Wichtigste Erkenntnisse
- Die Integration von Dynamics 365 und SharePoint umfasst drei Berechtigungsebenen: Microsoft 365 und die Power Platform, Dynamics 365-Sicherheitsrollen sowie SharePoint-Berechtigungen für Websites, Bibliotheken und Ordner.
- Für die Einrichtung sind erweiterte Rechte erforderlich. Für die Aktivierung der Integration ist ein globaler Administrator erforderlich, und für die Konfiguration der Dokumentenverwaltung sind in Dynamics 365 die Rollen „Systemadministrator“ oder „Systemanpasser“ sowie entsprechende SharePoint-Berechtigungen erforderlich.
- Normale Benutzer benötigen keine spezielle Dynamics-Rolle. Sie benötigen die entsprechende Berechtigungen in den Tabellen zum Speicherort der Dokumente und die Berechtigungen für SharePoint (rechts) hinsichtlich der von ihnen genutzten Standorte.
- Keine dieser Einstellungen verknüpft den Zugriff auf einen Dynamics 365-Datensatz mit dem Zugriff auf dessen Dokumente. Wenn ein Dokument genauso vertraulich sein soll wie der dazugehörige Datensatz, müssen Sie dies gesondert behandeln..
Die Integration von Dynamics 365 und SharePoint verbindet das Dokumentenmanagement, synchronisiert jedoch nicht automatisch die Zugriffsrechte für Datensätze in Dynamics 365 mit den Datei- oder Ordnerzugriffsrechten in SharePoint.
Entdecken Sie das Tool zur Synchronisierung der Berechtigungen für Dynamics 365 und SharePoint
Die drei Berechtigungsebenen
Wenn Leute nach "Dynamics 365- und SharePoint-Integrationsberechtigungen" fragen, meinen sie damit in der Regel eines von zwei Dingen:
- Welche Berechtigungen benötige ich, um die Integration einzurichten und zu nutzen?
- Wodurch wird geregelt, wer ein Dokument öffnen darf, sobald es sich in SharePoint befindet?
Auf die erste Frage gibt es in der Microsoft-Dokumentation eine eindeutige Antwort. Auf die zweite Frage gibt es keine, da dies vom Zusammenspiel der drei Schichten abhängt und die Integration diese nicht miteinander verknüpft.
| Ebene | Bedienelemente | Typische Werkzeuge |
|---|---|---|
| Microsoft 365 / Power Platform |
Wer kann die Integration aktivieren, Grundstücksgrenzen |
Verwaltungszentren, Entra ID |
| Dynamics 365 / Dataverse |
Wer kann das Dokument konfigurieren? Verwaltung und Einsicht in Unterlagen |
Sicherheitsrollen, Geschäft Einheiten, Teams |
| SharePoint | Wer darf Websites, Bibliotheken und Ordner öffnen? und Dateien |
Site-Gruppen, Ordner Berechtigungen |
Welche Berechtigungen benötigen normale Benutzer?
Die täglichen Aufgaben erfordern deutlich weniger Aufwand als die Einrichtung. In der aktuellen Tabelle von Microsoft sind die Mindestanforderungen für jede Aufgabe aufgeführt:
| Aufgabe | Dynamics 365 Sicherheitsrolle |
SharePoint-Website Berechtigungen |
Dokument Standort Berechtigungen |
|---|---|---|---|
| Aktivieren oder deaktivieren Dokument Management |
Systemverwalter oder System Anpassungsprogramm |
Erstellen, Lesen, Schreiben, Anhängen, Anhängen an |
k. A. |
| Erstelle eine Website, die Standard / Überprüfen Websites |
Systemverwalter oder System Anpassungsprogramm |
Lesen, Schreiben | k. A. |
| Erstellen oder bearbeiten Speicherort des Dokuments Datensätze |
Verkäufer (oder (Basisnutzer) |
Lesen, Anfügen | Erstellen, Lesen, Schreiben, Anhängen, Anhängen an |
| Einen hinzufügen oder bearbeiten Standort aus einem Aufzeichnung |
Beliebige | Lesen, Anfügen | Erstellen, Lesen, Schreiben, Anhängen, Anhängen an |
| Einen fehlerhaften Standort korrigieren | Beliebige | k. A. | Lesen, Schreiben |
| Dokumente verwalten | Beliebige | k. A. | Lesen, Schreiben |
Quelle: Microsoft Learn: Erforderliche Berechtigungen für Aufgaben im Dokumentenmanagement.
Die Spalte "Berechtigungen für den Dokumentenstandort" bezieht sich auf die Berechtigungen für die Tabelle „SharePoint Document Location“ in der Dynamics-Sicherheitsrolle des Benutzers.
Für die Verwaltung von Dokumenten kann die Rolle "Any" sein. Entscheidend ist, dass sie die richtigen Berechtigungen für die Dokumentenstandorttabellen enthält und dass SharePoint dem Benutzer Zugriff auf den Speicherort der Dateien gewährt. Dies ist der häufigste Grund dafür, dass Dokumente für den Administrator, der die Anwendung erstellt hat, funktionieren, für alle anderen jedoch nicht.
Wie funktioniert die Integrationsidentität?
Die Integrationsidentität ermöglicht es Dynamics 365, im Namen der Benutzer mit SharePoint zu kommunizieren.
Bei der Integration von Dynamics 365 Online mit SharePoint Online erfolgt die serverbasierte Integration über eine Server-zu-Server-Authentifizierung zwischen Ihrer Umgebung und SharePoint. Benutzer müssen nicht gleichzeitig bei beiden Systemen angemeldet sein. Benutzer benötigen weiterhin entsprechende Berechtigungen für die SharePoint-Website-Sammlung, in der die Dokumentenverwaltungskomponenten installiert sind.
Bei lokalen Bereitstellungen muss der Identität mehr Aufmerksamkeit gewidmet werden. Laut der Microsoft-Dokumentation ist für die Ausführung des Assistenten die Rolle „Systemadministrator“ erforderlich, und wenn Sie ein selbstsigniertes Zertifikat zu Testzwecken verwenden, benötigen Sie lokale Administratorrechte. Außerdem muss die CRMAppPool-Identität Lesezugriff auf das für die serverbasierte Authentifizierung verwendete Zertifikat haben. Die SharePoint-Farm benötigt eine entsprechende Vertrauenskonfiguration, einschließlich der Realm-ID.
Wenn hier ein Fehler auftritt, äußert sich dies in Verbindungsfehlern und nicht in der Meldung "Zugriff verweigert" für einen einzelnen Benutzer. Diese Unterscheidung ist bei der Fehlersuche hilfreich.
Gelten die Dynamics 365-Berechtigungen automatisch auch für SharePoint-Dokumente?
Die Modelle Dynamics 365 und SharePoint prüfen den Zugriff unabhängig voneinander.
Dynamics 365 kann den Datensatzzugriff auf folgende Weise ermitteln:
- Sicherheitsrollen und Berechtigungstiefe
- Geschäftsbereiche
- Eigentumsverhältnisse
- Eigentümerteams und Zugangs-Teams
- Direkter Datenaustausch
- Microsoft Entra ID-Gruppenteams
- Sicherheit in Hierarchien
SharePoint prüft den Zugriff anhand folgender Kriterien:
- Berechtigungen für Websites und Bibliotheken
- SharePoint und Microsoft 365-Gruppen
- Ordner- und Dateiberechtigungen
- Vererbte oder eindeutige Berechtigungen
- Weitergabe von Links und direkte Zuschüsse
Bei der nativen Integration wird ein Dynamics 365-Datensatz einem SharePoint-Dokumentstandort zugeordnet. Dabei wird der tatsächliche Dynamics 365-Zugriff auf den Datensatz nicht in entsprechende SharePoint-Berechtigungen umgewandelt.
Dadurch entstehen mehrere häufige Sicherheitslücken:
- Ein Vertriebsmitarbeiter verliert nach einer Neuzuweisung den Zugriff auf einen Kunden, kann dessen Dokumente jedoch weiterhin direkt in SharePoint öffnen.
- Ein Manager teilt eine Opportunity mit einem Kollegen, doch der Kollege erhält auf der Registerkarte “Dokumente” die Meldung „Zugriff verweigert“.
- Ein Benutzer wird in Dynamics 365 deaktiviert oder entfernt, behält jedoch über eine Gruppe oder eine direkte Berechtigung weiterhin Zugriff auf SharePoint.
- Änderungen der Teammitgliedschaft in Dynamics 365 ohne entsprechende Aktualisierung der Berechtigungen in SharePoint.
- Der Dynamics 365-Zugriff eines Benutzers wird aufgehoben, eine zuvor erteilte SharePoint-Berechtigung bleibt jedoch bestehen.
Diese Szenarien bedeuten nicht zwangsläufig, dass die Integration fehlerhaft funktioniert. Sie bedeuten vielmehr, dass zwei separate Berechtigungssysteme gemäß ihrer jeweiligen Konfiguration arbeiten.
Fehlerbehebung: Symptom, Ursache, Lösung
| Symptom | Mögliche Ursache | Was ist zu prüfen? |
|---|---|---|
| Dokumente gelten für der Administrator, nicht für andere Nutzer |
Der Benutzerrolle fehlen die Berechtigungen für die SharePoint Tabelle „Dokumentstandort“ (und manchmal die SharePoint-Website Tabelle) |
Sehen Sie sich die Aufgaben der Position an Berechtigungen für beide Tabellen |
| Validierung durch den Assistenten scheitert |
Falsche URL, Seite nicht gefunden, anders Mieter oder Administrator ohne Zugriff auf die Website |
Überprüfen Sie die URL, die des Mieters und des Verwalters SharePoint-Zugriff |
| "Zugriff verweigert" nachdem ein Datensatz weitergeleitet oder neu zugewiesen |
Der Zugriff auf Dynamics wurde geändert, Die Berechtigungen für den Ordner „SharePoint“ wurden nicht |
Vergleiche die des Benutzers effektiver Zugang in beiden Systeme |
| Ein Benutzer hat seinen Datensatz verloren Zugang, aber dennoch öffnet Dateien |
SharePoint-Berechtigungen unverändert | Audit direkt SharePoint Zugriff auf diesen Ordner |
| Fehler trotz anscheinend richtig Berechtigungen |
Ursachen auf der SharePoint-Seite wie beispielsweise ein Nicht übereinstimmende Benutzer-ID der Website oder eingeschränkte— Zugriff auf den Sperrmodus |
Führen Sie den Microsoft-Check durch Diagnose des Benutzerzugriffs und diese durchsehen Einstellungen |
Wie kann man die Berechtigungen für Dynamics 365 und SharePoint aufeinander abstimmen?
Es gibt drei Hauptansätze.
1. SharePoint-Berechtigungen manuell verwalten
Eine manuelle Verwaltung kann für eine kleine, stabile Umgebung mit einfachen Zugriffsregeln und seltenen Änderungen ausreichend sein.
Die größte Schwäche ist die „Permission Drift“. Jede Neuzuweisung, jede Freigabe, jede Änderung der Teamzugehörigkeit oder jedes Offboarding eines Benutzers erfordert möglicherweise eine separate SharePoint-Aktualisierung. Insbesondere das Entziehen von Zugriffsrechten wird leicht übersehen.
2. Automatisierung von Build-Prozessen mit Power Automate
Power Automate unterstützt eine klare und bewusst begrenzte Regel, wie beispielsweise die Gewährung von Zugriffsrechten für den Inhaber einer Verkaufschance und eine festgelegte Vertriebsgruppe.
Es wird deutlich schwieriger, wenn die Automatisierung einen effektiven Dynamics 365-Zugriff über folgende Bereiche hinweg reproduzieren muss:
- Eigentumswechsel
- Freigabe und Aufhebung der Freigabe
- Eigentümer- und Zugangs-Teams
- Änderungen in der Teamzusammensetzung
- Änderungen an Sicherheitsrollen oder Geschäftseinheiten
- Privilegierungstiefe
- Sicherheit in Hierarchien
- Zugriffssperrung
- Fehlgeschlagene Läufe und Abstimmung
Eine Produktionsimplementierung muss sowohl die Erteilung als auch den Entzug von Zugriffsrechten abwickeln. Außerdem sind Überwachungsfunktionen, eine Wiederholungslogik, eine Ausnahmebehandlung sowie ein Verfahren zum Abgleich versäumter Änderungen erforderlich.
3. Verwenden Sie ein spezielles Tool zur Replikation von Berechtigungen.
Ein spezielles Tool ist dann sinnvoll, wenn der Zugriff auf SharePoint-Dokumente über zahlreiche Benutzer, Datensätze und Szenarien von Zugriffsänderungen hinweg stets den Dynamics 365-Sicherheitsvorschriften entsprechen muss.
| Vorgehensweise | Am besten geeignet für | Hauptvorteil | Hauptbeschränkung |
|---|---|---|---|
| Manuelle Verwaltung | Kleine, stabile Umgebungen | Einfacher Einstieg | Hoher Verwaltungsaufwand und Genehmigungsdrift |
| Leistung automatisieren | Eingeschränkte, explizite Zugriffsregeln | Flexible Automatisierung im Microsoft-Ökosystem | Es ist schwierig, wirksame Sicherheitsmaßnahmen zuverlässig umzusetzen |
| Spezielle Replikationssoftware | Dynamischer Zugriff oder Zugriff im Unternehmensmaßstab | Speziell entwickelte Synchronisierung von Berechtigungen | Erfordert zusätzliche Software und Implementierung |
Wie CB Dynamics 365 to SharePoint Permissions Replicator passt
CB Dynamics 365 to SharePoint Permissions Replicator überwacht Dynamics 365 kontinuierlich auf Änderungen, die sich auf den Zugriff auswirken, und wendet die entsprechenden Berechtigungen auf SharePoint an.
Es bietet eine spezielle Alternative zur manuellen Aktualisierung der SharePoint-Berechtigungen oder zur Entwicklung und Pflege benutzerdefinierter Automatisierungslösungen für Berechtigungen.
Es unterstützt:
- Benutzer, Teams, Zugriffsteams und Vorlagen für Zugriffsteams
- Entra ID (Azure AD)-Sicherheitsgruppen-Teams und Microsoft 365-Gruppen-Teams
- Sicherheitsrollen und Geschäftsbereiche
- Datensatzfreigabe, Zugriffsrechte und hierarchische Sicherheit
Es ordnet Dynamics-Benutzer automatisch SharePoint-Benutzern zu, und Sie können die Zuordnung anpassen oder individuell gestalten, einschließlich benutzerdefinierter Berechtigungsstufen. Außerdem protokolliert es jede vorgenommene Änderung an den SharePoint-Berechtigungen, sodass Compliance-Teams über einen Prüfpfad verfügen. Es unterstützt Dynamics 365 Customer Engagement (Vertrieb, Kundenservice, Außendienst), benutzerdefinierte Dataverse-Lösungen, ältere Dynamics CRM-Versionen, SharePoint Online sowie SharePoint 2013 bis 2019. Sie können die Lösung selbst gehostet, auf Azure oder als SaaS in der EU oder den USA bereitstellen. Außerdem bietet sie externen Benutzerzugriff für Kunden, Lieferanten und Partner, die Dokumente benötigen, aber kein Dynamics 365-Konto haben.
Wenn Sie außerdem eine bessere Ordnerhierarchie benötigen, SharePoint Structure Creator funktioniert parallel dazu. Die Ordnerstruktur und die Replikation von Berechtigungen sind zwei getrennte Probleme, von denen keines das andere löst.
Wer profitiert davon?
- Dynamics 365- und CRM-Administratoren Es gibt weniger Meldungen wegen "Zugriff verweigert" und keine manuellen Ordneraktualisierungen mehr nach jeder Neuzuweisung.
- Leiter für IT-Sicherheit und Compliance Erhalten Sie Dokumente, die den CRM-Zugriff nachverfolgen, sowie einen Prüfpfad für Überprüfungen gemäß DSGVO, NIST oder PCI DSS.
- IT-Teams Vermeiden Sie den Aufbau und die Pflege von Automatisierungsprozessen für Berechtigungen.
- Microsoft-Partner eine reproduzierbare Methode zur Umsetzung einer sicheren Dokumentenverwaltung zu entwickeln.
Checkliste für die Inbetriebnahme
- Ein globaler Administrator steht zur Aktivierung der Integration zur Verfügung, und die Anforderung, dass es sich um denselben Mandanten handeln muss, wurde bestätigt.
- Die Einrichtung muss von einer Person durchgeführt werden, die über die Berechtigungen „Systemadministrator“ oder „Systemanpasser“ sowie die oben aufgeführten SharePoint-Berechtigungen verfügt.
- Die Rollen wurden mit echten Benutzern getestet, nicht nur mit Administratoren.
- Der direkte Zugriff über SharePoint wurde ebenso getestet wie der Zugriff über Dynamics 365.
- Eine Entscheidung darüber, ob Dokumente dem Akteneinsichtrecht unterliegen.
- Falls ja, wurden sowohl das Erteilen als auch das Entziehen des Zugriffs getestet.
- Jemand ist nach der Inbetriebnahme für die Überwachung zuständig.
So funktioniert der Replicator für Berechtigungen von CB Dynamics 365 bis SharePoint
Häufig gestellte Fragen
Welche Berechtigung benötige ich, um die SharePoint-Integration in Dynamics 365 zu aktivieren?
Warum kann der Administrator Dokumente sehen, andere Benutzer jedoch nicht?
Gilt die Sicherheitseinstellung „Dynamics 365“ automatisch auch für Dokumente in „SharePoint“?
Kann ich mit Power Automate Berechtigungen synchronisieren?
Gibt es eine kostenlose Testversion?
Lesen Sie weiter:
Einrichtung der SharePoint-Integration in Dynamics 365 →
Werden Ihre Dynamics 365-Berechtigungen tatsächlich mit SharePoint synchronisiert? →
Schlussfolgerung
Die Integration von Dynamics 365 und SharePoint lässt sich problemlos konfigurieren, sofern die erforderlichen Berechtigungen klar definiert sind. Die größere Herausforderung besteht darin, zu verstehen, was die Integration nicht abdeckt: Die Datensatzsicherheit in Dynamics 365 und die Dokumentensicherheit in SharePoint bleiben voneinander getrennt.
Die Einrichtung der richtigen Administratoren, Dynamics 365-Sicherheitsrollen, SharePoint-Berechtigungen und Zugriffsrechte auf Dokumentenstandorte ist für eine zuverlässige Konfiguration unerlässlich. Wenn Ihr Unternehmen jedoch erwartet, dass sich SharePoint-Dokumente automatisch an Änderungen der Dynamics 365-Zugriffsrechte anpassen – beispielsweise in Bezug auf Datensatzbesitz, Teammitgliedschaft, Freigaben, Geschäftsbereiche oder hierarchische Sicherheitsrechte –, reicht die native Integration allein nicht aus, um diese Synchronisierung zu gewährleisten.
Bei einfachen und stabilen Zugriffsregeln können sowohl die manuelle Verwaltung als auch Power Automate zum Einsatz kommen. Je dynamischer die Berechtigungen jedoch werden, desto schwieriger wird es, die Dynamics 365- und SharePoint-Zugriffsrechte kontinuierlich aufeinander abzustimmen – sowohl bei der Einrichtung als auch bei der Überwachung und Wartung.
Hier kann ein spezieller Ansatz zur Synchronisierung von Berechtigungen zwischen Dynamics 365 und SharePoint Abhilfe schaffen. CB Dynamics 365 to SharePoint Permissions Replicator überwacht kontinuierlich relevante Sicherheitsänderungen in Dynamics 365 und wendet die entsprechenden Berechtigungen in SharePoint an, einschließlich Änderungen in Bezug auf Benutzer, Teams, Geschäftsbereiche, Freigaben, Rollen und Hierarchiesicherheit.
Die wichtigste Erkenntnis ist einfach: Durch die Integration von Dynamics 365 mit SharePoint werden Ihre Systeme zwar miteinander verbunden, doch werden deren Sicherheitsmodelle dadurch nicht automatisch synchronisiert. Wenn Ihre Dokumente den CRM-Zugriffskriterien einheitlich entsprechen müssen, sollten Sie die Synchronisierung der Berechtigungen als eigenständige Anforderung betrachten und entsprechend planen, bevor Zugriffsprobleme zu einem wiederkehrenden administrativen Problem werden.
Mehr zu Dynamics und der SharePoint-Integration
Dynamics 365 SharePoint Integrationsberechtigungen: Was Administratoren und Benutzer benötigen
Wie die Stars Behavioral Health Group ihre Dynamics 365-Speicherkosten durch die Verlagerung von Anhängen auf SharePoint senken konnte
ORBIS und Connecting Software schließen die versteckte Sicherheitslücke bei den Microsoft-Berechtigungen Dynamics 365
