О доступе к потокам Power Automate

Понимание различных моделей владения, доступных для потоков Power Automate, является ключом к поддержанию стабильности, безопасности и соответствия потоков нормативным требованиям.

Владение потоками (субъект-служба и пользователь)

Владелец потока играет жизненно важную роль в управлении, контроле и обслуживании потоков Power Automate. Важно тщательно продумать, следует ли использовать имя субъекта-службы (SPN) или учетную запись пользователя в качестве владельца потока. Имена SPN не привязаны к отдельным пользователям, что снижает риск сбоев и обеспечивает более строгий контроль над разрешениями.

Владение именем субъекта-службы (SPN)

К преимуществам владения SPN относятся:

• Согласованность: SPN не привязаны к отдельным пользователям, что гарантирует бесперебойную работу потоков даже при кадровых изменениях. Такая конфигурация обеспечивает стабильную и согласованную модель владения.
• Безопасность: использование имени субъекта-службы повышает безопасность, обеспечивая более строгий контроль над разрешениями. Субъектам-службам может быть предоставлен только необходимый доступ, что снижает риск несанкционированных действий.
• Масштабируемость: имена SPN лучше подходят для управления автоматизированными задачами в больших средах, особенно в сценариях, включающих несколько потоков или сред.
• Соответствие: использование имен субъектов-служб помогает поддерживать соответствие нормативным требованиям, так как они обеспечивают более четкий журнал аудита действий, выполняемых потоком, независимо от конкретных пользователей.
• Сокращение сбоев: поскольку на имена субъектов-служб не влияют изменения учетных записей пользователей (например, увольнение сотрудников), снижается риск сбоев в работе потоков.
• Централизованное управление: SPN позволяют централизованно управлять разрешениями и доступом к потокам, что упрощает обслуживание и аудит политик безопасности.

Владение учетной записью пользователя

К преимуществам владения учетной записью пользователя можно отнести:

• Простота настройки: пользователи могут создавать потоки и владеть ими с минимальной настройкой, что упрощает пользователям разработку собственных потоков и управление ими.
• Взаимодействие с человеком: если поток включает в себя задачи, требующие человеческого одобрения, принятия решений или взаимодействия, учетная запись пользователя может быть более подходящей.
• Персонализированный контекст: потоки, принадлежащие пользователям, могут выполняться в контексте этого пользователя с использованием его разрешений и параметров.

Рекомендации

Для критических или длительно выполняющихся потоков используйте имя субъекта-службы, чтобы поток оставался стабильным и независимым от конкретных пользователей.

Для пользовательских или интерактивных потоков используйте учетную запись пользователя, если потоку требуется определенный контекст пользователя или он предполагает взаимодействие с пользователем.

Совместное владение потоками

Добавьте совладельца в облачный поток, чтобы предоставить к нему общий доступ. Владелец облачного потока может выполнять следующие действия:

• Просматривать журнал выполнения
• Изменять свойства потока (например, запускать или останавливать его, добавлять владельцев или обновлять учетные данные для подключения)
• Редактировать определение потока (например, добавлять или удалять действия и условия)
• Добавлять или удалять других владельцев (но не создателя потока), включая гостевых пользователей
• Удалить поток

Добавляйте совладельцев для совместной работы в потоках только по мере необходимости. В большинстве случаев, если потоку необходимо предоставить общий доступ, предоставляйте к нему общий доступ с разрешениями только для выполнения, которые не позволяют пользователям просматривать журнал выполнения потока или вносить какие-либо изменения. Совместное использование потоков также позволяет владельцу указать, использует ли поток подключения пользователя, вызывающего поток, или встроенные подключения пользователя или учетной записи, создающих поток.

Подробнее: Предоставление общего доступа к облачному потоку

Настройка ролей безопасности для соответствующего доступа

Помимо назначения пользователей в качестве совладельцев, некоторые пользователи могут получать доступ к потокам на основе своих ролей безопасности в таблицах бизнес-процессов или роли администраторов среды.

Как правило, пользователи с полным доступом к таблицам рабочего процесса могут редактировать любой поток и просматривать журнал выполнения. Администраторы среды всегда имеют полный доступ к редактированию рабочих процессов и могут просматривать все данные, проходящие через них.