Sigurnost utemeljena na vlasništvu u Microsoft Dataverse

Dataverse nudi fleksibilan model sigurnosti za mnoge poslovne scenarije. Model se odnosi samo na okruženja koja imaju dataverse bazu podataka. Kao administrator, vi upravljate korisnicima, provjeravate njihovu sigurnosnu konfiguraciju i otklanjate poteškoće s pristupom.

Savjet

Watch Microsoft Dataverse - Security concepts shown in demos.

Sigurnost na temelju uloga

Dataverse Koristi sigurnosne uloge za grupiranje privilegija. Dodijelite sigurnosne uloge izravno korisnicima ili timovima za Dataverse. Članovi tima dobivaju ovlasti dodijeljene timu.

Sigurnosne ovlasti su kumulativne. Korisnik prima najšire pristup koji imaju sve uloge i timska članstva. Ako, primjerice, jedna uloga svim zapisima kontakata dodijeli pristup za čitanje na razini tvrtke ili ustanove, druga uloga ne može sakriti određeni kontakt od korisnika.

Poslovne jedinice

Pogledajte ovaj videozapis da biste razumjeli poslovne jedinice u aplikaciji Dataverse:

Poslovne jedinice rade sa sigurnosnim ulogama radi određivanja korisnikova pristupa. Njima se definiraju sigurnosna ograničenja koja olakšavaju upravljanje korisnicima i podacima. Svaka Dataverse baza podataka ima jednu korijensku poslovnu jedinicu.

Stvorite podređene poslovne jedinice da biste korisnike i podatke podijelili na manje sigurnosne granice. Svaki korisnik u okruženju pripada poslovnoj jedinici. Struktura poslovne jedinice može se podudarati s hijerarhijom tvrtke ili ustanove, ali ne mora.

Sljedeći primjeri koriste tri poslovne jedinice. Woodgrove je korijenska poslovna jedinica i ostaje na vrhu hijerarhije. Odjeli A i B podređene su poslovne jedinice. Korisnici odjela imaju različite potrebe za pristupom.

Hijerarhijska struktura pristupa podacima

Hijerarhijsku strukturu koristite za razdvajanje korisnika i podataka hijerarhije poput stabla.

Svakom korisniku dodijelite jednu poslovnu jedinicu i dodijelite korisniku sigurnosnu ulogu iz te poslovne jedinice. Prema zadanim postavkama korisnikova poslovna jedinica posjeduje zapise koje je stvorio korisnik. Sigurnosna uloga određuje kojim zapisima korisnik može pristupiti u toj poslovnoj jedinici.

U ovom primjeru korisnik A pripada odjelu A i ima sigurnosnu ulogu Y iz odjela A. Korisnik A može pristupiti kontaktu #1 i kontaktu #2. Korisnik B pripada odjelu B, pa korisnik B ne može pristupiti kontaktima odjela A, ali može pristupiti kontaktu #3.

Dijagram hijerarhijskih poslovnih jedinica u kojima korisnik A pristupa kontaktima odjela A, a korisnik B pristupi kontaktu odjela B #3.

Struktura pristupa podacima matrice (modernizirane poslovne jedinice)

Pomoću strukture matrice organizirajte podatke u hijerarhiji poput stabla, a korisnicima omogućujete pristup podacima u više poslovnih jedinica, bez obzira na poslovnu jedinicu kojoj pripadaju.

Dodijelite korisniku sigurnosnu ulogu iz svake poslovne jedinice čiji su podaci potrebni za pristup. Kada korisnik stvori zapis, može odabrati poslovnu jedinicu u njezinu vlasništvu.

U ovom primjeru korisnik A može pripadati bilo kojoj poslovnoj jedinici, uključujući korijensku poslovnu jedinicu. Sigurnosna uloga Y iz odjela A korisniku omogućuje pristup kontaktima #1 i kontaktu #2. Sigurnosna uloga Y iz odjela B korisniku omogućuje pristup kontaktu #3.

Dijagram na kojem se prikazuje korisnik A koji pristupa kontaktima u odjelu A i odjelu B putem uloge Y dodijeljene iz svake poslovne jedinice.

Omogući strukturu pristupa podacima matrice

Napomena

Prije nego što omogućite tu značajku, objavite sve prilagodbe tako da se značajka primjenjuje na nove tablice. Ako neobjavljene tablice ne funkcioniraju nakon što omogućite značajku, upotrijebite alat OrgDBOrgSettings za Microsoft Dynamics CRM da biste postavili RecomputeOwnershipAcrossBusinessUnits na true. Ova postavka omogućuje postavljanje i ažuriranje stupca Owning Business Unit .

  1. Prijavite se u centar za administratore platforme Power Platform kao Dynamics 365 administrator ili Microsoft Power Platform administrator.
  2. U navigacijskom oknu odaberite Upravljanje.
  3. U oknu Upravljanje odaberite Okruženja, a zatim odaberite okruženje.
  4. Odaberite Postavke>Proizvod>Značajke.
  5. Uključite zapis vlasništva u svim poslovnim jedinicama.
  6. Odaberite Spremi.

Kada uključite značajku, odaberite poslovnu jedinicu kada korisniku dodijelite sigurnosnu ulogu. Ta mogućnost omogućuje dodjeljivanje uloga iz različitih poslovnih jedinica korisniku. Da bi pokretao aplikacije utemeljene na modelu, korisniku je potrebna i uloga vlastite poslovne jedinice koja obuhvaća potrebne privilegije korisničkih postavki. Uloga Osnovni korisnik pokazuje koje privilegije korisničkih postavki treba omogućiti.

Korisnika možete postaviti kao vlasnika zapisa u bilo kojoj poslovnoj jedinici ako jedna od njihovih sigurnosnih uloga za tablicu zapisa odobri privilegiju Čitanje. Korisniku nije potrebna sigurnosna uloga iz poslovne jedinice zapisa. Dodatne informacije potražite u članku Zapis o vlasništvu u moderniziranim poslovnim jedinicama.

Napomena

Postavka EnableOwnershipAcrossBusinessUnits pohranjuje stanje te značajke. Postavku možete promijeniti i pomoću alata OrgDBOrgSettings za Microsoft Dynamics CRM.

Povezivanje poslovne jedinice sa sigurnosnom grupom Microsoft Entra

Mapiranje poslovnih jedinica radi Microsoft Entra sigurnosnih grupa radi pojednostavnjenja upravljanja korisnicima i dodjele uloga.

Stvorite sigurnosnu Microsoft Entra za svaku poslovnu jedinicu.

Za svaku poslovnu jedinicu:

  1. Stvorite sigurnosnu Microsoft Entra grupe.
  2. Stvorite tim grupe Dataverse za sigurnosnu grupu.
  3. Dodijelite sigurnosnu ulogu poslovne jedinice timu grupe Dataverse.
  4. Dodajte korisnike u Microsoft Entra grupe.

Kada korisnik prvi put pristupi okruženju, Dataverse stvara korisnika u korijenskoj poslovnoj jedinici. Timovi grupe korisnika i Dataverse mogu ostati u korijenskoj poslovnoj jedinici. Njihove dodijeljene sigurnosne uloge dodjeljuju pristup podacima u odgovarajućim poslovnim jedinicama.

Za pristup matričnom podacima dodajte korisnike u sigurnosnu Microsoft Entra za svaku poslovnu jedinicu koja im je potrebna za pristup.

Vlasnik poslovne jedinice

Svaki zapis ima stupac Owning Business Unit koji identificira poslovnu jedinicu koja je vlasnik zapisa. Kada korisnik stvori zapis, stupac po zadanom je zadan za korisnikove poslovne jedinice. Vrijednost možete promijeniti samo kada je uključeno Zapis vlasništva u svim poslovnim jedinicama.

Napomena

Promjena vlasništva poslovne jedinice može uzrokovati kaskadne promjene. Dodatne informacije potražite u članku Korištenje SDK-a .NET konfiguracije kaskadnog ponašanja.

Da biste korisniku omogućili postavljanje stupca Vlasnik poslovne jedinice, dodijelite korisniku privilegiju Dodaj u lokalnu razinu za tablicu poslovne jedinice.

Dodaj stupac u:

Napomena

Ako zadatak sinkronizacije podataka u shemi sadrži poslovnu jedinicu koja je vlasnik, zadatak ne uspijeva uz kršenje ograničenja vanjskog ključa kada ciljno okruženje ne sadrži istu vrijednost. Uklonite stupac iz izvorišne sheme ili promijenite njegovu izvorišnu vrijednost u poslovnu jedinicu koja postoji u ciljnom okruženju.

Kada podatke kopirate u vanjski resurs, kao što je Power BI, uvrstite poslovnu jedinicu koja je vlasnik samo ako odredište podržava stupac.

Vlasništvo tablice i zapisa

Dataverse podržava dvije vrste vlasništva nad zapisima:

  • U vlasništvu tvrtke ili ustanove: Privilegija se primjenjuje na sve zapise ili se ne primjenjuje.
  • Korisnik ili tim u vlasništvu: Većina ovlasti podržava korisnika, poslovnu jedinicu, nadređenu i podređenu poslovnu jedinicu te razine pristupa tvrtke ili ustanove.

Vrstu vlasništva odabire prilikom stvaranja tablice, a kasnije je ne možete promijeniti. Pristup za čitanje tablice Kontakt na razini korisnika, primjerice, korisnicima omogućuje čitanje samo zapisa kontakata čiji su vlasnik.

Ako korisnik A pripada odjelu A i ima pristup za čitanje na razini poslovne jedinice tablice Kontakta, korisnik A može pročitati Kontakt #1 i Kontakt #2, ali ne i Kontakt #3.

Kada konfigurirate sigurnosnu ulogu, odaberite razinu pristupa za svaku privilegiju.

Snimka zaslona s ovlastima sigurnosne uloge i razinama pristupa s istaknutom tablicom Kontakt i standardnim stupcima privilegija.

Zasebno konfigurirajte standardne privilegije tablice: Stvaranje, Čitanje, Pisanje,Brisanje, Dodavanje, Dodavanje, Dodjeljivanje i Zajedničko korištenje. Ikona ovlasti prikazuje razinu odobrenog pristupa.

Vlasništvo nad zapisom filtrirane tablice (pretpregled)

Značajke pretpregleda nisu namijenjene u proizvodne svrhe i mogu imati ograničene funkcije. Te su značajke dostupne prije službenog izdavanja da bi se klijentima omogućio prijevremeni pristup i slanje povratnih informacija.

Vlasništvo filtriranog zapisa administratorima omogućuje upravljanje pristupom zapisima Dataverse pomoću filtara vrijednosti stupca. Primjerice, dodijelite pristup samo zapisima u kojima City je stupac jednak Redmondu. Korisnici mogu stvarati, čitati, ažurirati i brisati samo zapise koji se podudaraju s filtrima u sigurnosnim ulogama.

Za razliku od tradicionalnih tablica vrste Dataverse, tablice s filtriranim vlasništvom nad zapisima ne podržavaju vlasništvo zapisa, zajedničko korištenje ni dodjelu. Privilegije utemeljene na filtriranju kontroliraju pristup zapisima i omogućuju granularni pristup na razini retka bez ograničavanja tablica, stupaca ili drugih objekata modela.

Napomena

Koristite filtrirano vlasništvo nad zapisima da biste omogućili pristup na razini retka zapisima koji ispunjavaju kriterije filtra. Primijenite ovlasti utemeljene na filtru na filtrirane tablice vlasništva nad zapisima i postojeće tablice u vlasništvu korisnika ili tvrtke ili ustanove. Za postojeće tablice taj pristup zadržava temeljni model vlasništva.

Snimanje vlasništva u moderniziranim poslovnim jedinicama

Uz modernizirane poslovne jedinice korisnici mogu imati zapise u bilo kojoj poslovnoj jedinici. Korisniku je potrebna sigurnosna uloga od bilo koje poslovne jedinice koja dodjeljuje privilegiju Čitanje za tablicu zapisa. Korisniku nije potrebna uloga svake poslovne jedinice koja sadrži zapis u vlasništvu.

Ako ste tijekom razdoblja pretpregleda omogućili zapis vlasništva nad poslovnim jedinicama u proizvodnom okruženju:

  1. Instalirajte uređivač postavki tvrtke ili ustanove.
  2. Postavite RecomputeOwnershipAcrossBusinessUnits natrue. Sustav se zaključava tijekom ponovnog izračuna, što može potrajati do pet minuta. Nakon ponovnog izračuna korisnici mogu imati zapise u svim poslovnim jedinicama bez zasebne sigurnosne uloge od svake poslovne jedinice. Vlasnici zapisa također mogu dodijeliti zapise korisnicima izvan poslovne jedinice zapisa.
  3. Postavite AlwaysMoveRecordToOwnerBusinessUnit nafalse. Zapisi zatim ostaju u izvornoj poslovnoj jedinici prilikom promjene vlasništva.

Za okruženja koja nisu proizvod postavite AlwaysMoveRecordToOwnerBusinessUnit nafalse.

Napomena

Ako isključite zapis vlasništva u svim poslovnim jedinicama ili postavite RecomputeOwnershipAcrossBusinessUnitsfalsena , ne možete postaviti ni ažurirati stupac Owning Business Unit. Dataverse mijenja i poslovnu jedinicu u vlasništvu svakog zahvaćenog zapisa tako da odgovara poslovnoj jedinici vlasnika zapisa.

Timovi (uključujući grupne timove)

Svaki tim pripada poslovnoj jedinici. Dataverse automatski stvara zadani tim za svaku poslovnu jedinicu i upravlja njegovim članstvom. Zadani tim uvijek obuhvaća sve korisnike u poslovnoj jedinici. Članove ne možete ručno dodavati ni uklanjati. Dataverse ažurira članstvo kada povezujete ili razdružite korisnike s poslovnom jedinicom.

Dataverse nudi dvije vrste timova:

  • Vlasnički timovi mogu imati zapise. Svaki član tima dobiva izravan pristup zapisima tima. Korisnik može pripadati više vlasničkih timova.
  • Timovi za Access pružaju pristup zajedničkim zapisima, ali nemaju zapise ili imaju sigurnosne uloge.

Dijeljenje zapisa

Podijelite pojedinačne zapise s korisnikom ili timom da biste upravljali iznimkama koje ne obuhvaća vaš model vlasništva i poslovne jedinice. Zajedničko korištenje koristite samo za iznimke jer ima manje učinkovite performanse i može biti teže otkloniti poteškoće od pristupa utemeljenog na ulogama. Zajedničko korištenje s timom učinkovitije je od zasebnog zajedničkog korištenja sa svakim korisnikom.

Pomoću predloška tima za pristup automatski stvorite pristupni tim i definirajte njegove dozvole za zapis. Možete i stvarati pristupne timove bez predloška te upravljati njihovim članovima ručno. Timovi za Access nemaju zapise i ne mogu imati sigurnosne uloge. Članovi tima dobivaju pristup jer se zapis zajednički koristi s timom.

Sigurnost na razini zapisa u usluzi Dataverse

Korisnikov pristup zapisima kombinira sve njihove sigurnosne uloge, članstvo u poslovnoj jedinici, timska članstva i zajedničke zapise. Access je kumulativn u bazi podataka Dataverse. Dataverse prati pristup zasebno za svaku bazu podataka, a korisnik mora imati odgovarajuću licencu Za Dataverse.

Sigurnost u platformi Dataverse na razini stupca

Sigurnost na razini stupca koristite kada sigurnost na razini zapisa ne pruža dovoljno kontrole. Omogućite ga za sve prilagođene stupce i većinu stupaca sustava. Većina stupaca sustava koji sadrže osobne podatke (PII) podržavaju sigurnost na razini stupca. Metapodaci stupca sustava označavaju možete li ga zaštititi.

Omogućite sigurnost na razini stupca zasebno za svaki stupac. Zatim stvorite sigurnosni profil stupca koji daje pristup stvaranje, ažuriranje i čitanje zaštićenim stupcima. Dodijelite profil korisnicima ili timovima.

Sigurnost na razini stupca ne dopušta pristup zapisu. Da bi sigurnosni profil stupca odobrio pristup zaštićenim stupcima, korisnik mora već imati pristup zapisima. Sigurnost na razini stupca koristite samo ako je potrebno jer prekomjerna upotreba može smanjiti performanse.

Upravljanje sigurnošću u više okruženja

Pomoću rješenja Dataverse premještajte sigurnosne uloge i sigurnosne profile stupaca između okruženja. Stvorite poslovne jedinice i timove i upravljajte njima zasebno u svakom okruženju. Korisnicima morate dodijeliti i odgovarajuće sigurnosne komponente u svakom okruženju.

Konfiguracija sigurnosti korisnika

Kada stvorite uloge, timove i poslovne jedinice, konfigurirajte pristup svakog korisnika:

  1. Povežite korisnika s poslovnom jedinicom. Dataverse po zadanom koristi korijensku poslovnu jedinicu i dodaje korisnika zadanom timu te poslovne jedinice.
  2. Dodijelite sigurnosne uloge potrebne korisniku.
  3. Dodajte korisnika u odgovarajuće timove.
  4. Ako koristite razinu sigurnosti na razini stupca, dodijelite sigurnosni profil stupca korisniku ili jednom od njihovih timova.

Učinkovit pristup korisnika kombinira izravno dodijeljene sigurnosne uloge s ulogama dodijeljenima putem timova. Dataverse uvijek dodjeljuje najšire dozvole od tih uloga. Detaljni vodič potražite u članku Konfiguriranje sigurnosti okruženja.

Koordinirajte glavne sigurnosne promjene s kreatorima aplikacija i administratorima koji upravljaju korisničkim dozvolama prije implementacije promjena.

Pogledajte također

  • Zadnji put ažurirano u