La sécurité dans Power Platform et Dataverse

Synthese_securite_Power_Platform▶ Présenter

12345678910111213141516171819202122232425262728

• décrire les couches successives qui protègent une application ou un flux Power Platform ;
• distinguer les rôles d’administration du locataire, les rôles d’environnement et les rôles de sécurité Dataverse ;
• lire un rôle de sécurité : privilèges, niveaux d’accès et héritage des équipes ;
• expliquer pourquoi un utilisateur voit (ou ne voit pas) un enregistrement ;
• choisir entre propriété, unités commerciales, équipes, partage et sécurité basée sur les filtres.

À retenir

Une application canevas partagée avec un utilisateur reste soumise aux rôles de sécurité Dataverse : le partage ne donne pas accès aux données.
Une application pilotée par modèle se partage uniquement par les rôles de sécurité.
Les environnements sont la première frontière de sécurité : séparez développement, test et production.

• Ajouter un utilisateur au groupe l’ajoute à l’environnement ; le retirer le désactive dans l’environnement.
• Associer un groupe à un environnement existant désactive tous les utilisateurs qui ne sont pas membres du groupe.
• Seuls les membres disposant d’une licence éligible (Power Platform ou Dynamics 365) sont créés comme utilisateurs.
• Types de groupes acceptés : Sécurité et Microsoft 365. Les groupes Active Directory locaux ne sont pas pris en charge.
• Impossible d’associer un groupe aux environnements par défaut et développeur : le premier est partagé par tout le locataire, le second est réservé à son propriétaire.
• Les membres d’un groupe imbriqué ne sont pas ajoutés automatiquement : créez une équipe de groupe Dataverse pour ce groupe et attribuez-lui un rôle.
• Une application canevas peut être partagée avec une personne hors du groupe, mais cette personne ne pourra pas l’exécuter.

Attention

Être membre de l’environnement ne suffit pas : sans rôle de sécurité, l’utilisateur obtient une erreur d’accès refusé à l’ouverture d’une application.
L’administrateur Power Platform apparaît actif même hors du groupe ; l’administrateur Dynamics 365, lui, doit être membre du groupe.

Capture d’écran à insérer : Centre d’administration Power Platform, Gérer > Environnements > un environnement > Modifier : volet « Modifier les détails » avec la zone « Groupe de sécurité » et son icône de modification.

• Créateur d’environnement : crée applications, flux, connexions et connecteurs personnalisés, et partage ses applications. Aucun accès aux données.
• Personnalisateur du système : à ajouter au Créateur d’environnement pour créer ou modifier des tables Dataverse.
• Administrateur système : accès administratif complet dans un environnement avec Dataverse.
• Utilisateur de base : privilèges minimum sur les tables métier principales, bon point de départ pour un rôle personnalisé.
• Lanceur d’application : privilèges minimum pour exécuter une application.

À retenir

Les administrateurs du locataire (Power Platform, Dynamics 365, général) n’ont pas automatiquement accès aux données Dataverse : ils doivent élever eux-mêmes leurs privilèges vers le rôle Administrateur système.
Les rôles prédéfinis ne se modifient pas : copiez-les pour créer vos propres rôles.

• Niveau d’accès Utilisateur direct (de base) et privilèges d’équipe (par défaut) : les privilèges s’appliquent directement à l’utilisateur, qui peut posséder ses propres enregistrements.
• Privilèges d’équipe uniquement : l’utilisateur n’agit qu’en tant que membre de l’équipe, sur les enregistrements dont l’équipe est propriétaire.

À retenir

Les privilèges sont cumulatifs : l’utilisateur reçoit l’accès le plus large accordé par l’ensemble de ses rôles et de ses équipes. Un rôle ne peut pas retirer ce qu’un autre accorde.
Accordez uniquement l’accès nécessaire : un niveau Organisation mal placé affaiblit tout le modèle.
Gagnez du temps avec Copier les autorisations de la table et les paramètres d’autorisation (la nouvelle configuration remplace l’ancienne).

Capture d’écran à insérer : Centre d’administration Power Platform, Paramètres > Utilisateurs + autorisations > Rôles de sécurité : éditeur d’un rôle, onglet « Tables », ligne d’une table avec les menus de niveau d’accès des privilèges Créer à Partager.

• Chaque base Dataverse possède une unité commerciale racine ; vous pouvez créer des unités enfants pour découper utilisateurs et données en limites de sécurité plus petites.
• Chaque utilisateur appartient à une unité commerciale. La structure peut suivre l’organigramme, sans obligation.
• Chaque enregistrement porte une colonne Unité commerciale propriétaire, par défaut celle de l’utilisateur qui le crée.

1. Créez un groupe de sécurité Microsoft Entra par unité commerciale.
2. Créez une équipe de groupe Dataverse liée à ce groupe.
3. Attribuez à l’équipe le rôle de sécurité de l’unité commerciale.
4. Ajoutez les utilisateurs au groupe Entra : ils héritent automatiquement des droits.

• Utilisateur ou équipe : les privilèges acceptent les niveaux Utilisateur, Unité commerciale, Parent : enfant et Organisation.
• Organisation : un privilège s’applique à tous les enregistrements ou à aucun.
• Filtrée (préversion) : l’accès dépend uniquement de filtres sur les données (voir chapitre 8).

Attention

Le type de propriété se choisit à la création de la table et ne peut plus être modifié.
Unités commerciales et équipes se créent dans chaque environnement ; seuls les rôles et les profils de sécurité de colonne voyagent dans les solutions.

• Le partage traite les exceptions que la propriété et les unités commerciales ne couvrent pas.
• Il est moins performant et plus difficile à diagnostiquer que l’accès par les rôles : partagez avec une équipe plutôt qu’avec chaque utilisateur.

1. Activez la sécurité sur chaque colonne concernée (toutes les colonnes personnalisées et la plupart des colonnes système).
2. Créez un profil de sécurité de colonne qui accorde Lire, Créer et Mettre à jour.
3. Attribuez le profil à des utilisateurs ou à des équipes.

À retenir

La sécurité des colonnes n’ouvre pas l’accès à l’enregistrement : l’utilisateur doit déjà pouvoir lire la ligne.
À réserver aux données sensibles (salaire, numéro de sécurité sociale) : un usage excessif dégrade les performances.

1. Associez l’utilisateur à une unité commerciale (racine par défaut, avec ajout à l’équipe par défaut).
2. Attribuez-lui les rôles de sécurité nécessaires.
3. Ajoutez-le aux équipes appropriées.
4. Si besoin, attribuez un profil de sécurité de colonne à l’utilisateur ou à son équipe.

• L’utilisateur possède-t-il le privilège sur cette table, par un rôle direct ou par une équipe ?
• Le niveau d’accès n’est pas encore regardé. Sans le privilège : erreur d’accès refusé.

Pour le formateur

Faites dérouler les deux étapes à voix haute sur un cas concret : « Paul peut-il modifier ce contact ? » D’abord le privilège Écrire, ensuite la voie d’accès.
Le bouton Vérifier l’accès de la barre de commandes d’une application pilotée par modèle montre comment l’utilisateur a obtenu l’accès et qui d’autre y a accès (paramètres IsAccessCheckerAllUsersEnabled et IsAccessCheckerNonAdminAllUsersEnabled à activer).

Capture d’écran à insérer : Application pilotée par modèle, formulaire d’un enregistrement : volet « Vérifier l’accès » ouvert, affichant l’origine de l’accès de l’utilisateur (rôle, propriété, partage).

Attention

Fonctionnalité en préversion : à tester hors production, son comportement peut évoluer.

1. Créez la table en choisissant le type de propriété Filtrée.
2. Créez un ou plusieurs filtres d’enregistrement.
3. Associez-les à la table par des filtres d’enregistrement d’entité.
4. Accordez les privilèges de filtre générés dans des rôles de sécurité.
5. Attribuez ces rôles aux utilisateurs ou aux équipes.

À retenir

Le modèle est additif : sur une table Utilisateur ou équipe ou Organisation, les filtres ajoutent des accès sans jamais en retirer.
Seules les tables filtrées dépendent exclusivement des filtres. À leur création, Dataverse attribue le privilège « Tous les enregistrements » au rôle Administrateur système.
Sur une table Organisation, vérifiez qu’aucun autre rôle n’accorde déjà un accès plus large à la même table.

Capture d’écran à insérer : Éditeur de rôle de sécurité, table « Client » sélectionnée : liste des privilèges de filtre générés (par exemple « Ville = Rennes : Lire ») prêts à être attribués.

• Un connecteur est une représentation d’une API, utilisable sans code dans les applications, les flux et les agents.
• Types : connecteurs certifiés (testés par Microsoft), personnalisés (créés par vos développeurs), virtuels (interrupteurs de fonctionnalités, notamment Copilot Studio) et MCP (outils exposés à l’IA générative).
• Une connexion contient les identifiants enregistrés ; elle est stockée dans l’environnement de l’application ou du flux.

À retenir

Une modification de stratégie se propage à tous les environnements : en général moins d’une heure, jusqu’à 24 heures dans les cas extrêmes.
Les stratégies de connecteur avancées (ACP) gèrent les connecteurs certifiés et les serveurs MCP, mais pas les connecteurs virtuels.

• Échelle : Faible (0 à 50), Moyen (51 à 80), Élevé (81 à 100).
• Calcul : votre score divisé par le score total possible, multiplié par 100. Mise à jour toutes les 24 heures.
• Les recommandations s’appliquent seulement aux environnements managés ; une recommandation traitée autrement peut être ignorée.

Capture d’écran à insérer : Centre d’administration Power Platform, Sécurité > Vue d’ensemble : carte du score de sécurité et section « Prenez des mesures pour améliorer votre sécurité » avec ses onglets Active et Ignorée.

1. L’utilisateur a-t-il une licence et est-il membre du groupe de sécurité de l’environnement ?
2. A-t-il au moins un rôle de sécurité dans cet environnement (directement ou par une équipe) ?
3. Ce rôle contient-il le privilège demandé sur la table ?
4. Le niveau d’accès couvre-t-il l’unité commerciale de l’enregistrement, ou existe-t-il un partage ?
5. Une sécurité de colonne ou une stratégie de données bloque-t-elle l’action ?

• Sécurité dans Microsoft Dataverse : Source
• Concepts de sécurité dans Dataverse (sécurité basée sur la propriété) : Source
• Sécurité basée sur les filtres (préversion) : Source
• Propriété filtrée des enregistrements : Source
• Comment l’accès à un enregistrement est déterminé : Source
• Rôles et privilèges de sécurité : Source
• Sécurité basée sur des rôles : Source
• Contrôler l’accès aux environnements : Source
• Sécurité au niveau des colonnes : Source
• Sécurité de la hiérarchie : Source
• Équipes de groupe : Source
• Vérifier l’accès : Source
• Stratégies de données : Source
• Vue d’ensemble de la sécurité : Source