Mengelola kunci enkripsi yang dikelola pelanggan
Pelanggan memiliki persyaratan privasi dan kepatuhan data untuk mengamankan data mereka dengan mengenkripsi data mereka saat tidak aktif. Ini mengamankan data dari paparan jika salinan database dicuri. Dengan enkripsi data saat tidak aktif, data database yang dicuri dilindungi agar tidak dipulihkan ke server lain tanpa kunci enkripsi.
Semua data pelanggan yang disimpan dienkripsi Power Platform saat tidak aktif dengan kunci enkripsi yang dikelola Microsoft yang kuat secara default. Microsoft menyimpan dan mengelola kunci enkripsi database untuk semua data Anda sehingga Anda tidak perlu melakukannya. Namun, Power Platform menyediakan kunci enkripsi (CMK) yang dikelola pelanggan ini untuk kontrol perlindungan data tambahan Anda di mana Anda dapat mengelola sendiri kunci enkripsi database yang terkait dengan lingkungan Anda Microsoft Dataverse . Hal ini memungkinkan Anda untuk memutar atau menukar kunci enkripsi sesuai permintaan, dan juga memungkinkan Anda mencegah akses Microsoft ke data pelanggan Anda saat Anda mencabut akses kunci ke layanan kami kapan saja.
Untuk mempelajari selengkapnya tentang kunci yang Power Platform dikelola pelanggan, tonton video kunci yang dikelola pelanggan.
Operasi kunci enkripsi ini tersedia dengan kunci yang dikelola pelanggan (CMK):
- Buat kunci RSA (RSA-HSM) dari brankas Azure Key Anda.
- Buat Power Platform kebijakan perusahaan untuk kunci Anda.
- Berikan Power Platform izin kebijakan perusahaan untuk mengakses brankas kunci Anda.
- Berikan Power Platform admin layanan untuk membaca kebijakan perusahaan.
- Terapkan kunci enkripsi ke lingkungan Anda.
- Kembalikan/hapus enkripsi CMK lingkungan ke kunci yang dikelola Microsoft.
- Ubah kunci dengan membuat kebijakan perusahaan baru, menghapus lingkungan dari CMK, dan terapkan kembali CMK dengan kebijakan perusahaan baru.
- Kunci lingkungan CMK dengan mencabut brankas kunci CMK dan/atau izin kunci.
- Memigrasikan lingkungan bawa kunci Anda sendiri (BYOK) ke CMK dengan menerapkan kunci CMK.
Saat ini, semua data pelanggan Anda yang hanya disimpan di aplikasi dan layanan berikut dapat dienkripsi dengan kunci yang dikelola pelanggan:
- Dataverse (Solusi kustom dan layanan Microsoft)
- Dataverse Copilot untuk aplikasi berdasarkan model
- Power Automate
- Obrolan untuk Dynamics 365
- Dynamics 365 Penjualan
- Dynamics 365 Customer Service
- Dynamics 365 Customer Insights - Data
- Dynamics 365 Field Service
- Dynamics 365 Retail
- Dynamics 365 Finance (Keuangan dan operasi)
- Dynamics 365 Intelligent Order Management (Keuangan dan operasi)
- Dynamics 365 Project Operations (Keuangan dan operasi)
- Dynamics 365 Supply Chain Management (Keuangan dan operasi)
- Dynamics 365 Fraud Protection (Keuangan dan operasi)
Catatan
IVR Percakapan Nuance dan Konten Selamat Datang Maker dikecualikan dari enkripsi kunci yang dikelola pelanggan.
Microsoft Copilot Studio menyimpan datanya di penyimpanan mereka sendiri dan di. Microsoft Dataverse Saat Anda menerapkan kunci yang dikelola pelanggan ke lingkungan ini, hanya penyimpanan data yang Microsoft Dataverse dienkripsi dengan kunci Anda. Non-Microsoft Dataverse data terus dienkripsi dengan kunci yang dikelola Microsoft.
Catatan
Pengaturan koneksi untuk konektor akan terus dienkripsi dengan kunci yang dikelola Microsoft.
Hubungi perwakilan untuk layanan yang tidak tercantum di atas untuk informasi tentang dukungan kunci yang dikelola pelanggan.
Catatan
Power Apps nama tampilan, deskripsi, dan metadata koneksi terus dienkripsi dengan kunci yang dikelola Microsoft.
Catatan
Tautan hasil unduhan dan data lain yang dihasilkan oleh penegakan pemeriksa solusi selama pemeriksaan solusi terus dienkripsi dengan kunci yang dikelola Microsoft.
Lingkungan dengan aplikasi keuangan dan operasi di mana Power Platform integrasi diaktifkan juga dapat dienkripsi. Lingkungan keuangan dan operasi tanpa Power Platform integrasi akan terus menggunakan kunci yang dikelola Microsoft default untuk mengenkripsi data. Informasi selengkapnya: Enkripsi di aplikasi keuangan dan operasi
Pengantar kunci yang dikelola pelanggan
Dengan kunci yang dikelola pelanggan, administrator dapat memberikan kunci enkripsi mereka sendiri dari Azure Key Vault mereka sendiri ke Power Platform layanan penyimpanan untuk mengenkripsi data pelanggan mereka. Microsoft tidak memiliki akses langsung ke Azure Key Vault Anda. Agar Power Platform layanan dapat mengakses kunci enkripsi dari Azure Key Vault Anda, administrator membuat Power Platform kebijakan perusahaan, yang mereferensikan kunci enkripsi dan memberikan akses kebijakan perusahaan ini untuk membaca kunci dari Azure Key Vault Anda.
Power Platform Administrator layanan kemudian dapat menambahkan Dataverse lingkungan ke kebijakan perusahaan untuk mulai mengenkripsi semua data pelanggan di lingkungan dengan kunci enkripsi Anda. Administrator dapat mengubah kunci enkripsi lingkungan dengan membuat kebijakan perusahaan lain dan menambahkan lingkungan (setelah menghapusnya) ke kebijakan perusahaan baru. Jika lingkungan tidak lagi perlu dienkripsi menggunakan kunci yang dikelola pelanggan Anda, administrator dapat menghapus Dataverse lingkungan dari kebijakan perusahaan untuk mengembalikan enkripsi data kembali ke kunci yang dikelola Microsoft.
Administrator dapat mengunci lingkungan kunci yang dikelola pelanggan dengan mencabut akses kunci dari kebijakan perusahaan dan membuka kunci lingkungan dengan memulihkan akses kunci. Informasi selengkapnya: Mengunci lingkungan dengan mencabut brankas kunci dan/atau akses izin kunci
Untuk menyederhanakan tugas manajemen utama, tugas-tugas dibagi menjadi tiga area utama:
- Buat kunci enkripsi.
- Buat kebijakan perusahaan dan berikan akses.
- Kelola enkripsi lingkungan.
Peringatan
Saat lingkungan terkunci, lingkungan tersebut tidak dapat diakses oleh siapa pun, termasuk dukungan Microsoft. Lingkungan yang terkunci menjadi dinonaktifkan dan kehilangan data dapat terjadi.
Persyaratan lisensi untuk kunci yang dikelola pelanggan
Kebijakan kunci yang dikelola pelanggan hanya diberlakukan pada lingkungan yang diaktifkan untuk Lingkungan Terkelola. Lingkungan Terkelola disertakan sebagai hak dalam lisensi mandiri Power Apps,, Power Automate, Microsoft Copilot Studio Power Pages, dan Dynamics 365 yang memberikan hak penggunaan premium. Pelajari selengkapnya tentang lisensi Lingkungan Terkelola, dengan gambaran umum Lisensi untuk Microsoft Power Platform.
Selain itu, akses untuk menggunakan kunci yang dikelola pelanggan untuk Microsoft Power Platform dan Dynamics 365 mengharuskan pengguna di lingkungan tempat kebijakan kunci enkripsi diberlakukan untuk memiliki salah satu langganan berikut:
- Microsoft 365 atau Office 365 A5/E5/G5
- Kepatuhan Microsoft 365 A5/E5/F5/G5
- Keamanan dan Kepatuhan Microsoft 365 F5
- Perlindungan Informasi dan Tata Kelola Microsoft 365 A5/E5/F5/G5
- Manajemen Risiko dari Dalam Microsoft 365 A5/E5/F5/G5
Pelajari selengkapnya tentang lisensi ini.
Pahami potensi risiko saat Anda mengelola kunci
Seperti dengan aplikasi penting bisnis, personil dalam organisasi Anda yang memiliki akses tingkat administratif harus terpercaya. Sebelum Anda menggunakan fitur manajemen kunci, Anda harus memahami risiko ketika Anda mengatur kunci enkripsi database Anda. Bisa dibayangkan bahwa administrator jahat (seseorang yang diberikan atau telah memperoleh akses tingkat administrator dengan maksud untuk membahayakan keamanan organisasi atau proses bisnis) yang bekerja dalam organisasi Anda mungkin menggunakan fitur kelola kunci untuk membuat kunci dan menggunakannya untuk mengunci lingkungan Anda di penyewa.
Pertimbangkan urutan peristiwa berikut.
Administrator brankas kunci berbahaya membuat kunci dan kebijakan perusahaan di portal Microsoft Azure. Administrator Azure Key Vault masuk ke Power Platform pusat admin, dan menambahkan lingkungan ke kebijakan perusahaan. Administrator jahat kemudian kembali ke portal Microsoft Azure dan mencabut akses kunci ke kebijakan perusahaan sehingga mengunci semua lingkungan. Hal ini menyebabkan gangguan bisnis karena semua lingkungan menjadi tidak dapat diakses, dan jika peristiwa ini tidak diselesaikan, yaitu, akses kunci dipulihkan, data lingkungan berpotensi hilang.
Catatan
- Azure Key Vault memiliki perlindungan bawaan yang membantu memulihkan kunci, yang memerlukan pengaturan brankas kunci perlindungan Penghapusan Lunak dan Pembersihan diaktifkan.
- Perlindungan lain yang harus dipertimbangkan adalah memastikan bahwa ada pemisahan tugas di mana administrator Azure Key Vault tidak diberikan akses ke Power Platform pusat admin.
Pemisahan tugas untuk memitigasi risiko
Bagian ini menjelaskan tugas fitur utama yang dikelola pelanggan yang menjadi tanggung jawab setiap peran admin. Memisahkan tugas-tugas ini membantu mengurangi risiko yang terlibat dengan kunci yang dikelola pelanggan.
Tugas admin layanan Azure Key Vault dan Power Platform/Dynamics 365
Untuk mengaktifkan kunci yang dikelola pelanggan, pertama-tama administrator brankas kunci membuat kunci di brankas kunci Azure dan membuat Power Platform kebijakan perusahaan. Saat kebijakan perusahaan dibuat, identitas terkelola ID khusus Microsoft Entra dibuat. Selanjutnya, administrator brankas kunci kembali ke brankas kunci Azure dan memberikan akses kebijakan perusahaan/identitas terkelola ke kunci enkripsi.
Administrator brankas kunci kemudian memberikan akses baca admin layanan terhormat Power Platform/Dynamics 365 ke kebijakan perusahaan. Setelah izin baca diberikan, Power Platform admin layanan Dynamics 365 dapat pergi ke Power Platform Pusat Admin dan menambahkan lingkungan ke kebijakan perusahaan. Semua data pelanggan lingkungan yang ditambahkan kemudian dienkripsi dengan kunci yang dikelola pelanggan yang ditautkan ke kebijakan perusahaan ini.
Prasyarat
- Langganan Azure yang menyertakan modul keamanan perangkat keras terkelola Azure Key Vault atau Azure Key Vault.
- ID Microsoft Entra dengan:
- Izin kontributor untuk Microsoft Entra langganan.
- Izin untuk membuat Azure Key Vault dan kunci.
- Akses untuk membuat grup sumber daya. Ini diperlukan untuk menyiapkan brankas kunci.
Membuat kunci dan berikan akses menggunakan Azure Key Vault
Administrator Azure Key Vault melakukan tugas-tugas ini di Azure.
- Buat langganan berbayar Azure dan Key Vault. Abaikan langkah ini jika Anda sudah memiliki langganan yang menyertakan Azure Key Vault.
- Buka layanan Azure Key Vault, dan buat kunci. Informasi selengkapnya: Membuat kunci di brankas kunci
- Aktifkan Power Platform layanan kebijakan perusahaan untuk langganan Azure Anda. Lakukan ini hanya sekali. Informasi selengkapnya: Mengaktifkan Power Platform layanan kebijakan perusahaan untuk langganan Azure Anda
- Buat Power Platform kebijakan perusahaan. Informasi lebih lanjut: Buat kebijakan perusahaan
- Berikan izin kebijakan perusahaan untuk mengakses brankas kunci. Informasi selengkapnya: Memberikan izin kebijakan perusahaan untuk mengakses brankas kunci
- Memberikan Power Platform izin kepada administrator dan Dynamics 365 untuk membaca kebijakan perusahaan. Informasi lebih lanjut: Memberikan Power Platform hak istimewa admin untuk membaca kebijakan perusahaan
Power Platform/Tugas pusat admin admin Power Platform layanan Dynamics 365
Prasyarat
- Power Platform administrator harus ditetapkan ke Power Platform peran administrator Microsoft Entra atau Dynamics 365 Service.
Mengelola enkripsi lingkungan di Power Platform pusat admin
Power Platform Administrator mengelola tugas utama yang dikelola pelanggan yang terkait dengan lingkungan di Power Platform pusat admin.
- Tambahkan Power Platform lingkungan ke kebijakan perusahaan untuk mengenkripsi data dengan kunci yang dikelola pelanggan. Informasi lebih lanjut: Menambahkan lingkungan ke kebijakan perusahaan untuk mengenkripsi data
- Hapus lingkungan dari kebijakan perusahaan untuk mengembalikan enkripsi ke kunci yang dikelola Microsoft. Informasi selengkapnya: Hapus lingkungan dari kebijakan untuk kembali ke kunci terkelola Microsoft
- Ubah kunci dengan menghapus lingkungan dari kebijakan perusahaan lama dan menambahkan lingkungan ke kebijakan perusahaan baru. Informasi lebih lanjut: Membuat kunci enkripsi dan berikan akses
- Bermigrasi dari BYOK. Jika Anda menggunakan fitur kunci enkripsi yang dikelola sendiri sebelumnya, Anda dapat memigrasikan kunci ke kunci yang dikelola pelanggan. Informasi selengkapnya: Memigrasikan lingkungan bawa kunci Anda sendiri ke kunci yang dikelola pelanggan
Buat kunci enkripsi dan berikan akses
Membuat langganan berbayar Azure dan brankas kunci
Di Azure, lakukan langkah-langkah berikut:
Buat Bayar sesuai pemakaian atau langganan Azure yang setara. Langkah ini tidak diperlukan jika penyewa sudah memiliki langganan.
Buat grup sumber daya. Informasi selengkapnya: Membuat grup sumber daya
Catatan
Membuat atau menggunakan grup sumber daya yang memiliki lokasi, misalnya, AS Tengah, yang cocok dengan Power Platform wilayah lingkungan, seperti Amerika Serikat.
Buat brankas kunci menggunakan langganan berbayar yang menyertakan perlindungan penghapusan sementara dan pembersihan dengan grup sumber daya yang Anda buat di langkah sebelumnya.
Penting
Untuk memastikan bahwa lingkungan Anda terlindungi dari penghapusan kunci enkripsi yang tidak disengaja, brankas kunci harus mengaktifkan perlindungan penghapusan sementara dan pembersihan permanen. Anda tidak akan dapat mengenkripsi lingkungan Anda dengan kunci Anda sendiri tanpa mengaktifkan pengaturan ini. Informasi selengkapnya:Gambaran umum penghapusan sementara Azure Key Vault Informasi selengkapnya: Membuat brankas kunci menggunakan portal Microsoft Azure
Membuat kunci di brankas kunci
- Pastikan Anda telah memenuhi prasyarat.
- Buka portal Azure>Key Vault dan temukan brankas kunci tempat Anda ingin membuat kunci enkripsi.
- Verifikasi pengaturan brankas kunci Azure:
- Pilih Properti di bawah Pengaturan.
- Di bawah Hapus lunak, atur atau verifikasi bahwa sudah diatur ke opsi Hapus lunak telah diaktifkan di brankas kunci ini .
- Di bawah Perlindungan pembersihan, atur atau verifikasi bahwa Aktifkan perlindungan pembersihan (terapkan periode penyimpanan wajib untuk brankas dan objek brankas yang dihapus) diaktifkan.
- Jika Anda membuat perubahan, pilih Simpan.
Buat kunci RSA
Buat atau impor kunci yang memiliki properti berikut:
- Pada halaman properti Key Vault , pilih Kunci.
- Pilih Buat/impor.
- Pada layar Buat kunci tetapkan nilai berikut, lalu pilih Buat.
- Opsi: Hasilkan
- Nama: Berikan nama untuk kunci tersebut
- Jenis kunci: RSA
- Ukuran kunci RSA: 2048 atau 4096
Penting
Jika Anda menetapkan tanggal kedaluwarsa dalam kunci Anda dan kunci tersebut kedaluwarsa, semua lingkungan yang dienkripsi dengan kunci ini akan mati. Tetapkan peringatan untuk memantau sertifikat kedaluwarsa dengan pemberitahuan email untuk admin Power Platform lokal dan admin brankas kunci Azure sebagai pengingat untuk memperbarui tanggal kedaluwarsa. Hal ini penting untuk mencegah pemadaman sistem yang tidak direncanakan.
Impor kunci yang dilindungi untuk Modul Keamanan Perangkat Keras (HSM)
Anda dapat menggunakan kunci yang dilindungi untuk modul keamanan perangkat keras (HSM) untuk mengenkripsi Power Platform Dataverse lingkungan Anda. Kunci yang dilindungi HSM harus diimpor ke brankas kunci agar kebijakan Perusahaan dapat dibuat. Untuk informasi selengkapnya, lihat HSM yang DidukungMengimpor kunci yang dilindungi HSM ke Key Vault (BYOK).
Buat kunci di Azure Key Vault Managed HSM
Anda dapat menggunakan kunci enkripsi yang dibuat dari Azure Key Vault Managed HSM untuk mengenkripsi data lingkungan Anda. Ini memberi Anda dukungan FIPS 140-2 Level 3.
Buat kunci RSA-HSM
Pastikan Anda telah memenuhi prasyarat.
Buka portal Azure.
Buat HSM Terkelola:
Aktifkan Perlindungan Pembersihan di HSM Terkelola Anda.
Berikan peran Pengguna Kripto HSM Terkelola kepada orang yang membuat brankas kunci HSM Terkelola.
- Akses brankas kunci HSM Terkelola di portal Azure.
- Navigasi ke RBAC Lokal dan pilih + Tambah.
- Pada daftar tarik-turun Peran , pilih peran Pengguna Kripto HSM Terkelola di halaman Penetapan Peran .
- Pilih Semua kunci di bawah Cakupan.
- Pilih Pilih prinsipal keamanan, lalu pilih admin pada halaman Tambahkan Prinsipal .
- Pilih Buat.
Buat kunci RSA-HSM:
- Opsi: Hasilkan
- Nama: Berikan nama untuk kunci tersebut
- Jenis kunci: RSA-HSM
- Ukuran kunci RSA: 2048
Catatan
Ukuran kunci RSA-HSM yang didukung: 2048-bit dan 3072-bit.
Enkripsi lingkungan Anda dengan kunci dari Azure Key Vault dengan tautan pribadi
Anda dapat memperbarui jaringan brankas kunci Azure Anda dengan mengaktifkan titik akhir privat dan menggunakan kunci di brankas kunci untuk mengenkripsi Power Platform lingkungan Anda.
Anda dapat membuat brankas kunci baru dan membuat sambungan tautan privat atau membuat sambungan tautan privat ke brankas kunci yang sudah ada, dan membuat kunci dari brankas kunci ini serta menggunakannya untuk mengenkripsi lingkungan Anda. Anda juga dapat membuat koneksi tautan pribadi ke brankas kunci yang ada setelah Anda membuat kunci dan menggunakannya untuk mengenkripsi lingkungan Anda.
Enkripsi data dengan kunci dari brankas kunci dengan tautan pribadi
Buat Azure Key Vault dengan opsi berikut:
- Aktifkan Perlindungan Pembersihan
- Tipe kunci: RSA
- Ukuran kunci: 2048 atau 4096
Salin URL brankas kunci dan URL kunci enkripsi yang akan digunakan untuk membuat kebijakan perusahaan.
Catatan
Setelah Anda menambahkan titik akhir pribadi ke brankas kunci Anda atau menonaktifkan jaringan akses publik, Anda tidak akan dapat melihat kunci tersebut kecuali Anda memiliki izin yang sesuai.
Buat jaringan virtual.
Kembali ke brankas kunci Anda dan tambahkan koneksi titik akhir privat ke brankas kunci Azure Anda.
Catatan
Anda perlu memilih opsi Nonaktifkan akses publik jaringan dan mengaktifkan pengecualian Izinkan layanan Microsoft tepercaya untuk melewati firewall ini.
Buat Power Platform kebijakan perusahaan. Informasi lebih lanjut: Buat kebijakan perusahaan
Berikan izin kebijakan perusahaan untuk mengakses brankas kunci. Informasi selengkapnya: Memberikan izin kebijakan perusahaan untuk mengakses brankas kunci
Memberikan Power Platform izin kepada administrator dan Dynamics 365 untuk membaca kebijakan perusahaan. Informasi lebih lanjut: Memberikan Power Platform hak istimewa admin untuk membaca kebijakan perusahaan
Power Platform pusat admin admin memilih lingkungan untuk dienkripsi dan mengaktifkan lingkungan Terkelola. Informasi selengkapnya: Aktifkan Lingkungan terkelola untuk ditambahkan ke kebijakan perusahaan
Power Platform pusat admin admin menambahkan lingkungan Terkelola ke kebijakan perusahaan. Informasi lebih lanjut: Menambahkan lingkungan ke kebijakan perusahaan untuk mengenkripsi data
Aktifkan layanan kebijakan perusahaan untuk langganan Azure Anda Power Platform
Daftar Power Platform sebagai penyedia sumber daya. Anda hanya perlu melakukan tugas ini satu kali untuk setiap langganan Azure tempat brankas Kunci Azure Anda berada. Anda perlu memiliki hak akses ke langganan untuk dapat mendaftarkan penyedia sumber daya.
- Masuk ke portal Azure dan buka Langganan>Penyedia sumber daya.
- Dalam daftar Penyedia sumber daya, cari Microsoft.PowerPlatform, lalu Daftarkan .
Buat kebijakan perusahaan
- Instal PowerShell MSI. Informasi selengkapnya: Instal PowerShell di Windows, Linux, dan macOS
- Setelah PowerShell MSI diinstal, kembali ke Terapkan templat kustom di Azure.
- Pilih tautan Buat templat Anda sendiri di editor .
- Salin templat JSON ini ke editor teks seperti Notepad. Informasi selengkapnya: Templat json kebijakan perusahaan
- Ganti nilai dalam templat JSON untuk: EnterprisePolicyName, lokasi tempat EnterprisePolicy perlu dibuat, keyVaultId, dan keyName. Informasi lebih lanjut: Definisi bidang untuk templat json
- Salin templat yang diperbarui dari editor teks Anda lalu tempelkan ke Edit templat di Penyebaran kustom di Azure, dan pilih Simpan.
- Pilih Langganan dan Grup sumber daya tempat kebijakan perusahaan akan dibuat.
- Pilih Tinjau + buat, lalu pilih Buat.
Suatu penerapan dimulai. Setelah selesai, kebijakan perusahaan dibuat.
Template json kebijakan perusahaan
{
"$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
"contentVersion": "1.0.0.0",
"parameters": {},
"resources": [
{
"type": "Microsoft.PowerPlatform/enterprisePolicies",
"apiVersion": "2020-10-30",
"name": {EnterprisePolicyName},
"location": {location where EnterprisePolicy needs to be created},
"kind": "Encryption",
"identity": {
"type": "SystemAssigned"
},
"properties": {
"lockbox": null,
"encryption": {
"state": "Enabled",
"keyVault": {
"id": {keyVaultId},
"key": {
"name": {keyName}
}
}
},
"networkInjection": null
}
}
]
}
Definisi bidang untuk templat JSON
nama. Nama kebijakan perusahaan. Ini adalah nama kebijakan yang muncul di Power Platform pusat admin.
lokasi. Salah satu dari berikut ini. Ini adalah lokasi kebijakan perusahaan dan harus sesuai dengan wilayah lingkungan: Dataverse
- "Amerika Serikat"
- "Afrika Selatan"
- '"Inggris"'
- '"Jepang"'
- '"India"'
- '"Perancis"'
- ""eropa""
- "Jerman"
- "Swiss"
- '"Kanada"'
- '"Brazil"'
- "Australia"
- '"Asia"'
- '"uea"'
- '"Korea"'
- '"Norwegia"'
- "singapura"
- '"Swedia"'
Salin nilai-nilai ini dari properti brankas kunci Anda di portal Azure:
- keyVaultId: Buka Gudang kunci> pilih brankas kunci Anda >Ikhtisar. Di samping Essentials pilih Tampilan JSON. Salin ID Sumber Daya ke papan klip dan tempel seluruh konten ke dalam templat JSON Anda.
- keyName: Buka Gudang kunci> pilih brankas kunci Anda >Kunci. Perhatikan kunci Nama dan ketik nama tersebut ke dalam templat JSON Anda.
Berikan izin kebijakan perusahaan untuk mengakses brankas kunci
Setelah kebijakan perusahaan dibuat, administrator brankas kunci memberikan akses identitas terkelola kebijakan perusahaan ke kunci enkripsi.
- Masuk ke portal Azure dan buka Gudang kunci.
- Pilih brankas kunci tempat kunci ditetapkan pada kebijakan perusahaan.
- Pilih tab Kontrol akses (IAM) , lalu pilih + Tambah.
- Pilih Tambahkan penugasan peran dari daftar drop-down,
- Cari Pengguna Enkripsi Layanan Kripto Key Vault dan pilih.
- Pilih Selanjutnya.
- Pilih + Pilih anggota.
- Cari kebijakan perusahaan yang telah Anda buat.
- Pilih kebijakan perusahaan, lalu pilih Pilih.
- Pilih Tinjau + tetapkan.
Catatan
Pengaturan izin di atas didasarkan pada Model Izin kontrol akses berbasis peran Azure brankas kunci Anda. Jika brankas kunci Anda diatur ke Kebijakan akses brankas, sebaiknya Anda bermigrasi ke model berbasis peran. Untuk memberikan akses kebijakan perusahaan Anda ke brankas kunci menggunakan Kebijakan akses brankas, buat kebijakan Akses, pilih Dapatkan aktifkan Operasi manajemen kunci dan Buka bungkus kunci dan Bungkus kunci aktifkan Operasi Kriptografi.
Catatan
Untuk mencegah pemadaman sistem yang tidak direncanakan, penting bagi kebijakan perusahaan untuk memiliki akses ke kunci tersebut. Pastikan:
- Gudang kunci aktif.
- Kuncinya aktif dan belum kedaluwarsa.
- Kuncinya tidak dihapus.
- Izin kunci di atas tidak dicabut.
Lingkungan yang menggunakan kunci ini dinonaktifkan saat kunci enkripsi tidak dapat diakses.
Berikan hak istimewa admin untuk membaca kebijakan perusahaan Power Platform
Administrator yang memiliki Dynamics 365 atau Power Platform peran administrasi dapat mengakses Power Platform pusat admin untuk menetapkan lingkungan ke kebijakan perusahaan. Untuk mengakses kebijakan perusahaan, admin dengan akses brankas kunci Azure diharuskan memberikan peran Pembaca kepada admin. Setelah peran Pembaca diberikan, administrator dapat melihat kebijakan perusahaan di pusat admin. Power Platform Power Platform Power Platform
Catatan
Hanya administrator Dynamics 365 yang diberi peran pembaca pada kebijakan perusahaan yang dapat menambahkan lingkungan ke kebijakan tersebut. Power Platform Administrator lain Power Platform atau Dynamics 365 mungkin dapat melihat kebijakan perusahaan tetapi mereka mendapatkan kesalahan saat mencoba Menambahkan lingkungan ke kebijakan.
Berikan peran pembaca kepada administrator Power Platform
- Masuk ke portal Azure.
- Salin ID objek admin Dynamics 365. Power Platform Untuk melakukan ini:
- Buka area Pengguna di Azure.
- Dalam daftar Semua pengguna , temukan pengguna dengan Power Platform atau izin admin Dynamics 365 menggunakan Cari pengguna.
- Buka rekaman pengguna, pada tab Ringkasan salin ID Objek pengguna. Tempelkan ini ke editor teks seperti NotePad untuk nanti.
- Salin ID sumber daya kebijakan perusahaan. Untuk melakukan ini:
- Buka Resource Graph Explorer di Azure.
- Masukkan
microsoft.powerplatform/enterprisepolicies
di kotak Pencarian , lalu pilih sumber daya microsoft.powerplatform/enterprisepolicies . - Pilih Jalankan kueri pada bilah perintah. Daftar semua Power Platform kebijakan perusahaan ditampilkan.
- Temukan kebijakan perusahaan tempat Anda ingin memberikan akses.
- Gulir ke kanan kebijakan perusahaan dan pilih Lihat detail.
- Pada halaman Detail , salin id.
- Mulai Azure Cloud Shell, lalu jalankan perintah berikut dengan mengganti objId dengan ID objek pengguna dan ID Sumber Daya EP dengan
enterprisepolicies
ID yang disalin pada langkah sebelumnya:New-AzRoleAssignment -ObjectId { objId} -RoleDefinitionName Reader -Scope {EP Resource Id}
Kelola enkripsi lingkungan
Untuk mengelola enkripsi lingkungan, Anda memerlukan izin berikut:
- Microsoft Entra pengguna aktif yang memiliki peran keamanan admin Power Platform dan/atau Dynamics 365.
- Microsoft Entra pengguna yang memiliki peran admin layanan Dynamics 365. Power Platform
Admin brankas kunci memberi tahu admin bahwa kunci enkripsi dan kebijakan perusahaan telah dibuat dan memberikan kebijakan perusahaan kepada admin. Untuk mengaktifkan kunci yang dikelola pelanggan, admin menetapkan lingkungan mereka ke kebijakan perusahaan. Power Platform Power Platform Power Platform Setelah lingkungan ditetapkan dan disimpan, Dataverse memulai proses enkripsi untuk menetapkan semua data lingkungan, dan mengenkripsinya dengan kunci yang dikelola pelanggan.
Aktifkan lingkungan Terkelola untuk ditambahkan ke kebijakan perusahaan
- Masuk ke Power Platform pusat admin, dan temukan lingkungannya.
- Pilih dan periksa lingkungan pada daftar lingkungan.
- Pilih ikon Aktifkan Lingkungan Terkelola pada bilah tindakan.
- Klik Aktifkan.
Tambahkan lingkungan ke kebijakan perusahaan untuk mengenkripsi data
Penting
Lingkungan dinonaktifkan saat ditambahkan ke kebijakan perusahaan untuk enkripsi data.
- Masuk ke Power Platform pusat admin, dan buka Kebijakan>Kebijakan perusahaan.
- Pilih kebijakan, lalu pada bilah perintah pilih Edit.
- Pilih Tambahkan lingkungan, pilih lingkungan yang Anda inginkan, lalu pilih Lanjutkan.
- Pilih Simpan, lalu pilih Konfirmasi.
Penting
- Hanya lingkungan yang berada di wilayah yang sama dengan kebijakan perusahaan yang ditampilkan dalam daftar Tambahkan lingkungan .
- Enkripsi dapat memakan waktu hingga empat hari untuk diselesaikan, tetapi lingkungan mungkin diaktifkan sebelum operasi Tambahkan lingkungan selesai.
- Operasi mungkin tidak selesai dan jika gagal, data Anda terus dienkripsi dengan kunci yang dikelola Microsoft. Anda dapat menjalankan kembali operasi Tambahkan lingkungan lagi.
Catatan
Anda hanya dapat menambahkan lingkungan yang diaktifkan sebagai Lingkungan Terkelola. Jenis lingkungan Uji Coba dan Tim tidak dapat ditambahkan ke kebijakan perusahaan.
Hapus lingkungan dari kebijakan untuk kembali ke kunci yang dikelola Microsoft
Ikuti langkah-langkah ini jika Anda ingin kembali ke kunci enkripsi yang dikelola Microsoft.
Penting
Lingkungan dinonaktifkan saat dihapus dari kebijakan perusahaan untuk mengembalikan enkripsi data menggunakan kunci yang dikelola Microsoft.
- Masuk ke Power Platform pusat admin, dan buka Kebijakan>Kebijakan perusahaan.
- Pilih tab Lingkungan dengan kebijakan , lalu temukan lingkungan yang ingin Anda hapus dari kunci yang dikelola pelanggan.
- Pilih tab Semua kebijakan , pilih lingkungan yang Anda verifikasi pada langkah 2, lalu pilih Edit kebijakan pada bilah perintah.
- Pilih Hapus lingkungan pada bilah perintah, pilih lingkungan yang ingin Anda hapus, lalu pilih Lanjutkan.
- Pilih Simpan.
Penting
Lingkungan dinonaktifkan saat dihapus dari kebijakan perusahaan untuk mengembalikan enkripsi data ke kunci yang dikelola Microsoft. Jangan menghapus atau menonaktifkan kunci, menghapus atau menonaktifkan brankas kunci, atau menghapus izin kebijakan perusahaan pada brankas kunci. Kunci dan akses brankas kunci diperlukan untuk mendukung pemulihan basis data. Anda dapat menghapus dan mencabut izin kebijakan perusahaan setelah 30 hari.
Tinjau status enkripsi lingkungan
Tinjau status enkripsi dari kebijakan Perusahaan
Masuk ke pusat admin Power Platform.
Pilih Kebijakan>Kebijakan perusahaan.
Pilih kebijakan, lalu pada bilah perintah pilih Edit.
Tinjau Status enkripsi lingkungan di bagian Lingkungan dengan kebijakan ini .
Catatan
Status enkripsi lingkungan dapat berupa:
Terenkripsi - Kunci enkripsi kebijakan Perusahaan aktif dan lingkungan dienkripsi dengan kunci Anda.
Gagal - Kunci enkripsi kebijakan Perusahaan tidak digunakan oleh semua Dataverse layanan penyimpanan. Mereka memerlukan lebih banyak waktu untuk diproses dan Anda dapat menjalankan kembali operasi Tambahkan lingkungan . Hubungi Dukungan jika pengulangan gagal.
Status enkripsi Gagal tidak memengaruhi data lingkungan dan operasinya. Artinya, beberapa Dataverse layanan penyimpanan mengenkripsi data Anda dengan kunci Anda dan beberapa tetap menggunakan kunci yang dikelola Microsoft. Pengembalian tidak disarankan karena saat Anda menjalankan kembali operasi Tambahkan lingkungan , layanan akan dilanjutkan dari titik terakhir yang ditinggalkannya.
Peringatan - Kunci enkripsi kebijakan Perusahaan aktif dan salah satu data layanan terus dienkripsi dengan kunci yang dikelola Microsoft. Pelajari lebih lanjut: Power Automate Pesan peringatan aplikasi CMK
Tinjau status enkripsi dari halaman Riwayat Lingkungan
Anda dapat melihat riwayat lingkungan.
Masuk ke pusat admin Power Platform.
Pilih Lingkungan di panel navigasi, lalu pilih lingkungan dari daftar.
Pada bilah perintah, pilih Riwayat.
Temukan riwayat untuk Perbarui Kunci yang Dikelola Pelanggan.
Catatan
Status menunjukkan Berjalan ketika enkripsi sedang berlangsung. Ini menunjukkan Berhasil ketika enkripsi selesai. Statusnya menunjukkan Gagal ketika ada masalah dengan salah satu layanan yang tidak dapat menerapkan kunci enkripsi.
Keadaan Gagal dapat berupa peringatan dan Anda tidak perlu menjalankan ulang opsi Tambahkan lingkungan . Anda dapat mengonfirmasi apakah itu peringatan.
Ubah kunci enkripsi lingkungan dengan kebijakan dan kunci perusahaan baru
Untuk mengubah kunci enkripsi Anda, buat kunci baru dan kebijakan perusahaan baru. Anda kemudian dapat mengubah kebijakan perusahaan dengan menghapus lingkungan dan kemudian menambahkan lingkungan ke kebijakan perusahaan yang baru. Sistem mati dua kali saat mengubah ke kebijakan perusahaan baru - 1) untuk mengembalikan enkripsi ke kunci yang Dikelola Microsoft dan 2) untuk menerapkan kebijakan perusahaan baru.
Tip
Untuk memutar kunci enkripsi, sebaiknya gunakan Versi baru Gudang Kunci atau tetapkan Kebijakan Rotasi.
- Di portal Azure, buat kunci baru dan kebijakan perusahaan baru. Informasi selengkapnya: Buat kunci enkripsi dan berikan akses dan Buat kebijakan perusahaan
- Setelah kunci dan kebijakan perusahaan baru dibuat, buka Kebijakan>Kebijakan perusahaan.
- Pilih tab Lingkungan dengan kebijakan , lalu temukan lingkungan yang ingin Anda hapus dari kunci yang dikelola pelanggan.
- Pilih tab Semua kebijakan , pilih lingkungan yang Anda verifikasi pada langkah 2, lalu pilih Edit kebijakan pada bilah perintah.
- Pilih Hapus lingkungan pada bilah perintah, pilih lingkungan yang ingin Anda hapus, lalu pilih Lanjutkan.
- Pilih Simpan.
- Ulangi langkah 2-6 hingga semua lingkungan dalam kebijakan perusahaan telah dihapus.
Penting
Lingkungan dinonaktifkan saat dihapus dari kebijakan perusahaan untuk mengembalikan enkripsi data ke kunci yang dikelola Microsoft. Jangan menghapus atau menonaktifkan kunci, menghapus atau menonaktifkan brankas kunci, atau menghapus izin kebijakan perusahaan pada brankas kunci. Kunci dan akses brankas kunci diperlukan untuk mendukung pemulihan basis data. Anda dapat menghapus dan mencabut izin kebijakan perusahaan setelah 30 hari.
- Setelah semua lingkungan dihapus, dari Power Platform pusat admin, buka Kebijakan perusahaan.
- Pilih kebijakan perusahaan baru, lalu pilih Edit kebijakan.
- Pilih Tambahkan lingkungan, pilih lingkungan yang ingin Anda tambahkan, lalu pilih Lanjutkan.
Penting
Lingkungan dinonaktifkan saat ditambahkan ke kebijakan perusahaan baru.
Putar kunci enkripsi lingkungan dengan versi kunci baru
Anda dapat mengubah kunci enkripsi lingkungan dengan membuat versi kunci baru. Saat Anda membuat versi kunci baru, versi kunci baru tersebut diaktifkan secara otomatis. Semua sumber daya penyimpanan mendeteksi versi kunci baru dan mulai menerapkannya untuk mengenkripsi data Anda.
Saat Anda mengubah kunci atau versi kunci, perlindungan kunci enkripsi root berubah, tetapi data dalam penyimpanan selalu tetap dienkripsi dengan kunci Anda. Tidak ada tindakan lain yang perlu Anda lakukan untuk memastikan data Anda terlindungi. Merotasi versi kunci tidak memengaruhi kinerja. Tidak ada waktu henti yang terkait dengan perputaran versi kunci. Diperlukan waktu 24 jam bagi semua penyedia sumber daya untuk menerapkan versi kunci baru di latar belakang. Versi kunci sebelumnya tidak boleh dinonaktifkan karena diperlukan oleh layanan untuk menggunakannya guna melakukan enkripsi ulang dan untuk mendukung pemulihan basis data.
Untuk memutar kunci enkripsi dengan membuat versi kunci baru, gunakan langkah-langkah berikut.
- Buka portal Azure>Key Vault dan temukan brankas kunci tempat Anda ingin membuat versi kunci baru.
- Navigasi ke Kunci.
- Pilih kunci saat ini yang diaktifkan.
- Pilih + Versi Baru.
- Pengaturan Diaktifkan secara default adalah Ya, yang berarti bahwa versi kunci baru secara otomatis diaktifkan setelah dibuat.
- Pilih Buat.
Tip
Untuk mematuhi kebijakan rotasi kunci Anda, Anda dapat merotasi kunci enkripsi menggunakan Kebijakan rotasi. Anda dapat mengonfigurasi kebijakan rotasi atau memutar, sesuai permintaan, dengan memanggil Putar sekarang.
Penting
Versi kunci baru secara otomatis diputar di latar belakang dan tidak ada tindakan yang diperlukan oleh Power Platform admin. Penting bahwa versi kunci sebelumnya tidak boleh dinonaktifkan atau dihapus, setidaknya selama 28 hari untuk mendukung pemulihan basis data. Menonaktifkan atau menghapus versi kunci sebelumnya terlalu dini dapat membuat lingkungan Anda offline.
Lihat daftar lingkungan terenkripsi
- Masuk ke Power Platform pusat admin, dan buka Kebijakan>Kebijakan perusahaan.
- Pada halaman Kebijakan perusahaan , pilih tab Lingkungan dengan kebijakan . Daftar lingkungan yang ditambahkan ke kebijakan perusahaan akan ditampilkan.
Catatan
Mungkin ada situasi di mana status Lingkungan atau status Enkripsi menunjukkan status Gagal . Jika hal ini terjadi, Anda dapat mencoba menjalankan kembali operasi Tambahkan lingkungan atau mengirimkan permintaan Dukungan Microsoft untuk mendapatkan bantuan.
Operasi database lingkungan
Penyewa pelanggan dapat memiliki lingkungan yang dienkripsi menggunakan kunci terkelola Microsoft dan lingkungan yang dienkripsi dengan kunci terkelola pelanggan. Untuk memelihara integritas data dan perlindungan data, kontrol berikut tersedia saat mengelola operasi database lingkungan.
Pulihkan Lingkungan yang akan ditimpa (lingkungan yang dipulihkan) dibatasi pada lingkungan yang sama tempat cadangan diambil atau ke lingkungan lain yang dienkripsi dengan kunci terkelola pelanggan yang sama.
Salin Lingkungan yang akan ditimpa (lingkungan yang disalin) dibatasi ke lingkungan lain yang dienkripsi dengan kunci terkelola pelanggan yang sama.
Catatan
Jika lingkungan penyelidikan dukungan dibuat untuk menangani masalah dukungan di lingkungan terkelola pelanggan, kunci enkripsi untuk lingkungan investigasi dukungan harus diubah ke kunci terkelola pelanggan sebelum operasi lingkungan penyalinan dapat dilakukan.
Reset Data terenkripsi lingkungan dihapus termasuk cadangan. Setelah lingkungan diatur ulang, enkripsi lingkungan akan kembali ke kunci terkelola Microsoft.