Seguridade baseada na propiedade en Microsoft Dataverse

Dataverse ofrece un modelo de seguridade flexible para moitos escenarios empresariais. O modelo aplícase só a ambientes que teñen unha base de datos Dataverse. Como administrador, xestionas usuarios, verificas a súa configuración de seguridade e solucionas problemas de acceso.

Suxestión

Vexa Microsoft Dataverse - Conceptos de seguridade mostrados en demos.

Seguranza baseada en roles

Dataverse usa roles de seguranza para agrupar privilexios. Asigna roles de seguridade directamente aos usuarios ou aos equipos de Dataverse. Os membros do equipo reciben os privilexios asignados ao equipo.

Os privilexios de seguridade son acumulativos. Un usuario recibe o acceso máis amplo concedido por todos os seus roles e membros do equipo. Por exemplo, se un rol concede acceso de lectura a nivel organizativo a todos os rexistros de contacto, outro rol non pode ocultar un contacto específico ao usuario.

Unidades empresariais

Mira este vídeo para entender as unidades de negocio en Dataverse:

As unidades de negocio traballan con roles de seguridade para determinar o acceso dun usuario. Definen límites de seguridade que che axudan a xestionar usuarios e datos. Cada base de datos Dataverse ten unha unidade de negocio raíz.

Crear unidades de negocio fillas para dividir usuarios e datos en límites de seguridade máis pequenos. Cada usuario nun entorno pertence a unha unidade de negocio. A estrutura da túa unidade de negocio pode coincidir coa túa xerarquía organizativa, pero non ten por que facelo.

Os seguintes exemplos usan tres unidades de negocio. Woodgrove é a unidade de negocio raíz e mantense na cima da xerarquía. As divisións A e B son unidades empresariais fillas. Os usuarios de cada división teñen diferentes necesidades de acceso.

Estrutura xerárquica de acceso aos datos

Usa unha estrutura xerárquica para separar usuarios e datos nunha xerarquía en forma de árbore.

Asigna a cada usuario a unha unidade de negocio e asigna ao usuario un rol de seguridade desa unidade de negocio. Por defecto, a unidade de negocio do usuario posúe os rexistros que o usuario crea. O rol de seguridade determina a que rexistros pode acceder o usuario nesa unidade de negocio.

Neste exemplo, o usuario A pertence á División A e ten o rol de seguridade Y da División A. O usuario A pode acceder ao Contacto #1 e ao Contacto #2. O usuario B pertence á División B, polo que o usuario B non pode acceder aos contactos da División A pero si pode acceder ao Contacto #3.

Estrutura de acceso a datos matricial (unidades de negocio modernizadas)

Usar unha estrutura matricial para organizar os datos nunha xerarquía en forma de árbore permitindo aos usuarios acceder a datos en múltiples unidades de negocio, independentemente da unidade de negocio á que pertenzan.

Asigna ao usuario un rol de seguridade de cada unidade de negocio cuxos datos necesita acceder. Cando o usuario crea un rexistro, pode seleccionar a unidade de negocio que o posúe.

Neste exemplo, o usuario A pode pertencer a calquera unidade de negocio, incluída a unidade raíz. O rol de seguridade Y da División A dá ao usuario A acceso ao Contacto #1 e ao Contacto #2. O rol de seguridade Y da División B dá ao usuario A acceso ao Contacto #3.

Habilitar a estrutura de acceso a datos matricial

Nota

Antes de activar esta función, publica todas as personalizacións para que se aplique ás novas táboas. Se unha táboa non publicada non funciona despois de activar a función, usa a ferramenta OrgDBOrgSettings para Microsoft Dynamics CRM para configurar RecomputeOwnershipAcrossBusinessUnits en true. Esta configuración permíteche configurar e actualizar a columna Propiedade da Unidade de Negocio .

1. Inicia sesión no centro de administración de Power Platform como administrador de Dynamics 365 ou de Microsoft Power Platform.
2. No panel de navegación, selecciona Xestionar.
3. No panel de Xestionar , selecciona Ambientes e logo selecciona o entorno.
4. Seleccione Configuración>Produto>Funcionalidades.
5. Activa a propiedade dos rexistros entre unidades de negocio.
6. Seleccione Gardar.

Despois de activar a función, selecciona unha unidade de negocio cando asignes un rol de seguridade a un usuario. Esta opción permíteche asignar roles de diferentes unidades de negocio ao usuario. Para executar aplicacións orientadas a modelos, o usuario tamén necesita un rol da súa propia unidade de negocio que inclúa os privilexios requiridos para a configuración de usuario. O rol Basic User mostra que privilexios de configuración de usuario deben activar.

Podes facer que un usuario sexa o propietario do rexistro en calquera unidade de negocio se un dos seus roles de seguridade concede privilexio de lectura para a táboa do rexistro. O usuario non necesita un rol de seguridade da unidade de negocio propietaria do rexistro. Para máis información, véxase Propiedade de rexistros en unidades de negocio modernizadas.

Nota

A configuración EnableOwnershipAcrossBusinessUnits almacena o estado desta función. Tamén podes cambiar a configuración coa ferramenta OrgDBOrgSettings para Microsoft Dynamics CRM.

Asociar unha unidade de negocio cun grupo de seguranza Microsoft Entra

Mapea as unidades de negocio aos grupos de seguridade de Microsoft Entra para simplificar a xestión dos usuarios e a asignación de roles.

Para cada unidade de negocio:

1. Crea un grupo de seguridade Microsoft Entra.
2. Crea un equipo do grupo Dataverse para o grupo de seguridade.
3. Asignar o rol de seguridade da unidade de negocio ao equipo do grupo Dataverse.
4. Engade usuarios ao grupo de seguridade Microsoft Entra.

Cando un usuario accede por primeira vez ao entorno, Dataverse crea ao usuario na unidade de negocio raíz. Os equipos de usuarios e do grupo Dataverse poden permanecer na unidade de negocio raíz. Os seus roles de seguridade asignados conceden acceso aos datos das unidades de negocio correspondentes.

Para o acceso a datos matriciais, engade usuarios ao grupo de seguridade de Microsoft Entra para cada unidade de negocio á que necesiten acceder.

Unidade de negocio propietaria

Cada rexistro ten unha columna de Unidade de Negocio Propietaria que identifica a unidade de negocio que posúe o rexistro. Cando un usuario crea un rexistro, a columna pasa por defecto á unidade de negocio do usuario. Só podes cambiar o valor cando a propiedade dos rexistros entre unidades de negocio está activada.

Nota

Cambiar a unidade de negocio propietaria pode provocar cambios en cascada. Para máis información, véxase Usar SDK para .NET para configurar o comportamento en cascada.

Para permitir que un usuario estableza a columna Unidade de Negocio Posuída , concede ao rol de seguridade local do usuario o privilexio Append To para a táboa da Unidade de Negocio.

Engade a columna a:

• Forma corpo ou cabezazo.
• Unha vista.
• Un mapeo de columnas. Se usas AutoMapEntity, inclúe a columna no mapeo.

Nota

Se un traballo de sincronización de datos inclúe Owning Business Unit no seu esquema, o traballo falla por unha violación de restrición de clave estranxeira cando o entorno destino non contén o mesmo valor. Elimina a columna do esquema de orixe, ou cambia o seu valor de orixe a unha unidade de negocio que exista no entorno de destino.

Cando copies datos a un recurso externo, como Power BI, inclúe Unidade de Negocio Propietaria só se o destino soporta a columna.

Táboa e propiedade do disco

Dataverse soporta dous tipos de propiedade de rexistros:

• Organización propiedade: Un privilexio aplícase a todos os rexistros ou non se aplica.
• Propiedade do usuario ou equipo: A maioría dos privilexios soportan niveis de acceso usuario, unidade de negocio, unidade de negocio pai-fillo e organización.

Seleccionas o tipo de propiedade cando creas unha táboa, e non podes cambialo despois. Por exemplo, o acceso de lectura a nivel de usuario á táboa de contactos permite aos usuarios ler só os rexistros de contacto que posúen.

Se o usuario A pertence á División A e ten acceso de lectura a nivel de unidade de negocio á táboa de contactos, o usuario A pode ler o Contacto #1 e o Contacto #2 pero non o Contacto #3.

Cando configures un rol de seguridade, selecciona un nivel de acceso para cada privilexio.

Configura os privilexios estándar das táboas por separado: Crear, ler, escribir, eliminar, engadir, engadir a,asignar e compartir. O ícono de privilexio mostra o nivel de acceso concedido.

Propiedade filtrada dos rexistros da táboa (vista previa)

As funcionalidades en versión preliminar non están destinadas a usarse en produción e poden ter restrinxida a funcionalidade. Estas funcionalidades están dispoñibles antes da versión oficial para que os clientes poidan obter acceso a elas rápido e fornecer comentarios.

A propiedade filtrada dos rexistros permite aos administradores controlar o acceso aos rexistros de Dataverse mediante filtros de valor de columna. Por exemplo, conceder acceso só a rexistros onde a City columna sexa igual a Redmond. Os usuarios poden crear, ler, actualizar e eliminar só rexistros que coincidan cos filtros dos seus roles de seguridade.

Ao contrario das táboas tradicionais de Dataverse, as táboas con propiedade filtrada de rexistros non soportan propiedade, compartición ou asignación de rexistros. Os privilexios baseados en filtros controlan o acceso aos rexistros e proporcionan acceso granular a nivel de fila sen restrinxir táboas, columnas ou outros obxectos do modelo.

Nota

Usa a propiedade filtrada dos rexistros para conceder acceso a nivel de fila aos rexistros que cumpren os criterios do filtro. Aplica privilexios baseados en filtros ás táboas de propiedade de rexistros filtradas e ás táboas existentes propiedade do usuario ou da organización. Para as táboas existentes, este enfoque mantén o modelo de propiedade subxacente.

Propiedade de rexistros en unidades de negocio modernizadas

Coas unidades de negocio modernizadas, os usuarios poden posuír rexistros en calquera unidade de negocio. Un usuario necesita un rol de seguridade de calquera unidade de negocio que conceda privilexio de Lectura para a táboa do rexistro. O usuario non necesita un rol de cada unidade de negocio que conteña un rexistro que posúe.

Se activaches a propiedade de rexistros entre unidades de negocio nun entorno de produción durante o período de previsualización:

1. Instala o editor de axustes da organización.
2. Establece RecomputeOwnershipAcrossBusinessUnits a true. O sistema bloquea durante o recálculo, que pode levar ata cinco minutos. Tras o recálculo, os usuarios poden posuír rexistros entre unidades de negocio sen un rol de seguridade separado para cada un. Os propietarios dos rexistros tamén poden asignar rexistros a usuarios fóra da unidade de negocio propietaria do rexistro.
3. Establece AlwaysMoveRecordToOwnerBusinessUnit a false. Os rexistros permanecen na súa unidade de negocio propietaria orixinal cando cambia a propiedade.

Para ambientes non produtivos, establece AlwaysMoveRecordToOwnerBusinessUnit en false.

Nota

Se desactivas a propiedade de rexistros entre unidades de negocio ou configuras RecomputeOwnershipAcrossBusinessUnits en false, non podes configurar nin actualizar a columna de Propiedade da Unidade de Negocio . Dataverse tamén cambia a unidade de negocio propietaria de cada rexistro afectado para que coincida coa unidade de negocio do propietario do rexistro.

Equipos (incluídos equipos de grupo)

Cada equipo pertence a unha unidade de negocio. Dataverse crea automaticamente un equipo predeterminado para cada unidade de negocio e xestiona a súa membresía. O equipo por defecto inclúe sempre a todos os usuarios da unidade de negocio. Non podes engadir ou eliminar manualmente os seus membros. Dataverse actualiza a membresía cando asocias ou desasocias usuarios coa unidade de negocio.

Dataverse ofrece dous tipos de equipos:

• Os equipos propietarios poden ser propietarios de rexistros. Cada membro do equipo recibe acceso directo aos rexistros do equipo. Un usuario pode pertencer a varios equipos propietarios.
• Os equipos de acceso proporcionan acceso a rexistros compartidos pero non posúen rexistros nin teñen roles de seguridade.

Compartir rexistros

Comparte rexistros individuais cun usuario ou equipo para xestionar excepcións que o teu modelo de propiedade e unidade de negocio non cubren. Usa o compartir só para excepcións porque funciona de forma menos eficiente e pode ser máis difícil de resolver que o acceso baseado en roles. Compartir cun equipo é máis eficiente que compartir por separado con cada usuario.

Usa unha plantilla de equipo de acceso para crear automaticamente un equipo de acceso e definir os seus permisos para un rexistro. Tamén podes crear equipos de acceso sen plantilla e xestionar os seus membros manualmente. Os equipos de acceso non posúen rexistros e non poden ter roles de seguridade. Os membros do equipo reciben acceso porque o rexistro se comparte co equipo.

Seguridade de nivel de rexistro en Dataverse

O acceso aos rexistros dun usuario combina todos os seus roles de seguridade, membresía nunha unidade de negocio, membresía en equipos e rexistros compartidos. O acceso é acumulativo dentro dunha base de datos Dataverse. Dataverse rastrexa o acceso por separado para cada base de datos, e o usuario debe ter unha licenza Dataverse adecuada.

Seguranza de nivel de columna en Dataverse

Usa a seguridade a nivel de columna cando a seguridade a nivel de rexistro non proporciona suficiente control. Actívalo para todas as columnas personalizadas e a maioría das columnas do sistema. A maioría das columnas do sistema que conteñen información persoalmente identificable (PII) soportan seguridade a nivel de columna. Os metadatos dunha columna do sistema indican se podes protexela.

Activar a seguridade a nivel de columna por separado para cada columna. Logo crea un perfil de seguridade de columna que conceda acceso a Crear, Actualizar e Ler ás columnas seguras. Asigna o perfil a usuarios ou equipos.

A seguridade a nivel de columna non concede acceso a un rexistro. Un usuario debe ter acceso a rexistros antes de que un perfil de seguridade de columna poida conceder acceso a columnas seguras. Usa a seguridade a nivel de columna só cando sexa necesario porque o uso excesivo pode reducir o rendemento.

Xestionar a seguridade en múltiples contornos

Usa solucións Dataverse para mover roles de seguridade e columnas de perfís de seguridade entre ambientes. Crea e xestiona unidades de negocio e equipos por separado en cada entorno. Tamén debes asignar aos usuarios os compoñentes de seguridade apropiados en cada entorno.

Configurar seguranza de usuario

Despois de crear roles, equipos e unidades de negocio, configura o acceso de cada usuario:

1. Asocia ao usuario cunha unidade de negocio. Dataverse usa a unidade de negocio raíz por defecto e engade o usuario ao equipo predeterminado desa unidade de negocio.
2. Asigna os roles de seguridade que o usuario necesita.
3. Engade o usuario aos equipos correspondentes.
4. Se usas seguridade a nivel de columna, asigna un perfil de seguridade de columna ao usuario ou a un dos seus equipos.

O acceso efectivo dun usuario combina roles de seguridade asignados directamente con roles asignados a través de equipos. Dataverse sempre concede o permiso máis amplo desde eses roles. Para unha guía detallada, consulta Configurar a seguridade do entorno.

Coordina os principais cambios de seguridade cos creadores de aplicacións e os administradores que xestionan os permisos dos usuarios antes de despregar os cambios.

Consulte tamén

• Seguridade baseada en filtros en Microsoft Dataverse
• Configurar a seguridade do ambiente
• Roles e privilexios de seguranza