Zabezpieczenia hierarchiczne na potrzeby kontroli dostępu

Model zabezpieczeń hierarchii jest rozszerzeniem istniejących modeli zabezpieczeń, które korzystają z jednostek biznesowych, ról zabezpieczeń, udostępniania i zespołów. Można go używać we wszystkich innych istniejących modelach zabezpieczeń. Zabezpieczenia hierarchii oferują bardziej szczegółowy dostęp do rekordów w organizacji i pomagają zmniejszyć koszty konserwacji.

Na przykład w złożonych scenariuszach można rozpocząć od utworzenia kilku jednostek biznesowych, a następnie dodać zabezpieczenia hierarchii. Zapewnia to bardziej szczegółowy dostęp do danych, przy znacznie mniejszych kosztach obsługi, jakich może wymagać wiele jednostek biznesowych.

Modele zabezpieczeń hierarchii kierowników i hierarchii stanowisk

Dwa modele zabezpieczeń mogą być używane do hierarchii: hierarchia kierowników i hierarchia stanowisk. W hierarchii kierowników musi on znajdować się w tej samej jednostce biznesowej co raport lub w nadrzędnej jednostce biznesowej jednostki biznesowej raportu, aby mieć dostęp do danych raportu. Hierarchia stanowisk umożliwia dostęp do danych we wszystkich jednostkach biznesowych. W organizacji finansowej, może być preferowany model hierarchii kierowników, aby zapobiec dostępowi kierowników do danych spoza ich jednostek biznesowych. Jednakże jeśli jesteś częścią działu obsługi klienta i chcesz zapewnić kierownikom dostęp do zgłoszeń serwisowych obsługiwanych w różnych jednostkach biznesowych, lepiej może działać hierarchia stanowisk.

Uwaga

Model zabezpieczeń hierarchii zapewnia pewien poziom dostępu do danych, natomiast dodatkowy dostęp można uzyskać przy użyciu innych form zabezpieczeń, takich jak role zabezpieczeń.

Hierarchia kierowników

Model zabezpieczeń hierarchii kierowników opiera się na łańcuchu zarządzania lub strukturze bezpośredniej podległości w relacjach służbowych, gdzie jest ustanawiana relacja przełożonego i podwładnego za pomocą pola Kierownik w tabeli użytkownika systemowego. W przypadku tego modelu zabezpieczeń kierownicy mogą uzyskać dostęp do danych, do których jest dostęp w ich raportach. Są w stanie wykonywać pracę w imieniu swoich bezpośrednich podwładnych oraz mają dostęp do informacji, która wymagają zatwierdzenia.

Uwaga

W modelu zabezpieczeń hierarchii kierowników kierownik ma dostęp do rekordów, których właścicielem jest użytkownik lub zespół, którego użytkownik jest członkiem, i do rekordów, które są bezpośrednio udostępniane użytkownikowi lub zespołowi, którego użytkownik jest członkiem. Gdy rekord jest udostępniany przez użytkownika, który jest poza łańcuchem zarządzania, dla bezpośredniego przełożonego z dostępem tylko do odczytu, menedżer bezpośredniego przełożonego ma tylko dostęp tylko do odczytu do rekordu udostępnianego.

Po włączeniu opcji Prawo własności do rekordów w różnych jednostkach biznesowych kierownicy mogą mieć bezpośrednie raporty z różnych jednostek biznesowych. Można użyć następujących ustawień ustawienia środowiskowej bazy danych, aby usunąć ograniczenie dotyczące jednostek biznesowych.

MenedżerowieMusząByćWTym SamymOrRodzicielskaJednostce Biznesowej JaDoRaporty

domyślnie = prawda

Można ustawić wartość fałsz, wtedy jednostka biznesowa kierownika nie musi być taka sama jak jednostka biznesowa raportu bezpośredniego.

Oprócz modelu zabezpieczeń hierarchii kierowników kierownik musi mieć co najmniej uprawnienie odczytu na poziomie użytkownika wobec tabeli, aby wyświetlać dane raportów podwładnego. Na przykład jeśli kierownik nie ma dostępu do odczytu tabeli Sprawa, nie może zobaczyć spraw, do których jest dostęp w ich raportach.

W przypadku raportu niebezpośredniego z tego samego łańcucha zarządzaniu, w którym jest kierownik, ma on dostęp tylko do odczytu do danych raportu niebezpośredniego. W przypadku raportu bezpośredniego kierownik ma dostęp do danych raportu na poziomach Odczyt, Zapis, Dołączenie i Dołączenie do. Aby zilustrować model zabezpieczeń hierarchii kierowników, zobaczmy poniższy diagram. Dyrektor generalny może odczytywać i aktualizować dane wiceprezesów ds. sprzedaży i serwisu. Dyrektor generalny może jednak tylko odczytywać dane kierowników sprzedaży i serwisu, a także dane o sprzedaży i wsparciu technicznym. Można dodatkowo zawęzić ilość danych, które są dostępne dla kierownika, za pomocą ustawienia Głębokość. Głębokość jest używana do ograniczania liczby poziomów w głąb, na jaką kierownik ma dostęp tylko do odczytu do danych w raportach swoich podwładnych. Na przykład jeśli głębokość jest ustawiona na 2, dyrektor generalny może zobaczyć dane wiceprezesów ds. sprzedaży i serwisu oraz kierowników sprzedaży i serwisu. Jednakże nie widzi danych o sprzedaży i wsparciu technicznym.

Należy pamiętać, że jeśli bezpośredni podwładny ma głębszy dostęp do tabeli niż menedżer, menedżer może nie być w stanie wyświetlić wszystkich rekordów, do których ma dostęp bezpośredni podwładny. Poniższy przykład ilustruje to zagadnienie.

• Pojedyncza jednostka biznesowa ma trzech użytkowników: Użytkownik 1, Użytkownik 2 i Użytkownik 3.

• Użytkownik 2 jest bezpośrednim podwładnym Użytkownika 1.

• Użytkownik 1 i Użytkownik 3 mają dostęp odczytu na poziomie użytkownika dla tabeli Konto. Ten poziom dostępu zapewnia użytkownikom dostęp do posiadanych rekordów, rekordów udostępnionych użytkownikowi, oraz rekordów udostępnionych zespołowi, którego użytkownik jest członkiem.

• Użytkownik 2 ma dostęp do odczytu na poziomie jednostki biznesowej dla tabeli Konto. Dzięki temu użytkownik 2 może wyświetlać wszystkie konta dla jednostki biznesowej, w tym wszystkie konta będące własnością Użytkownika 1 i Użytkownika 3.

• Użytkownik 1, bezpośredni menedżer użytkownika 2, ma dostęp do kont, których właścicielem jest użytkownik 2 lub których jest ich właścicielem, w tym do kont udostępnianych lub posiadanych przez inne zespoły Użytkownika 2. Jednak Użytkownik 1 nie ma dostępu do kont użytkownika 3, nawet jeśli ich raport bezpośredni może mieć dostęp do kont Użytkownik 3.

Hierarchia stanowisk

Hierarchia stanowisk nie opiera się na strukturze bezpośredniej podległości, w odróżnieniu od hierarchii kierowników. Użytkownik nie musi być rzeczywistym kierownikiem innego użytkownika, aby uzyskać dostęp do jego danych. Jako administrator, definiujesz różne stanowiska w organizacji i rozmieszczasz je w hierarchii stanowisk. Następnie możesz dodać użytkowników do poszczególnych stanowisk, lub innymi słowy oznakować użytkowników określonymi stanowiskami. Użytkownika może oznakować tylko jednym stanowiskiem w danej hierarchii, jednak jedno stanowisko może służyć wielu użytkownikom. Użytkownicy na wyższych stanowiskach w hierarchii mają dostęp do danych użytkowników na niższych stanowiskach, w ścieżce bezpośrednich elementów nadrzędnych. Bezpośrednie wyższe stanowiska mają uprawnienia Odczyt, Zapis, Dołączanie i Dołączanie do wobec danych na niższych stanowiskach w ścieżce bezpośrednich elementów nadrzędnych. Niebezpośrednie wyższe stanowiska mają uprawnienie Tylko odczyt wobec danych na niższych stanowiskach w ścieżce bezpośrednich elementów nadrzędnych.

Aby zilustrować pojęcie bezpośredniej ścieżki nadrzędności, spójrzmy na poniższy diagram. Stanowisko kierownik sprzedaży ma dostęp do danych o sprzedaży, jednak nie ma dostępu do danych o wsparciu technicznym, które znajdują się w innej ścieżce elementów nadrzędnych. To samo dotyczy stanowiska kierownik serwisu. Nie ma ono dostępu do danych o sprzedaży, które znajdują się w ścieżce sprzedaży. Podobnie jak w hierarchii kierowników, można ograniczyć ilość danych, które są dostępne na wyższych stanowiskach, za pomocą ustawienia głębokość. Głębokość ogranicza ryzyko, że wyższe stanowisko ma dostęp tylko do odczytu danych niższych stanowisk w bezpośredniej ścieżce nadrzędności. Na przykład jeśli głębokość jest ustawiona na 3, stanowisko dyrektora generalnego widzi dane na całej ścieżce od stanowisk wiceprezesów ds. sprzedaży i serwisu aż do szeregowych stanowisk w działach sprzedaży i wsparcia technicznego.

Uwaga

W modelu zabezpieczeń hierarchii stanowisk użytkownik na wyższym stanowisku ma dostęp do rekordów, których właścicielem jest użytkownik na niższym stanowisku lub zespół, którego użytkownik jest członkiem, i do rekordów, które są bezpośrednio udostępniane użytkownikowi lub zespołowi, którego użytkownik jest członkiem.

Oprócz modelu zabezpieczeń hierarchii stanowisk użytkownicy na wyższym poziomie muszą mieć co najmniej uprawnienie do odczytu na poziomie użytkownika w tabeli, aby widzieć rekordy, do których użytkownicy na niższych stanowiskach mają dostęp. Jeśli na przykład użytkownik na wyższym poziomie nie ma dostępu do odczytu tabeli Sprawa, nie będzie mógł wyświetlić spraw, do których użytkownicy na niższych pozycjach mają dostęp.

Konfigurowanie zabezpieczeń hierarchii

Aby skonfigurować zabezpieczenia hierarchii, upewnij się, że masz uprawnienie systemowe Administrator do aktualizacji ustawienia.

• Wykonaj kroki opisane w sekcji Wyświetlanie swojego profilu użytkownika.
• Nie masz odpowiednich uprawnień? Skontaktuj się z administratorem systemu.

Zabezpieczenia hierarchii są domyślnie wyłączone. Wykonaj następujące kroki, aby włączyć zabezpieczenia hierarchii.

1. Zaznacz środowisko i wybierz kolejno opcje Ustawienia>Użytkownicy + uprawnienia>Zabezpieczenia hierarchii.

2. W obszarze Model hierarchii wybierz opcję Włącz model hierarchii kierowników lub Włącz model hierarchii stanowisk, zależnie od wymagań.

   Ważne

   Aby wprowadzać jakiekolwiek zmiany w oknie Zabezpieczenia hierarchii, musisz mieć uprawnienie Zmiana ustawień zabezpieczeń hierarchii.

   W obszarze Zarządzanie tabelami hierarchii wszystkie tabele systemowe są domyślnie włączone dla zabezpieczeń hierarchii, ale można wykluczyć wybrane tabele z hierarchii. Aby wykluczyć określone tabele z modelu hierarchii, usuń zaznaczenie pól wyboru dla tabel, które chcesz wykluczyć i zapisz zmiany.

   

3. Ustaw opcję Głębokość na żądaną wartość, aby ograniczyć liczbę poziomów w głąb, na jaką kierownik ma dostęp tylko do odczytu do danych raportów swoich podwładnych.

   Na przykład, jeśli głębokość jest równa 2, kierownik ma dostęp tylko do swoich klientów oraz klientów swoich podwładnych na dwa poziomy w głąb. W naszym przykładzie, jeśli użytkownik loguje się do aplikacji obsługi klienta jako wiceprezes ds. sprzedaży nieadministratora, widzi tylko aktywne konta użytkowników w następujący sposób:

   

   Uwaga

   Choć zabezpieczenia hierarchii przyznają wiceprezesowi ds. sprzedaży dostęp do rekordów w czerwonym prostokącie, dodatkowy dostęp może być dostępny w oparciu o rolę zabezpieczeń, którą ma wiceprezes ds. sprzedaży.

4. W sekcji Zarządzanie tabelami hierarchii wszystkie tabele systemowe mają domyślnie włączoną opcję zabezpieczeń hierarchii. Aby wykluczyć określoną tabelę z modelu hierarchii, wyczyść znacznik wyboru obok nazwy tabeli i zapisz zmiany.

   Nowy, nowoczesny interfejs użytkownika w wersji zapoznawcza

   

   Ważne

   • Jest to funkcja w wersji zapoznawczej.
   • Funkcje w wersji zapoznawczej nie są przeznaczone do użytku w środowiskach produkcyjnych i mogą mieć ograniczoną funkcjonalność. Te funkcje podlegają dodatkowym warunkom i są udostępniane przed oficjalnym wydaniem, dzięki czemu klienci mogą szybciej uzyskać do nich dostęp i przekazać opinie na ich temat.

   Starszy interfejs użytkownika

   

Konfigurowanie hierarchii kierowników i stanowisk

Hierarchia kierowników jest łatwo tworzona za pomocą relacji kierownika z rekordem użytkownika systemowego. Użyj pola odnośnika Kierownik (ParentsystemuserID), aby określić kierownika użytkownika. Jeśli już utworzono hierarchię stanowisk, można również oznakować użytkownika określonym stanowiskiem w hierarchii stanowisk. W poniższym przykładzie sprzedawca podlega kierownikowi sprzedaży w hierarchii kierowników i ma również stanowisko sprzedaży w hierarchii stanowisk:

Aby dodać użytkownika do określonego stanowiska w hierarchii stanowisk, użyj pola wyszukiwania o nazwie Stanowiska na formularzu rekordu użytkownika.

Ważne

Aby dodać użytkownika do stanowiska lub zmienić stanowisko użytkownika, musisz mieć uprawnienie Przypisywanie stanowiska do użytkownika.

Aby zmienić stanowisko w formularzu rekordu użytkownika, na pasku nawigacyjnym wybierz pozycję Więcej (...), a następnie wybierz inne stanowisko.

Aby utworzyć hierarchię stanowisk:

1. Zaznacz środowisko i wybierz kolejno opcje Ustawienia>Użytkownicy + uprawnienia>Stanowiska.

   Dla każdego stanowiska podaj nazwę, obiekt nadrzędny i opis. Dodaj użytkowników do tego stanowiska, korzystając z pola odnośnika o nazwie Użytkownicy na tym stanowisku. Na ilustracji poniżej znajduje się przykład hierarchii stanowisk z aktywnymi stanowiskami.

   

   Poniżej przedstawiono przykład włączonych użytkowników z ich odpowiednimi stanowiskami.

   

Dołączanie lub wykluczanie rekordów będących własnością raportu bezpośredniego ze statusem wyłączonego użytkownika

Menedżerowie mogą zobaczyć swoje wyłączone rekordy raportu bezpośredniego stanu dla środowisk, w których zabezpieczenia hierarchii są włączone po 31 stycznia 2024 r. W innych środowiskach rekordy wyłączonego bezpośredniego raportu stanu nie są uwzględniane w widoku menedżera.

Aby uwzględnić wyłączone rekordy raportu bezpośredniego stanu:

1. Instalowanie narzędzia OrganizationSettingsEditor.
2. Zaktualizuj ustawienie AuthorizationEnableHSMForDisabledUsers do wartości prawda.
3. Włącz modelowanie hierarchii.
4. Włącz go ponownie.

Aby nie uwzględnić wyłączone rekordy raportu bezpośredniego stanu:

1. Instalowanie narzędzia OrganizationSettingsEditor.
2. Zaktualizuj ustawienie AuthorizationEnableHSMForDisabledUsers do wartości fałsz.
3. Włącz modelowanie hierarchii.
4. Włącz go ponownie.

Uwaga

• Wyłączenie i ponowne włączenie modelowania hierarchii może zająć czas, ponieważ system musi ponownie uzyskać dostęp do rekordów Menedżera konfiguracji.
• Jeśli zostanie wyświetlony limit czasu, należy zmniejszyć liczbę tabel pod listą Zarządzanie tabelami hierarchii tak, aby zawierała tylko tabele, które muszą być przeglądane przez menedżera. Jeśli utrwalenie limitu czasu występuje, należy przesłać bilet pomocy technicznej w celu uzyskania pomocy.
• Wyłączone rekordy raportu bezpośredniego stanu są uwzględniane, jeśli są one udostępniane innym aktywnym raportom bezpośrednim. Wyklucz te rekordy, usuwając udostępnianie.

Zagadnienia dotyczące wydajności

Aby zwiększyć wydajność, zalecamy:

• Utrzymuj efektywne zabezpieczenia hierarchii dla co najwyżej 50 użytkowników podlegających kierownikowi lub stanowisku. Hierarchia może mieć więcej niż 50 użytkowników podlegających kierownikowi lub stanowisku, ale można użyć ustawienia Głębia w celu ograniczenia liczby poziomów dostępu tylko do odczytu, a następnie ograniczyć efektywną liczbę użytkowników podlegających kierownikowi lub stanowisku do 50 użytkowników lub mniej.

• Używaj modeli zabezpieczeń hierarchii z innymi istniejącymi modelami zabezpieczeń dla bardziej złożonych scenariuszy. Należy unikać tworzenia dużej liczby jednostek biznesowych, a zamiast tego tworzyć mniej jednostek biznesowych i dodawać zabezpieczenia hierarchii.

Zobacz też

Bezpieczeństwo w Microsoft Dataverse
Wykonywanie zapytań i wizualizacja danych hierarchicznych