控制环境中允许的应用

通过控制哪些应用可以在您的 Dataverse 环境中运行来防止数据外泄。 这些保护措施可防止未经授权删除敏感信息，帮助您的企业保持连续性并遵守法规。

配置您的环境中允许或阻止哪些应用。 这样可以防止恶意用户使用未经批准的应用导出敏感数据。

应用访问控制如何工作？

应用访问控制在 Dataverse 身份验证层执行。 有关详细信息，请参阅对 Power Platform 服务进行身份验证。 Dataverse 身份验证根据为环境配置的允许和阻止应用列表验证用户令牌中的客户端应用 ID。 身份验证授予或拒绝用户的应用对环境的访问权限。

用户可以通过四种方式进行身份验证：

• 用户上下文

  用户使用其凭据登录系统（如 Dynamics 365 Sales）。

• 具有用户模拟的应用程序上下文

  用户登录到第一方 Microsoft 应用。 应用使用其表示用户的应用程序令牌进行 Dataverse 调用。 在使用 Web API 模拟另一个用户中了解更多信息。

• 具有服务到服务调用的第一方应用（应用程序上下文）

  第一方 Microsoft 应用使用应用程序令牌进行 Dataverse 调用。 这些第一方应用已注册并提供内部服务，例如电子邮件同步，这些服务通常在后台运行，无需任何用户交互。

• 在 Azure 门户的应用注册中注册的第三方应用

  自定义应用使用 Azure 应用注册的证书或用户令牌进行身份验证。

客户端应用程序访问控制如何在用户和应用程序上下文身份验证中发挥作用的示例：

• 包含用户令牌的用户上下文

  • 对于所有用户令牌请求，我们都会验证所使用的应用程序 ID 是否属于允许或阻止列表。
  • 还可以为第一方应用和合作伙伴应用的公共客户端获取用户令牌。

  备注

  • 除非临时需要，否则不建议允许公共客户端。
  • 00000007-0000-0000-c000-000000000000 Dataverse 应用在所有环境中都会被自动允许。 用户访问 Dataverse 环境可通过分配适当的用户许可证和/或为用户分配 Dataverse 安全角色进行管理。

• 具有用户模拟的应用程序上下文

• 使用第一方应用进行模拟

  • 在将服务到服务应用程序令牌用于用户模拟等 Power Automate 场景中，我们会检查是允许还是阻止应用程序 ID。
  • 对于未使用用户模拟的其他方案，当前不会对服务到服务令牌执行任何验证。

客户端应用访问控制不应用于以下应用：

• 具有服务到服务调用的第一方应用（应用程序上下文）

  在常用 Microsoft 第一方服务和门户应用中了解详细信息。

• 使用服务到服务调用的合作伙伴应用

  要阻止这些应用，可在 Power Platform 管理中心将其设置为停用或从环境中将其删除。 更多信息请参阅在 Power Platform 管理中心管理应用程序用户。

必备条件

完成以下先决条件：

验证您的角色

可分配两种与 Power Platform 有关的服务管理员角色来提供高级别管理员管理：

• Power Platform 管理员
• Dynamics 365 管理员

验证您的环境是否为托管环境

您的环境必须是托管环境。 了解托管环境概述中的更多信息。

打开环境中的审计

查看环境中的应用程序列表

有一组应用程序已预先注册，可在 Dataverse 环境中运行。 此应用程序列表在不同环境之间可能不同。 这些应用会自动加载到您的环境中。

• 所有经预先授权可获取 On-Behalf-Of 令牌的 Microsoft 应用程序。 了解更多信息，请参阅 Microsoft 身份平台和 OAuth2.0 On-Behalf-Of 流。
• 应用程序用户应用程序。 有关详细信息，请参阅特殊系统用户和应用程序用户。
• 可以动态获取 On-Behalf-Of 令牌的所有旧版应用。
• 具有 prvActOnBehalfOfAnotherUser 权限的所有应用以及使用标头模拟用户的应用。 了解更多模拟另一个用户。

在列表中添加应用程序

完成以下步骤将应用程序添加到列表中。

从列表中删除应用程序

要从列表中删除应用程序，请执行以下操作

1. 选择应用。

2. 选择删除。

3. 对每个要删除的应用程序重复此步骤。

   备注

   如果您删除了环境中预加载的系统应用，则系统可以自动还原该应用。 您可能只想删除已添加的应用。

允许或阻止应用

您可能希望允许的常用应用

以下是一些可以安全使用的常用应用程序。

您可能想要阻止的应用

这些应用程序是功能强大的数据导出器。 阻止它们可以防止敏感信息的数据泄露。

建议步骤

1. 在非生产环境中打开审核模式。
2. 查看环境中运行的应用的审核日志，以获取要管理其访问控制的应用列表。
3. 在生产环境中重复步骤 1-2。
4. 确认要允许在环境中运行的应用程序列表。

应用访问控制模式

有四种不同的模式：

• 打开审核模式
• 打开启用模式
• 打开已启用角色模式
• 关闭应用访问

开启审核模式

我们建议您打开审核模式至少一周，以获取用户在环境中运行的应用列表。

使用此审核日志列表，可以确定要允许或阻止哪些应用。

1. 登录 Power Platform 管理中心。
2. 在导航窗格中，选择安全性。
3. 在安全性窗格，选择身份和访问。
4. 在身份和访问管理页面中，选择应用程序访问控制
5. 选择要打开应用访问控制功能的环境。
6. 选择设置应用程序访问控制按钮。
7. 在访问控制下拉列表中选择 AuditMode 选项。
8. 选择一个 Dataverse 应用程序，然后选择网格上方的允许选项。
9. 选择保存。
10. 环境列表将再次显示。 对要启用审核的每个环境重复该过程。 为环境开启审核模式后，关闭面板。

必须允许环境的审核设置，包括日志访问选项。

检索审核日志列表

开启启用模式

开始阻止已阻止的应用程序，只允许已批准的应用程序。 您可以选择具有允许或阻止访问权限的应用。

1. 登录 Power Platform 管理中心。

2. 在导航窗格中，选择安全性。

3. 在安全性窗格，选择身份和访问。

4. 在身份和访问管理页面中，选择应用程序访问控制。

5. 选择要打开应用访问控制功能的环境。

6. 选择设置应用程序访问控制按钮。

7. 在访问控制下拉列表中选择已启用。

8. 选择一个 Dataverse 应用程序，然后选择网格上方的选项之一：

   • 允许将允许访问应用。
   • 阻止将拒绝访问应用。

9. 选择保存。

10. 环境列表将再次显示。 对要开始阻止被阻止的应用并允许已批准的应用的每个环境重复该过程。 完成后关闭面板。

    备注

    更新配置设置后，启用模式最多可能需要一个小时才能生效。

打开已启用角色模式

开始阻止已阻止的应用程序，只允许已批准的应用程序。 对于允许访问的应用，可以分配安全角色来限制谁可以在环境中运行这些应用。 只有分配了选定安全角色的用户才能运行应用。

1. 登录 Power Platform 管理中心。
2. 在导航窗格中，选择安全性。
3. 在安全性窗格，选择身份和访问。
4. 在身份和访问管理页面中，选择应用程序访问控制。
5. 选择要打开应用访问控制功能的环境。
6. 选择设置应用程序访问控制按钮。
7. 在访问控制下拉列表中选择为角色启用。
8. 选择应用后，选择网格上方的管理安全角色选项。
9. 选择一个或多个所需的安全角色。
10. 选择保存。
11. 此时将显示一个窗口，要求您确认所选的角色。 选择保存。
12. 再次显示应用程序列表。 选择保存。
13. 环境列表将再次显示。 对要分配安全角色的每个环境重复该过程。 完成后关闭面板。

关闭应用访问控制功能

关闭应用程序访问控制功能以删除对环境中运行的应用程序的限制。

1. 登录 Power Platform 管理中心。
2. 在导航窗格中，选择安全性。
3. 在安全性窗格，选择身份和访问。
4. 在身份和访问管理页面中，选择应用程序访问控制。
5. 选择要打开应用访问控制功能的环境。
6. 选择设置应用程序访问控制按钮。
7. 在访问控制下拉列表中选择已禁用。
8. 选择保存。
9. 环境列表将再次显示。 对要关闭该功能的每个环境重复该过程。 完成后关闭面板。

错误信息：应用程序拒绝用户错误

如果用户尝试运行不允许的应用，则会收到以下错误消息：

此应用程序 ID 限制对 Dataverse API 的访问。

常用 Microsoft 第一方服务和门户应用

以下应用是 Microsoft 第一方服务。 此应用列表可能会有所不同，具体取决于您拥有的环境类型和安装的解决方案。 这些应用在它们存在的所有环境中都会自动被允许。 若要阻止用户使用这些应用，可以删除所需的用户许可证或删除其 Dataverse 安全角色分配。 例如，若要使用 Power Apps maker portal，必须向制作者分配环境创建者、系统定制员或系统管理员安全角色。

相关内容

• 常用 Microsoft 第一方服务和门户应用
• 常用 Microsoft 应用程序的应用程序 ID