フィールド値へのアクセスを制御するためのフィールドセキュリティを使用する

[アーティクル]
2024-12-13

Dynamics 365 Customer Engagement (on-premises) では、フィールドレベルセキュリティを使用して、ビジネスに対する影響が大きいフィールドへのアクセスを、特定のユーザーおよびチームに制限します。たとえば、顧客の信用度スコアの読み取りまたは更新を特定のユーザーだけに許可するには、これを使用します。このリリースでは、フィールドレベルのセキュリティはカスタムフィールドと多くの標準フィールド (OOB) の両方に適用できます。

フィールドへのアクセスを制限する手順は次のとおりです。

属性のフィールドレベルセキュリティの有効化
フィールドレベルセキュリティプロファイルの作成
ユーザーまたはチームをプロファイルに関連付ける
特定の属性の特定のフィールドのアクセス許可 (作成、更新、読み取りなど) をプロファイルに追加する

次の図は、ロールベースのセキュリティ、レコードベースのセキュリティ、およびフィールドレベルのセキュリティの間のやり取りを示しています。

ロールベースのセキュリティでは特定のエンティティの種類、レコードベースのセキュリティでは個々のレコード、フィールドレベルのセキュリティでは特定のフィールドを確認できます。

ビデオ :Microsoft Dynamics CRM 2015 におけるフィールドレベルセキュリティ

よくあるご質問

どの属性を保護できますか。

どの属性を保護できるかを確認するには、次のプロパティのエンティティメタデータを照会できます。

CanBeSecuredForCreate
CanBeSecuredForRead
CanBeSecuredForUpdate

保護できる属性は数千とあります。この情報を検索する 2 つの簡単な方法があります。組織のエンティティメタデータを表示するには、メタデータブラウザーソリューションをインストールしてください。メタデータブラウザーソリューションについては、「組織のメタデータの参照」を参照してください。「エンティティ参照」でエンティティの参照ドキュメントを参照することもできます。

特定の属性のデータの種類に適用するそのほかのいくつかのルールがあります。
ブール型属性は、作成、更新操作に保護されていますが、読み取りには保護されていません。
オプションセット属性は、既定値が指定されていない場合、作成、更新、および読み取りに保護されています。

セキュリティで保護されたフィールドを表示するためのセキュリティロール

システム管理者のフィールドセキュリティプロファイルでは、Dynamics 365 Customer Engagement (on-premises) のセキュリティで保護されたすべてのフィールドに対するフルアクセスが付与されます。既定では、システム管理者のセキュリティロールを持つすべてのユーザーにこのプロファイルが割り当てられます。このプロファイルはシステムで管理され、更新または削除することはできません。

Retrieve および RetrieveMultiple に対するセキュリティで保護されたフィールドの動作方法

Dynamics 365 Customer Engagement (on-premises) では、Retrieve または RetrieveMultiple メソッド (あるいはメッセージ) を呼び出すと、取得する各レコード (これは通常のセキュリティプロセスです) とセキュリティで保護された各フィールドに対するアクセス権が呼び出し元と偽装ユーザーにあるかどうかが評価されます。呼び出し元にアクセス権のないセキュリティで保護されたフィールドが条件に含まれている場合、この呼び出しでは例外はスローされません。その代わりに、セキュリティで保護されたフィールドが出力列セットの一部である場合は、そのフィールドに対して null 値が返されます。

セキュリティで保護されたフィールドに対する複数の動作の取得については、以下で詳しく説明します。

セキュリティで保護された属性が列セットに含まれている場合

列セットに含まれているセキュリティで保護されたフィールドに対する読み取りアクセス権が呼び出し元 (または偽装ユーザー) にない場合、値は null として返されます。 null 値が、データがないために返される場合とアクセス権が不十分なために返される場合の違いは判断できません。

セキュリティで保護された属性がフィルター条件に含まれている場合

フィルター条件に含まれているセキュリティで保護されたフィールドに対するアクセス権が呼び出し元 (または偽装ユーザー) にない場合、フィールド値はフィルターの評価中に null に置き換えられます。

次の表では、呼び出し元はアスタリスク(*)で示されているものを除いて、すべての属性にアクセスできます。

レコード番号	Name 属性の値	Description 属性の値	Can Be Contacted 属性の値
1	A	AAA	正
2	B	BBB	誤
3	C	CCC	True^*
4	D	DDD	Null
5^*	E^*	EEE^*	Null^*

フィルターが CanbeContacted == True の場合、返されるのはレコード 1 のみです。

フィルターが IsNULL (CanbeContacted) の場合、レコード 3 および 4 が返されます。レコード 3 はユーザーには表示されないため、条件の評価時に、このレコードは null として扱われ、ISNull に対して True と評価されます。

セキュリティで保護された属性で集計を行う場合

セキュリティで保護された値は null 値に置き換えられるため、通常の SQL による集計の動作が適用されます。

セキュリティで保護された属性でグループ化を行う場合

グループ化に使用する属性に対するアクセス権が呼び出し元 (または偽装ユーザー) にない場合、値は null として扱われ、結果はすべての null 値と共にグループ化されます。

次の例の場合、呼び出し元はいくつかの属性にアクセスできます。太字は、属性に対するアクセス権がないことを示します. *イタリック は呼び出し元が読み取りアクセス権を持っていないレコードを示し、** でも示されます。

件名	プロパティ	受注数	状態
A	AAA	6	WA
B	BBB	4	WA
C	CCC	4	CA
D^**	DDD^**	3^**	MA^**
E	EEE	0	神奈川県
F	FFF	0	WA^*
G	GGG	2	CA^*

Select State, Total(orders) Group by (STATE) の結果は次のようになります。

WA–5

CA–4

null–2

セキュリティで保護された属性で並べ替えを行う場合

条件による並べ替えに含まれているセキュリティで保護されたフィールドに対するアクセス権が呼び出し元 (または偽装ユーザー) にない場合、値は null の場合と同様に扱われます。

次の例の場合、呼び出し元はプレーンテキストの属性にアクセスできます。太字は、属性に対するアクセス権がないことを示し、アスタリスクでも示されます.*イタリック は、呼び出し元に読み取りアクセス権のないレコードを示し、** でも示されます。

件名	プロパティ	CanbeContacted
A	AAA	True
B	BBB	False
C	CCC^*	True^*
D	DDD	Null
E	EEE^*	Null^*
F^**	FFF^**	True^**
G	Null	はい

Select Name order by Description ascending の結果は次のようになります。

{G、E、C}、A、B、D、が返されます。

Create または Update に対するセキュリティで保護されたフィールドの動作方法

プログラマは、Create メソッドと Update メソッドを使用するクライアントを構築できます。これらのメソッドはセキュリティで保護されたフィールドを操作します。 Create メソッドまたは Update メソッドを呼び出して、セキュリティで保護されたフィールドに対してデータが渡され、呼び出し元に十分なアクセス許可がない場合は、例外がスローされます。

レコードを共有する場合のセキュリティで保護されたフィールドの動作方法

レコードのセキュリティで保護されたフィールドにアクセスできるユーザーは、そのレコードを他のユーザーまたはチームと共有できます。このユーザーは、レコード上で自分が所有しているアクセス権のみ付与できます。たとえば、レコードを共有して Update 特権を付与するユーザーには更新の特権が必要です。

Read または Update (あるいはその両方) を使用して、特定のレコードのセキュリティで保護されたフィールドをセキュリティプリンシパル (ユーザーまたはチーム) と共有できます。これで、レコードを共有したユーザーまたはチームメンバーは、この種類のセキュリティで保護されたフィールドにアクセスできるようになります。これが可能なのは、レコードを共有したユーザーまたはチームメンバーがアクセス権を付与するフィールドセキュリティプロファイルを所有していない場合であっても、その特定のレコードでのみ共有されるセキュリティで保護されたフィールド上に限られます。

フィルタービューに対するセキュリティで保護されたフィールドの動作方法

管理者は、アプリケーションでアクセスするための多数のフィールドをセキュリティで保護し、レポートではそれらのフィールドにアクセスできないようにする必要があります。これにより、すべてのユーザーに対して同じレポートのセットが維持されます。呼び出し元のユーザーがそのフィールドに対する承認を得ていない場合、フィルタービューでは、セキュリティで保護されたフィールドに対してデータが返されません。いずれかのビューの属性に対してフィールドセキュリティが適用されない場合、フィルタービューは完全なデータを返します。

オフライン同期に対するセキュリティで保護されたフィールドの動作方法

オフラインで Dynamics 365 for Microsoft Office Outlook を使用している場合は、アクセスが可能なセキュリティで保護されたフィールドの値のみがオフラインデータベースに複製されます。アクセスできないデータはオフラインでは保存されません。

次の方法で共有

フィールド値へのアクセスを制御するためのフィールド セキュリティを使用する