控制允許在您的環境中使用哪些應用程式

控制哪些應用程式可在 Dataverse 環境中執行以防止資料外流。 這些保護措施可防止未經授權刪除敏感訊息，幫助您的業務保持連續性並遵守法規。

設定您的環境中允許或封鎖哪些應用程式。 這可以防止惡意使用者使用未經核准的應用程式匯出敏感資料。

應用程式存取控制如何運作？

應用程式存取控制是在 Dataverse 驗證層執行。 如需詳細資訊，請參閱對 Power Platform 服務進行驗證。 Dataverse 驗證根據環境設定的允許和封鎖應用程式清單來驗證使用者權杖中的用戶端應用程式識別碼。 驗證會授予或拒絕使用者的應用程式對環境的存取權限。

使用者可以透過四種方式進行驗證：

• 使用者內容

  使用者使用其憑證登入系統，例如 Dynamics 365 Sales。

• 具有使用者模擬的應用程式內容

  使用者登入第一方 Microsoft 應用程式。 應用程式使用表示使用者的應用程式權杖來呼叫 Dataverse。 在使用 Web API 模擬其他使用者中深入了解。

• 使用服務對服務呼叫的第一方應用程式 (應用程式內容)

  第一方 Microsoft 應用程式使用其應用程式權杖呼叫 Dataverse。 這些第一方應用程式已註冊並提供內部服務，例如電子郵件同步，這些服務通常在背景執行，無需任何使用者互動。

• 在 Azure 入口網站的應用程式註冊中註冊的第三方應用程式

  您的自訂應用程式使用 Azure 應用程式註冊的憑證或使用者權杖進行驗證。

用戶端應用程式存取控制如何在使用者和應用程式上下文驗證中運作的範例：

• 包含使用者權杖的使用者內容

  • 對於所有使用者權杖請求，我們驗證所使用的應用程式識別碼是否屬於允許清單或封鎖清單的一部分。
  • 也可以為第一方和合作夥伴應用程式的公共用戶端取得使用者權杖。

  注意

  • 除非暫時需要，否則我們不建議允許公共用戶端。
  • 00000007-0000-0000-c000-000000000000 自動允許在所有環境中使用 Dataverse 應用程式。 Dataverse 環境的使用者存取可透過指派適當的使用者授權和/或指派 Dataverse 資訊安全角色給使用者來進行管理。

• 包含使用者模擬的應用程式內容

• 使用第一方應用程式進行模擬

  • 在服務對服務應用程式權杖與使用者模擬搭配使用的 Power Automate 等案例中，我們會檢查應用程式識別碼是獲得允許還是遭到封鎖。
  • 對於不使用使用者模擬的其他情境，目前不會對服務到服務權杖執行任何驗證。

用戶端應用程式存取控制不適用於以下應用程式：

• 使用服務對服務呼叫的第一方應用程式 (應用程式內容)

  如需進一步了解，請參閱常用的 Microsoft 第一方服務和入口網站應用程式。

• 使用服務對服務呼叫的合作夥伴應用程式

  若要封鎖這些應用程式，請將其置於非使用中狀態或從 Power Platform 系統管理中心的環境中刪除。 如需詳細資訊，請參閱在 Power Platform 系統管理中心中管理應用程式使用者。

先決條件

完成以下必要條件：

驗證您的角色

您可以指派兩個 Power Platform 相關服務管理員角色來提供高階管理員管理：

• Power Platform 管理員
• Dynamics 365 管理員

驗證您的環境是否為受控環境

您的環境必須是受控環境。 如需進一步了解，請參閱受控環境概觀。

開啟環境稽核

1. 以系統管理員身分登入 Power Platform 系統管理中心。
2. 在導覽窗格中，選擇管理。
3. 在管理窗格中，選擇環境。 然後選擇您的特定環境。
4. 選取命令列中的設定。
5. 選取稽核和記錄>稽核設定。
6. 在稽核區段中，選擇開始稽核、記錄存取和讀取記錄選項。
7. 選取儲存。

查看環境中的應用程式清單

有一組預先註冊的應用程式可在 Dataverse 環境中執行。 此應用程式清單在不同環境之間可能有所不同。 這些應用程式會自動載入到您的環境中。

• 預先授權取得代表權杖的所有 Microsoft 應用程式。 如需進一步了解，請參閱 Microsoft 身分平台和 OAuth2.0 代理者流程。
• 應用程式使用者應用程式。 如需進一步了解，請參閱特殊系統使用者和應用程式使用者。
• 所有可以動態取得代理者權杖的舊版應用程式。
• 所有具有 prvActOnBehalfOfAnotherUser 權限的應用程式，以及使用標頭模擬使用者的應用程式。 如需進一步了解，請參閱模擬其他使用者。

將應用程式新增至清單

透過完成以下步驟將應用程式新增至清單。

1. 登入 Power Platform 系統管理中心。

2. 在導覽窗格中，選擇管理。

3. 在管理窗格中，選擇環境。

4. 在環境頁面中，選擇環境的名稱。

5. 複製環境 URL，例如 contoso.crm.dynamics.com。

6. 在同一瀏覽器中開啟一個新分頁 (以保持登入狀態) 並將以下 URL 新增至網址列。 將 <EnvironmentURL> 替換為您的環境 URL，然後按 Enter 鍵。

   https:/<EnvironmentURL>/main.aspx?forceUCI=1&pagetype=entitylist&etn=application&viewid=76302387-6f41-48e5-8eaf-4e74c1971020&viewType=1039
   

   該表單會顯示您的環境中載入的應用程式清單。

7. 選取 + 新增。

8. 在新畫面上，輸入 ApplicationId。

9. 輸入名稱。

10. 選取儲存。

從清單中刪除應用程式

若要從清單中刪除應用程式：

1. 選取一個應用程式。

2. 選取刪除。

3. 對每個想要刪除的應用程式重複此過程。

   注意

   如果您刪除了環境中預先載入的系統應用程式，系統可以自動還原該應用程式。 您可能只想刪除已新增的應用程式。

允許或封鎖應用程式

您可能想要允許的常用應用程式

以下是一些可以安全允許的常用應用程式。

您可能想要封鎖的應用程式

這些應用程式是強大的資料匯出器。 封鎖它們可以防止敏感資訊的資料外洩。

推薦步驟

1. 在非生產環境中開啟稽核模式。
2. 查看環境中執行的應用程式的稽核記錄，以取得要管理其存取控制的應用程式的清單。
3. 在生產環境中重複步驟 1-2。
4. 確認您想要允許在環境中執行的應用程式清單。

應用程式存取控制方式

有四種不同的模式：

• 開啟稽核模式
• 開啟已啟用模式
• 啟用角色模式
• 關閉應用程式存取

開啟稽核模式

我們建議您開啟稽核模式至少一周，以取得使用者在環境中執行的應用程式清單。

使用此稽核記錄清單，您可以確定要允許或封鎖哪些應用程式。

1. 登入 Power Platform 系統管理中心。
2. 在導覽窗格中，選擇安全性。
3. 在安全性窗格中，選擇身分識別與存取權。
4. 在身分和存取管理頁面中，選擇應用程式存取控制
5. 選擇您要開啟應用程式存取控制功能的環境。
6. 選擇設定應用程式存取控制按鈕。
7. 在存取控制下拉式清單中選擇 AuditMode 選項。
8. 選取 Dataverse 應用程式，然後選取位於網格上方的允許選項。
9. 選取儲存。
10. 再次顯示環境清單。 對要開啟稽核的每個環境重複此程序。 為您的環境開啟稽核模式後，關閉面板。

必須允許環境的稽核設定，包括記錄存取選項。

擷取您的稽核記錄清單

1. 以系統管理員身分登入 Power Platform 系統管理中心。

2. 在導覽窗格中，選擇管理。

3. 在管理窗格中，選擇環境。 然後選擇一個您開啟稽核的環境。

4. 選取設定。

5. 選取稽核和記錄>稽核摘要檢視表。

6. 選擇啟用/停用篩選器以查看標題下拉功能的清單。

7. 選擇事件標題附近的下拉箭頭，然後尋找，然後選擇 ApplicationBasedAccessDenied 和 ApplicationBasedAccessAllowed。

   

8. 選取確定。

   將顯示您篩選的稽核。

開啟啟用模式

開始阻止已封鎖的應用程式，並僅允許核准的應用程式。 您可以選擇允許或封鎖存取的應用程式。

1. 登入 Power Platform 系統管理中心。

2. 在導覽窗格中，選擇安全性。

3. 在安全性窗格中，選擇身分識別與存取權。

4. 在身分和存取管理頁面中，選擇應用程式存取控制。

5. 選擇您要開啟應用程式存取控制功能的環境。

6. 選擇設定應用程式存取控制按鈕。

7. 在存取控制下拉式清單中選擇啟用。

8. 選取 Dataverse 應用程式，然後選取下列其中一個位於網格上方的選項：

   • 允許，用於允許存取該應用程式。
   • 封鎖，用於拒絕存取該應用程式。

9. 選取儲存。

10. 再次顯示環境清單。 對於要開始封鎖已封鎖的應用程式並允許核准的應用程式的每個環境，請重複此過程。 完成後關閉面板。

    注意

    更新設定設定後，啟用模式可能需要長達一小時才能生效。

啟用角色模式

開始阻止已封鎖的應用程式，並僅允許核准的應用程式。 對於允許存取的應用程式，您可以指派資訊安全角色來限制誰可以在環境中執行這些應用程式。 只有分配有選定資訊安全角色的使用者才能執行應用程式。

1. 登入 Power Platform 系統管理中心。
2. 在導覽窗格中，選擇安全性。
3. 在安全性窗格中，選擇身分識別與存取權。
4. 在身分和存取管理頁面中，選擇應用程式存取控制。
5. 選擇您要開啟應用程式存取控制功能的環境。
6. 選擇設定應用程式存取控制按鈕。
7. 在存取控制下拉式清單中，為角色選擇啟用。
8. 選擇您的應用程式後，選擇位於網格上方的管理資訊安全角色選項。
9. 選擇一個或多個所需的資訊安全角色。
10. 選取儲存。
11. 將出現一個視窗，要求您確認所選的角色。 選取儲存。
12. 再次顯示應用程式清單。 選取儲存。
13. 再次顯示環境清單。 對要指派資訊安全角色的每個環境重複此程序。 完成後關閉面板。

關閉應用程式存取控制功能

關閉應用程式存取控制功能以消除對環境中執行的應用程式的限制。

1. 登入 Power Platform 系統管理中心。
2. 在導覽窗格中，選擇安全性。
3. 在安全性窗格中，選擇身分識別與存取權。
4. 在身分和存取管理頁面中，選擇應用程式存取控制。
5. 選擇您要開啟應用程式存取控制功能的環境。
6. 選擇設定應用程式存取控制按鈕。
7. 在存取控制下拉式清單中選擇停用。
8. 選取儲存。
9. 再次顯示環境清單。 對要關閉該功能的每個環境重複此程序。 完成後關閉面板。

錯誤訊息：應用程式拒絕使用者錯誤

如果使用者嘗試執行不允許的應用程式，則會收到以下錯誤訊息：

對 Dataverse API 的存取受此應用程式識別碼限制。

常用的 Microsoft 第一方服務與入口網站應用

以下應用程式是 Microsoft 第一方服務。 此應用程式清單可能會有所不同，具體取決於您擁有的環境類型以及安裝的解決方案。 這些應用程式在其存在的所有環境中都會自動被允許。 若要封鎖使用者，使其無法使用這些應用程式，您可以移除所需的使用者授權，或移除其 Dataverse 資訊安全角色指派。 例如，若要使用 Power Apps Maker Portal，必須為製作者指派環境建立者、系統自訂者或系統管理員資訊安全角色。

相關內容

• 常用 Microsoft 第一方服務和入口網站應用程式
• 常用 Microsoft 應用程式的應用程式識別碼