FAQ для организаций и специалистов по безопасности

Эта страница содержит официальную позицию разработчиков для организаций, рассматривающих использование Deneb. Здесь приведены ответы на вопросы, которые чаще всего задают ИТ-службы, специалисты по безопасности и закупкам. Страницу можно передать им напрямую.

Deneb — бесплатный проект с открытым исходным кодом, распространяемый по лицензии MIT. Он предоставляется «как есть», без гарантий и соглашения об уровне обслуживания (SLA). Разработчики не заполняют индивидуальные анкеты поставщиков. Если здесь нет ответа на ваш вопрос или вы считаете какие-либо сведения неточными, создайте обращение, чтобы ответ был полезен всем.

Передаёт, хранит или обрабатывает ли Deneb данные отчёта за пределами Power BI?

Нет. Deneb обрабатывает данные, полученные от Power BI, полностью внутри визуала — в браузере пользователя или сеансе Power BI Desktop — исключительно для построения визуализации. Он не собирает, не хранит и никуда не передаёт данные отчёта. У визуала нет телеметрии, аналитики или внешнего сервиса, обеспечивающего его работу.

Это без оговорок относится к сертифицированной версии из AppSource. Автономная версия может загружать удалённые ресурсы, указанные автором отчёта в спецификации; это описано в следующем вопросе.

См. также политику конфиденциальности Deneb.

Может ли Deneb выполнять внешние сетевые запросы?

Сертифицированная версия из AppSource — нет. Требования Microsoft к сертификации запрещают сертифицированным визуалам обращаться к внешним сервисам и ресурсам. Microsoft проверяет соблюдение этого правила по исходному коду каждого выпуска. Если спецификация содержит удалённые URL — например, изображения или внешние данные, — эта версия их не загрузит.

Автономная версия — только по явному указанию автора отчёта. Автономная версия не сертифицирована и разрешает спецификациям Vega и Vega-Lite обращаться к удалённым изображениям и URL данных с учётом списка разрешённых адресов Deneb. Сам по себе Deneb не инициирует запросы: они выполняются только тогда, когда спецификация вашего автора отчёта ссылается на удалённый ресурс. Чтобы полностью запретить такое поведение в организации, используйте версию из AppSource или ограничьте использование визуалов сертифицированными (см. рекомендации для ИТ-служб и специалистов по безопасности).

Какие проверки безопасности и сертификаты есть у Deneb?

Deneb — пользовательский визуал Power BI, сертифицированный Microsoft. Каждый выпуск передаётся в Microsoft: компания проверяет исходный код и тестирует пакет визуала на соответствие требованиям перед публикацией в AppSource. В частности, сертифицированные визуалы должны:

Не обращаться к внешним сервисам и ресурсам, не использовать fetch или XMLHttpRequest.
Не использовать минифицированный или обфусцированный код и динамическое выполнение кода, например eval.
Предоставлять Microsoft исходный код для проверки; проверенный код должен в точности соответствовать отправленному пакету.
Работать в изолированной среде пользовательских визуалов Power BI — отдельном iframe без доступа к DOM, cookies или хранилищу отчёта, в который встроен визуал.

Сертификация возобновляется при каждом выпуске. Deneb идёт дальше этих требований: полный исходный код опубликован на GitHub, поэтому ваша команда безопасности может самостоятельно его проверить.

У Deneb нет организационных сертификатов SOC 2, ISO 27001 и подобных. Это общественный проект с открытым исходным кодом, а не компания; такие системы сертификации к нему не применяются.

Известны ли уязвимости безопасности?

Известные проблемы учитываются и раскрываются на вкладке Security репозитория — это официальный актуальный список. Deneb публикует политику безопасности, в которой определены охват, порядок конфиденциального сообщения о проблеме через механизм рекомендаций по безопасности GitHub и ожидаемые сроки ответа.

При оценке риска нужно понимать две особенности архитектуры:

Автор спецификации полностью управляет содержимым визуала в пределах изолированной среды. Это предусмотрено архитектурой и соответствует модели доверия к другому содержимому отчёта, например мерам DAX или сценариям Power Query. Относитесь к спецификациям Deneb как к коду отчёта, написанному людьми, которым вы доверяете.
Deneb включает Vega и Vega-Lite — широко используемые и активно поддерживаемые библиотеки с открытым исходным кодом. Версии зависимостей фиксируются для каждого выпуска и обновляются в рамках обычного сопровождения.

Продолжается ли активная поддержка Deneb?

Да. Deneb непрерывно разрабатывается и публикуется в AppSource с 2021 года; регулярные выпуски выходят вплоть до текущей основной версии. Работа открыто ведётся на GitHub: журнал изменений описывает выпущенные возможности, а обращения и этапы работ показывают планы. Формального долгосрочного плана развития или иных обязательств по поддержке нет. Участники проекта перечислены на странице «Участники проекта».

Они разрабатывают и поддерживают Deneb в свободное время. Помощь сообщества доступна через каналы на странице поддержки; организации, которым этого недостаточно, могут обратиться за консультационными услугами.

Продолжат ли существующие отчёты работать, если разработка прекратится?

Пакет визуала встроен в каждый файл отчёта Power BI, в котором он используется. Поэтому существующие отчёты продолжают отображаться с рабочей версией визуала независимо от продолжения разработки. Deneb не зависит от внешнего сервиса, который мог бы быть отключён.

Организации, которым нужен полный контроль над дальнейшей работоспособностью, могут развернуть автономный пакет .pbiviz из соответствующего выпуска GitHub как организационный визуал. Это закрепляет одобренную вами версию, полностью управляется в пределах вашего клиента Power BI и не зависит от доступности AppSource. Лицензия MIT также позволяет организации создать собственную ветку проекта (fork), собирать и поддерживать её самостоятельно.

Разработчики Deneb не могут давать обязательства от имени Microsoft относительно обработки визуалов, удалённых из AppSource. Поэтому там, где нужны гарантии продолжения работы, рекомендуется использовать организационные визуалы.

Могут ли будущие обновления Power BI нарушить работу существующих визуалов Deneb?

Пользовательские визуалы Power BI построены на API с версиями, для которого Microsoft поддерживает обратную совместимость. Компания заранее сообщает разработчикам визуалов об устаревающих возможностях. Deneb учитывает эти изменения с 2021 года без потери функциональности существующих отчётов.

Риск не равен нулю и не ограничивается Deneb: любой пользовательский визуал, как и любая возможность Power BI, зависит от развития платформы. Меры снижения риска те же, что и в предыдущем ответе: обновляйте визуал через AppSource либо закрепите одобренную версию как организационный визуал и обновляйте её по собственному графику.