Konfigurera identitets- och åtkomsthantering

2025-08-18

Att hantera åtkomst till känslig information och resurser är viktigt för IT-administratörer och Chief Information Security Officers (CISO) i olika branscher. Det är viktigt att säkerställa åtkomst med lägsta behörighet för att upprätthålla en stark säkerhet.

Power Platform integreras med Microsoft Entra ID för identitets- och åtkomsthantering, vilket gör det möjligt för administratörer att hantera användare och deras interaktioner med Power Platform resurser på ett säkert sätt. Microsoft Entra-ID är centralt för Microsoft-autentisering och hjälper till att skydda mot identitetsintrång. Microsoft Entra ID ger IT-administratörer insyn och kontroll och erbjuder säkerhetsfunktioner som multifaktorautentisering och villkorlig åtkomst. Hanterad säkerhet tillhandahåller funktioner som bygger på Microsoft Entra ID, vilket ger administratörer detaljerad kontroll för att säkerställa att endast behöriga användare får åtkomst till data och resurser.

Den här artikeln beskriver identitets- och åtkomsthanteringskontroller i varje lager.

Åtkomst för klientorganisation

Åtkomst på klientorganisationsnivå är det första säkerhetslagret och använder Microsoft Entra ID. Det säkerställer att användarna har ett aktivt användarkonto och följer alla principer för villkorlig åtkomst för att logga in. Att enbart ha ett aktivt och aktiverat konto ger dock inte åtkomst till plattformen. Endast användare med rätt licenser kan autentisera och använda plattformen.

Tjänstadministratörsroller

Du kan tilldela två Power Platform-relaterade tjänstadministratörsroller för att tillhandahålla en hög nivå av administratörshantering:

Power Platform administratör: Den här rollen kan utföra alla administratörsfunktioner i Power Platform, oavsett medlemskap i säkerhetsgrupper på miljönivå.
Dynamics 365-administratör: Den här rollen kan utföra de flesta administratörsfunktioner i Power Platform, men endast för miljöer där den tillhör säkerhetsgruppen.

De här rollerna kan inte hantera användarkonton, prenumerationer och åtkomstinställningar för andra Microsoft 365 appar. Du måste samarbeta med andra administratörer i din organisation för att utföra dessa uppgifter. Mer information om varje rolls behörigheter finns i tjänstadministratörens behörighetsmatris.

Administrativa identiteter utgör betydande säkerhetsrisker eftersom deras uppgifter kräver privilegierad åtkomst till många system och program. Intrång eller missbruk kan skada ditt företag och dess informationssystem. Administrationssäkerhet är ett av de viktigaste säkerhetsområdena.

Att skydda privilegierad åtkomst mot bestämda angripare kräver en fullständig och genomtänkt metod för att isolera system från risker. Här följer några strategier:

Minimera antalet konton med kritisk påverkan.
Använd separata roller i stället för att höja privilegier för befintliga identiteter.
Undvik permanent eller stående åtkomst med hjälp av JIT-funktionerna (just-in-time) i din identitetsprovider. Följ processen för åtkomst vid nödsituationer när nödfall uppstår. Använd Privileged Identity Management (PIM), en funktion Microsoft Entra i ID, för att hantera, kontrollera och övervaka användningen av dessa roller med hög behörighet.
Använd moderna åtkomstprotokoll som lösenordsfri autentisering eller multifaktorautentisering.
Framtvinga viktiga säkerhetsattribut med hjälp av principer för villkorlig åtkomst.
Inaktivera administrativa konton som inte används.

Villkorsstyrd åtkomst

Med villkorlig åtkomst, en funktion i Microsoft Entra ID, kan du tillämpa principer baserat på signaler om användarens situation. Dessa signaler hjälper dig att bedöma risknivån och vidta lämpliga åtgärder. Principer för villkorlig åtkomst är i sin enklaste form if-then-instruktioner som definierar vad användare måste göra för att få åtkomst till en resurs. Du kan till exempel kräva att användare använder multifaktorautentisering om de vill komma åt en Power Apps arbetsyteapp som spårar en efterlevnadsprocess.

Ge inte alla identiteter samma åtkomstnivå. Grunda besluten på två viktiga faktorer:

Tid. Hur länge identiteten får åtkomst till miljön.
Privilegium. Behörighetsnivå.

Dessa faktorer utesluter inte varandra. En komprometterad identitet med fler behörigheter och obegränsad åtkomstvaraktighet kan få mer kontroll över systemet och data, eller använda den åtkomsten för att fortsätta att ändra miljön. Begränsa dessa åtkomstfaktorer både som en förebyggande åtgärd och för att kontrollera sprängradien.

JIT-metoder (Just-in-Time) ger endast de behörigheter som krävs när du behöver dem.

Endast tillräcklig åtkomst (JEA) har endast privilegierna som krävs.

Även om tid och privilegier är de primära faktorerna gäller andra villkor. Det går till exempel även att använda enheten, nätverket och platsen varifrån åtkomsten ursprungligen kommer för att ange principer.

Använd starka kontroller som filtrerar, identifierar och blockerar obehörig åtkomst, inklusive parametrar som användaridentitet och plats, enhetens hälsa, arbetsbelastningskontext, dataklassificering och avvikelser.

Arbetsbelastningen kan till exempel kräva åtkomst från identiteter från tredje part, såsom leverantörer, partner och kunder. De måste ha lämplig åtkomstnivå i stället för standardbehörigheterna som du ger till heltidsanställda. En tydlig åtskillnad mellan externa konton gör det enklare att förhindra och upptäcka angrepp från dem.

Planera hur du använder principer för att tillämpa dina säkerhetsriktlinjer för Power Platform. Du kan använda en princip för att begränsa Power Platform åtkomsten till specifika användare eller villkor, till exempel var de finns, vilken enhet de använder och vilka appar som är installerade på den och om de använder multifaktorautentisering. Villkorlig åtkomst är flexibel, men den flexibiliteten kan göra att du kan skapa principer som har oönskade resultat, inklusive att låsa ute dina egna administratörer. Planeringsguiden kan hjälpa dig att tänka igenom hur du planerar för att använda villkorsstyrd åtkomst.

Läs mer:

Utvärdering av kontinuerlig åtkomst

Utvärdering av kontinuerlig åtkomst är en funktion i Microsoft Entra ID som övervakar vissa händelser och ändringar för att avgöra om en användare ska behålla eller förlora åtkomst till en resurs. OAuth 2.0-autentisering förlitar sig traditionellt på förfallodatum för åtkomsttoken för att återkalla en användares åtkomst till moderna molntjänster. Användare vars åtkomsträttigheter avslutas behåller åtkomsten till resurser tills åtkomsttoken upphör att gälla – för Power Platform, så länge som en timme, som standard. Med kontinuerlig tillgänglighetskontroll, men Power Platform-tjänster som Dataverse utvärderar kontinuerligt en användares viktiga händelser och ändringar av nätverksplatsen. De har proaktivt aktiverat aktiva användarsessioner, eller kräver omautentisering och framtvingar ändringar i klientorganisationens princip nästan i realtid i stället för att vänta på att en åtkomsttoken ska förfalla.

I takt med att organisationer fortsätter att införa hybridarbetsmodeller och molnprogram Microsoft Entra är ID en viktig primär säkerhetsperimeter som skyddar användare och resurser. Villkorlig åtkomst utökar perimetern utöver en nätverksgräns för att inkludera användar- och enhetsidentitet. Kontinuerlig åtkomst säkerställer att åtkomsten omvärderas när händelser eller användarplatser ändras. Genom att använda Microsoft Entra ID med Power Platform produkter kan du tillämpa konsekvent säkerhetsstyrning i din programportfölj.

Läs dessa metodtips för identitetshantering för fler tips om hur du använder Microsoft Entra ID med Power Platform.

Miljöåtkomst

En Power Platform miljö är en logisk container och enhet för styrningshantering som representerar säkerhetsgränsen i Power Platform. Många funktioner, till exempel virtuellt nätverk, Lockbox och säkerhetsgrupper, fungerar på en miljönivå med kornighet ur ett hanteringsperspektiv. Den här kornigheten gör att olika säkerhetskrav kan implementeras i olika miljöer beroende på dina affärsbehov. Användare får åtkomst till en miljö baserat på en säkerhetsroll som de har tilldelats. Att bara ha en licens och en identitet på klientorganisationsnivå räcker inte för att bevilja åtkomst till en miljö om det inte är standardmiljön.

Miljöer med Dataverse stöd för avancerade säkerhetsmodeller för att styra åtkomst till data och tjänster i en Dataverse databas.

Tilldela säkerhetsgrupper till miljöer

Använd säkerhetsgrupper för att styra vilka licensierade användare som kan vara medlemmar i en viss miljö. Du kan använda säkerhetsgrupper för att styra vem som kan komma åt resurser i Power Platform andra miljöer än standardmiljön eller utvecklarmiljöerna. Länka en säkerhetsgrupp till varje miljö som har minst en användare eller kapslad säkerhetsgrupp. Om du använder en säkerhetsgrupp för varje miljö ser du till att endast rätt användare kan komma åt den. Om du automatiserar processen för att skapa miljön kan du också automatisera skapandet av säkerhetsgruppen och se till att dina administratörer har åtkomst till alla nya miljöer.

Power Platform Administratörer har åtkomst till alla miljöer, även om de inte ingår i säkerhetsgruppen för miljön. Dynamics 365-administratörer måste finnas i säkerhetsgruppen för att få åtkomst till miljön.

Hantera gästanvändare

Du kan behöva ge gästanvändare åtkomst till miljöer och Power Platform resurser. Precis som med interna användare kan du använda Microsoft Entra villkorlig åtkomst för ID och utvärdering av kontinuerlig åtkomst för att säkerställa att gästanvändare hålls på en förhöjd säkerhetsnivå.

För att ytterligare förbättra säkerheten och minska risken för tillfällig överdelning kan du även blockera eller aktivera åtkomst för Microsoft Entra gäster till miljöer med din Dataverse uppbackning efter behov. Som standard är gäståtkomsten begränsad för nya Dataverse miljöer, vilket säkerställer en säker konfiguration från början. Du kan öka din säkerhetspoäng ytterligare genom att aktivera den här inställningen för befintliga miljöer också.

Dirigera skapare till sin egen utvecklingsmiljö

Miljödirigering gör det möjligt Power Platform för administratörer att automatiskt dirigera nya eller befintliga utvecklare till sina egna personliga utvecklarmiljöer när de loggar in på Power Platform produkter som Power Apps or Copilot Studio. Vi rekommenderar att du konfigurerar miljöroutning för att erbjuda utvecklare ett personligt, säkert utrymme att bygga med Microsoft Dataverse utan rädsla för att andra ska komma åt deras appar eller data.

Åtkomst till resurser

Säkerhetsroller styr möjligheten att skapa och köra specifika program och flöden i miljöer. Till exempel kan du dela canvas-appar direkt med en användare eller en Microsoft Entra ID-grupp, men Dataverse-säkerhetsroller gäller fortfarande. Du delar dock bara modellbaserade appar via Dataverse säkerhetsroller.

Tilldela roller till identiteter baserat på deras krav

Auktorisera åtgärder baserat på varje identitets ansvar. Se till att en identitet inte gör mer än den behöver göra. Innan du anger auktoriseringsregler bör du se till att du förstår vem eller vad som gör begäranden, vad den rollen får göra och omfattningen av dess behörigheter. Dessa faktorer vägleder beslut som kombinerar identitet, roll och omfång.

Överväg följande frågor:

Behöver identiteten läs- eller skrivåtkomst till data? Vilken nivå av skrivåtkomst krävs?
Om identiteten avslöjas av en skadlig aktör, vilka effekter får det för systemets sekretess, integritet och tillgänglighet?
Behöver identiteten permanent åtkomst eller kan villkorlig åtkomst övervägas?
Utför identiteten åtgärder som kräver administrativa eller utökade behörigheter?
Hur interagerar arbetsbelastningen med tjänster från tredje part?

En roll är en uppsättning behörigheter tilldelade en identitet. Tilldela roller som endast tillåter att identiteten slutför uppgiften och inget mer. När användarens behörighet är begränsad till jobbkraven är det lättare att identifiera misstänkt eller obehörigt beteende i systemet.

Ställ frågor som dessa:

Kräver identiteten behörighet för att ta bort resurser?
Kräver rollen bara åtkomst till posterna den skapade?
Grundas hierarkisk åtkomst på att affärsenheten där användaren finns krävs?
Kräver rollen administratörsbehörighet eller utökade behörigheter?
Kräver rollen permanent åtkomst till dessa behörigheter?
Vad händer om användaren byter jobb?

Genom att begränsa den åtkomstnivå som användarna har minskar den potentiella attackytan. Om du endast beviljar de minsta behörigheter som krävs för att utföra specifika uppgifter minskar risken för en lyckad attack eller obehörig åtkomst. Utvecklare behöver till exempel bara tillverkaråtkomst till utvecklingsmiljön men inte produktionsmiljön. De behöver åtkomst för att skapa resurser men inte ändra miljöegenskaper. De kan behöva åtkomst till läs-/skrivdata från Dataverse men inte för att ändra datamodellen eller attributen i tabellen Dataverse .

Undvik behörigheter som riktar sig till enskilda användare. Detaljerade och anpassade behörigheter skapar komplexitet och förvirring. De kan bli svåra att underhålla när användare byter roller och flyttar över verksamheten, eller när nya användare med liknande autentiseringskrav ansluter sig till teamet. Den här situationen kan skapa en komplex äldre konfiguration som är svår att underhålla och som påverkar både säkerhet och tillförlitlighet negativt.

Bevilja roller som börjar med minsta behörighet och lägger till fler baserat på dina drift- eller dataåtkomstbehov. De tekniska teamen måste ha tydliga anvisningar för hur de implementerar behörigheter.

Upprätta processer för hantering av identitetslivscykeln

Åtkomst till identiteter får inte vara längre än resurserna identiteten har åtkomst till. Se till att du har en process för att inaktivera eller ta bort identiteter när ändringar sker i teamstruktur eller programvarukomponenter.

Upprätta en identitetsstyrningsprocess för att hantera livscykeln för digitala identiteter, högprivilegierade användare, externa användare eller gästanvändare och arbetsbelastningsanvändare. Implementera åtkomstgranskningar för att säkerställa att arbetsbelastningsbehörigheter tas bort när identiteter lämnar organisationen eller teamet.

Eftersom kapplöpningen om att införa AI prioriteras i olika branscher vill administratörer hantera risken för att dela resurser för mycket. Hanterad säkerhet har stöd för detaljerade delningsgränser för arbetsyteappar och lösningsmedvetna molnflöden, vilket hindrar utvecklare från att dela flöden mellan säkerhetsgrupper och med enskilda personer.

För Copilot Studio-agentscenarier har administratörer detaljerade kontroller över redigerare och visningsbehörigheter per miljö eller miljögrupp. De kan också begränsa tittarna till specifika säkerhetsgrupper, individer eller ett visst antal tittare.

Skärmbild av hantering av delningsgränser i administrationscentret för Power Platform.

Utöver dessa detaljerade delningsgränser begränsar du även tillverkarnas möjlighet att använda förkortningen Alla för att dela appar med alla i organisationen.

Läs mer:

Ansluta till Azure-resurser som stöder hanterad identitet

För att minimera risken för åtkomst till externa resurser ger stöd för hanterad identitet för Dataverse-plugin-program säker och sömlös autentisering. Det här stödet eliminerar behovet av hårdkodade autentiseringsuppgifter och förenklar hanteringen av åtkomst till resurser.

Dataverse tillträde

Dataverse använder en omfattande säkerhetsmodell för att skydda dataintegritet och användarsekretess samtidigt som effektiv dataåtkomst och samarbete främjas. Du kan kombinera affärsenheter, rollbaserad säkerhet, radbaserad säkerhet och kolumnbaserad säkerhet för att definiera den övergripande åtkomsten till information som användarna har i en Power Platform-miljö. Med rollbaserad åtkomstkontroll (RBAC) kan du definiera åtkomstbehörigheter och styra dataåtkomst på ett skalbart sätt. Genom att använda olika inbyggda eller anpassade säkerhetsroller kan du bevilja behörigheter på databas-, tabell- eller specifik postnivå.

Dataverse Möjliggör detaljerade åtkomstkontroller för att hantera säkerhetsroller på auktoriserings- och datanivå. Dessa roller definierar rad-, fält-, hierarkiskt och gruppskydd, vilket ger den kornighet och flexibilitet som krävs för att skydda mycket känsliga affärsdata i program.

Datamappning i Microsoft Purview är en enhetlig och automatiserad lösning som kan identifiera, klassificera och märka känsliga data i olika datakällor och domäner, inklusive Dataverse. Etikettering med Purview Data Map gör det möjligt för organisationer att automatiskt klassificera data och enkelt identifiera känsliga data. Med Purview Data Map-integrering kan du minska det manuella arbetet och de mänskliga felen vid etikettering av data genom Dataverse att använda fördefinierade regler och principer som matchar dina affärs- och efterlevnadsbehov.

Förstå krav på identitets- och åtkomsthantering

Som kund ansvarar du för att:

Konto- och identitetshantering
Skapa och konfigurera principer för villkorlig åtkomst
Skapa och tilldela säkerhetsroller
Aktivera och konfigurera granskning och övervakning
Autentisering och säkerhet för komponenter som Power Platform kan ansluta till

Förstå de viktigaste kraven för den Power Platform arbetsbelastning som du implementerar. Ställ dig själv följande frågor för att identifiera de funktioner för identitets- och åtkomsthantering som ska konfigureras.

Hur implementerar du mekanismer för åtkomstkontroll och autentisering för att säkerställa att endast behöriga användare kan komma åt arbetsbelastningen?
Hur säkerställer du säker och sömlös användarautentisering?
Hur kontrollerar du vilka appar som kan interagera med generativ AI (agent) och vilka åtgärder säkerställer att dessa begränsningar är effektiva?
Hur integreras arbetsbelastningen på ett säkert sätt med andra interna och externa system?
Varifrån kommer användarna åt den här lösningen? Använder de till exempel en mobil enhet eller webbläsare?
Är dina användare interna, externa eller både och?

Rekommendationer

Effektiv styrning av skapare, användare och gäster är avgörande för att upprätthålla säkerhet, efterlevnad och driftseffektivitet i Power Platform miljöer. Här följer detaljerade rekommendationer för att hantera åtkomst och behörigheter:

Dirigera utvecklare till sin egen personliga utvecklingsmiljö: Använd miljödirigering för att uppmuntra utvecklare att använda sina egna personliga utvecklingsmiljöer för att skapa och testa program. Den här metoden isolerar utvecklingsaktiviteter från produktionsmiljöer, vilket minskar risken för oavsiktliga ändringar eller avbrott. Personliga utvecklingsmiljöer ger ett säkert utrymme för experiment och innovation utan att påverka kritisk affärsverksamhet.
Tillåt inte tillverkarbehörigheter i test- och produktionsmiljöer: Begränsa tillverkarbehörigheter i test- och produktionsmiljöer för att förhindra obehöriga ändringar och säkerställa att endast godkända och noggrant testade program distribueras. Den här uppdelningen av uppgifter hjälper till att upprätthålla integriteten och stabiliteten i produktionssystemen, vilket minimerar risken för fel och säkerhetsbrister.
Kontrollera åtkomsten med hjälp av säkerhetsroller med minsta behörighet: Implementera rollbaserad åtkomstkontroll (RBAC) för att tilldela behörigheter baserat på principen om lägsta behörighet. Ge användarna endast den åtkomst de behöver för att utföra sina specifika uppgifter. Genom att begränsa behörigheterna minskar du attackytan och minimerar den potentiella effekten av säkerhetsöverträdelser.
Diagnostisera problem med användaråtkomst genom att anropa "Kör diagnostik": Använd kommandot Kör diagnostik för att felsöka och diagnostisera problem med användaråtkomst. Det här verktyget hjälper till att identifiera och lösa behörighetsrelaterade problem, vilket säkerställer att användarna har rätt åtkomst för att utföra sina uppgifter. Regelbunden diagnostik kan också hjälpa till att identifiera och åtgärda potentiella säkerhetsluckor.
Begränsa delning med alla och utvärdera konfiguration av specifika gränser: Undvik breda delningsbehörigheter som ger alla åtkomst till en resurs. Konfigurera specifika delningsgränser för att styra hur många användare tillverkare kan dela sina program och data med.
Tillämpa dataprinciper på standard- och utvecklarmiljöerna: Tillämpa dataprinciper på standardmiljöerna och utvecklarmiljöerna för att begränsa åtkomsten till endast de anslutningsappar som skaparna behöver. Den här metoden hjälper till att förhindra obehöriga dataöverföringar och säkerställer att känslig information skyddas. Granska och uppdatera dataprinciper regelbundet så att de överensstämmer med ändrade säkerhetskrav.
Använd Microsoft Entra ID-grupper för att skydda miljöåtkomst: Använd Microsoft Entra ID-grupper för att hantera och skydda åtkomst till Power Platform miljöer. Genom att gruppera användare baserat på deras roller och ansvarsområden kan du effektivt tilldela och hantera behörigheter. Microsoft Entra ID-grupper förenklar också processen med att uppdatera åtkomstkontroller i takt med att organisationens behov utvecklas.
Använd Dataverse för att ha en inbyggd flexibel RBAC-säkerhetsmodell: Dataverse tillhandahåller en inbyggd, flexibel rollbaserad säkerhetsmodell för åtkomstkontroll som gör att du effektivt kan hantera användarbehörigheter och åtkomst till data. Med den här modellen kan du definiera anpassade roller och tilldela specifika behörigheter baserat på jobbfunktioner och ansvarsområden. Se till att användarna bara har den åtkomst som krävs för att utföra sina uppgifter. Med funktioner som detaljerade behörigheter, hierarkisk säkerhet och teambaserad åtkomst Dataverse förbättrar RBAC-modellen dataskyddet, stöder efterlevnad av regelkrav och förenklar hanteringen av användaråtkomst i Power Platform miljöer.

Gå vidare

Läs de detaljerade artiklarna i den här serien för att ytterligare förbättra din säkerhetsstatus:

När du har granskat artiklarna granskar du säkerhetschecklistan för att säkerställa Power Platform att distributionerna är robusta, motståndskraftiga och anpassade till bästa praxis.

Granska checklistan för säkerhet

Feedback

Var den här sidan till hjälp?