PrincipalObjectAccess-opslag beheren

Gebruikers in een omgeving met de Microsoft Dataverse-database kunnen samenwerken met andere gebruikers door toegang te verlenen tot een record dat eigendom is van een gebruiker. De gebruiker kan een record delen met een andere gebruiker of team, of een record opnieuw toewijzen aan een andere gebruiker of team.

Om deze samenwerking op recordniveau te beheren en gebruikerstoegang tot gedeelde records te bieden, worden alle gedeelde records en de bijbehorende machtigingen opgeslagen in de PrincipalObjectAccess-tabel (POA). Telkens wanneer gebruikers toegang proberen te krijgen tot een record waarvan ze geen eigenaar zijn of die niet de juiste bevoegdheden hebben in hun beveiligingsrol, controleert het systeem de POA-tabel om de toegang van de gebruiker te autoriseren.

Bronnen van POA

In de volgende onderwerpen worden de instellingen of het gebruik beschreven waarmee POA-records worden gemaakt, omdat ze het delen van records mogelijk maken. De instellingen moeten dienovereenkomstig worden beoordeeld en bijgewerkt om overmatig delen en de toename van de POA-opslag te voorkomen.

Opnieuw toegewezen records delen met de oorspronkelijke eigenaar

Standaard staat de instelling Instellen of opnieuw toegewezen records worden gedeeld met de oorspronkelijke eigenaar op Nee. Dit geldt wanneer de oorspronkelijke eigenaar van de record geen toegang meer heeft tot de record wanneer het eigendom van de record opnieuw wordt toegewezen aan een andere gebruiker. Als deze instelling is ingesteld op Ja, wordt er een record gemaakt in de POA-tabel wanneer een gebruiker een record toewijst aan een andere gebruiker of ander team. De oorspronkelijke eigenaar wordt automatisch toegevoegd als Delen met.

Toegangsteams

Wanneer een toegangsteam wordt gebruikt voor samenwerking aan records, worden records gemaakt in de POA-tabel wanneer een gebruiker wordt toegevoegd aan het toegangsteam. Er zijn twee typen toegangsteams:

• Door systeem beheerd: deze worden gemaakt via sjablonen en worden ingesloten in een formulier zodat de gebruiker de ledenlijst gemakkelijk kan beheren. Het systeem maakt automatisch een toegangsteam aan voor een record die wordt gedeeld. Account #1 heeft bijvoorbeeld een toegangsteam dat verschilt van Account #2.

• Handmatig toegevoegd: dit zijn individuele toegangsteams waarbij een beheerder/eigenaar van het team de teamledenlijst beheert.

Direct delen

• Wanneer een gebruiker expliciet een record deelt met een andere gebruiker, wordt een record gemaakt in de POA-tabel.

Indirect delen

• Wanneer een gebruiker een record deelt met een team, wordt deze record indirect gedeeld met alle leden van het team.

• Indirect delen vindt ook plaats bij een record met een relatie met trapsgewijs delen of een tabel met een bovenliggende/onderliggende relatie. Wanneer een bovenliggende record wordt gedeeld met een gebruiker of team, heeft de gebruiker of het waarmee wordt gedeeld team toegang tot alle trapsgewijze of onderliggende records. Al deze machtigingen voor toegang tot de onderliggende records worden gemaakt in de POA-tabel.

  Voorbeeld van tabelrelatie

  Een tabel kan worden ingesteld om relaties te hebben met andere tabellen (bijvoorbeeld Account met Aanvraag). Standaard is de relatie van de optie Nieuw bovenliggend element ingesteld op Alles trapsgewijs. Alle gerelateerde subrecords worden gedeeld met de eigenaar van de bovenliggende record.

  Bijvoorbeeld: Gebruiker #1 is eigenaar van Account #1. Gebruiker #1 deelt Account #1 met Gebruiker #2. Gebruiker #2 maakt een Aanvraag #1 aan onder Account #1. Met de standaardopties voor nieuwe bovenliggende elementen heeft Gebruiker #1 toegang tot Aanvraag #1. Al deze gebruikersrechten worden vastgelegd in de POA-tabel.

Bron van delen

De API RetrieveAccessOrigin kan worden gebruikt om te bepalen waar de toegang van een gebruiker of team tot een specifieke tabel vandaan komt. De API vereist een objectId, logicalName en principalId in de aanvraag, en het antwoord is een tekenreeks die beschrijft waar de toegang tot de tabel is verkregen.

Beheer van groei van POA-tabel

• Evalueer uw zakelijke behoeften en schakel Instellen of opnieuw toegewezen records worden gedeeld met de oorspronkelijke eigenaar waar nodig in. Houd er rekening mee dat dit een systeembrede instelling is. Zodra de instelling is ingeschakeld, wordt de instelling toegepast op alle records.
• Deel met gebruikers voor samenwerking waarbij de lijst met gebruikers niet hetzelfde is in de verschillende records die u hebt gedeeld.
• Gebruik het team als recordeigenaar als u regelmatig records deelt met dezelfde lijst met gebruikers of de record deelt met het team.
• Als u een complexe business unit-structuur hebt en veelvuldig gebruik maakt van delen:
  • Deel alleen waar nodig.
  • Minimaliseer het aantal business units.
  • Zorg ervoor dat gebruikers in de juiste business unit worden geplaatst.
  • Deel met het team om gebruikers van verschillende business units toegang te geven tot records.
• Wanneer een record toegankelijk is voor meerdere toegangsteams, bijvoorbeeld een verkoopvertegenwoordigersteam dat alleen de record kan lezen en een ander verkoopmanagersteam dat volledige lees- en schrijftoegang heeft, kunt u overwegen verschillende op rollen gebaseerde formulieren te gebruiken voor vertegenwoordiger en verkoopmanager.
• Beheer de levenscyclus van uw toegangsteamleden. Verwijder gebruikers die niet meer nodig zijn voor de samenwerking.
• Verwijder alle toegangsteamleden wanneer de samenwerking voorbij is.

POA-records verwijderen

De POA-tabel wordt beheerd door het systeem om te zorgen voor een goede toegang van gebruikers of teams tot hun respectieve records. Directe verwijdering in deze tabel wordt niet ondersteund omdat dit schade kan veroorzaken aan het beveiligingsmodel dat voor de organisatie is gedefinieerd. De juiste manier om de POA-tabel op te schonen is door het beveiligingsmodel aan te passen en eerder verleende toegang in te trekken.

Handleidingen voor probleemoplossing

Wanneer de trapsgewijze configuratie van een tabelrelatie gewijzigd wordt van Nieuw bovenliggend element maken of Delen in Niet trapsgewijs, gebruik dan dit artikel om de overgenomen toegang op te schonen. Hiermee worden onnodige POA-records verwijderd. Meer informatie: Overgenomen toegangsrechten opschonen.

Opschonen van overgenomen toegangsrechten is een systeemtaak die de verouderde, overgenomen toegangsrechten opschoont die overblijven nadat het trapsgewijze gedrag is gewijzigd in Geen trapsgewijs. Meer informatie: Opschonen voor overgenomen toegangsrechten

Als u wilt weten of gebruikerstoegang is verleend vanwege POA, raadpleegt u Bepalen waarom een ​​gebruiker toegang heeft.

Zie ook

Dataverse-opslagcapaciteit