Behandle PrincipalObjectAccess-lagring

Brukere i et miljø med Microsoft Dataverse-databasen kan samarbeide med andre brukere ved å gi tilgang til en brukereid oppføring. Brukeren kan dele en oppføring med en annen bruker eller et annet team, eller tildele en oppføring på nytt til en annen bruker eller et annet team.

For å administrere dette samarbeidet på oppføringsnivå og gi brukertilgang til delte oppføringer, blir all deling av oppføringer og tillatelsene lagret i tabellen PrincipalObjectAccess (POA). Når brukere prøver å få tilgang til en oppføring de ikke eier eller ikke har den riktige rettigheten i sikkerhetsrolle, kontrollerer systemet POA-tabellen for å godkjenne brukerens tilgang.

Kilder til POA

Emnene nedenfor skisserer innstillingene eller bruken som oppretter POA-oppføringer, siden de aktiverer deling av oppføringer. Innstillingene bør gjennomgås og oppdateres i henhold til dette for å unngå for mye deling og økningen i POA-lagring.

Del oppføringer som er tilordnet på nytt, med opprinnelig eier

Innstillingen Angi om oppføringer som er tilordnet på nytt, skal deles med den opprinnelige eieren er som standard Nei. Det er her den opprinnelige eieren av oppføringen ikke lenger har tilgang til den, og eierskapet for oppføringen tilordnes på nytt til en annen bruker. Når denne innstillingen er satt til Ja, opprettes en oppføring i POA-tabellen hver gang en bruker tilordner en oppføring til en annen bruker eller et annet team. Den opprinnelige eieren legges automatisk til som Del til.

Tilgangsteam

Når et tilgangsteam brukes til oppføringssamarbeid, opprettes det oppføringer i POA-tabellen hver gang en bruker legges til i tilgangsteamet. Det finnes to typer tilgangsteam:

• Systemstyrt: Disse opprettes via maler og er innebygd i et skjema slik at brukeren enkelt kan administrere medlemslisten. Systemet oppretter automatisk et tilgangsteam for en oppføring som deles. Konto nr. 1 har for eksempel et tilgangsteam som er forskjellig fra Konto nr. 2.

• Lagt til manuelt: Dette er individuelle tilgangsteam der en administrator/eier av teamet administrerer listen over teammedlemmer.

Direkte deling

• Når en bruker eksplisitt deler en oppføring med en annen bruker, opprettes en oppføring i POA-tabellen.

Indirekte deling

• Når en bruker deler en oppføring med et team, deles alle medlemmene i teamet indirekte med andre.

• Indirekte deling skjer også med en oppføring som har en overlappende delingsrelasjon, eller som er i en tabell med en overordnet/underordnet relasjon. Når en overordnet oppføring deles med en bruker eller et team, får brukeren eller teamet som deles, tilgang til alle de overlappede eller underordnede oppføringene. Alle disse tillatelsene for å få tilgang til de underordnede oppføringene, opprettes i POA-tabellen.

  Eksempel på tabellrelasjon

  En tabell kan angis til å ha relasjoner med andre tabeller (for eksempel Konto til sak). Som standard er relasjonen for alternativet Overordne på nytt satt til Overlapp alle. Alle relaterte underoppføringer deles med eieren av den overordnede oppføringen.

  Eksempel: Bruker nr. 1 eier konto nr. 1. Bruker nr. 1 deler konto nr. 1 med bruker nr. 2. Bruker nr. 2 oppretter en sak nr. 1 under konto nr. 1. Med standardalternativene for å overordne på nytt har bruker nr. 1 tilgang til sak nr. 1. Alle disse brukertillatelsene registreres i POA-tabellen.

Del datakilde

API for RetrieveAccessOrigin kan brukes til å avgjøre hvor en bruker eller et teams tilgang til en bestemt tabell kommer fra. API-en krever en objectId, logicalName og principalId i forespørselen, og svaret er en streng som beskriver hvor tilgangen til tabellen ble hentet.

Administrasjon av POA-tabellvekst

• Vurdere forretningsbehovene, og aktiver Angi om oppføringer som er tilordnet på nytt, skal deles med den opprinnelige eieren etter behov. Vær oppmerksom på at dette er en innstilling for hele systemet. Når den er aktivert, brukes innstillingen på alle oppføringer.
• Del med brukere for samarbeid der listen over brukere ikke er den samme i de forskjellige oppføringene du delte.
• Bruk teamet som oppføringseier hvis du ofte deler oppføringer med samme liste over brukere eller deler oppføringen med teamet.
• Hvis du har en kompleks forretningsenhetsstruktur og hyppig bruk av deling:
  • Del bare når der det er nødvendig.
  • Minimer antall forretningsenheter.
  • Kontroller at brukerne er plassert i riktig forretningsenhet.
  • Del med teamet for å gi brukere fra ulike forretningsenheter tilgang til oppføringer.
• Når flere tilgangsteam kan få tilgang til en oppføring, for eksempel et selgerteam som bare kan lese oppføringen, og et annet selgerteam som har full lese- og skrivetilgang, kan du vurdere å bruke ulike rollebaserte skjemaer for selgere og salgssjefer.
• Administrer livssyklusen til medlemmene i tilgangsteamet. Fjern brukere som det ikke lenger er behov for for samarbeidet.
• Fjern alle tilgangsteammedlemmer når samarbeidet er over.

Slette POA-oppføringer

POA-tabellen administreres av systemet for å sikre riktig tilgang til brukere eller team til respektive oppføringer. Direkte sletting i denne tabellen støttes ikke, fordi dette kan ødelegge sikkerhetsmodellen som er definert for organisasjonen. Den riktige måten å rydde i POA-tabellen på er å justere sikkerhetsmodellen og oppheve tilgangen som tidligere ble gitt.

Feilsøkingsveiledninger

Når den overlappende konfigurasjonen av en tabellrelasjon endres fra Overordne på nytt eller Del til Ingen overlapping, bruker du denne artikkelen til å rydde opp i den arvede tilgangen. Dette fjerner unødvendige POA-oppføringer. Mer informasjon: Hvordan du rydder opp i arvet tilgang.

Opprydding i arvede tilgangsrettigheter er en systemjobb som rydder opp i eldre arvede tilgangsrettigheter som blir igjen etter at overlappingsfunksjonaliteten er endret fra Overlapp ingen. Mer informasjon: Opprydding i arvede tilgangsrettigheter

Hvis du vil vite om brukertilgang ble gitt på grunn av POA, kan du se Finn ut hvorfor en bruker har tilgang.

Se også

Dataverse-lagringskapasitet