Sécuriser les déploiements
La sécurité est un élément clé de l’administration d’un déploiement de Power Platform. La sécurité est essentielle pour garantir que chacun a accès uniquement aux données nécessaires et s’assurer que les personnes ou les applications qui ne doivent pas y avoir accès n’accèdent pas aux données métier.
Mise en place d’une stratégie DLP
L’un des premiers éléments à prendre en compte lors du déploiement d’une solution Power Platform est d’établir une stratégie de protection contre la perte de données (DLP). Les stratégies DLP agissent comme des garde-fous pour empêcher les utilisateurs d’exposer involontairement des données organisationnelles et pour protéger la sécurité des informations dans l’abonné. Les stratégies DLP contrôlent si un connecteur est activé ou non dans chaque environnement, ainsi que les connecteurs qui peuvent être utilisés ensemble. Les connecteurs sont classés comme suit : données métier uniquement, aucune donnée métier autorisée ou bloquée. Un connecteur dans le groupe de données métier uniquement ne peut être utilisé qu’avec d’autres connecteurs du groupe de données métier dans une application ou un flux. Par exemple, vous souhaiterez peut-être créer une application qui utilise le connecteur Microsoft Dataverse et un connecteur tiers. Si vous classez le connecteur Microsoft Dataverse comme un connecteur de données métier, vous pouvez utiliser le connecteur tiers dans la même application seulement s’il est également classé comme un connecteur de données métier.
L’établissement de vos stratégies DLP va de pair avec votre stratégie environnementale.
Classification des connecteurs
Les classifications métier et non métier délimitent les connecteurs et définissent ceux qui peuvent être utilisés ensemble dans une application ou un flux spécifique. Les connecteurs peuvent être classés dans les groupes suivants à l’aide de stratégies DLP :
Métier : une Power App ou un flux Power Automate peut utiliser un ou plusieurs connecteurs d’un groupe métier. Si une Power App ou un flux Power Automate utilise un connecteur métier, il/elle ne peut pas utiliser de connecteur non métier.
Non métier : une Power App ou un flux Power Automate peut utiliser un ou plusieurs connecteurs d’un groupe non métier. Si une Power App ou un flux Power Automate utilise un connecteur non métier, il/elle ne peut pas utiliser de connecteur métier.
Bloqué : aucune Power App ni aucun flux Power Automate ne peuvent utiliser un connecteur bloqué. Tous les connecteurs Premium appartenant à Microsoft et les connecteurs tiers (standard et Premium) peuvent être bloqués. En revanche, les connecteurs standard appartenant à Microsoft et les connecteurs Common Data Service ne peuvent pas être bloqués.
Stratégies de création de stratégies DLP
Comme indiqué précédemment, en tant qu’administrateur prenant en charge un environnement ou commençant à prendre en charge l’utilisation de Power Apps et Power Automate, les stratégies DLP devraient être l’une des premières choses que vous mettez en place. Cela garantit la mise en place d’un ensemble de stratégies de base. Vous pouvez ensuite vous concentrer sur la gestion des exceptions et la création de stratégies DLP ciblées implémentant les exceptions approuvées.
Nous recommandons le point de départ suivant pour les stratégies DLP pour les environnements d’utilisateurs partagés et de productivité d’équipe :
Créez une stratégie DLP couvrant tous les environnements à l’exception de ceux sélectionnés (par exemple, vos environnements de production). À l’aide de cette stratégie DLP, limitez les connecteurs disponibles à Office 365 et d’autres microservices standard et bloquez l’accès à tous les autres connecteurs. Appliquez cette stratégie DLP aux environnements de formation par défaut et à tout environnement créé.
Créez des stratégies DLP plus permissives et appropriées pour votre organisation pour vos environnements d’utilisateurs partagés et de productivité d’équipe. Ces stratégies DLP peuvent permettre aux créateurs d’utiliser des connecteurs comme les services Azure en sus des services Office 365. Les connecteurs disponibles dans ces environnements dépendent de votre organisation et de l’endroit où elle stocke ses données métier.
Nous recommandons le point de départ suivant pour les stratégies DLP pour les environnements de production (centres de profit et projets) :
Excluez ces environnements de vos stratégies DLP d’utilisateurs partagés et de productivité d’équipe.
Travaillez avec les centres de profit pour déterminer les connecteurs et les combinaisons de connecteurs qu’ils utilisent et créez une stratégie d’abonné pour inclure uniquement les environnements sélectionnés.
Les administrateurs d’environnements peuvent classer les connecteurs personnalisés dans la catégorie des données métier à l’aide de stratégies DLP d’environnement, seulement si nécessaire.
De plus, nous vous recommandons également ce qui suit :
Créez un nombre minimal de stratégies DLP par environnement. Il n’y a pas de hiérarchie stricte entre les stratégies d’abonné et d’environnement. Lors de la conception et de l’exécution, toutes les stratégies DLP pour l’environnement d’une application ou d’un flux sont évaluées ensemble pour déterminer si l’application ou le flux est conforme aux stratégies DLP. Plusieurs stratégies DLP appliquées à un seul environnement fragmentent votre espace de connexion de manière compliquée, et peuvent rendre difficile la compréhension des problèmes auxquels vos créateurs sont confrontés.
Utilisez des stratégies DLP au niveau de l’abonné pour une gestion centralisée dans la mesure du possible ; exploitez des stratégies d’environnement uniquement pour catégoriser les connecteurs personnalisés ou dans des cas exceptionnels.
Avec cela en place, déterminez comment gérer les exceptions. Vous pouvez :
refuser la demande ;
ajouter le connecteur à la stratégie DLP par défaut ;
ajouter l’environnement à la liste Tout sauf de la stratégie DLP globale par défaut et créer une stratégie DLP spécifique à un cas d’utilisation avec l’exception incluse.
Exemple : stratégie DLP de Contoso
Examinons comment Contoso Corporation, un exemple d’organisation, a configuré ses stratégies DLP. La configuration des stratégies DLP de Contoso est étroitement liée à sa stratégie environnementale. Les administrateurs de Contoso souhaitent prendre en charge les scénarios de productivité des utilisateurs et des équipes ainsi que les applications métier, et gérer les activités du Center of Excellence (CoE).
La stratégie environnementale et DLP de Contoso consiste à créer une approche à plusieurs niveaux :
Une stratégie DLP restrictive à l’échelle de l’abonné qui s’applique à tous les environnements de l’abonné, à l’exception de certains environnements spécifiques exclus. Cette stratégie s’applique également à l’environnement par défaut. Les administrateurs de Contoso limitent les connecteurs disponibles dans cette stratégie à Office 365 et à d’autres microservices standard ; ils bloquent l’accès à tous les autres connecteurs.
Les administrateurs de Contoso ont créé un environnement partagé dans lequel les utilisateurs peuvent créer des applications destinées à la productivité des utilisateurs et des équipes. Cet environnement est associé à une stratégie DLP au niveau de l’abonné qui n’est pas aussi restrictive que la stratégie par défaut ; il permet aux créateurs d’utiliser des connecteurs comme les services Azure en sus des services Office 365. Comme il s’agit d’un environnement par défaut, les administrateurs peuvent contrôler activement qui a accès à l’environnement.
En outre, afin que les centres de profit puissent créer des applications métier, ils ont créé des environnements de développement, de test et de production pour leurs filiales fiscales et d’audit dans divers pays. L’accès des créateurs d’environnement à ces environnements est soigneusement géré, et les connecteurs internes et tiers appropriés sont mis à disposition à l’aide de stratégies DLP au niveau de l’abonné, en consultation avec les parties prenantes des centres de profit.
De même, les environnements de développement, de test et de production sont créés pour l’informatique centrale afin de développer et déployer des applications. Ces scénarios d’application métier comportent généralement un ensemble bien défini de connecteurs à mettre à la disposition des créateurs, des testeurs et des utilisateurs dans ces environnements. L’accès à ces connecteurs est géré par une stratégie dédiée au niveau de l’abonné.
Contoso dispose également d’un environnement spécialement dédié aux activités de son CoE. La stratégie DLP pour cet environnement reste à forte interaction en raison de la nature expérimentale du travail de l’équipe théorique. Les administrateurs d’abonné ont délégué la gestion de la stratégie DLP pour cet environnement directement à un administrateur d’environnement de confiance de l’équipe CoE, en l’excluant de toutes les stratégies au niveau de l’abonné. Cet environnement est géré uniquement par la stratégie DLP au niveau de l’environnement, ce qui constitue une exception plutôt que la règle chez Contoso.
Comme prévu, tous les environnements créés dans Contoso sont mappés à la stratégie originale de tous les environnements.
Cette configuration de stratégies DLP centrées sur l’abonné n’empêche pas les administrateurs d’environnement de créer leurs propres stratégies DLP au niveau de l’environnement, s’ils souhaitent introduire d’autres restrictions ou classer des connecteurs personnalisés.
Vous pouvez en savoir plus sur la création de stratégies DLP ici : Planifier et gérer votre environnement Microsoft Power Platform.