รักษาความปลอดภัยให้กับโครงการ Copilot Studio ของคุณ

พิจารณาคําแนะนําต่อไปนี้เพื่อรักษาความปลอดภัยโครงการ Copilot Studio ของคุณ:

• มอบหมายสิทธิ์การใช้งานให้กับผู้ใช้ผ่านกลุ่ม Microsoft Entra ID ให้สิทธิ์การใช้งาน 'ผู้ใช้ Microsoft Copilot Studio' แก่ผู้ใช้ผ่านกลุ่มแทนการมอบหมายงานแต่ละรายการ

• จัดการการเข้าถึงสภาพแวดล้อมของผู้ใช้ผ่านกลุ่ม Microsoft Entra ID เฉพาะผู้เขียนบอทและผู้ดูแลระบบแบบทันเวลาเท่านั้นที่ควรมีสิทธิ์เข้าถึงสภาพแวดล้อมและที่เก็บข้อมูลของคุณ

• จัดการการกําหนด Security role ผ่านทีมกลุ่ม Microsoft Entra ID ภายในแต่ละสภาพแวดล้อม Dataverse ให้ใช้กลุ่มทีม เพื่อกําหนดบทบาทความปลอดภัยให้กับผู้ใช้

• ใช้นโยบายข้อมูลที่จํากัดกับสภาพแวดล้อมของคุณ ใช้นโยบายข้อมูลกับสภาพแวดล้อมของคุณเพื่อบล็อกตัวเชื่อมต่อทั้งหมดที่โครงการไม่ต้องการ และช่องทางหรือการตั้งค่าใดๆ ที่ไม่เป็นประโยชน์สําหรับโครงการ (ตัวอย่างเช่น การใช้งานที่ไม่ได้รับการรับรองความถูกต้อง

• ตรวจสอบและเปิดใช้งานเฉพาะการตั้งค่าผู้เช่า สภาพแวดล้อม และตัวแทนที่เกี่ยวข้องเท่านั้น ผู้ดูแลระบบผู้เช่าสามารถปิดใช้งานการเผยแพร่ตัวแทนที่ขับเคลื่อนด้วย GenAI ผู้ดูแลระบบสภาพแวดล้อมสามารถปิดใช้งานคุณลักษณะ GenAI ที่ต้องมีการเคลื่อนย้ายข้อมูลนอกภูมิภาคของตนได้ ผู้เขียนตัวแทนสามารถต้องการการเข้าถึงที่ปลอดภัยสําหรับช่องทางเว็บ การใช้ตัวแทนภายในสามารถจํากัดเฉพาะกลุ่มเฉพาะแทนที่จะพร้อมใช้งานสําหรับทุกคน การเชื่อมต่อควรต้องมีการรับรองความถูกต้องที่รัดกุม จัดเก็บข้อมูลลับ ในตําแหน่งที่ปลอดภัย (ตัวอย่างเช่น Azure Key Vault) ใช้การมอบสิทธิ์ การแอบอ้างบุคคลอื่น หรือการกรองการเข้าถึงข้อมูลในบริบทของผู้ใช้ปลายทาง

• มีกระบวนการปล่อยที่มีรั้วรอบขอบชิดไปยังการผลิต การปรับใช้การเปลี่ยนแปลงจากการพัฒนาไปจนถึงการทดสอบและการผลิตควรต้องมีการตรวจสอบและเป็นส่วนหนึ่งของกระบวนการที่มีรั้วรอบขอบชิด

• สํารวจคุณลักษณะด้านความปลอดภัยเพิ่มเติมของ Power Platform, Dataverse และ Microsoft Entra ID ตัวอย่างเช่น บันทึกการตรวจสอบ, คีย์การเข้ารหัสที่จัดการโดยลูกค้า, กล่อง ล็อกลูกค้า, ไฟร์วอลล์ IP, การแยกเครือข่าย, การรับรองความถูกต้องแบบหลายปัจจัย, การประเมินการเข้าถึงอย่างต่อเนื่อง และอื่นๆ เรียนรู้เพิ่มเติม:

  • ความปลอดภัยใน Power Platform
  • แนวทางปฏิบัติที่ดีที่สุดด้านความปลอดภัยของ Microsoft Entra ID
  • แนวคิดด้านการรักษาความปลอดภัยใน Microsoft Dataverse

กําหนดสิทธิ์การเขียน Copilot Studio โดยใช้ Security role

เมื่อต้องการเขียนตัวแทน ให้กําหนด Security role ในสภาพแวดล้อมแก่ผู้ใช้ กําหนดบทบาท ผู้สร้างสภาพแวดล้อม ให้กับผู้ใช้ที่ต้องการสร้างตัวแทน หากผู้ใช้ต้องการชุดสิทธิ์อื่น ให้กําหนดบทบาทที่กําหนดไว้ล่วงหน้าอื่นหรือบทบาทที่กําหนดเอง

ตารางต่อไปนี้แสดงภาพรวมของบทบาทความปลอดภัย Dataverse ที่กําหนดไว้ล่วงหน้า ซึ่งคุณสามารถใช้เพื่อเขียนตัวแทนและสิทธิ์ของพวกเขาในตาราง Dataverse ที่ใช้ภายใน Copilot Studio:

เมื่อคุณสร้างตัวแทน คุณจะสร้างทีมและแชร์ตัวแทนกับทีมนั้นด้วย คุณยังแชร์ส่วนประกอบย่อยของ Copilot เช่น หัวข้อ เอนทิตี และไฟล์ กับทีมเดียวกัน การถอดเสียงการสนทนาจะถูกแชร์โดยปริยายกับทีมของตัวแทนหลัก แต่เฉพาะผู้ใช้ที่มีสิทธิ์อ่านในตารางการถอดเสียงการสนทนาเท่านั้นที่สามารถเข้าถึงได้

ใช้นโยบายข้อมูลกับสภาพแวดล้อม Power Platform

เพื่อลดความเสี่ยงในการเปิดเผยข้อมูลขององค์กร ผู้ดูแลระบบสามารถสร้าง นโยบายข้อมูล และนําไปใช้กับผู้ใช้ทั้งหมดในสภาพแวดล้อม ภายในนโยบายข้อมูล คุณสามารถจํากัดความสามารถในการเขียน Copilot Studio แต่ละรายการและการเข้าถึงตัวเชื่อมต่อแต่ละตัวได้ หลังจากที่คุณสร้างนโยบายข้อมูล คุณสามารถนําไปใช้กับสภาพแวดล้อมเดียว กลุ่มสภาพแวดล้อม หรือผู้เช่าทั้งหมด

ใช้นโยบายข้อมูลเพื่อบังคับใช้การอนุญาตหรือบล็อกความสามารถในการเขียนต่อไปนี้ใน Copilot Studio:

• การใช้งานที่ไม่ได้รับการรับรองความถูกต้อง
• ช่องแต่ละช่อง
• แหล่งความรู้
• ตัวเชื่อมต่อส่วนบุคคล
• เชื่อมต่อกับทักษะ
• ข้อมูลเชิงลึกของแอปพลิเคชัน

การกําหนดค่าที่แนะนําของนโยบายข้อมูลและ ความสามารถของสภาพแวดล้อมที่มีการจัดการ จะแตกต่างกันไปตามชนิดของสภาพแวดล้อม การกําหนดค่ามีตั้งแต่นโยบายที่เข้มงวดในสภาพแวดล้อมการพัฒนาส่วนบุคคลไปจนถึงนโยบายที่ผ่อนคลายในสภาพแวดล้อมการทดสอบและการผลิต ซึ่งสนับสนุนการนําไปใช้ในวงกว้างหลังจากการตรวจสอบ

• สภาพแวดล้อมการพัฒนาตนเอง

  • นโยบายข้อมูลที่เข้มงวด
  • กฎสภาพแวดล้อมที่มีการจัดการที่เข้มงวด
  • ตัวอย่างเช่น คุณไม่สามารถใช้ตัวแทนที่ไม่ได้รับการรับรองความถูกต้อง และช่องทางและตัวเชื่อมต่อส่วนใหญ่จะถูกบล็อก

• สภาพแวดล้อมการพัฒนาเฉพาะ

  • นโยบายข้อมูลที่ผ่อนคลาย
  • กฎสภาพแวดล้อมที่มีการจัดการที่เข้มงวด
  • ตัวอย่างเช่น คุณไม่สามารถใช้ตัวแทนที่ไม่ได้รับการรับรองความถูกต้อง แต่สามารถใช้ช่องทางและตัวเชื่อมต่อที่ต้องการได้

• สภาพแวดล้อมการทดสอบและการผลิตโดยเฉพาะ

  • นโยบายข้อมูลที่ผ่อนคลาย
  • กฎสภาพแวดล้อมที่มีการจัดการที่ผ่อนคลาย
  • ตัวอย่างเช่น คุณสามารถใช้ตัวแทนที่ไม่ได้รับการรับรองความถูกต้องในทุกช่องทางที่มีผู้ใช้ไม่จํากัดจํานวน

การใช้คุณลักษณะสภาพแวดล้อมที่มีการจัดการจําเป็นต้องสร้างหรือปรับใช้ตัวแทน Copilot Studio ภายในสภาพแวดล้อมที่มีการจัดการ การให้สิทธิ์การใช้งานตัวแทน Copilot Studio รวมถึงการให้สิทธิ์สําหรับตัวเชื่อมต่อระดับพรีเมียม ดังนั้นคุณจึงไม่จําเป็นต้องให้สิทธิ์การใช้งานเพิ่มเติมเพื่อใช้ตัวแทน

รักษาความปลอดภัยกรณีการใช้งาน Copilot Studio ที่สําคัญ

เพื่อรักษาความปลอดภัยกรณีการใช้งาน Copilot Studio ที่มีความสําคัญต่อภารกิจ ให้พิจารณาแนวทางต่อไปนี้:

• เครือข่ายเสมือน: เรียกใช้ตัวเชื่อมต่อในบริบทของเครือข่ายเสมือน แนวทางนี้ทําให้สามารถเข้าถึงทรัพยากรภายในได้โดยไม่ต้องเปิดเผยต่ออินเทอร์เน็ตสาธารณะ

• ไฟร์วอลล์ IP: รักษาความปลอดภัยปลายทาง Copilot Studio หลังไฟร์วอลล์ เมื่อทําการเชื่อมต่อจากภายนอกเครือข่ายไปยัง Copilot Studio ไฟร์วอลล์จะบล็อกเอเจนต์จากช่วง IP ที่จํากัด

• การประเมินการเข้าถึงอย่างต่อเนื่อง: กําหนดให้ผู้ใช้รีเฟรชโทเค็นทันทีเมื่อเกิดเหตุการณ์สําคัญหรือการเปลี่ยนแปลงตําแหน่งเครือข่ายบังคับให้ทํา แทนที่จะรอจนกว่าจะหมดอายุ

• การตั้งค่าความลับ: ต้องใช้ข้อมูลลับเพื่อรับโทเค็นการสนทนาเพื่อแลกเปลี่ยนเมื่อเข้าถึงตําแหน่งข้อมูล Copilot Studio

สร้างกฎการแชร์เพื่อควบคุมการปรับใช้ของตัวแทน

กฎการแชร์ จะกําหนดว่าเจ้าของหรือผู้แก้ไขของตัวแทนสามารถให้สิทธิ์ Editor หรือ Viewer แก่ผู้อื่นในสภาพแวดล้อมได้หรือไม่ หากการกําหนดสิทธิ์เหล่านี้ถูกบล็อก จะมีเพียงผู้ดูแลระบบเท่านั้นที่สามารถให้สิทธิ์ได้ บรรณาธิการสามารถแก้ไข แชร์ เผยแพร่ และใช้ตัวแทนได้ ในขณะที่ผู้ชมสามารถใช้ได้เท่านั้น

กําหนดจํานวนผู้ชมสูงสุดสําหรับตัวแทนเพื่อหลีกเลี่ยงการแชร์ในวงกว้าง คุณยังสามารถจํากัดการแชร์สําหรับผู้ใช้แต่ละราย ยกเว้นกลุ่มความปลอดภัย

จัดการถิ่นที่อยู่ของข้อมูลและการปฏิบัติตามข้อกําหนดสําหรับตัวแทน

ถิ่นที่อยู่ของข้อมูลทางภูมิศาสตร์ หมายถึงนโยบายและแนวทางปฏิบัติที่ควบคุมตําแหน่งที่จัดเก็บ ประมวลผล และจัดการข้อมูลตามภูมิศาสตร์ ช่วยให้มั่นใจได้ถึงการปฏิบัติตามกฎระเบียบระดับภูมิภาคและนโยบายขององค์กร

องค์กรสามารถเลือกตําแหน่งที่จะจัดเก็บข้อมูล ซึ่งให้ความยืดหยุ่นในการตอบสนองความต้องการถิ่นที่อยู่ของข้อมูลระดับภูมิภาคโดยใช้ศูนย์ข้อมูล Azure ต่างๆ ทั่วโลก

Copilot Studio ได้รับการออกแบบมาเพื่อให้สอดคล้องกับกฎระเบียบการคุ้มครองข้อมูลทั่วไป (GDPR) เพื่อให้มั่นใจว่าข้อมูลจะถูกจัดเก็บภายในขอบเขตทางภูมิศาสตร์ที่กําหนดและเคารพสิทธิ์ของเจ้าของข้อมูล ใช้มาตรการรักษาความปลอดภัยที่แข็งแกร่ง รวมถึงการเข้ารหัสและการควบคุมการเข้าถึงที่เข้มงวด เพื่อปกป้องข้อมูลที่ไม่ได้ใช้งานและระหว่างการส่ง นอกจากนี้ยังใช้นโยบายความเป็นส่วนตัวที่เข้มงวดเพื่อให้แน่ใจว่าข้อมูลผู้ใช้ได้รับการปกป้องและใช้อย่างมีความรับผิดชอบ

เรียนรู้เพิ่มเติม: ความปลอดภัยและถิ่นที่อยู่ของข้อมูลทางภูมิศาสตร์ใน Copilot Studio

เปิดใช้งานข้อจํากัดการเคลื่อนย้ายข้อมูลข้ามภูมิศาสตร์

ด้วยการใช้คุณลักษณะ Generative AI ที่ขับเคลื่อนโดย Azure Open API Service และ Bing Search คุณสามารถสร้างตัวแทนที่มีมูลค่าสูงได้โดยไม่ต้องกําหนดค่าที่ซับซ้อน เมื่อผู้ใช้ในภูมิภาคนอกสหรัฐอเมริกาเข้าถึงคุณลักษณะเหล่านี้ ข้อมูลจะย้ายข้ามพรมแดนภูมิภาค ผู้ดูแลระบบ Power Platform สามารถเปิดหรือปิดใช้งานคุณลักษณะนี้ได้

เรียนรู้เพิ่มเติม: กําหนดค่าการเคลื่อนย้ายข้อมูลข้ามตําแหน่งทางภูมิศาสตร์สําหรับ Generative AI

ขั้นตอนถัดไป

เสริมความแข็งแกร่งให้กับกระบวนการเผยแพร่ของคุณโดยกําหนดวิธีตรวจสอบคุณภาพ ประสิทธิภาพ และความน่าเชื่อถือก่อนที่ตัวแทนของคุณจะเข้าถึงผู้ใช้

ข้อมูลที่เกี่ยวข้อง

• แนวคิดหลักด้านความปลอดภัยและการกํากับดูแลของ Copilot Studio
• รับรองการปฏิบัติตามข้อกําหนดของ Copilot Studio
• ข้อมูล ความเป็นส่วนตัว และความปลอดภัยสําหรับการค้นหาเว็บ
• ทําความเข้าใจเกี่ยวกับท่าทางด้านความปลอดภัยและความท้าทายของคุณ
• พัฒนากลยุทธ์สภาพแวดล้อมของผู้เช่าเพื่อปรับใช้ Power Platform ในระดับมาตราส่วน