Administrere PrincipalObjectAccess-lager

Brugere i et miljø med Microsoft Dataverse-databasen kan samarbejde med andre brugere ved at give adgang til en brugerejet post. Brugeren kan dele en post med en anden bruger eller et andet team eller gentildele en post til en anden bruger eller et andet team.

For at administrere dette samarbejde på postniveau og give brugere adgang til delte poster gemmes deling af alle poster og deres tilladelser i tabellen PrincipalObjectAccess (POA). Når brugere forsøger at få adgang til en post, som de ikke ejer eller ikke har den rette tilladelse til i deres sikkerhedsrolle, kontrolleres POA-tabellen for at godkende brugerens adgang.

Kilder af POA

I følgende emner beskrives de indstillinger eller den brug, der opretter POA-poster, efterhånden som de gør det muligt at dele poster. Indstillingerne skal gennemses og opdateres i overensstemmelse hermed for at undgå over-deling og den stigning i POA-lager.

Del poster, der er blevet tildelt igen, med den oprindelige ejer

Som standard er indstillingen Angive, om poster, der er blevet tildelt igen, deles med den oprindelige ejer indstillet til Nej. Det er her, den oprindelige ejer af posten ikke længere har adgang til posten, når ejerskabet af posten tildeles en anden bruger. Når denne indstilling angives til Ja, oprettes der en post i POA-tabellen, hver gang en bruger tildeler en post til en anden bruger eller et andet team. Den oprindelige ejer tilføjes automatisk som Del med.

Adgangsteams

Når et adgangsteam bruges til at samarbejde om poster, oprettes der poster i POA-tabellen, hver gang en bruger føjes til adgangsteamet. Der findes to typer adgangsteam:

• Systembaseret: Disse oprettes via skabeloner og er integreret i en formular, så brugeren let kan administrere medlemslisten. Der oprettes automatisk et adgangsteam for en post, der deles. Firma 1 har f.eks. et adgangsteam, der ikke er det samme som Firma 2.

• Tilføjet manuelt: Det er individuelle adgangsteams, hvor en administrator/ejer af teamet administrerer listen over teammedlemmer.

Direkte deling

• Når en bruger eksplicit deler en post med en anden bruger, oprettes der en post i POA-tabellen.

Indirekte deling

• Når en bruger deler en post med et team, deles den indirekte med alle teammedlemmer.

• Indirekte deling sker også med en post, der har en overlappende delingsrelation eller i en tabel med en overordnet/underordnet relation. Når en overordnet post deles med en bruger eller et team, har den bruger eller det team, der deles med, adgang til alle de overlappede eller underordnede poster. Alle disse tilladelser til at få adgang til de underordnede poster oprettes i POA-tabellen.

  Eksempel på en tabelrelation

  En tabel kan indstilles til at have relationer til andre tabeller (f.eks. Firma til sag). Relationen for indstillingen Ny overordnet er som standard angivet til Overlap alle. Alle relaterede underordnede poster deles med ejeren af den overordnede post.

  Eksempel: Bruger 1 ejer Firma 1. Bruger 1 deler Firma #1 med Bruger 2. Bruger 2 opretter Sag 1 under Firma 1. Med de nye standardindstillinger for nye overordnede poster har Bruger 1 adgang til Sag 1. Alle disse brugertilladelser hentes i POA-tabellen.

Delingskilde

RetrieveAccessOrigin-API'en kan bruges til at bestemme, hvor en brugers eller et teams adgang til en bestemt tabel kommer fra. API'en kræver et objectId, logicalName og principalId i anmodningen, og svaret er en streng, der beskriver, hvor adgang til tabellen blev opnået.

Administration af en udvidet POA-tabel

• Evaluer dine forretningsbehov, og slå Angiv, om poster, der er blevet tildelt igen, deles med den oprindelige ejer til, hvor det er nødvendigt. Bemærk, at dette er en indstilling, der gælder for hele systemet. Når indstillingen er slået til, anvendes den på alle poster.
• Del med brugere for at samarbejde, hvor listen over brugere ikke er den samme i de forskellige poster, du har delt.
• Brug teamet som postejer, hvis du ofte deler poster med den samme liste over brugere eller deler posten med teamet.
• Hvis du har en kompleks afdelingsstruktur og ofte bruger deling:
  • Del kun, hvor det er nødvendigt.
  • Minimer antallet af afdelinger.
  • Sørg for, at brugerne er placeret i den relevante afdeling.
  • Del med teamet for at give brugere fra forskellige afdelinger adgang til poster.
• Når der kan opnås adgang til en post af flere adgangsteams – f.eks. et sælgerteam, der kun kan læse posten, og et andet salgslederteam, der har fuld læse- og skriveadgang – bør du overveje at bruge forskellige rollebaserede formularer for sælgere og salgslederen.
• Administrer livscyklussen for medlemmerne af dine adgangsteams. Fjern de brugere, der ikke længere er nødvendige til samarbejdet.
• Fjern alle medlemmer af adgangsteamet, når samarbejdet er slut.

Slette POA-poster

POA-tabellen administreres af systemet for at sikre korrekt adgang for brugere eller team til de respektive poster. Direkte sletning i denne tabel understøttes ikke, da det kan bryde den sikkerhedsmodel, der er defineret for organisationen. Den rette måde at rydde op i POA-tabellen på er ved at justere sikkerhedsmodellen og tilbagekalde den adgang, der tidligere er givet.

Vejledning til fejlfinding

Når den overlappende konfiguration af en tabelrelation er ændret fra Ny overordnet eller Del til Ingen overlappet, kan du bruge denne artikel til at fjerne den nedarvede adgang. Derved fjernes unødvendige POA-poster. Flere oplysninger: Sådan rydder du op i nedarvet adgang.

Oprydning af nedarvede adgangsrettigheder er et systemjob, der rydder op i de gamle nedarvede adgangsrettigheder, som er tilbage, efter at funktionen til overlapning er ændret fra Overlap alle til Overlap ingen. Flere oplysninger: Oprydning i nedarvede adgangsrettigheder

Du kan få mere at vide om, hvorvidt brugeradgang blev tildelt på grund af POA, i Finde ud af, hvorfor en bruger har adgang.

Se også

Dataverse-lagerkapacitet