Datenspeicherung und Governance in Power Platform

  • Artikel

Zunächst ist es wichtig, zwischen persönlichen Daten und Kundendaten zu unterscheiden.

  • Persönliche Daten sind Informationen über Personen, anhand derer diese identifiziert werden können.

  • Kundendaten umfassen persönliche und andere Kundendaten, darunter URLs, Metadaten und Mitarbeiterauthentifizierungsinformationen wie DNS-Namen.

Datenresidenz

Ein Microsoft Entra-Mandant enthält Informationen, die für eine Organisation und ihre Sicherheit relevant sind. Wenn sich ein Microsoft Entra-Mandant bei Power Platform-Diensten anmeldet, wird das ausgewählte Land oder die ausgewählte Region des Mandanten der am besten geeigneten Azure-Geografie zugeordnet, in der eine Power Platform-Bereitstellung besteht. Power Platform speichert Kundendaten in der dem Mandanten zugewiesenen Azure-Geografie, oder Start-Geo, außer wenn Organisationen Dienste in mehreren Regionen bereitstellen.

Einige Organisationen sind weltweit präsent. Beispielsweise kann ein Unternehmen seinen Hauptsitz in den Vereinigten Staaten haben, aber in Australien geschäftlich tätig sein. Es kann bestimmte Power Platform Daten brauchen, die in Australien gespeichert werden, um den lokalen Vorschriften zu entsprechen. Wenn Power Platform Dienste in mehr als einer Azure-Geografie bereitgestellt werden, wird dies als Multi-Geo-Bereitstellung bezeichnet. In diesem Fall werden in der Start-Geo nur mit der Umgebung verbundene Metadaten gespeichert. Alle Metadaten und Produktdaten in dieser Umgebung werden in der Remote-Geo gespeichert.

Microsoft kann Daten aus Gründen der Datenresilienz in andere Regionen replizieren. Wir replizieren oder verschieben jedoch keine personenbezogenen Daten außerhalb der Geo. Daten, die in andere Regionen repliziert werden, können nicht personenbezogene Daten wie Mitarbeiterauthentifizierungsinformationen enthalten.

Power Platform-Dienste sind in bestimmten Azure-Geografien verfügbar. Weitere Informationen dazu, wo Power Platform-Dienste zur Verfügung stehen, wo Ihre Daten gespeichert werden und wie sie genutzt werden, finden Sie im Microsoft Trust Center. Verpflichtungen im Hinblick auf den Speicherort ruhender Kundendaten sind in den Bedingungen zur Datenverarbeitung der Bestimmungen für Onlinedienste von Microsoft angegeben. Microsoft bietet auch Rechenzentren für unabhängige Entitäten an.

Datenhandhabung

Dieser Abschnitt beschreibt, wie Power Platform Kundendaten speichert, verarbeitet und übermittelt.

Ruhende Daten

Sofern in der Dokumentation nicht anders angegeben, verbleiben Kundendaten in ihrer ursprünglichen Quelle (z. B. Dataverse oder SharePoint). Eine Power Platform-App wird als Teil einer Umgebung in Azure Storage gespeichert. In mobilen Apps verwendete Daten werden Daten verschlüsselt und in SQL Express gespeichert. In den meisten Fällen verwenden Apps Azure Storage, um Power Platform-Dienstdaten beizubehalten und Azure SQL-Datenbank, um Dienstmetadaten beizubehalten. Von App-Benutzern eingegebene Daten werden in der jeweiligen Datenquelle für den Dienst gespeichert, wie z. B. Dataverse.

Alle Daten, die von Power Platform beibehalten werden, werden standardmäßig mit von Microsoft verwalteten Schlüsseln verschlüsselt. In der Azure SQL-Datenbank gespeicherte Kundendaten werden mithilfe der integrierten Transparent-Data-Encryption-Technologie vollständig verschlüsselt. In Azure Blob Storage gespeicherte Kundendaten werden mit der Azure Storage-Verschlüsselung verschlüsselt.

Daten in Verarbeitung

Daten werden verarbeitet, wenn sie in einem interaktiven Szenario verwendet werden oder wenn ein Hintergrundprozess wie eine Aktualisierung diese berührt. Power Platform lädt aktiv Daten in Verarbeitung in den Speicherplatz eines oder mehrerer Service-Workloads. Um die Funktionalität des Workloads zu erleichtern, werden im Arbeitsspeicher gespeicherte Daten nicht verschlüsselt.

In Transit befindliche Daten

Power Platform verlangt, dass der gesamte eingehende HTTP-Datenverkehr mit TLS 1.2 oder höher verschlüsselt wird. Anforderungen, die versuchen, TLS 1.1 oder niedriger zu verwenden, werden abgelehnt.

Erweiterte Sicherheitsfunktionen

Für einige der erweiterten Sicherheitsfunktionen von Power Platform gelten bestimmte Lizenzanforderungen.

Diensttags

Ein Diensttag stellt eine Gruppe von IP-Adresspräfixen aus einem bestimmten Azure-Dienst dar. Sie können Diensttags verwenden, um Netzwerkzugriffssteuerungen für Netzwerksicherheitsgruppen oder Azure Firewall zu definieren.

Diensttags tragen dazu bei, die Komplexität häufiger Aktualisierungen von Netzwerksicherheitsregeln zu minimieren. Sie können Diensttags anstelle bestimmter IP-Adressen verwenden, wenn Sie Sicherheitsregeln erstellen, die beispielsweise Datenverkehr für den entsprechenden Dienst zulassen oder verweigern.

Microsoft verwaltet die vom Diensttag umfassten Adresspräfixe und aktualisiert den Diensttag automatisch, wenn sich Adressen ändern. Weitere Informationen finden Sie unter Azure-IP-Adressbereiche und Diensttags – öffentliche Cloud.

Verhinderung von Datenverlusten

Power Platform verfügt über eine umfangreiches Palette an Funktionen zur Verhinderung von Datenverlusten (DLP), die Ihnen helfen, die Sicherheit Ihrer Daten zu managen.

IP-Einschränkung für Storage Shared Access Signature (SAS)

Anmerkung

Vor der Aktivierung einer dieser SAS-Funktionen muss die Kundschaft zunächst den Zugriff auf die https://*.api.powerplatformusercontent.com-Domäne zulassen oder die meisten SAS-Funktionen funktionieren nicht.

Bei dieser Featuregruppe handelt es sich um mandantenspezifische Funktionen, die SAS-Speichertoken (Shared Access Signature) einschränken und über ein Menü im Power Platform Admin Center gesteuert werden. Diese Einstellung schränkt ein, wer basierend auf der IP Unternehmens-SAS-Token verwenden kann.

Diese Funktion ist aktuell in der privaten Vorschau. Die öffentliche Vorschauversion ist für später im Frühjahr geplant, die allgemeine Verfügbarkeit ist für Sommer 2024 geplant. Weitere Informationen finden Sie unter Release-Planer.

Sie finden diese Einstellungen in den Einstellungen zu Datenschutz und Sicherheit einer Dataverse-Umgebung im Admin Center. Sie müssen die Option IP-Adressen-basierte SAS-Speicherregel (Shared Access Signature) aktivieren einschalten.

Administratoren können eine dieser vier Konfigurationen für diese Einstellung aktivieren:

Einstellungen Eigenschaft
Nur IP-Bindung Dadurch werden SAS-Schlüssel auf die IP des Anforderers beschränkt.
Nur IP-Firewall Dadurch wird die Verwendung von SAS-Schlüsseln darauf beschränkt, nur innerhalb eines vom Administrierenden angegebenen Bereichs zu funktionieren.
IP-Bindung und -Firewall Dadurch wird die Verwendung von SAS-Schlüsseln darauf beschränkt, innerhalb eines vom Administrierenden angegebenen Bereichs und nur mit der IP des Anfordernden zu funktionieren.
IP-Bindung oder -Firewall Ermöglicht die Verwendung von SAS-Schlüsseln innerhalb des angegebenen Bereichs. Wenn die Anforderung von außerhalb des Bereichs kommt, wird IP-Bindung angewendet.

Produkte, die bei Aktivierung die IP-Bindung erzwingen:

  • Dataverse
  • Power Automate
  • Benutzerdefinierte Connectors
  • Power Apps

Auswirkung auf Power App-Erfahrungen

  • Wenn ein Benutzender, der die IP-Adressbeschränkungen einer Umgebung nicht erfüllt, eine App öffnet: Die folgende Meldung wird angezeigt: „Diese App funktioniert nicht mehr. Versuchen Sie, Ihren Browser zu aktualisieren.“ Es ist geplant, dieses Erlebnis zu aktualisieren, um dem Benutzenden kontextbezogenere Informationen darüber bereitzustellen, warum die App nicht gestartet werden konnte.

  • Wenn ein Benutzender, der die IP-Adressbeschränkungen erfüllt, eine App öffnet: Die folgenden Ereignisse treten auf:

    • Ein Banner mit der folgenden Meldung wird angezeigt: „Ihre Organisation hat IP-Adressbeschränkungen konfiguriert, die den Zugriff auf Power Apps einschränken. Auf diese App kann möglicherweise nicht zugegriffen werden, wenn Sie ein anderes Netzwerk verwenden. Weitere Details erhalten Sie bei Ihrem Administrator.“ Dieses Banner erscheint für einige Sekunden und verschwindet dann.
    • Die App wird möglicherweise langsamer geladen, als wenn keine Beschränkungen für IP-Adressen vorhanden wären. Die IP-Adressbeschränkungen verhindern, dass die Plattform einige Leistungsfunktionen nutzt, die schnellere Ladezeiten ermöglichen.

    Wenn ein Benutzer eine App öffnet, während er die Anforderungen an die IP-Adresse erfüllt, und dann in ein neues Netzwerk wechselt, das die Anforderungen an die IP-Adresse nicht mehr erfüllt, werden App-Inhalte wie Bilder, eingebettete Medien und Links möglicherweise nicht geladen oder sind nicht zugänglich.

Protokollierung von SAS-Aufrufen

Mit dieser Einstellung können alle SAS-Aufrufe innerhalb von Power Platform in Purview protokolliert werden. Diese Protokollierung zeigt die relevanten Metadaten für alle Erstellungs- und Nutzungsereignisse und kann unabhängig von den oben genannten SAS-IP-Einschränkungen aktiviert werden. Die Power Platform-Dienste nehmen derzeit SAS-Aufrufe im Jahr 2024 auf.

Feldname Feldbeschreibung
response.status_message Informiert, ob das Ereignis erfolgreich war oder nicht: „SASSuccess“ oder „SASAuthorizationError“.
response.status_code Informiert, ob das Ereignis erfolgreich war oder nicht: 200, 401 oder 500.
analytics.resource.sas.uri Die Daten, auf die zugegriffen oder die erstellt werden sollten.
enduser.ip_address Die öffentliche IP-Adresse des Anrufenden.
analytics.resource.sas.operation_id Der eindeutige Bezeichner aus dem Erstellungsereignis. Bei einer Suche danach werden alle Verwendungs- und Erstellungsereignisse angezeigt, die mit den SAS-Aufrufen aus dem Erstellungsereignis in Zusammenhang stehen. Dem Antwortheader „x-ms-sas-operation-id“ zugeordnet.
request.service_request_id Der eindeutige Bezeichner aus der Anforderung oder Antwort, die zum Nachschlagen eines einzelnen Datensatzes verwendet werden kann. Dem Antwortheader „x-ms-service-request-id“ zugeordnet.
version Version dieses Protokollschemas.
Type Generische Antwort.
analytics.activity.name Der Aktivitätstyp dieses Ereignisses war: „Erstellung“ oder „Verwendung“.
analytics.activity.id Eindeutige ID des Datensatzes in Purview.
analytics.resource.organization.id Organisations-ID
analytics.resource.environment.id Umgebungs-ID
analytics.resource.tenant.id Mandanten-ID
enduser.id Die GUID aus Microsoft Entra ID des Erstellenden aus dem Erstellungsereignis.
enduser.principal_name Die UPN/E-Mail-Adresse des Erstellenden. Bei Verwendungsereignissen ist dies eine allgemeine Antwort: „system@powerplatform“.
enduser.role Allgemeine Antwort: Normal für Erstellungsereignisse und System für Verwendungsereignisse.

Sicherheit in Microsoft Power Platform
Authentifizierung für Power Platform-Dienste
Mit Datenquellen verbinden und authentifizieren
Häufig gestellte Fragen zur Sicherheit in Power Platform

Siehe auch