power Platform. Den gäller endast för anslutningsprogram som använder Microsoft Entra ID-baserad autentisering, till exempel Office 365 Outlook och SharePoint-anslutningsprogram.

Läs mer:

• Inkommande och utgående åtkomstbegränsningar mellan innehavare
• Get-PowerAppTenantIsolationPolicy (Microsoft. PowerApps.Administration.PowerShell)

Gå vidare

Läs de detaljerade artiklarna i den här serien för att ytterligare förbättra din säkerhetsstatus:

• Identifiera hot mot din organisation
• Upprätta dataskydds- och sekretesskontroller
• Implementera en datapolicystrategi
• Konfigurera identitets- och åtkomsthantering
• Uppfyll efterlevnadskrav.

När du har granskat artiklarna granskar du checklistan för säkerhet för att säkerställa att Power Platform distributionerna är robusta, motståndskraftiga och anpassade till bästa praxis.