1. Data policies: מי מדבר עם מי
מה שנקרא בעבר DLP policies נקרא היום Data policies. כל מחבר (Connector) משויך לאחת משלוש קבוצות: Business, Non-Business או Blocked. אפליקציה או תהליך לא יכולים לשלב מחברים מ-Business ומ-Non-Business, ומחבר ב-Blocked לא עובד בכלל.
- מחברים חדשים נכנסים כברירת מחדל ל-Non-Business. קבעו מה מותר במקום לרדוף אחרי מה שאסור.
- מדיניות ברמת הסביבה לא יכולה לעקוף מדיניות ברמת הטננט. כשכמה מדיניות חלות, המחמירה מנצחת.
- חלק ממחברי Microsoft, כמו SharePoint ו-Office 365 Outlook, אי אפשר לחסום במדיניות הרגילה.
- מחברים מותאמים אישית (Custom connectors) מסווגים לפי תבנית URL. בסביבה המשותפת Microsoft ממליצה לחסום את כולם.
2. הסביבה המשותפת (Default environment)
כל משתמש שנכנס ל-Power Platform מקבל הרשאת Maker בסביבה המשותפת, ואי אפשר למחוק אותה. Microsoft ממליצה:
- לשנות את השם שלה ל-Personal Productivity, כדי שיהיה ברור שהיא לא מיועדת למערכות עסקיות.
- להגדיר בה Data policy מחמיר: Blocked כקבוצת ברירת המחדל, המחברים שאי אפשר לחסום ב-Business, וכל השאר חסום.
- להפעיל Environment routing, שמפנה כל מפתח לסביבת פיתוח אישית משלו (דורש רישוי Premium).
- להגביל מי יכול ליצור סביבות חדשות.
3. Tenant isolation: לחסום חיבורים לטננטים אחרים
כברירת מחדל, משתמש יכול לחבר תהליך לחשבון בטננט אחר, למשל לתיבת דואר של ארגון זר, ולהעביר אליו מידע. Tenant isolation חוסם חיבורים כאלה בשני הכיוונים, עם רשימת חריגים. ההגדרה כבויה כברירת מחדל, ונמצאת ב-Security > Identity and access > Tenant isolation.
4. שיתוף אפליקציות ותהליכים
- Share with Everyone כבוי כברירת מחדל. השאירו אותו כך: כשהוא כבוי, רק אדמינים יכולים לשתף עם כל הארגון.
- ב-Managed Environments אפשר להגביל שיתוף: לחסום שיתוף עם קבוצות אבטחה, לקבוע מספר מקסימלי של משתמשים, ולהגביל שיתוף של סוכנים. ההגבלה חלה רק על שיתופים חדשים.
- Environment security groups קובעות אילו משתמשים יכולים להיכנס לכל סביבה.
5. Conditional Access
MFA ו-Conditional Access חלים גם על Power Platform, אבל יש מלכודת: Microsoft Flow Service לא כלול ביעד "Office 365" של Conditional Access. אם המדיניות שלכם מכוונת רק ל-Office 365, כוונו אותה ל-All cloud apps או הוסיפו את Flow Service. Conditional Access ברמת אפליקציה בודדת אפשרי רק ב-Managed Environments.
6. סוכנים ב-Copilot Studio
- Data policies חלות גם על סוכנים: מחברים, מקורות ידע, ערוצים ואימות. חסמו את המחבר Chat without Microsoft Entra ID authentication כדי שכל סוכן ידרוש התחברות.
- סוכנים יכולים לבנות משתמשים עם רישיון Copilot Studio, עם רישיון Microsoft 365 Copilot, או בתקופת ניסיון. משתמשי E3 יכולים לבנות סוכנים בסיסיים ב-Teams. כדי למנוע את זה, כבו את תוכנית השירות Power Virtual Agents for Office 365.
- פעולות כמו יצירה, פרסום ושיתוף של סוכן נרשמות ב-Audit של Microsoft Purview.
7. מעקב: Audit ו-Security page
- פעולות ב-Power Apps, Power Automate, Copilot Studio ושינויים ב-Data policies נרשמים ב-Audit של Microsoft Purview. רישום פעולות האדמינים פועל כברירת מחדל.
- ב-Dataverse, ה-Audit מופעל בנפרד בכל סביבה.
- ב-Power Platform admin center, הדף Security > Overview מציג ציון אבטחה והמלצות. הציון עדיין ב-preview, וחלק מההמלצות אפשר ליישם רק ב-Managed Environments.
8. מיילים שיוצאים מתהליכים אוטומטיים
תהליך ב-Power Automate יכול לשלוח מיילים החוצה בשם המשתמש. Power Platform לא מגביל את זה בעצמו. הדרך המתועדת היא כלל Mail flow ב-Exchange שמזהה את הכותרת x-ms-mail-application שמיילים כאלה מקבלים, וחוסם או מסמן אותם.
מה דורש רישוי נוסף
| הגדרה | רישוי |
|---|---|
| Data policies רגילות, Tenant isolation, Share with Everyone | כלול, בלי Managed Environments |
| Conditional Access | Entra ID P1 (כלול ב-Business Premium, Microsoft 365 E3 ו-E5) |
| Managed Environments: הגבלות שיתוף, Conditional Access לאפליקציה, IP firewall | כל משתמש פעיל בסביבה צריך רישיון Premium (כמו Power Apps Premium או Power Automate Premium) או תשלום לפי שימוש |
| Customer Lockbox, מפתח הצפנה של הלקוח (CMK) | Managed Environments יחד עם Microsoft 365 E5 או תוסף מתאים |
שני שינויים שכדאי לסמן ביומן: Microsoft מבקשת להעביר סביבות פיתוח לא מנוהלות ל-Managed Environments עד 15 בדצמבר 2026. ומ-פברואר 2027, משתמשים בלי רישיון מתאים לא יוכלו לפתוח אפליקציות בסביבות מנוהלות.
רוצים לדעת מה מוגדר אצלכם ב-Power Platform? Griffin31 בודק את הגדרות האבטחה בטננט Microsoft 365 באופן רציף, כולל 16 בדיקות של Power Platform, ומראה מה לתקן קודם.
מקורות
- Microsoft: Data policies (Power Platform)
- Microsoft: Connector classification
- Microsoft: Secure the default environment
- Microsoft: Default environment routing
- Microsoft: Cross-tenant inbound and outbound restrictions (tenant isolation)
- Microsoft: Sharing limits in Managed Environments
- Microsoft: Managed Environments licensing
- Microsoft: Security page in the Power Platform admin center
- Microsoft: Conditional Access for Power Platform
- Microsoft: Configure data policies for Copilot Studio agents
- Microsoft: Activity logging for Power Platform
- Microsoft: Important changes coming in Power Platform