1. ¿Cómo funciona Power Embedded internamente?
El funcionamiento interno de Power Embedded para la visualización de los informes se describe a continuación:
1) Power Embedded verifica si el usuario conectado puede acceder al informe y envía los datos para aplicar el RLS (si lo hay)
2) Power Embedded se autentica en la API de Azure y recupera un token de autenticación
3) Power Embedded envía los metadatos necesarios a las API de Power BI (IDs del Workspace, Informe y Conjunto de datos)
4) La API de Power BI carga los datos que están almacenados en los workspaces y el informe
5) La API de Power BI monta el elemento iframe apuntando al informe ya listo y lo devuelve al sistema
6) Power Embedded muestra el iframe devuelto al usuario. NINGÚN dato del informe es leído, accedido, almacenado ni transita por los servidores del sistema
El funcionamiento interno para la importación de los informes de Power BI a Power Embedded se describe a continuación:
1) Power Embedded interactúa con las API de Power BI
2) La API devuelve los metadatos necesarios para la visualización (IDs del Workspace, Informe y Conjunto de datos)
3) Power Embedded almacena los metadatos devueltos
4) El administrador gestiona los permisos, RLS, estructura de carpetas y demás atributos del informe
5) NINGÚN dato personal es almacenado por Power Embedded, solo el correo electrónico y el nombre de los usuarios.
6) NINGÚN dato de informe es almacenado ni transita por la red, ni por los servidores de Power Embedded
2. Seguridad interna de Power Embedded
La seguridad interna de Power Embedded es extremadamente robusta y el sistema utiliza una arquitectura totalmente basada en recursos SaaS autogestionados en Azure, donde la gestión la realiza Microsoft, con copias de seguridad automáticas y alta disponibilidad de la aplicación y de la base de datos mediante zonas de disponibilidad con failover automático y con garantía de disponibilidad del 99,99%.
El sistema se somete periódicamente a diversos y complejos pentests, tanto automáticos realizados por herramientas de pentest como validaciones y pruebas manuales realizadas por especialistas de seguridad de empresas contratadas.
Todo el entorno de nube está protegido por Microsoft Defender for Cloud, que realiza la protección, el análisis y las recomendaciones de forma proactiva y continua.
El acceso a los recursos de Azure está bloqueado desde internet y solo es accesible a través de VPN.
La comunicación entre el sistema y el navegador está cifrada mediante certificados SSL (HTTPS).
La clave de acceso a Power BI se almacena en la base de datos cifrada utilizando el algoritmo más seguro del mercado (RSA-OEAP) y varios mecanismos de protección para garantizar que, incluso ante un eventual acceso indebido a la base de datos, esa clave no pueda ser decodificada, ya que el acceso a la clave de seguridad para descifrar (que es individual por cliente) se encuentra en un Azure KeyVault al que solo la aplicación tiene permiso y conectividad para acceder.
La clave de la API pública se cifra utilizando un algoritmo de HASH que no permite recuperar el valor generado, así como el secret de un KeyVault.
3. Controles de privacidad y LGPD
El proceso de incrustar los informes en el sistema no requiere la carga ni la lectura de ningún dato de nuestros clientes.
Todos los datos permanecen almacenados en los propios servidores de Power BI, en un conjunto de datos publicado en un workspace, y el sistema solo utiliza la API de Power BI para renderizar el informe (también ya publicado en el workspace) dentro del sistema.
Por lo tanto, no leemos ni recopilamos ninguna información, solo realizamos una llamada HTTP a la API de Power BI, que lee los datos y los muestra en pantalla.
Los únicos datos de la empresa que se almacenan son los nombres y correos electrónicos de los usuarios registrados en el sistema, para la administración de los accesos.
En cuanto a la seguridad, toda la comunicación de Power Embedded está cifrada de extremo a extremo, utilizando seguridad SSL y HTTPS, además de Azure Firewall y diversos mecanismos de seguridad de Azure.
4. Diferencias entre Embedded, "Publicar en la Web" e "Insertar informe"
Aunque las 3 opciones permiten incrustar informes en sitios web, SharePoint, correo electrónico, Teams, etc., son muy diferentes.
Embedded
Es una licencia por capacidad que permite visualizar informes de forma segura (con permisos, RLS, OLS, auditorías de accesos, bloqueos por IP, etc.) a través de una aplicación, sin que quien lo visualiza necesite una licencia de Power BI, y controlar todos los objetos visuales, colores, temas, páginas y componentes de los informes mediante lenguaje de programación.
Insertar informe
Esta es una forma de compartir informes en sitios web, aplicaciones, SharePoint, Teams, etc. de forma segura, manteniendo todos los controles de seguridad de Power BI, como permisos, RLS, OLS y auditorías de acceso.
A diferencia de Embedded, en este modo de uso compartido, todos los usuarios que accederán al informe necesitan tener una licencia Pro o PPU (o capacidad Premium).
Además, NO es posible controlar los elementos del informe mediante lenguaje de programación para crear/editar objetos visuales dinámicamente, cambiar temas, crear/eliminar páginas, etc.
Publicar en la Web
Es una forma de compartir informes gratuitamente, sin que la persona que los visualiza necesite tener una cuenta o licencia de Power BI. Funciona muy bien cuando necesita compartir informes que contienen datos públicos, es decir, donde no hay preocupación por fuga de datos.
A diferencia de Embedded, en “Publicar en la Web” no existe ninguna seguridad: cualquier persona que tenga acceso al enlace del informe lo visualizará, sin ningún control a nivel de usuario, como RLS u OLS, no es necesario que quien lo visualiza esté registrado en ninguna aplicación y no hay auditoría para saber quién está visualizando el informe. Cualquier persona podrá estar viendo los datos de su empresa y usted no sabrá quién.
Además, como ya se ha difundido ampliamente en internet, todos los informes publicados de esta forma pueden ser accedidos mediante consultas simples en Google, incluso si el enlace nunca se publicó en ningún lugar.
Incluso si intenta bloquear el acceso utilizando una contraseña para abrir el portal, este tipo de mecanismo se rompe fácilmente en pocos segundos, utilizando la opción de Developer Tools del navegador, y la persona tendrá acceso irrestricto a los datos publicados en el informe.
5. Proceso de publicación de los informes
El proceso de importación y publicación de los informes en Power Embedded es prácticamente el mismo que ya existe en el servicio tradicional de Power BI:
- El usuario abre Power BI Desktop y crea el informe.
- El usuario publica el informe en el workspace deseado.
- El administrador de Power Embedded importa el informe del workspace de Power BI al sistema.
- El administrador de Power Embedded asigna los permisos por grupo o por usuario individualmente.
- El administrador de Power Embedded define las reglas de RLS del conjunto de datos (si las hay).
- El usuario accede al informe a través del portal de visualización de Power Embedded.
6. Actualizaciones del sistema
Power Embedded es un sistema muy dinámico, y nuestro equipo está siempre atento a las solicitudes y necesidades de nuestros clientes y también a los nuevos recursos que Microsoft pone a disposición.
Tenemos un tiempo de desarrollo e implementación muy rápido, lo que nos permite realizar de 2 a 5 actualizaciones de mejoras y nuevas funcionalidades por semana.
Siempre que se implementa una funcionalidad o mejora, la aplicamos y la ponemos a disposición gratuitamente de todos nuestros clientes, de forma automática.
7. Personalizaciones del sistema
Si se solicita un cambio en Power Embedded y la personalización no puede aplicarse a los demás clientes y quedará restringida únicamente a su empresa, programaremos una reunión con su equipo para comprender mejor su necesidad y enviaremos una propuesta comercial para implementar esa personalización en el sistema.
Si su sugerencia/idea puede aplicarse a los demás clientes, no hay cobro por el desarrollo.