Elegante Abhilfe für SharePoint-Sicherheitsschwelle

Hallo!
Wir entwerfen derzeit eine Lösung für einen Kunden, bei dem es in SharePoint, das mit Dynamics CRM synchronisiert ist, viele Dokumente mit unterbrochener Vererbung geben wird. 
Wie wir wissen, können in SharePoint 50.000 Elemente in einer Bibliothek eine unterbrochene Vererbung haben. 
Unser Kunde wird diese Grenze in ein paar Jahren erreichen.
Was ist das beste Verfahren für die Handhabung dieser SharePoint-Berechtigungsbereichsschwelle? Verwenden von Ordnern zum Speichern der Dokumente und Festlegen eindeutiger Berechtigungen für den Ordner oder Erstellen weiterer Bibliotheken? Gibt es eine automatische Lösung? 

Danke,  
Andy

Diese Anfrage von einer der Microsoft-Community-Seiten stößt bei vielen SharePoint-Administratoren auf Resonanz. Ganz gleich, wie groß der Sicherheitsumfang in SP sein kann, er ist erschöpfbar. Für große Organisationen ist es eine Frage von zwei bis drei Jahren für SharePoint, bis die Grenze überschritten ist. Offensichtlich ist eine umfassende Planung erforderlich. In diesem Artikel analysieren wir diese Schwelle und mögliche Umgehungslösungen, um die konsistente Sicherheit von Dokumenten im Paar Dynamics CRM-SharePoint zu gewährleisten.

Im Laufe der Jahre ist das synchronisierte Paar aus Dynamics CRM und SharePoint zu einem integralen Bestandteil des Kundenmanagements geworden. Es handelt sich um eine gut durchdachte Kombination, die dem CRM große Funktionalität verleiht.  

Wenn Sie SharePoint Online mit Dynamics 365 verwenden, haben Sie die folgenden Vorteile: 

• Viel mehr Funktionalität bei der Verwaltung kundenbezogener Dokumente 
• Möglichkeit, Dokumente mit Nicht-CRM-Benutzern oder extern (z.B. für Vertragsänderungen) gemeinsam zu nutzen 
• Größere und billigere Datenspeicherung (SharePoint-Speicherung: 10 GB Standard ($0,20 pro GB zusätzlich) im Vergleich zu Dynamics CRM-Speicher: 5 GB Standard ($10 pro GB zusätzlich)) 
• Hinzufügen von SharePoint-spezifischen Optionen (Auschecken/Einchecken von Dokumenten und Versionsverlauf; Schnittstelle zur Unterstützung der OneNote-Integration mit CRM; Synchronisierung mit der Desktop-Bibliothek und Outlook; Integration mit Microsoft Delve für erweiterte Suchfunktionen in der Dokumentbibliothek und in Dokumenten). 

Alles in allem ermöglicht diese Kombination den Unternehmen eine effektivere Suche nach Gelegenheiten und eine Ausweitung der Geschäftstätigkeit. Aber sie hat einige Einschränkungen.

Unternehmen, die mit Dynamics CRM synchronisiert mit SharePoint arbeiten, müssen sich zwei Dinge merken.  

Erstens vermisst dieses Paar die automatische Synchronisierung von Berechtigungen und Privilegien. Wenn Sie Berechtigungen nicht manuell festlegen, können also so sensible Daten wie Vertragswerte, Unterschriften, Interessenten in SharePoint Unbefugten entgehen. 

Und zweitens die oben genannten Grenzen der einzigartigen Berechtigungsbereiche von SharePoint.  

Für SP 2013, 2016 und 2019Der Schwellenwert liegt bei 50 000 Berechtigungen pro Dokumentbibliothek. Nach Erreichen dieser Linie können keine Berechtigungen mehr vergeben werden. Dieser Vorrat erschöpft sich bei großen Organisationen normalerweise innerhalb weniger Jahre. Wenn Sie jedoch die Empfehlungen von Microsoft befolgen, wird es noch schneller gehen. "Für die meisten Farmen empfehlen wir, die Senkung dieser Grenze auf 5.000 eindeutige Bereiche in Betracht zu ziehen. (...) Wenn die Anzahl der eindeutigen Sicherheitsbereiche für eine Liste den Wert des Schwellenwerts für die Listenansicht (standardmäßig auf 5.000 Listenelemente festgelegt) überschreitet, finden beim Anzeigen der Liste zusätzliche SQL Server-Roundtrips statt, was sich negativ auf die Leistung der Listenansicht auswirken kann", heißt es darin.  

Wahrscheinlich löste dieses Merkmal die Entscheidung aus, nur 5 000 einzigartige Bereiche für SharePoint online. 

Und da der Schutz sensibler Daten für jedes Unternehmen von entscheidender Bedeutung ist, muss bereits in einem frühen Stadium der Implementierung eine angemessene Planung erfolgen. 

Das erste Problem - die fehlende automatische Synchronisierung zwischen Berechtigungen in Dynamics CRM und SharePoint - kann wie folgt gelöst werden CB-Erlaubnis-Replikator. Dieses Produkt von Connecting Software ist die einzige sofort einsatzbereite Lösung der Welt, die diese fehlende Synchronisation automatisch abdeckt. Es hat eine ganze Reihe von Popularität und Vertrauen in den letzten Jahren sowohl bei privaten als auch bei öffentlichen Einrichtungen. 

Das zweite Problem - die Schwelle für eindeutige SharePoint-Berechtigungen - ist etwas komplizierter. 

Beispielsweise bietet Microsoft keine einfache Lösung für diese Herausforderung. Die Empfehlungen gehen in die Richtung  

• entweder die Verwendung von eindeutigen Berechtigungen zu minimieren oder  
• das Festlegen von Berechtigungen für eine komplette Liste oder einen Ordner statt für einzelne Objekte oder  
• das Bibliotheksdesign insgesamt zu überdenken.  

Natürlich ist diese Anordnung möglich, aber sie erfordert eine Anpassung und Kodierung.  

Außerdem sind die SharePoint-Berechtigungen nicht granular genug. Wenn ein Mitarbeiter Berechtigungen für bestimmte Dokumente aufheben muss, benötigt er in der sofort einsatzbereiten Integration zwischen Dynamics CRM und SharePoint Add/Edit-Rechte für die gesamte Dokumentbibliothek. Das bedeutet, dass die Person möglicherweise nicht autorisierten Zugriff auf einige Dokumente erhält.  

Dank früherer Arbeiten am CB Dynamics CRM - SharePoint Permission Replicator haben wir beide Systeme kennen gelernt. Und verstanden, dass eingeschränkte eindeutige Berechtigungsbereiche in SharePoint für viele Systemadministratoren eine ernsthafte Herausforderung darstellen.  

SharePoint Structure Creator ist unsere Antwort auf dieses Problem. Er erstellt oder wählt automatisch Dokumentbibliotheken in SharePoint auf der Grundlage definierter Regeln, um das Erreichen eindeutiger Beschränkungen des Berechtigungsumfangs zu vermeiden. 

Es ist eigentlich ziemlich schlau. SP Structure Creator legt Dokumente in Verteilungsdokumentenbibliotheken ab, die nach den von Ihnen definierten Regeln erstellt werden: 

• Basierend auf dem Datum (jährlich, vierteljährlich, monatlich, wöchentlich, täglich oder benutzerdefinierte Regel)  
• Basierend auf dem (den) Anfangszeichen des Datensatznamens  
• Basierend auf dem/den Startzeichen der Datensatz-ID
• Dokumentbibliothek pro Datensatz.  

Sie brauchen also keine Dokumente mit defekten Berechtigungen in speziellen Ordnern zu gruppieren oder die SharePoint-Struktur komplett neu zu erstellen. Sie müssen nur die Regel auswählen und sicherstellen, dass es ausreicht, nicht die 5k /50k-Grenze zu erreichen.  

Ein großes Unternehmen plant etwa 1 Million Datensätze (5 verschiedene Entitäten) in Dynamics 365 mit in SharePoint gespeicherten Dokumenten. Nicht sofort, aber man geht davon aus, dass diese Zahl in eineinhalb bis zwei Jahren erreicht sein wird.  

Nun einige technische Details. Das Unternehmen arbeitet unter einer flachen Struktur. Außerdem hat das verwaltete System SharePoint komplett gesperrt: nur Dynamics 365 Benutzer können darauf zugreifen, und zwar nur auf die Dokumente, für die sie eine Berechtigung haben. Der Sicherheitsteil wird vom CB-Replikator übernommen.  

Was kann der Administrator in diesem Fall tun, um das Erreichen von 50k eindeutigen Berechtigungsbereichen zu vermeiden? 

Sie wenden die SharePoint Structure Creator-Funktion an. Es erstellt automatisch Ordner und gültige Dokumentpositionen in SharePoint, sobald der Benutzer in D365 auf "Dokumente" klickt. Der Administrator hat beschlossen, Dokumentbibliotheken auf der Grundlage der Einstiegswoche aufzubauen. Jede Woche wird eine neue Bibliothek erstellt. Auf diese Weise stellen sie sicher, dass der Schwellenwert nie erreicht wird. Und für den Benutzer ist die Erfahrung die gleiche. 

Das Feature ist ein CRM-Plugin, das über REST mit SharePoint kommuniziert. Das Plugin ersetzt die ursprüngliche Implementierung und verhält sich auf die gleiche Weise. Es ist für den Endbenutzer völlig transparent - das heißt, die Erfahrung bleibt die gleiche. Wenn der Benutzer also in Dynamics CRM auf die Registerkarte "Dokumente" klickt, erscheint innerhalb weniger Sekunden das Raster mit den Dokumenten.  

Ein SharePoint-Ordner wird erstellt unter a privilegierter Benutzer, so dass der aufrufende Benutzer keine Rechte in SharePoint haben muss. Sobald ein SharePoint-Objekt erstellt ist, bricht es die Berechtigungsvererbung ab und gewährt dem aufrufenden Nutzer Zugriff - so dass er sofort mit dem Hochladen von Dokumenten beginnen kann.   

Unterstützte Systeme:  

• CRM 2011, CRM 2013, CRM 2015, CRM 2016, Dynamics 365, Dynamics 365 Online  
• SharePoint 2013, SharePoint 2016, SharePoint 2019, SharePoint Online  

Dieses Plugin ist in der Tat eine clevere Lösung für die SharePoint-Beschränkung. Das Beste daran ist, dass es automatisch funktioniert - getestet, bewährt und vor menschlichen Faktoren geschützt.  

Lesen Sie weitere Geschichten über Dynamics CRM und SharePoint-Integration:

Replizieren Sie das Sicherheitsmodell von Dynamics CRM in SharePoint: Aktualisiert

Überbrückung der Sicherheitslücke zwischen Dynamics 365-Privilegien und SharePoint-Berechtigungen