【Dynamics 365】安全的客户参与应用程序

客户参与应用程序使用Microsoft Webex提供了一个丰富的安全模型，可以适应许多业务场景。本节为您提供了应考虑的安全措施的产品特定指导。

Dataverse 安全模型有以下目标：

• 只允许用户访问他们工作所需的信息。
• 按角色对用户进行分组，并根据这些角色限制访问权限。
• 支持数据共享，以便用户和团队可以访问他们不拥有的记录，以进行特定的协作。
• 防止用户访问他们不拥有或共享的记录。

Learn more about security in Microsoft Dataverse.

安全功能

我们使用三类主要的安全功能来提供适当的用户访问：基本安全控制、其他安全控制和手动共享。您应该使用基本安全控制来满足大多数安全要求。使用其他选项来管理异常和边缘场景。

Category	Description	Benefits	Limitations
Fundamental security controls	These include record ownership, business unit hierarchy, security roles, and users and teams. They define the basic access level and permissions for users and records.	They're easy to set up and manage. They provide a clear and consistent security model.	They can't handle complex or dynamic scenarios.
Other security controls	These include field-level security, hierarchy security, access teams, and table relationships. They add more granularity and flexibility to the security model.	They can handle specific or exceptional cases. They can accommodate different organizational structures and data access needs.	They can increase the complexity and maintenance of the security model.
Manual sharing	This allows a user to share a record with another user or team. The user must have the share privilege on the record.	It's a simple and quick way to grant access to a record. It can handle unplanned or temporary scenarios.	It can't be automated or scaled. It can cause performance issues if used extensively.

 

记录所有权

Dataverse 支持两种类型的记录所有权：

• 组织拥有：当记录属于组织时，环境中的每个人都可以访问该记录。
• 用户或团队拥有：如果组织不拥有记录，则由用户、团队或业务部门拥有。当记录由用户或团队所有时，只有所有者和具有适当安全角色的用户可以访问该记录。

一些现成的表格是这两种类型的例外。例如，一个业务部门拥有系统用户记录。

业务部门

业务部门是一个安全构建块，可帮助您管理用户及其可以访问的数据。“业务部门”一词不一定与组织的运营业务部门有关。在Dataverse中，业务部门提供了一个框架来定义用户、团队和记录的组织结构。业务部门按组织层次结构对用户和团队进行分组，并可以使用安全角色来授予或限制对数据的访问。

业务部门具有层次性。您可以允许用户访问其业务部门或其业务部门及其部门下的业务部门中的记录。例如，您可以使用业务部门的层次结构来限制对站点、地区、区域和公司级别记录的访问。业务部门有助于将数据分割到所有权容器中以进行访问控制。

在实施过程中尽量减少业务部门的数量是一种最佳做法。基于访问控制要求，而不是将组织结构图映射到业务部门。

安全角色

特权是在Dynamics 365中执行操作的权限。安全角色是一组特权，定义了用户可以执行的一组操作。一些特权通常适用，例如使用导出到Microsoft Excel功能的能力。其他功能适用于特定的表，例如读取所有帐户的能力。

您必须为用户分配一个或多个预定义或自定义的安全角色，无论是直接分配还是从他们所属的团队继承，以允许他们访问Dynamics 365。您可以为用户分配多个安全角色。用户的有效安全角色是分配给他们的所有安全角色的所有权限的总和。例如，如果一个安全角色允许用户读取帐户，另一个安全身份允许用户读取联系人，则用户可以读取帐户和联系人。

客户参与应用程序附带了几个开箱即用的安全角色。如果您需要更多或不同的安全角色，请从复制现有角色开始。

在根业务单元级别创建安全角色是一种最佳做法，因为这些角色会自动为所有子业务单元复制，并可以包含在解决方案中。

以下是使用特权帐户和服务帐户的一些最佳实践：

• 限制并定期审查提升的用户和服务帐户列表。
• 考虑采用即时访问方法来授予更高的权限。
• 考虑使用管理用户帐户授予对设置和管理功能的访问权限，但不授予对功能的访问权。了解有关Power Platform中特权身份管理和管理用户的更多信息。
• 使用应用程序帐户进行集成和部署。了解有关应用程序用户和非交互式用户帐户的更多信息。
• 使用服务器到服务器（S2S）身份验证，允许应用程序和服务之间进行安全无缝的通信。

注：

Azure Active Directory现在是Microsoft Entra ID。了解更多信息

团队

团队提供了一种简单的方法来共享记录、与跨业务部门的其他人协作以及分配安全角色。虽然一个团队属于一个业务部门，但它可以包括来自其他业务部门的用户。您可以将一个用户与多个团队相关联，这是向跨业务部门的用户授予权限的一种便捷方式。

Dataverse 有三种类型的团队：

• 所有者团队：您可以使所有者团队成为记录的所有者，这是将记录链接到特定业务部门的有用方法。所有者团队还可以共享记录并担任安全角色。
• Microsoft Entra安全组团队和办公室组团队：这些是特殊类型的所有者团队。您无法在Dynamics 365中管理他们的成员资格。相反，它们与Microsoft Entra安全组或Microsoft 365组相关联。拥有适当许可证并添加到Microsoft Entra组的用户将在系统中自动启用，并在连接到环境时添加到团队中。使用Microsoft Entra ID很有用，因为组和权限也扩展到Dynamics 365之外的启用了Microsoft Entra的应用程序。
• 访问团队：这些团队是独一无二的，因为他们不能拥有记录，也不能有安全角色关联。然而，就像所有者团队一样，访问团队可以与他们共享记录。当您在表级别启用访问团队时，他们可以向记录访问团队的成员授予特定的记录级别权限。这是与用户或团队手动共享记录的替代方案。

在以下情况下使用所有者团队：

• 您需要团队级别的记录所有权，而不是用户。
• 您需要通过团队为用户分配安全角色。
• 你需要汇报团队的进展。

当团队成员对单个记录的权限不同于对记录类型的相同权限时，使用访问团队。例如，您可以使用访问团队将特定帐户记录的读取权限授予对所有帐户都没有读取权限的用户。

字段级安全

您可以使用字段级安全性来限制对特定用户或团队具有高业务影响的字段的访问。例如，您只能允许某些用户读取或更新企业客户的信用评分。

字段级安全性适用于大多数现成表上的默认字段、自定义字段和自定义表上的自定义字段。现场级安全由安全配置文件管理。字段级安全的范围覆盖整个组织，适用于所有数据访问请求。

分享

记录共享允许用户将表记录的访问权限授予其他用户或团队。用户必须具有记录的共享权限才能共享。共享应被视为用户手动管理默认安全模型异常的一种方式。

请记住以下建议做法：

• 仅与尽可能少的用户或团队共享必要的记录。广泛的共享可能会导致大规模的性能问题。
• 授予用户完成工作所需的最低访问权限。
• 不要自动共享。
• 尽可能关闭安全角色中的共享权限。

层次结构安全

您可以使用层次结构安全模型从用户或职位层次结构的角度访问数据。有了这种额外的安全性，您可以让经理访问其报告所拥有的记录，以供批准或代表他们执行任务。

访问控制功能概述

下表总结了Webex中可用的访问控制功能。

Type	Benefits
Organization	Allows open access to all records in the environment. Bypasses the need for security checking, which improves performance.
Business unit	Great for large volumes of data accessed by large groups of users. Allows for optimal access checking. Reduces maintenance overhead. Can be used for management and oversight access with more granular access at lower levels.
User ownership	Ideal for large volumes of overall. data but individual granular access to a smaller subset of the data. Optimized access checks combine memory cache and record data directly. Enables combination business unit access.
Team ownership	Ideal for large volumes of overall data but group granular access to a smaller subset of the data. Optimized access checks combine memory cache and record data directly. Reduces cascading impact as user involvement changes. Isolates users from record business unit structure, enabling user movement with data impact.
Sharing	Ideal for modeling exceptions over standard model using other features. Provides specific unique permissions per record, but at a cost—checking a lot of rules increases performance, storage, and maintenance overhead. Sharing with teams mitigates cost.
Inheritance	Builds on ownership and sharing models. Use to support immediate managers in chains above individual granular access. Not intended to replace business unit access at more senior or broad scope levels.

环境安全组

您可以将Microsoft Entra安全组与Webex环境相关联，以控制用户访问。除非他们具有特定的、高度特权的Microsoft 365管理员角色，否则Microsoft Entra ID中的用户即使分配了有效的身份验证和安全角色，也无法访问Dynamics 365中的任何信息，除非他们也是Dynamics 365中正确的环境安全组的成员。

将安全组与环境相关联是一种最佳做法。这将阻止所有符合Microsoft Entra条件并获得适当许可的用户在Dynamics 365环境中显示为活动用户。

审计

审计可以帮助您遵守内部政策、政府法规和消费者对更好地控制机密数据的要求。组织审计其业务系统的各个方面，以验证系统和数据访问控制是否有效运行，并识别可疑或不合规的活动。

Dataverse审计

审计日志可帮助您确保系统的数据完整性，并满足某些安全性和合规性要求。审计功能记录用户和管理员对记录和用户访问权限所做的更改，以便您以后可以查看活动。

您可以在表级别、字段级别和用户访问权限上启用审核。您可以通过三种方式查看数据审核：

• 从上下文来看，在记录级别，在表格上
• 从审计摘要的角度来看，在全局范围内
• 来自API

不要为所有表和列启用审核。进行尽职调查，确定需要审核哪些表和字段。过度审计会影响性能并消耗大量日志存储。

Microsoft 365审核日志

活动日志记录了Microsoft 365和Dynamics 365应用程序中的用户和管理员活动。数据存储在Microsoft 365统一审计日志中，与之前的WAXaudit功能相比，它对系统资源的占用更小。

Microsoft 365审核日志还有其他几个好处：

• Microsoft 365管理员可以管理Microsoft 365安全和合规门户中所有环境的设置和访问活动报告。每个Dynamics 365环境中都单独设置和存储了Webex审核。
• 系统中的所有数据都会被记录下来，包括读取操作、插件操作、表操作、批量操作、用户登录和注销，甚至是Microsoft支持操作。

-您可以设置系统，根据可配置的设置通知管理员或合规官某些事件。

 

• 管理员可以使用预定义或自定义过滤器轻松搜索审计日志。
• 管理员可以近乎实时地使用安全信息和事件管理（SIEM）功能来分析和获取系统内可能存在的可疑行为的警报，并提供解决措施。
• Dynamics 365提供与多个SIEM供应商的开箱即用集成，如ArcLight、Microsoft OMS、Okta、SumoLogic、BetterCloud，以及许多其他供应商的标准CEF格式集成。微软还发布了一个连接器，将活动日志集成到Azure Sentinel中。

默认情况下，根据Microsoft 365许可证类型，活动日志数据将保留90天或一年。如果您需要更长时间地保留数据，我们建议更改保留策略或将这些日志移动到外部存储。

Microsoft Power Platform的密码箱

Microsoft Power Platform的Lockbox允许您向Microsoft工程师提供临时、及时的环境访问权限，以帮助解决关键的支持请求。

Lockbox具有以下核心功能：

• 管理员可以选择需要使用lockbox保护的Microsoft Webex数据库。
• 在极少数情况下，Microsoft需要临时访问受锁箱保护的数据库中的数据以解决关键问题，管理员会收到通知，并可以访问Power Platform管理中心批准或拒绝请求。
• 一旦授予Microsoft访问权限，在临时访问期间在受锁箱保护的数据库中发生的任何操作都会被记录下来，并作为SQL审核日志提供给您的组织。您可以将这些日志导出到Azure数据湖以进行进一步分析。

客户管理密钥

默认情况下，Microsoft管理所有Dynamics 365环境的加密密钥。您可以选择自己管理加密密钥，但您应该意识到潜在的风险。了解有关客户管理的加密密钥的更多信息。

下一步

• Learn about security features in Power Pages
• Learn about security features in finance and operations apps
• Learn how to make security a priority from day one
• Use the Success by Design security checklist to help identify and prioritize key requirements and implementation activities in the areas of privacy and compliance, identity and access, and application security