Web API を使用して別のユーザーを偽装する

[アーティクル]
12/31/2024

コードで別のユーザーに代わって操作を実行する必要がある場合があります。コードを実行しているシステムアカウントに必要な権限がある場合は、他のユーザーに代わって操作を実行できます。

偽装の要件

偽装は、Microsoft Dataverse ユーザーに代わってビジネスロジック (コード) を実行し、偽装されるユーザーの適切なロールベースとオブジェクトベースのセキュリティを使用して任意の機能やサービスを提供するために使用されます。偽装が必要なのは、例えばワークフローやユーザー定義の ISV (独立ソフトウェアベンダー) ソリューションのような Dataverse ユーザーに代わって、Dataverse Web サービスはさまざまなクライアントやサーバーから呼び出される可能性があるためです。偽装には 2 つの異なるユーザーアカウントが含まれ、1つのユーザーアカウント (A) が、もう一方のユーザーアカウント (B) に代わって何らかのタスクを行うコードの実行時に使用されます。

ユーザーアカウント (A) は、代理人セキュリティロールに含まれる prvActOnBehalfOfAnotherUser 特権を必要とします。データ変更に使用される実際の特権のセットは、代理人の役割のユーザーが所有する特権と、偽装されたユーザーが所有する特権との共通部分です。つまり、ユーザー (A) と偽装されたユーザー (B) が操作に必要な特権を持つ場合にのみ、ユーザー (A) は何かを実行できます。

ユーザーを偽装する方法

ユーザーを偽装することができる 2 つの方法がありますが、両方とも関連するユーザー ID でヘッダーを渡すことにより可能になります。

優先: Microsoft Entra ID オブジェクトの ID に基づき、その値を CallerObjectId ヘッダーと共に渡すことにより、ユーザーを偽装します。
従来: システムユーザー ID に基づきユーザーを偽装するには、関連するグリッド値と共に MSCRMCallerID を使用することができます。

この例では、Microsoft Entra ID オブジェクト ID aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb を持つユーザのために新しい取引先企業エンティティが作成されます。

要求:

POST [Organization URI]/api/data/v9.2/accounts HTTP/1.1  
CallerObjectId: aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb  
Accept: application/json  
Content-Type: application/json; charset=utf-8  
OData-MaxVersion: 4.0  
OData-Version: 4.0  
  
{"name":"Sample Account created using impersonation"}

応答:

HTTP/1.1 204 No Content  
OData-Version: 4.0  
OData-EntityId: [Organization URI]/api/data/v9.2/accounts(00000000-0000-0000-000000000003)

実際のユーザーを確認する

偽装を使用してエンティティの作成などの操作を実行する場合、createdonbehalfby という単一値ナビゲーションプロパティを含むレコードを照会することによって、実際に操作を実行したユーザーを見つけることができます。エンティティを更新する操作には、対応する modifiedonbehalfby 単一値ナビゲーションプロパティを使用できます。

要求:

GET [Organization URI]/api/data/v9.2/accounts(00000000-0000-0000-000000000003)?$select=name&$expand=createdby($select=fullname),createdonbehalfby($select=fullname),owninguser($select=fullname) HTTP/1.1   
Accept: application/json  
OData-MaxVersion: 4.0  
OData-Version: 4.0

応答:

HTTP/1.1 200 OK  
Content-Type: application/json; odata.metadata=minimal  
ETag: W/"506868"  
  
{
  "@odata.context": "[Organization URI]/api/data/v9.2/$metadata#accounts(name,createdby(fullname,azureactivedirectoryobjectid),createdonbehalfby(fullname,azureactivedirectoryobjectid),owninguser(fullname,azureactivedirectoryobjectid))/$entity",
  "@odata.etag": "W/\"2751197\"",
  "name": "Sample Account created using impersonation",
  "accountid": "00000000-0000-0000-000000000003",
  "createdby": {
    "@odata.etag": "W/\"2632435\"",
    "fullname": "Impersonated User",
    "azureactivedirectoryobjectid": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
    "systemuserid": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",
    "ownerid": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee"
  },
  "createdonbehalfby": {
    "@odata.etag": "W/\"2632445\"",
    "fullname": "Actual User",
    "azureactivedirectoryobjectid": "bbbbbbbb-1111-2222-3333-cccccccccccc",
    "systemuserid": "11bb11bb-cc22-dd33-ee44-55ff55ff55ff",
    "ownerid": "11bb11bb-cc22-dd33-ee44-55ff55ff55ff"
  },
  "owninguser": {
    "@odata.etag": "W/\"2632435\"",
    "fullname": "Impersonated User",
    "azureactivedirectoryobjectid": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
    "systemuserid": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",
    "ownerid": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee"
  }
}

参照

次の方法で共有

Web API を使用して別のユーザーを偽装する

偽装の要件

ユーザーを偽装する方法

実際のユーザーを確認する

参照

フィードバック

その他のリソース