Mengelola kunci enkripsi yang dikelola pelanggan

Pelanggan memiliki persyaratan privasi dan kepatuhan data untuk mengamankan data mereka dengan mengenkripsi data mereka saat tidak aktif. Ini mengamankan data dari paparan jika salinan database dicuri. Dengan enkripsi data saat tidak aktif, data database yang dicuri dilindungi agar tidak dipulihkan ke server lain tanpa kunci enkripsi.

Semua data pelanggan yang disimpan dienkripsi Power Platform saat tidak aktif dengan kunci enkripsi yang dikelola Microsoft yang kuat secara default. Microsoft menyimpan dan mengelola kunci enkripsi database untuk semua data Anda sehingga Anda tidak perlu melakukannya. Namun, Power Platform menyediakan kunci enkripsi (CMK) yang dikelola pelanggan ini untuk kontrol perlindungan data tambahan Anda di mana Anda dapat mengelola sendiri kunci enkripsi database yang terkait dengan lingkungan Anda Microsoft Dataverse . Hal ini memungkinkan Anda untuk memutar atau menukar kunci enkripsi sesuai permintaan, dan juga memungkinkan Anda mencegah akses Microsoft ke data pelanggan Anda saat Anda mencabut akses kunci ke layanan kami kapan saja.

Untuk mempelajari selengkapnya tentang kunci yang Power Platform dikelola pelanggan, tonton video kunci yang dikelola pelanggan.

Operasi kunci enkripsi ini tersedia dengan kunci yang dikelola pelanggan (CMK):

• Buat kunci RSA (RSA-HSM) dari brankas Azure Key Anda.
• Buat Power Platform kebijakan perusahaan untuk kunci Anda.
• Berikan Power Platform izin kebijakan perusahaan untuk mengakses brankas kunci Anda.
• Berikan Power Platform admin layanan untuk membaca kebijakan perusahaan.
• Terapkan kunci enkripsi ke lingkungan Anda.
• Kembalikan/hapus enkripsi CMK lingkungan ke kunci yang dikelola Microsoft.
• Ubah kunci dengan membuat kebijakan perusahaan baru, menghapus lingkungan dari CMK, dan terapkan kembali CMK dengan kebijakan perusahaan baru.
• Kunci lingkungan CMK dengan mencabut brankas kunci CMK dan/atau izin kunci.
• Memigrasikan lingkungan bawa kunci Anda sendiri (BYOK) ke CMK dengan menerapkan kunci CMK.

Saat ini, semua data pelanggan Anda yang hanya disimpan di aplikasi dan layanan berikut dapat dienkripsi dengan kunci yang dikelola pelanggan:

• Dataverse (Solusi kustom dan layanan Microsoft)
• Dataverse Copilot untuk aplikasi berdasarkan model
• Power Automate
• Obrolan untuk Dynamics 365
• Dynamics 365 Penjualan
• Dynamics 365 Customer Service
• Dynamics 365 Customer Insights - Data
• Dynamics 365 Field Service
• Dynamics 365 Retail
• Dynamics 365 Finance (Keuangan dan operasi)
• Dynamics 365 Intelligent Order Management (Keuangan dan operasi)
• Dynamics 365 Project Operations (Keuangan dan operasi)
• Dynamics 365 Supply Chain Management (Keuangan dan operasi)
• Dynamics 365 Fraud Protection (Keuangan dan operasi)

Microsoft Copilot Studio menyimpan datanya di penyimpanan mereka sendiri dan di. Microsoft Dataverse Saat Anda menerapkan kunci yang dikelola pelanggan ke lingkungan ini, hanya penyimpanan data yang Microsoft Dataverse dienkripsi dengan kunci Anda. Non-Microsoft Dataverse data terus dienkripsi dengan kunci yang dikelola Microsoft.

Lingkungan dengan aplikasi keuangan dan operasi di mana Power Platform integrasi diaktifkan juga dapat dienkripsi. Lingkungan keuangan dan operasi tanpa Power Platform integrasi akan terus menggunakan kunci yang dikelola Microsoft default untuk mengenkripsi data. Informasi selengkapnya: Enkripsi di aplikasi keuangan dan operasi

Pengantar kunci yang dikelola pelanggan

Dengan kunci yang dikelola pelanggan, administrator dapat memberikan kunci enkripsi mereka sendiri dari Azure Key Vault mereka sendiri ke Power Platform layanan penyimpanan untuk mengenkripsi data pelanggan mereka. Microsoft tidak memiliki akses langsung ke Azure Key Vault Anda. Agar Power Platform layanan dapat mengakses kunci enkripsi dari Azure Key Vault Anda, administrator membuat Power Platform kebijakan perusahaan, yang mereferensikan kunci enkripsi dan memberikan akses kebijakan perusahaan ini untuk membaca kunci dari Azure Key Vault Anda.

Power Platform Administrator layanan kemudian dapat menambahkan Dataverse lingkungan ke kebijakan perusahaan untuk mulai mengenkripsi semua data pelanggan di lingkungan dengan kunci enkripsi Anda. Administrator dapat mengubah kunci enkripsi lingkungan dengan membuat kebijakan perusahaan lain dan menambahkan lingkungan (setelah menghapusnya) ke kebijakan perusahaan baru. Jika lingkungan tidak lagi perlu dienkripsi menggunakan kunci yang dikelola pelanggan Anda, administrator dapat menghapus Dataverse lingkungan dari kebijakan perusahaan untuk mengembalikan enkripsi data kembali ke kunci yang dikelola Microsoft.

Administrator dapat mengunci lingkungan kunci yang dikelola pelanggan dengan mencabut akses kunci dari kebijakan perusahaan dan membuka kunci lingkungan dengan memulihkan akses kunci. Informasi selengkapnya: Mengunci lingkungan dengan mencabut brankas kunci dan/atau akses izin kunci

Untuk menyederhanakan tugas manajemen utama, tugas-tugas dibagi menjadi tiga area utama:

1. Buat kunci enkripsi.
2. Buat kebijakan perusahaan dan berikan akses.
3. Kelola enkripsi lingkungan.

Persyaratan lisensi untuk kunci yang dikelola pelanggan

Kebijakan kunci yang dikelola pelanggan hanya diberlakukan pada lingkungan yang diaktifkan untuk Lingkungan Terkelola. Lingkungan Terkelola disertakan sebagai hak dalam lisensi mandiri Power Apps,, Power Automate, Microsoft Copilot Studio Power Pages, dan Dynamics 365 yang memberikan hak penggunaan premium. Pelajari selengkapnya tentang lisensi Lingkungan Terkelola, dengan gambaran umum Lisensi untuk Microsoft Power Platform.

Selain itu, akses untuk menggunakan kunci yang dikelola pelanggan untuk Microsoft Power Platform dan Dynamics 365 mengharuskan pengguna di lingkungan tempat kebijakan kunci enkripsi diberlakukan untuk memiliki salah satu langganan berikut:

• Microsoft 365 atau Office 365 A5/E5/G5
• Kepatuhan Microsoft 365 A5/E5/F5/G5
• Keamanan dan Kepatuhan Microsoft 365 F5
• Perlindungan Informasi dan Tata Kelola Microsoft 365 A5/E5/F5/G5
• Manajemen Risiko dari Dalam Microsoft 365 A5/E5/F5/G5

Pelajari selengkapnya tentang lisensi ini.

Pahami potensi risiko saat Anda mengelola kunci

Seperti dengan aplikasi penting bisnis, personil dalam organisasi Anda yang memiliki akses tingkat administratif harus terpercaya. Sebelum Anda menggunakan fitur manajemen kunci, Anda harus memahami risiko ketika Anda mengatur kunci enkripsi database Anda. Bisa dibayangkan bahwa administrator jahat (seseorang yang diberikan atau telah memperoleh akses tingkat administrator dengan maksud untuk membahayakan keamanan organisasi atau proses bisnis) yang bekerja dalam organisasi Anda mungkin menggunakan fitur kelola kunci untuk membuat kunci dan menggunakannya untuk mengunci lingkungan Anda di penyewa.

Pertimbangkan urutan peristiwa berikut.

Administrator brankas kunci berbahaya membuat kunci dan kebijakan perusahaan di portal Microsoft Azure. Administrator Azure Key Vault masuk ke Power Platform pusat admin, dan menambahkan lingkungan ke kebijakan perusahaan. Administrator jahat kemudian kembali ke portal Microsoft Azure dan mencabut akses kunci ke kebijakan perusahaan sehingga mengunci semua lingkungan. Hal ini menyebabkan gangguan bisnis karena semua lingkungan menjadi tidak dapat diakses, dan jika peristiwa ini tidak diselesaikan, yaitu, akses kunci dipulihkan, data lingkungan berpotensi hilang.

Pemisahan tugas untuk memitigasi risiko

Bagian ini menjelaskan tugas fitur utama yang dikelola pelanggan yang menjadi tanggung jawab setiap peran admin. Memisahkan tugas-tugas ini membantu mengurangi risiko yang terlibat dengan kunci yang dikelola pelanggan.

Tugas admin layanan Azure Key Vault dan Power Platform/Dynamics 365

Untuk mengaktifkan kunci yang dikelola pelanggan, pertama-tama administrator brankas kunci membuat kunci di brankas kunci Azure dan membuat Power Platform kebijakan perusahaan. Saat kebijakan perusahaan dibuat, identitas terkelola ID khusus Microsoft Entra dibuat. Selanjutnya, administrator brankas kunci kembali ke brankas kunci Azure dan memberikan akses kebijakan perusahaan/identitas terkelola ke kunci enkripsi.

Administrator brankas kunci kemudian memberikan akses baca admin layanan terhormat Power Platform/Dynamics 365 ke kebijakan perusahaan. Setelah izin baca diberikan, Power Platform admin layanan Dynamics 365 dapat pergi ke Power Platform Pusat Admin dan menambahkan lingkungan ke kebijakan perusahaan. Semua data pelanggan lingkungan yang ditambahkan kemudian dienkripsi dengan kunci yang dikelola pelanggan yang ditautkan ke kebijakan perusahaan ini.

Prasyarat

• Langganan Azure yang menyertakan modul keamanan perangkat keras terkelola Azure Key Vault atau Azure Key Vault.
• ID Microsoft Entra dengan:
  • Izin kontributor untuk Microsoft Entra langganan.
  • Izin untuk membuat Azure Key Vault dan kunci.
  • Akses untuk membuat grup sumber daya. Ini diperlukan untuk menyiapkan brankas kunci.

Membuat kunci dan berikan akses menggunakan Azure Key Vault

Administrator Azure Key Vault melakukan tugas-tugas ini di Azure.

1. Buat langganan berbayar Azure dan Key Vault. Abaikan langkah ini jika Anda sudah memiliki langganan yang menyertakan Azure Key Vault.
2. Buka layanan Azure Key Vault, dan buat kunci. Informasi selengkapnya: Membuat kunci di brankas kunci
3. Aktifkan Power Platform layanan kebijakan perusahaan untuk langganan Azure Anda. Lakukan ini hanya sekali. Informasi selengkapnya: Mengaktifkan Power Platform layanan kebijakan perusahaan untuk langganan Azure Anda
4. Buat Power Platform kebijakan perusahaan. Informasi lebih lanjut: Buat kebijakan perusahaan
5. Berikan izin kebijakan perusahaan untuk mengakses brankas kunci. Informasi selengkapnya: Memberikan izin kebijakan perusahaan untuk mengakses brankas kunci
6. Memberikan Power Platform izin kepada administrator dan Dynamics 365 untuk membaca kebijakan perusahaan. Informasi lebih lanjut: Memberikan Power Platform hak istimewa admin untuk membaca kebijakan perusahaan

Power Platform/Tugas pusat admin admin Power Platform layanan Dynamics 365

Prasyarat

• Power Platform administrator harus ditetapkan ke Power Platform peran administrator Microsoft Entra atau Dynamics 365 Service.

Mengelola enkripsi lingkungan di Power Platform pusat admin

Power Platform Administrator mengelola tugas utama yang dikelola pelanggan yang terkait dengan lingkungan di Power Platform pusat admin.

1. Tambahkan Power Platform lingkungan ke kebijakan perusahaan untuk mengenkripsi data dengan kunci yang dikelola pelanggan. Informasi lebih lanjut: Menambahkan lingkungan ke kebijakan perusahaan untuk mengenkripsi data
2. Hapus lingkungan dari kebijakan perusahaan untuk mengembalikan enkripsi ke kunci yang dikelola Microsoft. Informasi selengkapnya: Hapus lingkungan dari kebijakan untuk kembali ke kunci terkelola Microsoft
3. Ubah kunci dengan menghapus lingkungan dari kebijakan perusahaan lama dan menambahkan lingkungan ke kebijakan perusahaan baru. Informasi lebih lanjut: Membuat kunci enkripsi dan berikan akses
4. Bermigrasi dari BYOK. Jika Anda menggunakan fitur kunci enkripsi yang dikelola sendiri sebelumnya, Anda dapat memigrasikan kunci ke kunci yang dikelola pelanggan. Informasi selengkapnya: Memigrasikan lingkungan bawa kunci Anda sendiri ke kunci yang dikelola pelanggan

Buat kunci enkripsi dan berikan akses

Membuat langganan berbayar Azure dan brankas kunci

Di Azure, lakukan langkah-langkah berikut:

1. Buat Bayar sesuai pemakaian atau langganan Azure yang setara. Langkah ini tidak diperlukan jika penyewa sudah memiliki langganan.

2. Buat grup sumber daya. Informasi selengkapnya: Membuat grup sumber daya

   Catatan

   Membuat atau menggunakan grup sumber daya yang memiliki lokasi, misalnya, AS Tengah, yang cocok dengan Power Platform wilayah lingkungan, seperti Amerika Serikat.

3. Buat brankas kunci menggunakan langganan berbayar yang menyertakan perlindungan penghapusan sementara dan pembersihan dengan grup sumber daya yang Anda buat di langkah sebelumnya.

   Penting

   Untuk memastikan bahwa lingkungan Anda terlindungi dari penghapusan kunci enkripsi yang tidak disengaja, brankas kunci harus mengaktifkan perlindungan penghapusan sementara dan pembersihan permanen. Anda tidak akan dapat mengenkripsi lingkungan Anda dengan kunci Anda sendiri tanpa mengaktifkan pengaturan ini. Informasi selengkapnya:Gambaran umum penghapusan sementara Azure Key Vault Informasi selengkapnya: Membuat brankas kunci menggunakan portal Microsoft Azure

Membuat kunci di brankas kunci

1. Pastikan Anda telah memenuhi prasyarat.
2. Buka portal Azure>Key Vault dan temukan brankas kunci tempat Anda ingin membuat kunci enkripsi.
3. Verifikasi pengaturan brankas kunci Azure:
   1. Pilih Properti di bawah Pengaturan.
   2. Di bawah Hapus lunak, atur atau verifikasi bahwa sudah diatur ke opsi Hapus lunak telah diaktifkan di brankas kunci ini .
   3. Di bawah Perlindungan pembersihan, atur atau verifikasi bahwa Aktifkan perlindungan pembersihan (terapkan periode penyimpanan wajib untuk brankas dan objek brankas yang dihapus) diaktifkan.
   4. Jika Anda membuat perubahan, pilih Simpan.

Buat kunci RSA

1. Buat atau impor kunci yang memiliki properti berikut:

   1. Pada halaman properti Key Vault , pilih Kunci.
   2. Pilih Buat/impor.
   3. Pada layar Buat kunci tetapkan nilai berikut, lalu pilih Buat.
      • Opsi: Hasilkan
      • Nama: Berikan nama untuk kunci tersebut
      • Jenis kunci: RSA
      • Ukuran kunci RSA: 2048 atau 4096

   Penting

   Jika Anda menetapkan tanggal kedaluwarsa dalam kunci Anda dan kunci tersebut kedaluwarsa, semua lingkungan yang dienkripsi dengan kunci ini akan mati. Tetapkan peringatan untuk memantau sertifikat kedaluwarsa dengan pemberitahuan email untuk admin Power Platform lokal dan admin brankas kunci Azure sebagai pengingat untuk memperbarui tanggal kedaluwarsa. Hal ini penting untuk mencegah pemadaman sistem yang tidak direncanakan.

Impor kunci yang dilindungi untuk Modul Keamanan Perangkat Keras (HSM)

Anda dapat menggunakan kunci yang dilindungi untuk modul keamanan perangkat keras (HSM) untuk mengenkripsi Power Platform Dataverse lingkungan Anda. Kunci yang dilindungi HSM harus diimpor ke brankas kunci agar kebijakan Perusahaan dapat dibuat. Untuk informasi selengkapnya, lihat HSM yang DidukungMengimpor kunci yang dilindungi HSM ke Key Vault (BYOK).

Buat kunci di Azure Key Vault Managed HSM

Anda dapat menggunakan kunci enkripsi yang dibuat dari Azure Key Vault Managed HSM untuk mengenkripsi data lingkungan Anda. Ini memberi Anda dukungan FIPS 140-2 Level 3.

Buat kunci RSA-HSM

1. Pastikan Anda telah memenuhi prasyarat.

2. Buka portal Azure.

3. Buat HSM Terkelola:

   1. Sediakan HSM Terkelola.
   2. Aktifkan HSM Terkelola.

4. Aktifkan Perlindungan Pembersihan di HSM Terkelola Anda.

5. Berikan peran Pengguna Kripto HSM Terkelola kepada orang yang membuat brankas kunci HSM Terkelola.

   1. Akses brankas kunci HSM Terkelola di portal Azure.
   2. Navigasi ke RBAC Lokal dan pilih + Tambah.
   3. Pada daftar tarik-turun Peran , pilih peran Pengguna Kripto HSM Terkelola di halaman Penetapan Peran .
   4. Pilih Semua kunci di bawah Cakupan.
   5. Pilih Pilih prinsipal keamanan, lalu pilih admin pada halaman Tambahkan Prinsipal .
   6. Pilih Buat.

6. Buat kunci RSA-HSM:

   • Opsi: Hasilkan
   • Nama: Berikan nama untuk kunci tersebut
   • Jenis kunci: RSA-HSM
   • Ukuran kunci RSA: 2048

   Catatan

   Ukuran kunci RSA-HSM yang didukung: 2048-bit dan 3072-bit.

Enkripsi lingkungan Anda dengan kunci dari Azure Key Vault dengan tautan pribadi

Anda dapat memperbarui jaringan brankas kunci Azure Anda dengan mengaktifkan titik akhir privat dan menggunakan kunci di brankas kunci untuk mengenkripsi Power Platform lingkungan Anda.

Anda dapat membuat brankas kunci baru dan membuat sambungan tautan privat atau membuat sambungan tautan privat ke brankas kunci yang sudah ada, dan membuat kunci dari brankas kunci ini serta menggunakannya untuk mengenkripsi lingkungan Anda. Anda juga dapat membuat koneksi tautan pribadi ke brankas kunci yang ada setelah Anda membuat kunci dan menggunakannya untuk mengenkripsi lingkungan Anda.

Enkripsi data dengan kunci dari brankas kunci dengan tautan pribadi

1. Buat Azure Key Vault dengan opsi berikut:

   • Aktifkan Perlindungan Pembersihan
   • Tipe kunci: RSA
   • Ukuran kunci: 2048 atau 4096

2. Salin URL brankas kunci dan URL kunci enkripsi yang akan digunakan untuk membuat kebijakan perusahaan.

   Catatan

   Setelah Anda menambahkan titik akhir pribadi ke brankas kunci Anda atau menonaktifkan jaringan akses publik, Anda tidak akan dapat melihat kunci tersebut kecuali Anda memiliki izin yang sesuai.

3. Buat jaringan virtual.

4. Kembali ke brankas kunci Anda dan tambahkan koneksi titik akhir privat ke brankas kunci Azure Anda.

   Catatan

   Anda perlu memilih opsi Nonaktifkan akses publik jaringan dan mengaktifkan pengecualian Izinkan layanan Microsoft tepercaya untuk melewati firewall ini.

5. Buat Power Platform kebijakan perusahaan. Informasi lebih lanjut: Buat kebijakan perusahaan

6. Berikan izin kebijakan perusahaan untuk mengakses brankas kunci. Informasi selengkapnya: Memberikan izin kebijakan perusahaan untuk mengakses brankas kunci

7. Memberikan Power Platform izin kepada administrator dan Dynamics 365 untuk membaca kebijakan perusahaan. Informasi lebih lanjut: Memberikan Power Platform hak istimewa admin untuk membaca kebijakan perusahaan

8. Power Platform pusat admin admin memilih lingkungan untuk dienkripsi dan mengaktifkan lingkungan Terkelola. Informasi selengkapnya: Aktifkan Lingkungan terkelola untuk ditambahkan ke kebijakan perusahaan

9. Power Platform pusat admin admin menambahkan lingkungan Terkelola ke kebijakan perusahaan. Informasi lebih lanjut: Menambahkan lingkungan ke kebijakan perusahaan untuk mengenkripsi data

Aktifkan layanan kebijakan perusahaan untuk langganan Azure Anda Power Platform

Daftar Power Platform sebagai penyedia sumber daya. Anda hanya perlu melakukan tugas ini satu kali untuk setiap langganan Azure tempat brankas Kunci Azure Anda berada. Anda perlu memiliki hak akses ke langganan untuk dapat mendaftarkan penyedia sumber daya.

1. Masuk ke portal Azure dan buka Langganan>Penyedia sumber daya.
2. Dalam daftar Penyedia sumber daya, cari Microsoft.PowerPlatform, lalu Daftarkan .

Buat kebijakan perusahaan

1. Instal PowerShell MSI. Informasi selengkapnya: Instal PowerShell di Windows, Linux, dan macOS
2. Setelah PowerShell MSI diinstal, kembali ke Terapkan templat kustom di Azure.
3. Pilih tautan Buat templat Anda sendiri di editor .
4. Salin templat JSON ini ke editor teks seperti Notepad. Informasi selengkapnya: Templat json kebijakan perusahaan
5. Ganti nilai dalam templat JSON untuk: EnterprisePolicyName, lokasi tempat EnterprisePolicy perlu dibuat, keyVaultId, dan keyName. Informasi lebih lanjut: Definisi bidang untuk templat json
6. Salin templat yang diperbarui dari editor teks Anda lalu tempelkan ke Edit templat di Penyebaran kustom di Azure, dan pilih Simpan.
7. Pilih Langganan dan Grup sumber daya tempat kebijakan perusahaan akan dibuat.
8. Pilih Tinjau + buat, lalu pilih Buat.

Suatu penerapan dimulai. Setelah selesai, kebijakan perusahaan dibuat.

Template json kebijakan perusahaan

 {
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {},
    "resources": [
        {
            "type": "Microsoft.PowerPlatform/enterprisePolicies",
            "apiVersion": "2020-10-30",
            "name": {EnterprisePolicyName},
            "location": {location where EnterprisePolicy needs to be created},
            "kind": "Encryption",
            "identity": {
                "type": "SystemAssigned"
            },
            "properties": {
                "lockbox": null,
                "encryption": {
                    "state": "Enabled",
                    "keyVault": {
                        "id": {keyVaultId},
                        "key": {
                            "name": {keyName}
                        }
                    }
                },
                "networkInjection": null
            }
        }
    ]
   }

Definisi bidang untuk templat JSON

• nama. Nama kebijakan perusahaan. Ini adalah nama kebijakan yang muncul di Power Platform pusat admin.

• lokasi. Salah satu dari berikut ini. Ini adalah lokasi kebijakan perusahaan dan harus sesuai dengan wilayah lingkungan: Dataverse

  • "Amerika Serikat"
  • "Afrika Selatan"
  • '"Inggris"'
  • '"Jepang"'
  • '"India"'
  • '"Perancis"'
  • ""eropa""
  • "Jerman"
  • "Swiss"
  • '"Kanada"'
  • '"Brazil"'
  • "Australia"
  • '"Asia"'
  • '"uea"'
  • '"Korea"'
  • '"Norwegia"'
  • "singapura"
  • '"Swedia"'

• Salin nilai-nilai ini dari properti brankas kunci Anda di portal Azure:

  • keyVaultId: Buka Gudang kunci> pilih brankas kunci Anda >Ikhtisar. Di samping Essentials pilih Tampilan JSON. Salin ID Sumber Daya ke papan klip dan tempel seluruh konten ke dalam templat JSON Anda.
  • keyName: Buka Gudang kunci> pilih brankas kunci Anda >Kunci. Perhatikan kunci Nama dan ketik nama tersebut ke dalam templat JSON Anda.

Berikan izin kebijakan perusahaan untuk mengakses brankas kunci

Setelah kebijakan perusahaan dibuat, administrator brankas kunci memberikan akses identitas terkelola kebijakan perusahaan ke kunci enkripsi.

1. Masuk ke portal Azure dan buka Gudang kunci.
2. Pilih brankas kunci tempat kunci ditetapkan pada kebijakan perusahaan.
3. Pilih tab Kontrol akses (IAM) , lalu pilih + Tambah.
4. Pilih Tambahkan penugasan peran dari daftar drop-down,
5. Cari Pengguna Enkripsi Layanan Kripto Key Vault dan pilih.
6. Pilih Selanjutnya.
7. Pilih + Pilih anggota.
8. Cari kebijakan perusahaan yang telah Anda buat.
9. Pilih kebijakan perusahaan, lalu pilih Pilih.
10. Pilih Tinjau + tetapkan.

Berikan hak istimewa admin untuk membaca kebijakan perusahaan Power Platform

Administrator yang memiliki Dynamics 365 atau Power Platform peran administrasi dapat mengakses Power Platform pusat admin untuk menetapkan lingkungan ke kebijakan perusahaan. Untuk mengakses kebijakan perusahaan, admin dengan akses brankas kunci Azure diharuskan memberikan peran Pembaca kepada admin. Setelah peran Pembaca diberikan, administrator dapat melihat kebijakan perusahaan di pusat admin. Power Platform Power Platform Power Platform

Berikan peran pembaca kepada administrator Power Platform

1. Masuk ke portal Azure.
2. Salin ID objek admin Dynamics 365. Power Platform Untuk melakukan ini:
   1. Buka area Pengguna di Azure.
   2. Dalam daftar Semua pengguna , temukan pengguna dengan Power Platform atau izin admin Dynamics 365 menggunakan Cari pengguna.
   3. Buka rekaman pengguna, pada tab Ringkasan salin ID Objek pengguna. Tempelkan ini ke editor teks seperti NotePad untuk nanti.
3. Salin ID sumber daya kebijakan perusahaan. Untuk melakukan ini:
   1. Buka Resource Graph Explorer di Azure.
   2. Masukkan microsoft.powerplatform/enterprisepolicies di kotak Pencarian , lalu pilih sumber daya microsoft.powerplatform/enterprisepolicies .
   3. Pilih Jalankan kueri pada bilah perintah. Daftar semua Power Platform kebijakan perusahaan ditampilkan.
   4. Temukan kebijakan perusahaan tempat Anda ingin memberikan akses.
   5. Gulir ke kanan kebijakan perusahaan dan pilih Lihat detail.
   6. Pada halaman Detail , salin id.
4. Mulai Azure Cloud Shell, lalu jalankan perintah berikut dengan mengganti objId dengan ID objek pengguna dan ID Sumber Daya EP dengan enterprisepolicies ID yang disalin pada langkah sebelumnya: New-AzRoleAssignment -ObjectId { objId} -RoleDefinitionName Reader -Scope {EP Resource Id}

Kelola enkripsi lingkungan

Untuk mengelola enkripsi lingkungan, Anda memerlukan izin berikut:

• Microsoft Entra pengguna aktif yang memiliki peran keamanan admin Power Platform dan/atau Dynamics 365.
• Microsoft Entra pengguna yang memiliki peran admin layanan Dynamics 365. Power Platform

Admin brankas kunci memberi tahu admin bahwa kunci enkripsi dan kebijakan perusahaan telah dibuat dan memberikan kebijakan perusahaan kepada admin. Untuk mengaktifkan kunci yang dikelola pelanggan, admin menetapkan lingkungan mereka ke kebijakan perusahaan. Power Platform Power Platform Power Platform Setelah lingkungan ditetapkan dan disimpan, Dataverse memulai proses enkripsi untuk menetapkan semua data lingkungan, dan mengenkripsinya dengan kunci yang dikelola pelanggan.

Aktifkan lingkungan Terkelola untuk ditambahkan ke kebijakan perusahaan

1. Masuk ke Power Platform pusat admin, dan temukan lingkungannya.
2. Pilih dan periksa lingkungan pada daftar lingkungan.
3. Pilih ikon Aktifkan Lingkungan Terkelola pada bilah tindakan.
4. Klik Aktifkan.

Tambahkan lingkungan ke kebijakan perusahaan untuk mengenkripsi data

1. Masuk ke Power Platform pusat admin, dan buka Kebijakan>Kebijakan perusahaan.
2. Pilih kebijakan, lalu pada bilah perintah pilih Edit.
3. Pilih Tambahkan lingkungan, pilih lingkungan yang Anda inginkan, lalu pilih Lanjutkan.
4. Pilih Simpan, lalu pilih Konfirmasi.

Hapus lingkungan dari kebijakan untuk kembali ke kunci yang dikelola Microsoft

Ikuti langkah-langkah ini jika Anda ingin kembali ke kunci enkripsi yang dikelola Microsoft.

1. Masuk ke Power Platform pusat admin, dan buka Kebijakan>Kebijakan perusahaan.
2. Pilih tab Lingkungan dengan kebijakan , lalu temukan lingkungan yang ingin Anda hapus dari kunci yang dikelola pelanggan.
3. Pilih tab Semua kebijakan , pilih lingkungan yang Anda verifikasi pada langkah 2, lalu pilih Edit kebijakan pada bilah perintah.
4. Pilih Hapus lingkungan pada bilah perintah, pilih lingkungan yang ingin Anda hapus, lalu pilih Lanjutkan.
5. Pilih Simpan.

Tinjau status enkripsi lingkungan

Tinjau status enkripsi dari kebijakan Perusahaan

1. Masuk ke pusat admin Power Platform.

2. Pilih Kebijakan>Kebijakan perusahaan.

3. Pilih kebijakan, lalu pada bilah perintah pilih Edit.

4. Tinjau Status enkripsi lingkungan di bagian Lingkungan dengan kebijakan ini .

   Catatan

   Status enkripsi lingkungan dapat berupa:

   • Terenkripsi - Kunci enkripsi kebijakan Perusahaan aktif dan lingkungan dienkripsi dengan kunci Anda.

   • Gagal - Kunci enkripsi kebijakan Perusahaan tidak digunakan oleh semua Dataverse layanan penyimpanan. Mereka memerlukan lebih banyak waktu untuk diproses dan Anda dapat menjalankan kembali operasi Tambahkan lingkungan . Hubungi Dukungan jika pengulangan gagal.

     Status enkripsi Gagal tidak memengaruhi data lingkungan dan operasinya. Artinya, beberapa Dataverse layanan penyimpanan mengenkripsi data Anda dengan kunci Anda dan beberapa tetap menggunakan kunci yang dikelola Microsoft. Pengembalian tidak disarankan karena saat Anda menjalankan kembali operasi Tambahkan lingkungan , layanan akan dilanjutkan dari titik terakhir yang ditinggalkannya.

   • Peringatan - Kunci enkripsi kebijakan Perusahaan aktif dan salah satu data layanan terus dienkripsi dengan kunci yang dikelola Microsoft. Pelajari lebih lanjut: Power Automate Pesan peringatan aplikasi CMK

Tinjau status enkripsi dari halaman Riwayat Lingkungan

Anda dapat melihat riwayat lingkungan.

1. Masuk ke pusat admin Power Platform.

2. Pilih Lingkungan di panel navigasi, lalu pilih lingkungan dari daftar.

3. Pada bilah perintah, pilih Riwayat.

4. Temukan riwayat untuk Perbarui Kunci yang Dikelola Pelanggan.

   Catatan

   Status menunjukkan Berjalan ketika enkripsi sedang berlangsung. Ini menunjukkan Berhasil ketika enkripsi selesai. Statusnya menunjukkan Gagal ketika ada masalah dengan salah satu layanan yang tidak dapat menerapkan kunci enkripsi.

   Keadaan Gagal dapat berupa peringatan dan Anda tidak perlu menjalankan ulang opsi Tambahkan lingkungan . Anda dapat mengonfirmasi apakah itu peringatan.

Ubah kunci enkripsi lingkungan dengan kebijakan dan kunci perusahaan baru

Untuk mengubah kunci enkripsi Anda, buat kunci baru dan kebijakan perusahaan baru. Anda kemudian dapat mengubah kebijakan perusahaan dengan menghapus lingkungan dan kemudian menambahkan lingkungan ke kebijakan perusahaan yang baru. Sistem mati dua kali saat mengubah ke kebijakan perusahaan baru - 1) untuk mengembalikan enkripsi ke kunci yang Dikelola Microsoft dan 2) untuk menerapkan kebijakan perusahaan baru.

1. Di portal Azure, buat kunci baru dan kebijakan perusahaan baru. Informasi selengkapnya: Buat kunci enkripsi dan berikan akses dan Buat kebijakan perusahaan
2. Setelah kunci dan kebijakan perusahaan baru dibuat, buka Kebijakan>Kebijakan perusahaan.
3. Pilih tab Lingkungan dengan kebijakan , lalu temukan lingkungan yang ingin Anda hapus dari kunci yang dikelola pelanggan.
4. Pilih tab Semua kebijakan , pilih lingkungan yang Anda verifikasi pada langkah 2, lalu pilih Edit kebijakan pada bilah perintah.
5. Pilih Hapus lingkungan pada bilah perintah, pilih lingkungan yang ingin Anda hapus, lalu pilih Lanjutkan.
6. Pilih Simpan.
7. Ulangi langkah 2-6 hingga semua lingkungan dalam kebijakan perusahaan telah dihapus.

1. Setelah semua lingkungan dihapus, dari Power Platform pusat admin, buka Kebijakan perusahaan.
2. Pilih kebijakan perusahaan baru, lalu pilih Edit kebijakan.
3. Pilih Tambahkan lingkungan, pilih lingkungan yang ingin Anda tambahkan, lalu pilih Lanjutkan.

Putar kunci enkripsi lingkungan dengan versi kunci baru

Anda dapat mengubah kunci enkripsi lingkungan dengan membuat versi kunci baru. Saat Anda membuat versi kunci baru, versi kunci baru tersebut diaktifkan secara otomatis. Semua sumber daya penyimpanan mendeteksi versi kunci baru dan mulai menerapkannya untuk mengenkripsi data Anda.

Saat Anda mengubah kunci atau versi kunci, perlindungan kunci enkripsi root berubah, tetapi data dalam penyimpanan selalu tetap dienkripsi dengan kunci Anda. Tidak ada tindakan lain yang perlu Anda lakukan untuk memastikan data Anda terlindungi. Merotasi versi kunci tidak memengaruhi kinerja. Tidak ada waktu henti yang terkait dengan perputaran versi kunci. Diperlukan waktu 24 jam bagi semua penyedia sumber daya untuk menerapkan versi kunci baru di latar belakang. Versi kunci sebelumnya tidak boleh dinonaktifkan karena diperlukan oleh layanan untuk menggunakannya guna melakukan enkripsi ulang dan untuk mendukung pemulihan basis data.

Untuk memutar kunci enkripsi dengan membuat versi kunci baru, gunakan langkah-langkah berikut.

1. Buka portal Azure>Key Vault dan temukan brankas kunci tempat Anda ingin membuat versi kunci baru.
2. Navigasi ke Kunci.
3. Pilih kunci saat ini yang diaktifkan.
4. Pilih + Versi Baru.
5. Pengaturan Diaktifkan secara default adalah Ya, yang berarti bahwa versi kunci baru secara otomatis diaktifkan setelah dibuat.
6. Pilih Buat.

Lihat daftar lingkungan terenkripsi

1. Masuk ke Power Platform pusat admin, dan buka Kebijakan>Kebijakan perusahaan.
2. Pada halaman Kebijakan perusahaan , pilih tab Lingkungan dengan kebijakan . Daftar lingkungan yang ditambahkan ke kebijakan perusahaan akan ditampilkan.

Operasi database lingkungan

Penyewa pelanggan dapat memiliki lingkungan yang dienkripsi menggunakan kunci terkelola Microsoft dan lingkungan yang dienkripsi dengan kunci terkelola pelanggan. Untuk memelihara integritas data dan perlindungan data, kontrol berikut tersedia saat mengelola operasi database lingkungan.

• Pulihkan Lingkungan yang akan ditimpa (lingkungan yang dipulihkan) dibatasi pada lingkungan yang sama tempat cadangan diambil atau ke lingkungan lain yang dienkripsi dengan kunci terkelola pelanggan yang sama.

  

• Salin Lingkungan yang akan ditimpa (lingkungan yang disalin) dibatasi ke lingkungan lain yang dienkripsi dengan kunci terkelola pelanggan yang sama.

  

  Catatan

  Jika lingkungan penyelidikan dukungan dibuat untuk menangani masalah dukungan di lingkungan terkelola pelanggan, kunci enkripsi untuk lingkungan investigasi dukungan harus diubah ke kunci terkelola pelanggan sebelum operasi lingkungan penyalinan dapat dilakukan.

• Reset Data terenkripsi lingkungan dihapus termasuk cadangan. Setelah lingkungan diatur ulang, enkripsi lingkungan akan kembali ke kunci terkelola Microsoft.

Langkah berikutnya

Tentang Azure Key Vault