Compartilhar via

Armazenamento de dados e governança no Power Platform

  • Artigo

Primeiro, é importante distinguir dados pessoais e dados do cliente.

  • Dados pessoais são informações sobre pessoas que podem ser usadas para identificá-las.

  • Dados do cliente incluem dados pessoais e outras informações do cliente, incluindo URLs, metadados e informações de autenticação de funcionários, como nomes DNS.

Residência de dados

Um locatário do Microsoft Entra hospeda informações relevantes para uma organização e sua segurança. Quando um locatário do Microsoft Entra se inscreve para serviços do Power Platform, o país ou a região selecionada do locatário é mapeada para a geografia do Azure mais adequada onde uma implantação do Power Platform existe. O Power Platform armazena dados do cliente na geografia do Azure atribuída ao locatário ou localização geográfica, exceto quando as organizações implantam serviços em várias regiões.

Algumas organizações têm uma presença global. Por exemplo, uma empresa pode ter sede nos Estados Unidos, mas fazer negócios na Austrália. Pode precisar de certos dados do Power Platform a serem armazenados na Austrália para cumprir os regulamentos locais. Quando serviços do Power Platform são implantados em mais de uma geografia do Azure, é chamado de implantação multigeográfica. Neste caso, apenas metadados relacionados ao ambiente são armazenados na localização geográfica. Todos os metadados e dados do produto nesse ambiente são armazenados na localização geográfica remota.

A Microsoft pode replicar dados para outras regiões para resiliência de dados. No entanto, não replicamos ou movemos dados pessoais para fora da geografia. Os dados replicados para outras regiões podem incluir dados não pessoais, como informações de autenticação de funcionários.

Os serviços do Power Platform estão disponíveis em geografias específicas do Azure. Para obter mais informações sobre onde os serviços do Power Platform estão disponíveis, onde seus dados são armazenados e como são usados, acesse a Central de Confiabilidade da Microsoft. Compromissos sobre o local dos dados em repouso do cliente são especificados nos Termos de Processamento de Dados dos Termos do Microsoft Online Services. A Microsoft também fornece data centers para entidades soberanas.

Manipulação de dados

Esta seção descreve como o Power Platform armazena, processa e transfere dados de clientes.

Dados inativos

Salvo indicação em contrário na documentação, os dados do cliente permanecem em sua fonte original (por exemplo, Dataverse ou SharePoint). Um aplicativo do Power Platform é armazenado no Armazenamento do Azure como parte de um ambiente. Os dados usados em aplicativos móveis são criptografados e armazenados no SQL Express. Na maioria dos casos, os aplicativos usam o Armazenamento do Azure para persistir dados de serviço do Power Platform e o Banco de Dados SQL do Azure para persistir metadados de serviço. Os dados inseridos pelos usuários de aplicativos são armazenados no respectivo fonte de dados para o serviço, como o Dataverse.

Todos os dados persistidos pelo Power Platform são criptografados por padrão usando chaves gerenciadas pela Microsoft. Os dados armazenados do cliente no Banco de Dados SQL do Azure são totalmente criptografados usando a tecnologia TDE (Transparent Data Encryption) do SQL do Azure. Os dados do cliente armazenados no armazenamento de Blobs do Azure são criptografados usando a Criptografia de Armazenamento do Azure.

Dados em processamento

Os dados estão em processamento quando estão sendo usados como parte de um cenário interativo ou quando um processo em segundo plano, como atualização, toca esses dados. O Power Platform carrega dados em processamento no espaço de memória de uma ou mais cargas de trabalho de serviço. Para facilitar a funcionalidade da carga de trabalho, os dados armazenados na memória não são criptografados.

Dados em trânsito

O Power Platform requer que todo o tráfego HTTP de entrada seja criptografado usando TLS 1.2 ou superior. As solicitações que tentam usar o TLS 1.1 ou inferior são rejeitadas.

Recursos de segurança avançada

Alguns dos recursos de segurança avançada do Power Platform têm requisitos de licenciamento específicos.

Marcas de serviço

Uma marca de serviço representa um grupo de prefixos de endereço IP de um serviço do Azure específico. Você pode usar marcas de serviço para definir controles de acesso à rede em Grupos de Segurança de Rede ou Firewall do Azure.

As marcas de serviço ajudam a minimizar a complexidade das atualizações frequentes das regras de segurança da rede. Você pode usar marcas de serviço em vez de endereços IP específicos ao criar regras de segurança que, por exemplo, permitem ou negam tráfego para o serviço correspondente.

A Microsoft gerencia os prefixos de endereço incluídos na marca de serviço e atualiza automaticamente a marca de serviço à medida que os endereços mudam. Para obter mais informações, consulte Intervalos de IP e marcas de serviço do Azure – nuvem pública.

Prevenção contra perda de dados

O Power Platform terá um extenso conjunto de recursos de DLP (prevenção contra perda de dados) para ajudar você a gerenciar a segurança de seus dados.

Restrição de IP de SAS (Assinatura de Acesso de Armazenamento Compartilhado)

Observação

Antes de ativar qualquer um desses recursos de SAS, os clientes devem primeiro permitir o acesso ao domínio https://*.api.powerplatformusercontent.com ou a maioria das funcionalidades de SAS não funcionará.

Este conjunto de recursos é uma funcionalidade específica do locatário que restringe os tokens de assinatura de acesso compartilhado (SAS) do armazenamento e é controlado por meio de um menu no centro de administração do Power Platform. Essa configuração restringe quem, com base no IP, pode usar os tokens de SAS corporativos.

Este recurso está atualmente na versão prévia privada. A versão prévia pública está planejada para o final desta primavera, com disponibilidade geral no verão de 2024. Para obter mais informações, consulte Planejador de lançamentos.

Essas configurações podem ser encontradas nas configurações Privacidade + Segurança de um ambiente do Dataverse no Centro de administração. Você deve ativar a opção Habilitar regra de Assinatura de Acesso Compartilhado (SAS) do armazenamento baseado em endereço IP.

Os administradores podem habilitar uma destas quatro definições para essa configuração:

Configuração Description
Somente Associação de IP Isso restringe as chaves de SAS ao IP do solicitante.
Somente Firewall do IP Isso restringe o uso de chaves de SAS para funcionar somente dentro de um intervalo especificado pelo administrador.
Associação de IP e Firewall Isso restringe o uso de chaves de SAS para funcionar dentro de um intervalo especificado pelo administrador e somente para o IP do solicitante.
Associação de IP ou Firewall Permite que as chaves de SAS sejam usadas dentro do intervalo especificado. Se a solicitação vier de fora do intervalo, a Associação de IP será aplicada.

Produtos que impõem a Associação de IP quando são habilitados:

  • Dataverse
  • Power Automate
  • Conectores Personalizados
  • Power Apps

Impacto nas experiências do Power Apps

  • Quando um usuário, que não atende às restrições de endereço IP de um ambiente, abre um aplicativo: A seguinte mensagem é exibida: "Este aplicativo parou de funcionar. Tente atualizar seu navegador." Há planos de atualizar essa experiência para fornecer informações mais contextuais ao usuário sobre o motivo pelo qual o aplicativo não pôde ser iniciado.

  • Quando um usuário, que atende às restrições de endereço IP, abre um aplicativo: Os seguintes eventos ocorrem:

    • Uma faixa com a seguinte mensagem será exibida: "Sua organização configurou restrições de endereço IP limitando onde Power Apps está acessível. Este aplicativo pode não estar acessível quando você usar outra rede. Contate seu administrador para obter mais detalhes." Esta faixa é exibida por alguns segundos e depois desaparece.
    • O aplicativo ser carregado mais lentamente do que se as restrições de endereço IP não estivessem em vigor. As restrições de endereço IP impedem que a plataforma use alguns recursos de desempenho que permitem tempos de carregamento mais rápidos.

    Se um usuário abrir um aplicativo, enquanto atende aos requisitos de endereço IP e, em seguida, mudar para uma nova rede que não atenda mais aos requisitos de endereço IP, o usuário poderá observar que o conteúdo do aplicativo, como imagens, mídia incorporada e links, pode não ser carregado ou não estar acessível.

Registro de chamadas SAS

Essa configuração permite que todas as chamadas SAS no Power Platform sejam registradas no Purview. Esse log mostra os metadados relevantes para todos os eventos de criação e uso e pode ser habilitado independentemente das restrições de IP SAS acima. Os serviços do Power Platform estão atualmente integrando chamadas SAS em 2024.

Nome do campo Descrição do campo
response.status_message Informação se o evento foi bem-sucedido ou não: SASSuccess ou SASAuthorizationError.
response.status_code Informação se o evento foi bem-sucedido ou não: 200, 401 ou 500.
analytics.resource.sas.uri Os dados que estavam tentando ser acessados ou criados.
enduser.ip_address O IP público do autor da chamada.
analytics.resource.sas.operation_id O identificador exclusivo do evento de criação. A pesquisa mostra todos os eventos de uso e criação relacionados às chamadas SAS do evento de criação. Mapeado para o cabeçalho de resposta “x-ms-sas-operation-id”.
request.service_request_id Identificador exclusivo da solicitação ou da resposta e pode ser usado para pesquisar um único registro. Mapeado para o cabeçalho de resposta “x-ms-service-request-id”.
versão Versão deste esquema de log.
type Resposta genérica.
analytics.activity.name O tipo de atividade desse evento foi: Criação ou Uso.
analytics.activity.id ID exclusiva do registro no Purview.
analytics.resource.organization.id ID da organização
analytics.resource.environment.id ID do Ambiente
analytics.resource.tenant.id ID do locatário
enduser.id O GUID da ID do Microsoft Entra do criador do evento de criação.
enduser.principal_name O UPN/endereço de email do criador. Para eventos de uso, esta é uma resposta genérica: “system@powerplatform”.
enduser.role Resposta genérica: Regular para eventos de criação e Sistema para eventos de uso.

Segurança no Microsoft Power Platform
Autenticação em serviços do Power Platform
Como conectar e autenticar em fontes de dados
Power Platform Perguntas frequentes sobre segurança

Consulte também