Política de dados no Dataverse for Teams: onde termina a autonomia do criador

Você ativou o Power Apps no Microsoft Teams para o time de marketing. Em quinze minutos alguém criou um app que coleta dados de campanha. Em uma semana, aquele app tem duzentos registros. Em um mês, o time de vendas fez o mesmo em outro canal. Ninguém pediu licença. Ninguém passou pelo TI. E os dados estão num ambiente que, para quem criou, parece particular da equipe.

A pergunta que não quer calar: onde termina a autonomia do criador e começa a responsabilidade de quem administra o locatário?

A resposta está no meio do caminho. O Dataverse for Teams foi desenhado para dar agilidade a quem está na ponta, mas a governança de dados não foi esquecida. Ela só mudou de lugar.

O que é um ambiente Dataverse for TeamsLink para esta seção

Introduzido em setembro de 2020, o Dataverse for Teams é uma plataforma de dados low-code embutida no Microsoft Teams. Ele fornece armazenamento relacional, tipos de dados ricos, governança de nível empresarial e implantação com um clique na loja de aplicativos do Teams. Tudo isso construído sobre o Microsoft Dataverse (fonte ((abre em nova aba))).

Quando alguém cria um app ou um agente no Teams pela primeira vez, ou instala um app da loja que usa essa base, um ambiente Dataverse for Teams é provisionado automaticamente para a equipe. Cada equipe do Teams tem direito a um ambiente. Todos os dados, aplicativos, agentes e fluxos criados ali ficam disponíveis dentro daquele banco de dados da equipe (fonte ((abre em nova aba))).

Você identifica esses ambientes no Power Platform admin center pelo tipo Microsoft Teams na coluna Type (fonte ((abre em nova aba))).

Quem controla o acessoLink para esta seção

Aqui a arquitetura faz uma escolha deliberada: o grupo do Microsoft 365 ligado à equipe é associado automaticamente ao ambiente Dataverse for Teams. O acesso fica restrito aos usuários daquele grupo. Essa associação não é editável até que o ambiente seja promovido para Dataverse (fonte ((abre em nova aba))).

Na prática, isso significa que o dono da equipe controla quem entra. E o administrador do locatário, mesmo sem ser membro da equipe, tem privilégios de administrador do sistema com modo de acesso leitura-gravação sobre todos os ambientes Dataverse for Teams (fonte ((abre em nova aba))).

As funções de segurança são atribuídas automaticamente:

• Dono da equipe recebe Administrador do Sistema.
• Membro da equipe recebe Membro da Equipe, com acesso total a dados e recursos.
• Convidado recebe Convidado da Equipe, com acesso apenas aos próprios registros.
• Administrador global ou do Power Platform tem acesso de administrador a todos os ambientes, independentemente de ser membro da equipe (fonte ((abre em nova aba))).

Um detalhe importante: o compartilhamento de registro não é suportado no Dataverse for Teams. Você não pode compartilhar um registro com outro usuário ou equipe (fonte ((abre em nova aba))).

Onde o administrador pode intervirLink para esta seção

Políticas de permissão de aplicativos no TeamsLink para esta seção

A capacidade de criar apps ou agentes com Power Apps e Microsoft Copilot Studio vem ativada por padrão no Teams. O administrador pode desabilitá-la para usuários específicos usando as políticas de permissão de aplicativos no Teams admin center (fonte ((abre em nova aba))).

Mas atenção: desabilitar o Power Apps e o Copilot Studio não impede a criação de ambientes Dataverse for Teams. Aplicativos como Inspection, Employee Ideas e Issue Reporting também disparam a criação de ambientes. Para bloquear de verdade, você precisa bloquear esses aplicativos também (fonte ((abre em nova aba))).

Políticas de dados (DLP)Link para esta seção

As políticas de prevenção contra perda de dados do Power Platform se aplicam a ambientes Dataverse for Teams como a qualquer outro tipo de ambiente (fonte ((abre em nova aba))).

Você tem duas abordagens principais:

1. Criar uma política que abrange todos os ambientes exceto alguns selecionados. Defina os conectores disponíveis para o que você quer liberar nos ambientes Dataverse for Teams. Ambientes novos, incluindo os de Teams, entram automaticamente nessa política. Você pode remover explicitamente ambientes de produção ou sandbox e tratá-los com políticas dedicadas (fonte ((abre em nova aba))).

2. Criar uma política específica para ambientes Dataverse for Teams. Use o PowerShell com a função UpdatePolicyEnvironmentsForTeams (disponível no SDK de política de dados) para adicionar automaticamente novos ambientes de Teams à política. O ideal é rodar esse script em agenda, porque ambientes criados depois da última execução não são governados até a próxima (fonte ((abre em nova aba))).

Cada vez que a função roda, ela substitui a lista existente de ambientes na política pela lista nova. Por isso ela exige tanto o nome quanto o nome de exibição da política como parâmetros: para garantir que você está mirando na política certa (fonte ((abre em nova aba))).

Governança reativa com justificativa de negócioLink para esta seção

Uma abordagem que a Microsoft recomenda é a governança reativa: em vez de bloquear a criação, peça ao dono da equipe que justifique o ambiente. O dono recebe uma notificação no Teams e tem sete dias para enviar a justificativa. O administrador aprova ou rejeita no Power Platform Admin View. Ambientes rejeitados ou sem justificativa são excluídos em uma limpeza semanal (fonte ((abre em nova aba))).

O CoE Starter Kit oferecia modelos prontos para esse fluxo, mas atenção: ele não está mais em manutenção ativa. As funcionalidades principais foram incorporadas ao Power Platform admin center (fonte ((abre em nova aba))). A exclusão automática de ambientes inativos do Dataverse for Teams, por exemplo, já é parte do admin center (fonte ((abre em nova aba))).

Onde a autonomia do criador é soberanaLink para esta seção

Algumas coisas o administrador não controla sem promover o ambiente:

• O ambiente só pode ser criado pelo Teams. Não existe criação avulsa no Power Platform admin center (fonte ((abre em nova aba))).
• A cópia e a redefinição do ambiente não estão disponíveis por padrão (fonte ((abre em nova aba))).
• O nome do ambiente é o nome da equipe. Não há como renomear sem promover (fonte ((abre em nova aba))).
• O ciclo de vida do ambiente é amarrado ao da equipe. Se a equipe for excluída, o ambiente vai junto (fonte ((abre em nova aba))).
• Não há acesso direto por API ao Dataverse for Teams. Só aplicativos, agentes e fluxos embutidos no cliente do Teams conseguem acessar o runtime (fonte ((abre em nova aba))).

E quando a capacidade acabaLink para esta seção

Cada ambiente Dataverse for Teams oferece 2 GB de armazenamento combinado entre banco de dados e arquivos. O consumo não conta na capacidade do locatário: existe um pool separado (fonte ((abre em nova aba))).

O locatário tem direito a 5 ambientes, mais 1 adicional para cada 20 licenças de usuário elegíveis. Se você tem mais de 200 mil usuários, precisa contatar o representante Microsoft (fonte ((abre em nova aba))).

Aos 80% da capacidade, o criador vê um aviso no Teams. Aos 100%, aplicativos existentes continuam funcionando, mas não é possível criar ou instalar novos apps, agentes, fluxos ou tabelas (fonte ((abre em nova aba))).

No nível do locatário, aos 80% o administrador recebe uma notificação. Aos 100%, a criação de novos ambientes Dataverse for Teams é bloqueada (fonte ((abre em nova aba))).

Esses limites não podem ser estendidos. A saída é excluir ambientes inativos ou promover para Dataverse (fonte ((abre em nova aba))).

O que fazer na segunda-feiraLink para esta seção

No seu locatário, confirme quantos ambientes Dataverse for Teams existem hoje. Abra o Power Platform admin center, vá em Licensing e depois na aba Microsoft Teams. Ali você vê o consumo de capacidade e a lista de ambientes.

Depois, decida qual abordagem de política de dados faz sentido para o seu cenário. Se você quer controle total desde o início, crie uma política que exclui ambientes selecionados e deixe os de Teams de fora. Se prefere políticas dedicadas, prepare o script PowerShell e coloque-o numa agenda.

E lembre-se: a autonomia do criador não é inimiga da governança. O Dataverse for Teams foi desenhado para dar velocidade a quem está na ponta, mas as alavancas de controle estão todas lá. Cabe a você, como administrador, escolher quando puxar cada uma.