Gérer le stockage PrincipalObjectAccess

Les utilisateurs au sein d’un environnement avec la base de données Microsoft Dataverse peuvent collaborer avec d’autres utilisateurs en accordant l’accès à un enregistrement appartenant à l’utilisateur. L’utilisateur peut partager un enregistrement avec un autre utilisateur ou une autre équipe, ou réaffecter un enregistrement à un autre utilisateur ou à une autre équipe.

Pour gérer cette collaboration au niveau de l’enregistrement et fournir un accès utilisateur aux enregistrements partagés, tous les partages d’enregistrements et leurs autorisations sont stockés dans la table PrincipalObjectAccess (POA). Chaque fois que des utilisateurs essaient d’accéder à un enregistrement qu’ils ne possèdent pas ou ne disposent pas du privilège approprié dans leur rôle de sécurité, le système vérifie la table POA pour autoriser l’accès de l’utilisateur.

Sources de POA

Les rubriques suivantes décrivent les paramètres ou l’utilisation qui créent des enregistrements POA, car ils activent le partage d’enregistrements. Les paramètres doivent être vérifiés et mis à jour en conséquence pour éviter le partage excessif et l’augmentation du stockage POA.

Partager les enregistrements réattribués avec le propriétaire d’origine

Par défaut, le paramètre Définir si les enregistrements réattribués sont partagés avec le propriétaire d’origineest défini sur Non. Le propriétaire d’origine de l’enregistrement n’a plus accès à l’enregistrement lorsque la propriété de l’enregistrement est réattribuée à un autre utilisateur. Lorsque ce paramètre est défini sur Oui, un enregistrement est créé dans la table POA chaque fois qu’un utilisateur attribue un enregistrement à un autre utilisateur ou une autre équipe. Le propriétaire d’origine est automatiquement ajouté en tant que Partager à.

Équipes d’accès

Lorsqu’une équipe d’accès est utilisée pour la collaboration d’enregistrements, les enregistrements sont créés dans la table POA chaque fois qu’un utilisateur est ajouté à l’équipe d’accès. Il existe deux types d’équipes d’accès :

• Géré par le système : Ceux-ci sont créés via des modèles et sont intégrés dans un formulaire pour permettre à l’utilisateur de gérer facilement la liste des membres. Le système crée automatiquement une équipe d’accès pour un enregistrement partagé. Par exemple, le compte n° 1 a une équipe d’accès différente du compte n° 2.

• Ajouté manuellement : Il s’agit d’équipes d’accès individuelles où un administrateur/propriétaire de l’équipe gère la liste des membres de l’équipe.

Partage direct

• Lorsqu’un utilisateur partage explicitement un enregistrement avec un autre utilisateur, un enregistrement est créé dans la table POA.

Partage indirect

• Lorsqu’un utilisateur partage un enregistrement avec une équipe, tous les membres de l’équipe sont indirectement partagés.

• Le partage indirect se produit également avec un enregistrement qui a une relation de partage en cascade ou sur une table avec une relation parent/enfant. Lorsqu’un enregistrement parent est partagé avec un utilisateur ou une équipe, l’utilisateur ou l’équipe partagé(e) a accès à tous les enregistrements en cascade ou enfants. Toutes ces autorisations d’accès aux enregistrements enfants sont créées dans la table POA.

  Exemple de relation de table

  Une table peut être définie pour avoir des relations avec d’autres tables (par exemple, Compte à cas). Par défaut, la relation de l’option Redéfinir la parenté est définie sur Tout en cascade. Tous les sous-enregistrements associés sont partagés avec le propriétaire de l’enregistrement parent.

  Par exemple : l’utilisateur n°1 possède le compte n°1. L’utilisateur 1 partage le compte n°1 avec l’utilisateur n°2. L’utilisateur n°2 crée un cas n°1 sous le compte n°1. Avec les options de reparent prêtes à l’emploi, l’utilisateur n°1 a accès au cas n°1. Toutes ces autorisations utilisateur sont capturées dans la table POA.

Partage de la source

L’API RetrieveAccessOrigin peut être utilisée pour déterminer d’où provient l’accès d’un utilisateur ou d’une équipe à une table spécifique. L’API nécessite un objectId, un logicalName et un principalId dans la demande, et la réponse est une chaîne décrivant où l’accès à la table a été obtenu.

Gestion de la croissance des tables POA

• Évaluez les besoins de votre entreprise et activez Définir si les enregistrements réaffectés sont partagés avec le propriétaire d’origine là où c’est nécessaire. Notez qu’il s’agit d’un paramètre à l’échelle du système. Une fois activé, le paramètre est appliqué à tous les enregistrements.
• Partagez avec les utilisateurs pour une collaboration où la liste des utilisateurs n’est pas la même dans les différents enregistrements que vous avez partagés.
• Utilisez l’équipe en tant que propriétaire de l’enregistrement si vous partagez fréquemment des enregistrements avec la même liste d’utilisateurs ou partagez l’enregistrement avec l’équipe.
• Si vous avez une structure d’unité commerciale complexe et une utilisation fréquente du partage :
  • Ne partagez que là où c’est nécessaire.
  • Limiter le nombre d’unités commerciales.
  • Assurez-vous que les utilisateurs sont placés dans l’unité commerciale appropriée.
  • Partagez avec l’équipe pour permettre aux utilisateurs de différentes unités commerciales d’accéder aux enregistrements.
• Lorsqu’un enregistrement est accessible à plusieurs équipes d’accès (par exemple, une équipe de commerciaux qui ne peut que lire l’enregistrement et une autre équipe de responsables commerciaux qui dispose d’un accès complet en lecture et en écriture), envisagez d’utiliser différents formulaires basés sur les rôles pour les commerciaux et les responsables commerciaux.
• Gérez le cycle de vie des membres de votre équipe d’accès. Supprimez les utilisateurs qui ne sont plus nécessaires pour la collaboration.
• Supprimez tous les membres de l’équipe d’accès lorsque la collaboration est terminée.

Suppression des enregistrements POA

La table POA est gérée par le système pour garantir un accès correct des utilisateurs ou des équipes aux enregistrements respectifs. La suppression directe sur cette table n’est pas prise en charge, car elle peut rompre le modèle de sécurité défini pour l’organisation. La bonne façon de nettoyer la table POA consiste à ajuster le modèle de sécurité et à révoquer l’accès précédemment accordé.

Guide de résolution des problèmes

Lorsque la configuration en cascade d’une relation de table est modifiée de Redéfinir la parenté ou Partager à Sans cascade, utilisez cet article pour nettoyer l’accès hérité. Cela supprime les enregistrements POA inutiles. Pour plus d’informations : Comment nettoyer l’accès hérité.

Le nettoyage des droits d’accès hérités est un travail système qui nettoie les droits d’accès hérités qui restent après le changement du comportement en cascade en Sans mise en cascade. Pour plus d’informations : Nettoyage des droits d’accès hérités

Pour savoir si l’accès utilisateur a été accordé en raison de POA, consultez Déterminer pourquoi un utilisateur a accès.

Voir aussi

Capacité de stockage Dataverse