Bli säkerhetssmart

– med Dynamics 365 & Power Platform (del 2 av 2)

I början på sommaren tog vi upp, i det första inlägget – Säkerhetsmedveten, vilka delar du faktiskt får på köpet när det gäller säkerhet och Power Platform/Dynamics 365. Har du valt den här plattformen har du en bra grund för säkerhet. Sen gäller det att sätta upp dina egna strategier och se till att använda de verktyg och features för säkerhet som finns i plattformen. I detta inlägg kommer vi fokusera på hur du kan bli säkerhetssmart genom att använda dig av dessa.

Vi börjar med att titta bortom upplagda användare och behörighetsmodell. Istället fokuserar vi på när verksamheten själva sätter upp automatisering och vad som är bra att tänka på då.

Våra kunder blir allt mer involverade i att bygga sina egna applikationer. Inte lika ofta när det gäller Dynamics 365 CE-projekt, men framför allt när det gäller Power Platform generellt. När användandet av low-code växer och verktygen sätts i händerna hos verksamheten behövs det hjälpmedel för att en organisation ska kunna behålla kontrollen och känna sig trygg. Där kommer till exempel etableringen av ett Center of Excellence in, där vi har hjälpmedel för att komma igång, som de mallarna CoE Starter Kit innebär. Här är en länk där man kan läsa mer om olika hjälpmedel för att säkra upp kring användandet Admin and Governance best practices.

Nu till något som förtjänar ett eget avsnitt. När det gäller integrationer och kringliggande tjänster, erbjuder Microsoft en rad verktyg. En av dessa är deras automatiseringsmotor Power Automate, som ligger inom Power Platform och bland annat ger möjligheten att sätta upp cloud flows.

Cloud flows (liksom även Power Apps och Azure Logic Apps) erbjuder en uppsjö av färdiga anslutningar (connectorer) för att integrera med Dynamics 365 och andra applikationer (600+ system). Detta är såklart en säkerhetsrisk. Men Microsoft erbjuder något som kallas för Data Loss Prevention (DLP) Policies, vilka agerar som en säkerhetsvakt. En DLP policy sätts upp för att tillåta eller förbjuda kopplingar mellan system eller för att endast tillåta läsning från en viss connector och inte att man skickar ut någon information med den. Ett klassiskt exempelvis är en DLP policy som säger att man inte tillåts kombinera Dynamics 365-information (Dataverse) och Twitter för att på så sätt förhindra att data från ditt CRM-system skickas ut från organisationen. Läs mer om DLP: Data loss prevention policies – Power Platform | Microsoft Learn.

När du jobbar med Power Platform connectorer behöver du, per connector, tänka på hur anslutningen ser ut . Ett exempel är Dataverse självt. Här går det att skapa en anslutning där ett visst konto används eller så kan du skapa en anslutning där du använder dig av att en så kallad applikationsanvändare.

Nu kommer vi in på delar som är lite mer tekniska. När man arbetar med integrationer, med traditionell utveckling eller low-code (exempelvis cloud flows) ingår det att autentisera sig både mot Dynamics 365/Dataverse och mot andra applikationer/tjänster. Olika connectorer hanterar detta med olika metoder. Viktigt att tänka på är att inte hantera inloggningsuppgifter direkt i sina cloud flows så att de syns när man redigerar flow’et eller tittar på en flow-körning.

Mot Dynamics 365/Dataverse är det vanligt att man vill autentisera sig mot plattformen med hjälp av en så kallad applikationsanvändare (application registration). Informationen om denna (till exempel den client secret som genereras) behöver sparas någonstans. En säker hantering av sådan information är A och O. Här erbjuder Microsoft andra tjänster, till exempel Azure Key Vault, som möjliggör att behöriga användare kan lagra och hämta nycklar vid behov. En annan viktig sak att tänka på relaterat till applikationsanvändare är att ha som best practice att alltid ge så lite behörighet som möjligt, att tänka ut vad som faktiskt behövs och inte bara ge dem rollen som systemadministratör.

Slutligen vill vi tipsa om en länk där du kan läsa mer om säkerhet och Power Platform: Microsoft Power Platform Security documentation.

Detta var några tips på vägen mot att bli riktigt säkerhetssmart! Är du nyfiken på att veta mer eller behöver du hjälp att se över hur ni arbetar med plattformen ur ett säkerhetsperspektiv? Kontakta oss på CRM-Konsulterna genom att fylla i formuläret nedan. Vi har lång erfarenhet av att arbeta med Power Platform och Dynamics 365 och kan hjälpa din organisation att arbeta på ett säkert och hållbart sätt.

Jesper Jonsson Jamshad, lösningsarkitekt
Carina Claesson, MVP och systemarkitekt