Управление идентификацией и доступом

Статья
2025-02-12

Заметка

Новый и улучшенный центр администрирования Power Platform теперь доступен в виде общедоступной предварительной версии! Мы разработали новый центр администрирования, чтобы он был проще в использовании, с ориентированной на задачи навигацией, которая помогает быстрее достигать конкретных результатов. Мы будем публиковать новую и обновленную документацию по мере перехода нового центра администрирования Power Platform на общедоступную версию.

Обеспечьте, чтобы возможности доступа к конфиденциальным данным в элементах в этом клиенте были только у авторизованных пользователей.

IP-брандмауэр

Функция IP-брандмауэра в Microsoft Power Platform — это элемент управления безопасностью, который применяется только к управляемым средам с Dataverse. Она обеспечивает критически важный уровень безопасности, контролируя входящий трафик в среды Power Platform. Администраторы могут использовать эту функцию для определения и применения управления доступом на основе IP-адресов. Таким образом, они могут гарантировать, что только авторизованные IP-адреса могут получить доступ к среде Power Platform. Используя IP-брандмауэр, организации могут снизить риски, связанные с несанкционированным доступом и утечкой данных, и, таким образом, повысить общую безопасность их развертываний Power Platform. Дополнительные сведения см. в статье IP-брандмауэр в средах Power Platform.

Изоляция клиента

Используя изоляцию клиентов, администраторы Power Platform могут управлять перемещением данных клиентов из авторизованных источников данных Microsoft Entra в свой клиент и из него. Подробнее см. в разделе Входящие и исходящие ограничения между клиентами.

Функция привязки файлов cookie на основе IP-адресов применяется только к управляемым средам с Dataverse. Она предотвращает эксплойты перехвата сеансов в Dataverse с помощью привязки файлов cookie на основе IP-адресов. Подробнее: Защита сеансов Dataverse с помощью привязки файлов cookie на основе IP-адресов.

Группы безопасности сред

Группы безопасности помогают контролировать тем, какие лицензированные пользователи могут получать доступ к средам. Подробнее см. в разделе Управление доступом пользователей к средам с группами безопасности и лицензиями.

Функция управления общим доступом применяется только к управляемым средам. С помощью общего доступа администраторы могут контролировать, чем могут делиться их создатели, а также тем, с какими другими пользователями и группами безопасности они могут предоставлять общий доступ. (Примеры вещей, которыми можно поделиться, включают приложения холст, облачные потоки и агенты.) Эта функция гарантирует, что конфиденциальная информация доступна только авторизованным пользователям. Таким образом, снижается риск утечки и неправомерного использования данных. Подробнее см. в разделе Ограничение общего доступа.

Управление доступом к приложениям (предварительная версия)

Функция управления доступом к приложениям применяется только к управляемым средам. Управляя тем, какие приложения разрешены, а какие заблокированы в каждой среде, она позволяет предотвратить кражу данных. Дополнительные сведения см. в статье Управление приложениями, разрешенными в вашей среде.

Гостевой доступ (предварительная версия)

[Этот раздел содержит предварительную версию документации и может быть изменен.]

Внимание

Это предварительная версия функции.
Предварительные версии функций не предназначены для использования в производственной среде, а их функциональность может быть ограничена. Для этих функций действуют дополнительные условия использования и они доступны перед официальным выпуском, чтобы клиенты могли досрочно получить доступ и предоставить отзывы.

Для обеспечения безопасности данных и соответствия требованиям в экосистеме Power Platform исключительно важно свести к минимуму риск чрезмерного обмена данными. Таким образом, все новые среды на основе Dataverse запрещают гостевой доступ по умолчанию. Однако вы можете разрешить гостевой доступ для среды, если этого требует бизнес-сценарий использования. Вы также можете задним числом отключить (ограничить) гостевой доступ для существующих сред. В этом случае вы блокируете подключения к ресурсам, к которым гости ранее имели доступ.

Настроить гостевой доступ

Войдите в центр администрирования Power Platform как системный администратор.
В области навигации выберите Безопасность.
В разделе Безопасность выберите Идентификация и доступ.
В разделе Идентификация и доступ выберите Гостевой доступ.
В области Гостевой доступ выберите среду, для которой вы хотите отключить гостевой доступ.
Выберите Настроить гостевой доступ.
Включите параметр Выключить гостевой доступ.
Выберите Сохранить. Снова появится область Гостевой доступ.
При необходимости повторите шаги с 5 по 8 для других сред.
Когда закончите, закройте область Гостевой доступ.

Повышение показателя безопасности и выполнение рекомендаций

Ограничение гостевого доступа — это ключевой способ повысить уровень безопасности клиента. Вы также можете выполнить непосредственное действие, выбрав рекомендацию Ограничить доступ гостевых пользователей на главной странице Безопасность или в центре действий в центре администрирования Power Platform. После настройки ограничений гостевого доступа оценка безопасности клиента повышается в зависимости от количества настроенных сред.

Соображения, связанные с задержками

Время, необходимое для эффективной блокировки гостевого доступа, зависит от объема сред и ресурсов в этих средах. В самых крайних случаях задержка для полного применения составляет 24 часа.

Известные ограничения

Гостевой доступ — это предварительная версия функции. Планируются и другие улучшения. Среди прочего, он имеет следующие известные ограничения:

Заблокировав гостевой доступ, вы не позволяете любым гостям сохранять и использовать ресурсы. Однако это может не препятствовать гостю в доступе к порталу Power Apps Maker Portal.
Элементы, созданные в Copilot Studio, могут использовать соединители Graph в качестве источников знаний вне Microsoft Power Platform. В настоящее время информация в них может быть доступна гостям, даже если гостевой доступ заблокирован.

Привилегии администратора (предварительная версия)

[Этот раздел содержит предварительную версию документации и может быть изменен.]

Внимание

Это предварительная версия функции.
Предварительные версии функций не предназначены для использования в производственной среде, а их функциональность может быть ограничена. Для этих функций действуют дополнительные условия использования и они доступны перед официальным выпуском, чтобы клиенты могли досрочно получить доступ и предоставить отзывы.

Функция привилегий администратора применяется только к управляемым средам. Ограничив число пользователей с высокими привилегиями и административными ролями в Microsoft Entra ID и Microsoft Power Platform, вы можете повысить оценку безопасности клиента. Эту функцию можно использовать для просмотра пользователей с этими привилегированными ролями, просмотра списка пользователей и удаления пользователей, у которых больше не должно быть привилегированного доступа. Подробнее см. в разделе Обзор центра администрирования Power Platform.

Пользователи с административными привилегиями

Область Административные привилегии предоставляет упреждающую рекомендацию, если много пользователей в клиенте имеют права администратора. Вы можете открыть рекомендацию, чтобы просмотреть список сред, в которых много пользователей имеют роль безопасности Системный администратор. (В настоящее время в списке показаны среды, в которых эту роль имеют более 20 пользователей.) Для любой среды в списке выберите ссылку в столбце Системные администраторы, чтобы открыть страницу Роли безопасности. Там можно выбрать роль безопасности Системный администратор, затем выбрать Членство, чтобы открыть страницу Членство. На этой странице показан список пользователей, которым назначена роль. Вы можете выбрать пользователей, которых нужно удалить из роли, по одному пользователю за раз.

Заметка

Только пользователи, которым назначена роль глобального администратора, могут удалять других пользователей из роли глобального администратора.

Известные проблемы

Помните о следующих известных проблемах с этой функцией:

На странице Членство для роли безопасности отображаются только роли безопасности в подразделении по умолчанию. Для просмотра всех ролей безопасности во всех подразделениях отключите параметр Отображать только родительские роли безопасности.
После удаления пользователя из роли системного администратора на странице отобразится обновленное количество администраторов в течение 24 часов.