La governance in Power Platform risponde a una domanda semplice: come lasciare che i cittadini sviluppatori (citizen developer) creino app e flussi in autonomia, senza però esporre l’organizzazione a fughe di dati o accessi non autorizzati. Gli strumenti chiave sono le policy di Data Loss Prevention (DLP), i security role di Dataverse e i modelli di licensing.

Data Loss Prevention (DLP)

Una policy DLP governa il modo in cui i connettori possono comunicare tra loro all’interno di un ambiente (environment). Il principio è la classificazione di ogni connettore in tre gruppi:

  • Business — connettori che possono trattare dati aziendali (es. Dataverse, SharePoint, Office 365).
  • Non-business — connettori per uso personale o pubblico (es. Twitter/X, Facebook, servizi meteo).
  • Blocked — connettori vietati del tutto.

La regola fondamentale: connettori di gruppi diversi non possono coesistere nella stessa app o nello stesso flow. Se SharePoint è “business” e Twitter è “non-business”, non è possibile creare un flow che legga un elenco SharePoint e pubblichi il contenuto su Twitter. Questo blocca il rischio di travaso di dati sensibili verso servizi esterni non controllati.

Le policy DLP si definiscono nel Power Platform admin center e possono applicarsi a livello di tenant (tutti gli environment) o a singoli environment. La DLP non guarda al contenuto dei dati, ma alle combinazioni di connettori ammesse.

Security role e Dataverse

Quando i dati risiedono in Microsoft Dataverse, il controllo degli accessi avviene tramite i security role. Un security role è un insieme di privilegi che stabilisce chi può fare cosa sulle tabelle: creare, leggere, scrivere, eliminare, condividere.

Concetti chiave a livello fundamentals:

  • I privilegi hanno un livello di accesso che segue la gerarchia delle business unit: solo record propri, dell’intera business unit, o dell’intera organizzazione.
  • I ruoli si assegnano agli utenti (o ai team) — un utente senza un ruolo appropriato semplicemente non vede i dati.
  • Dataverse applica la sicurezza a livello di riga, colonna e tabella, molto più granulare rispetto ai permessi di un semplice elenco SharePoint.

Ricorda: la DLP governa i connettori, i security role governano i dati in Dataverse. Sono due leve distinte e complementari.

Modelli di licensing

Power Platform si licenzia principalmente in tre modalità:

  • Per-app — l’utente ha accesso a una singola app (o a un numero definito). Ideale quando le persone usano poche soluzioni mirate.
  • Per-user — l’utente accede a tutte le app che può eseguire, senza limite di numero. Adatto a utenti “power” che sfruttano molte soluzioni.
  • Pay-as-you-go — fatturazione a consumo tramite una Azure subscription, senza licenze prepagate. Utile per adozione incerta o utenti sporadici.

Connettori standard vs premium

I connettori premium (Dataverse, SQL Server, Azure, HTTP, connettori custom) richiedono una licenza Power Apps/Power Automate a pagamento. I connettori standard (Office 365, SharePoint, Outlook, Teams) sono inclusi nelle licenze Microsoft 365 che comprendono i “seeded” use rights. Se una soluzione tocca SQL o Dataverse, serve una licenza premium.

Trappole tipiche d’esame

  • Scenario: vuoi impedire che i dati di SharePoint finiscano su Twitter. Risposta giusta: crea una policy DLP che classifichi SharePoint come business e Twitter come non-business (o blocked) — non un security role.
  • Scenario: devi controllare quali utenti possono leggere o modificare i record di una tabella Dataverse. Risposta giusta: assegna i security role appropriati; la DLP non c’entra con i permessi sui dati.
  • Scenario: un utente deve usare solo una singola app di produzione. Risposta giusta: licenza per-app, non per-user.
  • Scenario: la tua app usa un connettore SQL Server o Dataverse. Risposta giusta: serve una licenza premium; i connettori standard di Microsoft 365 non bastano.
  • Scenario: l’adozione è incerta e vuoi pagare solo per l’uso effettivo. Risposta giusta: modello pay-as-you-go collegato a una Azure subscription.
  • Scenario: devi applicare una regola sui connettori a tutti gli environment del tenant. Risposta giusta: crea la policy DLP a livello di tenant dal Power Platform admin center.