【まとめ】Power Platform DLPポリシー

こちらの記事は2部構成です。
基本はばっちりなので設定方法を知りたいという方は[DLPポリシー操作編 （設定・管理方法）](#dlpポリシー操作編-設定管理方法)から！

- [DLPポリシー基本編](#dlpポリシー基本編)
- [DLPポリシー操作編 （設定・管理方法）](#dlpポリシー操作編-設定管理方法)

# DLPポリシー基本編
## そもそもDLPポリシーとは
DLPポリシーはPower Platformにおけるセキュリティのコアとなる機能​で、正式名称はデータ損失保護ポリシー​（data loss prevention policy）です。

一言で言うと、Power Platformの**コネクタの利用範囲を制御するためのポリシー機能**​となっています。

DLPの基本的な考え方として、コネクタを3つのグループに仕分けるということがあります。
- ビジネス
ビジネス機密データのコネクタ。 このグループのコネクタは、**他のグループのコネクタと接続不可**

- 非ビジネス
個人使用データなど非ビジネスデータのコネクタ。 このグループのコネクタは、**他のグループのコネクタとデータと接続不可**

- ブロック
このグループに振り分けられたコネクタは環境内で使用不可

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/ae8b518f-99dc-f202-f95f-7c72d466b75f.png)

::: note
何も設定していないと、既定では非ビジネスに分類されます。
この仕様は「[既定のグループの設定](#既定のグループの設定)」で変えることができます。
:::

## 挙動
## 別グループコネクタとの接続
Power Automateでビジネスコネクタと非ビジネスコネクタを接続しようとした際、保存はできますが、有効にできません。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/a1429ec9-39b8-1a0c-d6c8-f5921aef7203.png)

## ブロックされているコネクタの使用
ブロックされているコネクタのアクションを設定し接続しようとするとエラーが表示されます。
つまり、保存もできません。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/468eedd6-0fb6-6ccf-4ee8-1795df1b9e83.png)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/b18667cb-2b80-10a9-f00a-f68adf421d0e.png)


## 注意点
次は、DLPポリシーを扱う際に注意・知っておくべきことについてです。

### 適用反映時間
設定を適用してから約 1 時間後に実際の環境で有効になります。

### 「ブロック」に分類できないコネクタ
コネクタの中には、一部「ブロック」に分類できないコネクタがあります。
→その場合は、「非ビジネス」に分類​
[ブロックできるコネクタをまとめてブロックする方法](#tips1-コネクタを一括でまとめてブロックしたい場合)

https://docs.microsoft.com/ja-jp/power-platform/admin/wp-data-loss-prevention#list-of-connectors-that-cant-be-blocked​



### ポリシー適用スコープ
DLPポリシーを適用する際、スコープを以下の３つの範囲​に選択できます。
- すべての環境に対して​
- 特定の環境に対して​
- 特定の環境以外に対して​

### ポリシーの重複
環境に対してポリシーは重複でき、一番厳しい分類が適用されます。
例：​
テナント全体に適用するポリシーではFacebookコネクタはブロックに分類、A環境用のポリシーではFacebookコネクタはビジネスに分類​
→A環境ではFacebookコネクタはブロックに分類される​

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/02213cc2-e0c1-65e0-0d44-7e7be9cb43f9.png)


# DLPポリシー操作編 （設定・管理方法）
実際に管理を行う際はPower Platform管理センター、CoE Starter Kitを使用します。
それぞれについて解説します。
- [Power Platform管理センターでの管理方法](#power-platform管理センターでの管理方法)
- [CoE Starter KitのDLP Editor V2](#coe-starter-kit-dlp-editor-v2)

DLPポリシーの設定や管理には、テナント内の権限が必要です。

テナント全体の環境に対して、基本的なコネクタの利用可否と環境への割り当て操作に関しては以下の権限が必要です。（テナントレベル）
- Power Platform管理者
- グローバル管理者

さらにコネクタのアクションごとの制御やカスタムコネクタの制御など、より細かい制御を可能にするためには以下の権限が必要です。

- 環境のシステム管理者ロール(その環境のみポリシー追加可能)

環境の環境作成者ロールでもコネクタの割り当ては可能ですが、カスタムコネクタやアクションの設定などはできません。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/2a5093ac-2a59-2d34-2d36-5dcadd378b10.png)


# Power Platform管理センターでの管理方法
Power Platform管理センターでの基本的な管理方法についてご説明します。

## 基本操作①
次の操作はフル権限を持っているアカウントでの画面になります。
部分的な権限の場合、手順や画面が変わります為、ご注意ください。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/45493473-3c63-aa69-e13d-5977e05ee62f.png)


Power Platform管理センター(https://aka.ms/ppac )にアクセスします。
左のメニューで[ポリシー]を開き、[データポリシー]をクリックすると、現在定義されているポリシーが表示されます。
[新しいポリシー]をクリックすると新規作成ができます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/d0087673-f297-138c-ddff-3ba28aa3244f.png)

ポリシーの名前を付け、[次へ]ボタンをクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/01d417ec-f7b6-380c-7c01-a16ad0a4233f.png)

コネクタのグループへの振り分けをします。
移動させたいコネクタを選択し、画面上部で[ビジネスに移動する]や[ブロック]を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/6f278641-927c-ba77-b9b6-6634517d251f.png)

ここで、以下、コネクタを選択する際のTipsです。
### Tips1: コネクタを一括でまとめてブロックしたい場合

一括でブロック可能コネクタをブロックしたいような要件もあるかと思います。
その場合は、そのまま全選択にすると「選択できません」というメッセージが表示されます。

実はコネクタ一覧では、列ごとにフィルタリングが可能です。
ブロック可能なコネクタに絞り込みをしてから全選択を行います。
[ブロック可能]をクリックし、[列の値でフィルター]を[はい]に設定し、[適用]ボタンをクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/f4d5b114-0064-1f92-ddb8-7b57cbb51b3a.png)


列名の一番左横のチェックマークをクリックします。
全選択した状態で、[ブロック]をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/de373165-56d4-00aa-904b-baee08d1835a.png)

「ブロック済み」タブを開いて、移動できたことを確認します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/47910837-1517-af97-8814-20614bdd23f3.png)

### Tips2: 既定のグループの設定
新しいコネクタ（事前構築済みコネクタ・カスタムコネクタ同様）が追加された場合、既定では非ビジネスに分類されます。
変更したい場合はポリシー設定の[事前構築済みコネクタ]の画面右上[既定のグループの設定]をクリック
選択項目を変えて[適用]ボタンで完了
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/89b131bc-f365-a371-b166-a2321a3fc3ff.png)

新しいコネクタ設定がブロック済みの場合、ブロック可能なすべての新しいコネクタがブロック済みにマップされます。

::: note warn 
新しいコネクタ設定がブロック済みでも、ブロックできない新しいコネクタはブロックされない設計のため、**非ビジネス**に分類されます。
:::

### Tips3: コネクタのアクションごとの設定
コネクタのアクションごとにブロックするか許可するかを設定可能です。

::: note warn
ブロック不可のコネクタは適用外
:::

構成したいコネクタを選択し、[コネクタを構成する]>[コネクタのアクション]
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/fc2cda00-b32e-5eb6-b101-ed081af0f05d.png)

設定可能なアクションが表示される為、こちらでトグルをクリックし設定
[コネクタアクションの既定設定]では、新しいアクションができた際にデフォルトで許可するかブロックするかを設定可能
完了したら[保存]ボタンをクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/bf44a2bb-aa1f-b078-59f1-2997685e91d4.png)


### Tips4: エンドポイントの制御(パブリックプレビュー)

SQL Server、Azure Blob Storage、HTTP、SMTP などの特定のコネクタコネクタの接続先を URL のパターンで制御が可能です。

対象コネクタを選択
[コネクタを構成する]>[コネクタエンドポイント]をクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/0a92026f-9b5e-e6e2-cab8-98f6a3c6f13c.png)

並び替えの順序は優先順位です。1が1番優先されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/32eb953c-8129-cb51-a009-5874bc3b53a5.png)

https://learn.microsoft.com/ja-jp/power-platform/admin/connector-endpoint-filtering


## 基本操作②
振り分けが終わったら、[次へ]ボタンをクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/07d8c18c-56ff-8ce1-0cff-e1bc33b1a94d.png)

次にカスタムコネクタの制御ができます。（テナント管理者権限が必要）
ここでは、カスタムコネクタの接続先URLのパターンに応じて、ビジネス、非ビジネス、ブロックの分類が可能です。

エンドポイントの制御と同じくカスタムコネクタの順序は優先順位です。
1が1番優先されます。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/d4b3b873-f7de-3338-ebf3-084c3579533a.png)

[次へ]ボタンをクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/cb6a4c24-48e6-b520-996f-8ddcbe768a86.png)

次にポリシーを適用するスコープ設定をします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/8a8e34a8-0b98-63e7-ee42-6197518e597e.png)

この中で、以下「特定の環境を除外する」を選択した際で続けて設定していきます。

### スコープを「特定の環境を除外する」に設定した場合

利用可能タブに表示される環境にポリシーを適用する操作です。
新しい環境を作成した際はこちらに追加される。つまり、このポリシーを適用させることが基本で、一部環境のみ変えたい場合はこちらの「特定の環境を除外する」スコープを使用します。
除外したい環境を選択し、[ポリシーに追加する]をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/c299abfb-070c-9792-2e76-cf9652c4a603.png)

[ポリシーから除外]タブに選択した環境が追加されていることを確認します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/2761a873-acd9-953f-f1a1-867764b85c75.png)



## 基本操作③

最後、[ポリシーの作成]ボタンで作成完了です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/ba81eb5a-5f92-6ba5-c7b1-f6b5309b8e60.png)


# CoE Starter Kit
次にCoE Starter Kitのアプリで管理できる内容をご紹介します。
（2023/10/24　アップデートに伴い編集）
（2024/02/15  アップデートに伴い編集）
CoE Starter Kitの中の ~~**DLP Editor V2**というアプリがあります。~~
DLP Editor V2が廃止になり、同じ機能を持った**DLP Imapct Analysis tool**に置き換えられました。

https://github.com/microsoft/coe-starter-kit/issues/6769

こちらのアプリを使用するには、アプリ自体の権限付与と、DLPポリシーを設定する為の権限が必要です。
DLPポリシーの設定をアプリ上で簡易に可能にするアプリで、次のような機能があります。


## 機能
- 基本的な設定
既存の DLP ポリシーを変更し、ポリシー内のコネクタ グループを更新
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/5c59eab3-a672-c936-e9ab-0193a4c5f0f3.png)

- インパクト分析
DLPポリシー適用時に、影響の発生するアプリやフローを一覧化


- ポリシーのコピー
DLPポリシーの設定をまるまるコピー可能。適用される環境も引き継がれる
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/d9235793-29b7-c78e-044d-fde2079c2503.png)


- 既存のポリシーが影響を与えるテナント内のキャンバスアプリやクラウドフローの一覧
→ポリシー変更時の業務停止リスクを低減
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/120c0cf3-80a9-ffed-3864-54fc074a5a4a.png)
csvファイルなどにエクスポート可能
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/814eee26-eed5-47fc-cd2f-3ea7f4d6ff6d.png)

- 通知機能
メーカーに連絡し、アプリやフローに最適な対応策を通知することで、リスクを軽減
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/761f7de2-2546-2e6f-7927-975276e8f4ba.png)