Концепції моделі безпеки

Модель безпеки в Dynamics 365 Customer Engagement (локально) використовується для захисту цілісності та конфіденційності даних в організації Customer Engagement (on-premises). Модель безпеки також сприяє ефективному доступу до даних і спільній роботі. Цілі моделі полягають у наступному:

• Запропонуйте багаторівневу модель ліцензування для користувачів.

• Надавайте користувачам доступ, який надає лише ті рівні інформації, які потрібні для виконання їхньої роботи.

• Класифікуйте користувачів і команди за ролями безпеки та обмежуйте доступ на основі цих ролей.

• Підтримуйте спільний доступ до даних, щоб користувачі могли отримати доступ до об'єктів, які їм не належать, для одноразової спільної роботи.

• Запобігати доступу до об'єктів, якими користувач не володіє або не ділиться.

Ви поєднуєте бізнес-одиниці, безпеку на основі ролей, безпеку на основі записів і безпеку на основі полів, щоб визначити загальний доступ до інформації, яку користувачі мають у вашій організації Customer Engagement (локально).

Підрозділи

Бізнес-одиниця – це, по суті, група користувачів. Великі організації з кількома базами клієнтів часто використовують кілька бізнес-одиниць для контролю доступу до даних і визначення ролей безпеки, щоб користувачі могли отримувати доступ до записів лише у власному бізнес-підрозділі. Додаткові відомості: Створення бізнес-одиниць

Безпека на основі ролей

За допомогою безпеки на основі ролей можна групувати набори привілеїв у ролі , які описують завдання, які може виконувати користувач або команда. Customer Engagement (локальна версія) включає набір попередньо визначених ролей безпеки, кожна з яких є набором привілеїв, об'єднаних для полегшення керування безпекою. Основна маса привілеїв визначає можливість створення, читання, запису, видалення та спільного використання записів певного типу сутності. Кожен привілей також визначає, наскільки широко він застосовується: на рівні користувача, бізнес-одиниці, всієї ієрархії бізнес-одиниці або в усій організації.

Наприклад, якщо ви входите як користувач, якому призначено роль продавця, ви маєте права читати, записувати та надавати спільний доступ до облікових записів для всієї організації, але ви можете видаляти лише записи облікових записів, які вам належать. Крім того, у вас немає привілеїв на виконання завдань системного адміністрування, таких як інсталяція оновлень продукту або додавання користувачів до системи.

Користувач, якому призначено роль віце-президента зі збуту, може виконувати ширший набір завдань (і має більшу кількість привілеїв), пов'язаних із переглядом і зміною даних і ресурсів, ніж користувач, якому призначено роль продавця. Наприклад, користувач, якому призначено роль віце-президента з продажу, може читати та призначати будь-який обліковий запис будь-кому в системі, тоді як користувач, якому призначено роль продавця, не може.

Є дві ролі, які мають дуже широкі привілеї: Системний адміністратор і Настроювач. Щоб мінімізувати неправильну конфігурацію, використання цих двох ролей має бути обмежене кількома людьми у вашій організації, відповідальними за адміністрування та настроювання взаємодії з клієнтами (локально). Організації також можуть налаштовувати існуючі ролі та створювати власні ролі відповідно до своїх потреб. Додаткові відомості: Ролі безпеки

Доступ і ліцензування на основі користувачів

За замовчуванням, коли ви створюєте користувача, користувач має доступ на читання та запис до будь-яких даних, на які він має дозвіл. Крім того, за замовчуванням для ліцензії доступу клієнта користувача (CAL) встановлено значення Professional. Ви можете змінити будь-яке з цих налаштувань, щоб ще більше обмежити доступ до даних і функцій.

Режим доступу. Цей параметр визначає рівень доступу для кожного користувача.

• Read-Write доступу. За замовчуванням користувачі мають Read-Write доступ, який дає їм доступ до даних, на які вони мають відповідні дозволи, встановлені ролями безпеки.

• Адміністративний доступ. Надає доступ до областей, для яких користувач має відповідні дозволи, установлені ролями безпеки, але не дає змоги переглядати або отримувати доступ до бізнес-даних, які зазвичай містяться в областях "Продажі", "Послуги" та "Маркетинг", таких як облікові записи, контактні особи, потенційні клієнти, потенційні угоди, кампанії та інциденти. Наприклад, адміністративний доступ може використовуватися для створення локальних адміністраторів Customer Engagement, які можуть мати доступ для виконання повного спектру адміністративних завдань, таких як створення бізнес-одиниць, створення користувачів, настроювання виявлення дублікатів, але не можуть переглядати або отримувати доступ до будь-яких бізнес-даних. Зауважте, що користувачі, яким призначено цей режим доступу, не використовують ліцензію CAL.

• Доступ до читання. Дозволяє доступ до областей, до яких користувач має відповідний доступ, установлений роллю безпеки, але користувач із доступом на читання може переглядати лише дані та не може створювати або змінювати наявні дані. Наприклад, користувач із роллю безпеки системного адміністратора, який має доступ на читання, може переглядати бізнес-одиниці, користувачів і команди, але не може створювати або змінювати ці записи.

Тип ліцензії. Цей параметр встановлює ліцензію CAL користувача та визначає, які функції та області доступні користувачеві. Ця функція та керування областю відокремлені від налаштувань ролі безпеки користувача. За замовчуванням користувачі створюються за допомогою ліцензії Professional CAL для найбільшого доступу до функцій і областей, на які їм надано дозвіл.

Teams

Команди дають змогу легко обмінюватися бізнес-об'єктами та співпрацювати з іншими людьми в різних бізнес-підрозділах. Якщо команда належить до однієї бізнес-одиниці, до її складу можуть входити користувачі з інших бізнес-одиниць. Ви можете пов'язати користувача з кількома командами. Додаткові відомості: Керування командами

Безпека на основі записів

За допомогою захисту на основі записів можна керувати правами користувачів і команд на виконання дій з окремими записами. Це відноситься до екземплярів сутностей (записів) і забезпечується правами доступу. Власник запису може надати спільний доступ до запису або надати доступ до нього іншому користувачу або команді. Коли це буде зроблено, вони повинні вибрати, які права вони надають. Наприклад, власник запису облікового запису може надавати доступ на читання до цієї інформації облікового запису, але не надавати доступ на запис.

Права доступу застосовуються лише після того, як привілеї набули чинності. Наприклад, якщо користувач не має прав на перегляд (читання) записів облікового запису, він не зможе переглядати будь-який обліковий запис, незалежно від прав доступу, які інший користувач може надати йому до певного облікового запису через спільний доступ.

Ієрархічна система безпеки

Для доступу до ієрархічних даних можна використовувати ієрархічну модель безпеки. Завдяки цій додатковій безпеці ви отримуєте більш детальний доступ до записів, дозволяючи керівникам отримувати доступ до записів своїх звітів для затвердження або виконувати роботу від імені звітів. Додаткові відомості: Безпека ієрархії

Безпека на місцях

Ви можете використовувати безпеку на рівні поля, щоб обмежити доступ до певних полів із високим впливом на бізнес у сутності лише для певних користувачів або команд. Подібно до безпеки на основі записів, це застосовується після того, як привілеї набули чинності. Наприклад, користувач може мати права на читання облікового запису, але йому може бути обмежено доступ до певних полів у всіх облікових записах. Додаткові відомості: Безпека на рівні полів

Моделювання безпеки за допомогою Customer Engagement (локально)

Для отримання детальних відомостей і найкращих практик із розробки моделі безпеки в Customer Engagement (локально) прочитайте офіційний документ Масштабоване моделювання безпеки за допомогою Microsoft Dynamics CRM , доступний у Центрі завантажень Microsoft.

Статті за темою

Безпека на рівні поля
Безпека ієрархії
Контролюйте доступ до даних
Створення або редагування ролі безпеки
Копіювання ролі безпеки
Керування користувачами
Керування робочими групами
Додавання команд або користувачів до профілю безпеки полів
Керуйте безпекою, користувачами та командами