Sicherheitserweiterungen für Benutzersitzungen und Zugriffsverwaltung

Verwenden Von Sicherheitsverbesserungen zum Schutz von Kundenbindungs-Apps wie Dynamics 365 Sales, Dynamics 365 Customer Service, Dynamics 365 Field Service, Dynamics 365 Marketing und Dynamics 365 Project Service Automation. In diesem Artikel wird beschrieben, wie Sie Benutzersitzungen verwalten und darauf zugreifen können, um sichere und kontrollierte Benutzerinteraktionen sicherzustellen.

Verwaltung des Benutzersitzungstimeouts

Standardmäßig steuert Ihre Microsoft Entra Sitzungsrichtlinie Benutzersitzungen anstelle eines festen 24-Stunden-Grenzwerts. Benutzer bleiben bei den Kundenbindungs-Apps und anderen Microsoft Apps angemeldet, die in derselben Browsersitzung geöffnet wurden, ohne ihre Anmeldeinformationen alle 24 Stunden erneut eingeben zu müssen.

Diese Richtlinie verlängert eine einzelne Sitzung nicht über 24 Stunden. Wenn Sie ein benutzerdefiniertes Sitzungstimeout für eine Umgebung festlegen, gilt die von Ihnen konfigurierte Sitzungsdauer zwischen mindestens 60 Minuten und maximal 1.440 Minuten (24 Stunden) und überschreibt das Standardverhalten Microsoft Entra.

Standardmäßige Microsoft Entra Sitzungsrichtlinie

Standardmäßig nutzen die Apps zur Kundeninteraktion die Microsoft Entra Sitzungsrichtlinie, um die Zeitüberschreitung der Benutzersitzung zu verwalten. Apps für Apps zur Kundeninteraktion verwenden das Microsoft Entra ID-Token mit einem Anspruch auf ein Richtlinien-Prüfintervall (PCI). Jede Stunde wird stillschweigend im Hintergrund ein neues Microsoft Entra ID-Token abgerufen und die Microsoft Entra-Instantrichtlinie wird erzwungen (von Microsoft Entra ID). Wenn beispielsweise ein Administrator ein Benutzerkonto deaktiviert oder löscht, den Benutzer daran hindert, sich anzumelden, und ein Administrator oder Benutzer widerruft das Aktualisierungstoken, erzwingt das System die Microsoft Entra Sitzungsrichtlinie.

Dieser Microsoft Entra ID-Token-Aktualisierungszyklus wird im Hintergrund fortgesetzt, basierend auf der Richtlinienkonfiguration für die Microsoft Entra-Tokengültigkeitsdauer. Benutzer greifen weiterhin auf die Kundenbindungs-Apps und Microsoft Dataverse Daten zu, ohne dass die Microsoft Entra Tokenlebensdauer-Richtlinie erneut authentifiziert werden muss.

Hinweis

• Der standardmäßige Ablauf des Microsoft Entra Aktualisierungstokens beträgt 90 Tage. Sie können diese Eigenschaft für die Tokenlebensdauer konfigurieren. Ausführliche Informationen finden Sie unter Configurable token lifetimes in Microsoft Entra ID.
• In den folgenden Szenarien wird die Microsoft Entra Sitzungsrichtlinie umgangen und die maximale Dauer der Benutzersitzung auf 24 Stunden zurückgesetzt:
  • In einer Browsersitzung wechseln Sie zum Power Platform Admin Center , und öffnen Sie eine Umgebung, indem Sie die Umgebungs-URL manuell drücken (entweder auf derselben Browserregisterkarte oder auf einer neuen Browserregisterkarte).
    Um die Richtlinienumgehung und die maximal 24-Stunden-Benutzersitzung zu umgehen, öffnen Sie die Umgebung über die Registerkarte "Power Platform Admin Center-Umgebungen", indem Sie den Link "Öffnen" auswählen.
  • In derselben Browsersitzung öffnen Sie eine Version 9.1.0.3647 oder höher und öffnen dann eine Frühere Version 9.1.0.3647.
    Um die Richtlinienumgehung zu umgehen und die Änderung der Benutzerdauer zu umgehen, öffnen Sie die zweite Umgebung in einer separaten Browsersitzung.

Um Ihre Version zu bestimmen, melden Sie sich bei Apps zur Kundenbindung an und wählen Sie oben rechts auf dem Bildschirm die Schaltfläche Einstellungen>Über aus.

Microsoft Entra Ausfallresilienz

Wenn zeitweilige Microsoft Entra Ausfalls auftreten, können authentifizierte Benutzer weiterhin auf Kundenbindungs-Apps und Dataverse-Daten zugreifen, wenn ihre PCI-Ansprüche gültig bleiben oder sich während der Authentifizierung anmelden.

Sitzungstimeout für einzelne Umgebungen

Für Umgebungen, die unterschiedliche Sitzungstimeoutwerte erfordern, können Sie das Sitzungstimeout und das Inaktivitätstimeout in den Systemeinstellungen festlegen. Diese Einstellungen setzen die Standard-Microsoft Entra Sitzungsrichtlinie außer Kraft. Wenn diese Einstellungen ablaufen, werden Benutzer zur Microsoft Entra ID erneuten Authentifizierung weitergeleitet.

Um zu erzwingen, dass sich Benutzer nach einer im Voraus festgelegten Zeit neu authentifizieren müssen, können Administrationsfachkräfte ein Sitzungstimeout für ihre individuellen Umgebungen festlegen. Benutzer können nur während der Sitzung bei der Anwendung angemeldet bleiben. Die Verwendung meldet den Benutzer ab, wenn die Sitzung abgelaufen ist. Die Benutzer müssen sich mit ihren Anmeldeinformationen anmelden, um zu den Customer Engagement-Apps zurückzukehren.

Hinweis

Die folgenden Apps erzwingen kein Benutzersitzungstimeout:

1. Dynamics 365 für Outlook
2. Dynamics 365 für Smartphones und Dynamics 365 für Tablets
3. Unified Service Desk-Client mit WPF Browser (Internet Explorer wird unterstützt)
4. Live Assist (Chat)
5. Power Apps Leinwand-Apps

Führen Sie die folgenden Schritte aus, um das Sitzungstimeout für eine einzelne Umgebung zu konfigurieren:

1. Melden Sie sich im Power Platform Admin Center an.

2. Wählen Sie im Navigationsbereich die Option Verwalten aus.

3. Wählen Sie im Bereich VerwaltenUmgebungen aus.

4. Wählen Sie auf der Seite Umgebungen eine Umgebung aus.

5. Wählen Sie in der Befehlsleiste Einstellungen aus.

6. Erweitern Sie Produkt und wählen Sie dann Datenschutz und Sicherheit aus.

7. Aktivieren Sie die Einstellung Ablauf der Sitzung.

8. Geben Sie Werte in die folgenden Felder ein:

   • Maximale Sitzungsdauer eingeben
   • Wie lange vor Ablauf der Sitzung soll eine Zeitüberschreitungs-Warnung angezeigt werden?

   Diese Einstellungen gelten für alle Benutzer.

9. Wählen Sie Speichern.

Hinweis

Sitzungstimeout ist ein serverseitiges Feature, das die Lebensdauer aller Sitzungen erzwingt. Wenn Sie den Sitzungsablauf aktivieren, konfigurieren Sie zwei Werte:

• Sitzungsdauer – wie lange Benutzer angemeldet bleiben können, bevor die Sitzung endet, und sie müssen sich erneut anmelden. Minimum: 60 Minuten. Maximal: 1.440 Minuten (24 Stunden).
• Timeoutwarnung – wie lange vor dem Sitzungsende die Benutzer eine Warnung erhalten, damit sie Zeit haben, ihre Arbeit zu sparen, bevor Sie sich erneut anmelden. Minimum: 20 Minuten. Es muss ein Wert sein, der kürzer als die Sitzungslänge ist.

Diese Einstellungen gelten für alle Benutzer und werden wirksam, wenn sich ein Benutzer das nächste Mal anmeldet.

Hinweis

Die Warnung basiert auf der verbleibenden Zeit in der Sitzung, nicht auf dem Zeitpunkt, an dem der Benutzer die App öffnet. Wenn ein Benutzer die App öffnet oder zurückgibt, wenn weniger Zeit als der Warnwert verbleibt, wird die Warnung sofort angezeigt. Wählen Sie einen Warnwert aus, der Benutzern genügend Zeit gibt, um ihre Arbeit zu speichern, bevor die Sitzung endet: Wenn eine Sitzung abläuft, müssen sich Benutzer erneut anmelden und eine neue Sitzung beginnt, sodass alle nicht gespeicherten Arbeiten verloren gehen können. Das Speichern von Arbeit und erneutes Anmelden, wenn die Warnung angezeigt wird , anstatt darauf zu warten, dass die Sitzung abläuft – hilft, dies zu vermeiden.

Inaktivitätstimeoutverwaltung

Standardmäßig erzwingen Apps zur Kundenbindung kein Timeout für inaktive Sitzungen. Ein Benutzer kann bei der Anwendung angemeldet bleiben, bis das Sitzungstimeout abläuft. Dieses Verhalten kann nicht geändert werden.

Um die automatische Abmeldung nach einem vordefinierten Zeitraum der Inaktivität zu erzwingen, können Sie als Administrator einen Inaktivitätstimeoutzeitraum für jede Ihrer Umgebungen festlegen. Die Verwendung meldet den Benutzer ab, wenn die Inaktivitätssitzung abgelaufen ist.

Um das Inaktivitätssitzungstimeout für Webressourcen zu erzwingen, müssen Webressourcen die Datei in ihre ClientGlobalContext.js.aspx Lösung einschließen.

Das Dynamics 365 Portal verfügt über eigene Einstellungen zum Verwalten des Sitzungstimeouts und des Inaktivitätssitzungstimeouts, das unabhängig von diesen Systemeinstellungen ist.

Hinweis

Die folgenden Apps erzwingen kein Inaktivitätssitzungstimeout:

• Dynamics 365 für Outlook
• Dynamics 365 für Smartphones und Dynamics 365 für Tablets
• Unified Service Desk-Client mit WPF Browser (Internet Explorer wird unterstützt)
• Live Assist (Chat)
• Power Apps Leinwand-Apps

Führen Sie die folgenden Schritte aus, um das Inaktivitätstimeout für eine einzelne Umgebung zu konfigurieren:

1. Melden Sie sich im Power Platform Admin Center an.
2. Wählen Sie im Navigationsbereich die Option Verwalten aus.
3. Wählen Sie im Bereich VerwaltenUmgebungen aus.
4. Wählen Sie auf der Seite Umgebungen eine Umgebung aus.
5. Wählen Sie in der Befehlsleiste Einstellungen aus.
6. Erweitern Sie Produkt und wählen Sie dann Datenschutz und Sicherheit aus.
7. Aktivieren Sie die Einstellung Inaktivitätstimeout.
8. Geben Sie Werte in die folgenden Felder ein:
   • Dauer der Inaktivität bis zum Zeitüberschreitung
   • Wie lange vor Ablauf der Sitzung soll eine Inaktivitätswarnung angezeigt werden? Diese Einstellungen gelten für alle Benutzer.
9. Wählen Sie Speichern.

Hinweis

Inaktivitätstimeout ist ein Clientfeature, bei dem der Client sich basierend auf Inaktivität abmeldet. Dies wird jedoch nur für gesamtstrukturübergreifende Umgebungen empfohlen.

• Mindestdauer der Inaktivität: 5 Minuten
• Maximale Dauer der Inaktivität: weniger als die maximale Sitzungslänge oder 1.440 Minuten

Die aktualisierten Einstellungen werden wirksam, wenn sich der Benutzer das nächste Mal bei der Anwendung anmeldet.

Zugriffsverwaltung

Kundenbindungs-Apps verwenden Microsoft Entra ID als Identitätsanbieter. Um den Zugriff des Benutzers auf Kundenbindungs-Apps zu sichern, implementieren Sie die folgenden Maßnahmen:

• Benutzer müssen erneut authentifizieren, indem Sie sich mit ihren Anmeldeinformationen anmelden, nachdem sie sich innerhalb der Anwendung abgemeldet haben.
• Verhindern Sie, dass Benutzer Anmeldeinformationen für den Zugriff auf Kundenbindungs-Apps freigeben, indem Sie das Benutzerzugriffstoken überprüfen, um sicherzustellen, dass der Identitätsanbieter zugriff auf denselben Benutzer gewährt, der auf die Apps zugreift.