Gestire l'archiviazione PrincipalObjectAccess

Gli utenti in un ambiente con il database Microsoft Dataverse possono collaborare con altri utenti concedendo l'accesso a un record di proprietà dell'utente. L'utente può condividere un record con un altro utente o team o riassegnare un record a un altro utente o team.

Per gestire questa collaborazione a livello di record e per fornire agli utenti l'accesso ai record condivisi, tutta la condivisione dei record e le relative autorizzazioni vengono archiviate nella tabella PrincipalObjectAccess (POA). Ogni volta che gli utenti tentano di accedere a un record di cui non sono proprietari o che non dispongono del privilegio appropriato nel proprio ruolo di sicurezza, il sistema controlla la tabella POA per autorizzare l'accesso dell'utente.

Origini di POA

Gli argomenti seguenti descrivono le impostazioni o l'utilizzo che creano record POA, poiché abilitano la condivisione dei record. Le impostazioni dovrebbero essere riviste e aggiornate di conseguenza per evitare un'eccessiva condivisione e l'aumento dello spazio di archiviazione POA.

Condividi record riassegnati con il proprietario originale

Per impostazione predefinita, il valore di Impostazione della condivisione dei record riassegnati con il proprietario originale è No. È qui che il proprietario originale del record non ha più accesso al record quando la proprietà del record viene riassegnata a un altro utente. Quando questa impostazione è impostata su Sì, viene creato un record nella tabella POA ogni volta che un utente assegna un record a un altro utente o team. Il proprietario originale viene automaticamente aggiunto come destinazione della condivisione.

Team di accesso

Quando un team di accesso viene utilizzato per la collaborazione ai record, i record vengono creati nella tabella POA ogni volta che un utente viene aggiunto al team di accesso. Esistono due tipi di team di accesso:

• Gestito dal sistema: vengono creati tramite modelli e incorporati in un modulo per consentire all'utente di gestire facilmente l'elenco dei membri. Il sistema crea automaticamente un team di accesso per un record condiviso. Ad esempio, l'Account n. 1 ha un team di accesso diverso dall'Account n. 2.

• Aggiunto manualmente: si tratta di team di accesso individuali in cui un amministratore/proprietario del team gestisce l'elenco dei membri del team.

Condivisione diretta

• Quando un utente condivide esplicitamente un record con un altro utente, viene creato un record nella tabella POA.

Condivisione indiretta

• Quando un utente condivide un record con un team, tutti i membri del team vengono condivisi indirettamente.

• La condivisione indiretta si verifica anche con un record che ha una relazione di condivisione a cascata o su una tabella con una relazione padre/figlio. Quando un record padre viene condiviso con un utente o un team, l'utente o il team condiviso ha accesso a tutti i record in cascata o figlio. Tutte queste autorizzazioni per accedere ai record figlio vengono create nella tabella POA.

  Esempio di relazione della tabella

  Una tabella può essere impostata per avere relazioni con altre tabelle (ad esempio, da Account a Caso). Per impostazione predefinita, la relazione dell'opzione Ricollegamento è impostata su Esegui a catena su tutti i record. Tutti i sottorecord correlati vengono condivisi con il proprietario del record principale.

  Ad esempio: Utente n. 1 è proprietario di Account n. 1. Utente n. 1 condivide Account n. 1 con Utente n. 2. Utente n. 2 crea un Caso n. 1 sotto Account n. 1. Con le opzioni di ricollegamento predefinite, Utente n. 1 ha accesso al Caso n. 1. Tutte queste autorizzazioni utente vengono acquisite nella tabella POA.

Condivisione dell'origine

L'API RetrieveAccessOrigin può essere usata per determinare da dove proviene l'accesso di un utente o di un team a una tabella specifica. L'API richiede un objectId, logicalName e principalId nella richiesta e la risposta è una stringa che descrive dove è stato ottenuto l'accesso alla tabella.

Gestione della crescita della tabella POA

• Valuta le tue esigenze aziendali e attiva Impostazione della condivisione dei record riassegnati con il proprietario originale dove necessario. Tieni presente che questa è un'impostazione a livello di sistema. Una volta attivata, l'impostazione viene applicata a tutti i record.
• Condividi con gli utenti per la collaborazione in cui l'elenco degli utenti non è lo stesso nei diversi record che hai condiviso.
• Utilizza il team come proprietario del record se condividi spesso record con lo stesso elenco di utenti o condividi il record con il team.
• Se hai una struttura di business unit complessa e utilizzi spesso la condivisione:
  • Condividi solo dove necessario.
  • Riduzione del numero di Business Unit.
  • Assicurati che gli utenti siano inseriti nella business unit appropriata.
  • Condividi con il team per consentire agli utenti di diverse business unit di accedere ai record.
• Quando è possibile accedere a un record da più team di accesso, ad esempio un team di rappresentanti di vendita che può solo leggere il record e un altro team di responsabili di vendita che dispone dell'accesso completo in lettura e scrittura, prendi in considerazione l'utilizzo di moduli basati sui ruoli diversi per il rappresentante di vendita e il responsabile delle vendite.
• Gestisci il ciclo di vita dei membri del tuo team di accesso. Rimuovi gli utenti che non sono più necessari per la collaborazione.
• Rimuovi tutti i membri del team di accesso al termine della collaborazione.

Eliminazione di record POA

La tabella POA è gestita dal sistema per garantire il corretto accesso di utenti o team ai rispettivi record. L'eliminazione diretta su questa tabella non è supportata poiché può violare il modello di sicurezza definito per l'organizzazione. Il modo corretto per ripulire la tabella POA è modificare il modello di sicurezza e revocare l'accesso concesso in precedenza.

Risoluzione dei problemi di Guides

Quando la configurazione a cascata di una relazione di tabella viene modificata da Ricollegamento o Condividi a Non eseguire a catena, utilizza questo articolo per ripulire l'accesso ereditato. Ciò rimuove i record POA non necessari. Ulteriori informazioni: Come pulire i diritti di accesso ereditati.

La pulizia dei diritti di accesso ereditati è un lavoro di sistema che ripulisce i diritti di accesso ereditati legacy che rimangono dopo che il comportamento a cascata è stato modificato in Non eseguire a catena. Altre informazioni: Pulizia per diritti di accesso ereditati

Per sapere se l'accesso utente è stato concesso a causa di POA, vedi Determinare il motivo per cui un utente ha accesso.

Vedi anche

Capacità di archiviazione di Dataverse