Основные выводы
- Интеграция Dynamics 365 и SharePoint включает в себя три уровня прав доступа: Microsoft 365 и Power Platform, роли безопасности Dynamics 365, а также права доступа к сайтам, библиотекам и папкам SharePoint.
- Для его настройки требуются права администратора. Для включения интеграции требуются права глобального администратора, а для настройки управления документами — права системного администратора или специалиста по настройке системы в модуле Dynamics 365, а также соответствующие права в модуле SharePoint.
- Обычным пользователям не требуется специальная роль в Dynamics. Им нужна соответствующие права в таблицах расположения документов и правильные права доступа SharePoint в отношении используемых ими мест.
- Ни один из этих параметров не связывает доступ к записи Dynamics 365 с доступом к её документам. Если документ должен быть столь же конфиденциальным, как и запись о нём, вам необходимо обрабатывать это отдельно.
Интеграция Dynamics 365–SharePoint обеспечивает связь между системами управления документами, однако она не обеспечивает автоматическую синхронизацию прав доступа к записям в Dynamics 365 с правами доступа к файлам или папкам в SharePoint.
Ознакомьтесь с инструментом для синхронизации прав доступа в Dynamics 365 и SharePoint
Три уровня разрешений
Когда люди спрашивают о "правах на интеграцию Dynamics 365 и SharePoint", они обычно имеют в виду одно из двух:
- Какие разрешения необходимы для настройки и использования интеграции?
- Что определяет, кто может открыть документ после его загрузки в систему SharePoint?
На первый вопрос есть четкий ответ в документации Microsoft. На второй — нет, поскольку это зависит от совместной работы трех уровней, а интеграция не обеспечивает их связь.
| Слой | Элементы управления | Типичные инструменты |
|---|---|---|
| Microsoft 365 / Power Platform |
Кто может настроить интеграцию, границы участка арендатора |
Административные центры, Entra ID |
| Dynamics 365 / Dataverse |
Кто может настраивать документ управление и просмотр записей |
Роли безопасности, бизнес подразделения, команды |
| SharePoint | Кто может открывать сайты, библиотеки и папки и файлы |
Группы сайтов, папка разрешения |
Какие права доступа необходимы обычным пользователям?
Выполнение повседневных задач требует гораздо меньше ресурсов, чем их настройка. В приведенной ниже таблице компании Microsoft указаны минимальные требования для каждой задачи:
| Задача | Dynamics 365 роль безопасности |
Сайт SharePoint разрешения |
Документ Расположение разрешения |
|---|---|---|---|
| Включить или отключить документ управление |
Системный администратор или «Система» Настройщик |
Создавать, Читать, Запись, добавление, Добавить к |
н/д |
| Сделайте сайт по умолчанию / проверка сайты |
Системный администратор или «Система» Настройщик |
Чтение, запись | н/д |
| Создать или отредактировать местонахождение документа записи |
Продавец (или (Обычный пользователь) |
Чтение, добавление данных | Создавать, Читать, Запись, добавление, Добавить к |
| Добавить или отредактировать местоположение из а запись |
Любой | Чтение, добавление данных | Создавать, Читать, Запись, добавление, Добавить к |
| Исправить неверное местоположение | Любой | н/д | Чтение, запись |
| Управление документами | Любой | н/д | Чтение, запись |
Источник: Microsoft Learn: права доступа, необходимые для выполнения задач по управлению документами.
Столбец "Права доступа к расположению документов" отражает права доступа к таблице «Расположение документов» (SharePoint) в рамках роли безопасности пользователя в Dynamics.
Для управления документами роль может быть "Любая". Главное, чтобы она включала необходимые права доступа к таблицам хранения документов и чтобы роль SharePoint предоставляла пользователю доступ к месту хранения файлов. Это наиболее частая причина, по которой документы доступны только администратору, создавшему приложение, но недоступны для всех остальных.
Как работает тождество интеграции?
Идентификатор интеграции позволяет Dynamics 365 взаимодействовать с SharePoint от имени пользователей.
В конфигурации «Dynamics 365 Online» с «SharePoint Online» серверная интеграция использует аутентификацию «сервер-сервер» между вашей средой и SharePoint. Пользователям не нужно одновременно входить в обе системы. Пользователям по-прежнему требуются соответствующие разрешения в коллекции сайтов SharePoint, где установлены компоненты управления документами.
При локальном развертывании вопросам идентификации следует уделять больше внимания. Согласно документации Microsoft, для запуска мастера требуется роль системного администратора, а при использовании самоподписанного сертификата для тестирования — права локального администратора. Кроме того, идентичность CRMAppPool должна иметь права на чтение сертификата, используемого для аутентификации на сервере. Ферма SharePoint требует соответствующей настройки доверия, включая идентификатор области (realm ID).
Когда здесь возникает сбой, симптомами являются ошибки подключения, а не сообщение "Доступ запрещен" для отдельного пользователя. Это важное различие при устранении неполадок.
Применяются ли права доступа Dynamics 365 автоматически к документам SharePoint?
Модели № Dynamics 365 и SharePoint оценивают доступ независимо друг от друга.
Dynamics 365 может определять доступ к записям с помощью:
- Роли безопасности и уровень привилегий
- Бизнес-подразделения
- Регистрация права собственности
- Команды владельцев и команды доступа
- Прямой обмен записями
- Группы и команды Microsoft Entra ID
- Иерархия безопасности
SharePoint проверяет доступ с помощью:
- Права доступа к сайту и библиотеке
- SharePoint и группы Microsoft 365
- Права доступа к папкам и файлам
- Наследуемые или уникальные права доступа
- Обмен ссылками и прямые гранты
При встроенной интеграции запись Dynamics 365 сопоставляется с расположением документа SharePoint. При этом фактический доступ к записи Dynamics 365 не преобразуется в соответствующие права доступа SharePoint.
Это приводит к появлению ряда типичных уязвимостей в системе безопасности:
- После переназначения менеджер по продажам теряет доступ к учетной записи, но по-прежнему может открывать документы этой учетной записи непосредственно в SharePoint.
- Руководитель делится возможностью с коллегой, но у коллеги на вкладке “Документы” появляется сообщение «Доступ запрещен».
- Пользователь заблокирован или удален из Dynamics 365, но сохраняет доступ к SharePoint через группу или прямое разрешение.
- Изменения в составе команды в поле Dynamics 365 без соответствующего обновления разрешений в поле SharePoint.
- Доступ пользователя по типу Dynamics 365 был отозван, однако ранее предоставленный доступ по типу SharePoint по-прежнему действует.
Эти сценарии не обязательно означают, что интеграция работает некорректно. Они означают, что две отдельные системы авторизации работают в соответствии со своими собственными настройками.
Устранение неисправностей: признаки, причины, способы устранения
| Симптом | Вероятная причина | Что нужно проверить |
|---|---|---|
| Документы предназначены для администратор, а не для другие пользователи |
У роли пользователя отсутствуют права доступа к SharePoint Таблица расположения документов (а иногда и сайт SharePoint таблица) |
Ознакомьтесь с описанием должности права доступа к обеим таблицам |
| Проверка с помощью мастера не удаётся |
Неверный URL, сайт отсутствует, другой арендатор или администратор, не имеющий доступа к сайт |
Проверьте URL-адрес, арендатора и администратора Доступ SharePoint |
| "Доступ запрещен" после того, как запись переданные или переназначенные |
Изменился доступ к Dynamics, Права доступа к папке SharePoint не были |
Сравните данные пользователя фактический доступ в обоих системы |
| Потерянная запись пользователя доступ, но всё же открывает файлы |
Права доступа SharePoint остались без изменений | Прямой аудит SharePoint доступ к этой папке |
| Ошибки, несмотря на по-видимому, верно разрешения |
Причины, связанные со стороной SharePoint, такие как, например, несоответствие идентификатора пользователя сайта или ограничение— перейти в режим блокировки доступа |
Запустите проверку Microsoft Диагностика доступа пользователей и ознакомьтесь с ними настройки |
Как обеспечить согласованность прав доступа для Dynamics 365 и SharePoint?
Существует три основных подхода.
1. Управление правами доступа SharePoint вручную
Ручное администрирование может оказаться достаточным для небольшой, стабильной среды с простыми правилами доступа и редкими изменениями.
Его основным недостатком является «дрейф» прав доступа. Каждое переназначение, действие по предоставлению доступа, изменение состава команды или уход пользователя из компании может потребовать отдельного обновления SharePoint. Особенно легко упустить из виду отзыв доступа.
2. Автоматизация получения разрешений с помощью Power Automate
Power Automate может поддерживать чёткие и намеренно ограниченные правила, такие как предоставление доступа владельцу «Возможности» и определённой группе продаж.
Задача значительно усложняется, когда система автоматизации должна обеспечить полноценный доступ по протоколу Dynamics 365 в следующих сетях:
- Смена собственника
- Подписка и отписка
- Команды владельцев и доступа
- Изменения в составе команды
- Изменения в ролях безопасности или бизнес-подразделениях
- Глубина привилегий
- Иерархия безопасности
- Отзыв доступа
- Неудачные прогоны и сверка
Производственная реализация должна обеспечивать как предоставление, так и отзыв доступа. Кроме того, она должна включать механизмы мониторинга, алгоритмы повторных попыток, обработку исключений и процедуру согласования пропущенных изменений.
3. Используйте специализированный инструмент для репликации прав доступа.
Специализированный инструмент целесообразно использовать в тех случаях, когда доступ к документам SharePoint должен постоянно обеспечивать соблюдение требований безопасности Dynamics 365 в отношении большого числа пользователей, записей и различных сценариев изменения прав доступа.
| Подход | Наилучшим образом подходит для | Основное преимущество | Основное ограничение |
|---|---|---|---|
| Ручное управление | Небольшие, стабильные среды | Легко начать | Значительные административные затраты и отклонение от разрешений |
| Power Automate | Ограниченные, явно определенные правила доступа | Гибкая автоматизация экосистемы Microsoft | Сложность надежного обеспечения эффективной безопасности |
| Специализированное программное обеспечение для репликации | Динамический доступ или доступ корпоративного уровня | Специализированная синхронизация разрешений | Требуется дополнительное программное обеспечение и настройка |
Как работает CB Dynamics 365 to SharePoint Permissions Replicator
CB Dynamics 365 to SharePoint Permissions Replicator непрерывно отслеживает изменения в Dynamics 365, влияющие на доступ, и применяет соответствующие разрешения к SharePoint.
Это решение представляет собой специализированную альтернативу ручному обновлению прав доступа к SharePoint или разработке и сопровождению пользовательских средств автоматизации управления правами доступа.
Он поддерживает:
- пользователи, команды, группы доступа и шаблоны групп доступа
- Команды групп безопасности Entra ID (Azure AD) и команды групп Microsoft 365
- роли безопасности и бизнес-подразделения
- обмен записями, уровень привилегий и иерархическая система безопасности
Он автоматически сопоставляет пользователей Dynamics с пользователями SharePoint, при этом вы можете корректировать или настраивать это сопоставление, в том числе задавать собственные уровни прав доступа. Кроме того, он регистрирует каждое внесенное им изменение прав доступа в SharePoint, благодаря чему у отделов по обеспечению соответствия требованиям имеется контрольный журнал. Он поддерживает Dynamics 365 Customer Engagement (продажи, обслуживание клиентов, выездное обслуживание), пользовательские решения Dataverse, старые версии Dynamics CRM, SharePoint Online и SharePoint с 2013 по 2019 год. Вы можете развернуть его в собственном хостинге, на Azure или в качестве SaaS в ЕС или США. Он также предоставляет доступ внешним пользователям — клиентам, поставщикам и партнерам, которым нужны документы, но у которых нет учетной записи Dynamics 365.
Если вам также нужна более удобная иерархия папок, SharePoint Structure Creator работает параллельно с ним. Разработка папок и репликация прав доступа — это отдельные задачи, и ни одна из них не решает другую.
Кому это выгодно
- Администраторы Dynamics 365 и CRM уменьшить количество обращений с сообщением "Доступ запрещен" и избавиться от необходимости вручную обновлять папки после каждого переназначения.
- Руководители по ИТ-безопасности и обеспечению соответствия нормативным требованиям получить документы, соответствующие правилам доступа к CRM, а также журнал аудита для проверок в рамках GDPR, NIST или PCI DSS.
- ИТ-команды избегать создания и обслуживания систем автоматизации управления правами доступа.
- Партнеры Microsoft обеспечить надежный и воспроизводимый способ организации безопасного управления документами.
Контрольный список перед запуском
- Для включения интеграции требуется глобальный администратор; подтверждено требование о принадлежности к одному и тому же арендатору.
- Настройку должен выполнить пользователь, обладающий правами «Системный администратор» или «Настройщик системы», а также правами SharePoint, перечисленными выше.
- Роли тестировались с участием реальных пользователей, а не только администраторов.
- Был проверен как прямой доступ к SharePoint, так и доступ через Dynamics 365.
- Зафиксировано решение о том, должны ли документы сопровождаться информацией о доступе к ним.
- Если да, то проверяется как предоставление, так и отмена доступа.
- Кто-то отвечает за мониторинг после ввода системы в эксплуатацию.
Узнайте, как работает Replicator для прав доступа CB от Dynamics 365 до SharePoint
Часто задаваемые вопросы
Какие права доступа необходимы для включения интеграции SharePoint в Dynamics 365?
Почему администратор может просматривать документы, а остальные пользователи — нет?
Применяется ли защита Dynamics 365 автоматически к документам в SharePoint?
Можно ли использовать Power Automate для синхронизации прав доступа?
Есть ли бесплатная пробная версия?
Дальнейшее чтение:
Настройка интеграции SharePoint в Dynamics 365 →
Действительно ли ваши разрешения Dynamics 365 синхронизируются с SharePoint? →
Как синхронизировать права доступа SharePoint с Dynamics 365 в масштабах предприятия →
Заключение
Настройка интеграции Dynamics 365–SharePoint не представляет сложности, если четко определены необходимые права доступа. Более сложной задачей является понимание того, что не входит в сферу действия данной интеграции: безопасность записей в Dynamics 365 и безопасность документов в SharePoint остаются отдельными вопросами.
Для обеспечения надёжной конфигурации крайне важно правильно настроить права администратора, роли безопасности Dynamics 365, разрешения SharePoint и привилегии доступа к местоположению документов. Однако если в вашей компании предполагается, что документы SharePoint должны автоматически отражать изменения в правах доступа Dynamics 365 — такие как владение записями, членство в командах, общий доступ, бизнес-подразделения или иерархическая безопасность, — то одной только встроенной интеграции для обеспечения такой синхронизации недостаточно.
Если правила доступа простые и стабильные, можно использовать как ручное управление, так и Power Automate. Однако по мере того, как права доступа становятся всё более динамичными, обеспечение постоянного соответствия доступа требованиям Dynamics 365 и SharePoint становится всё сложнее с точки зрения разработки, мониторинга и обслуживания.
Именно в этом случае может помочь специальный подход к синхронизации прав доступа между системами Dynamics 365 и SharePoint. Система CB Dynamics 365 to SharePoint Permissions Replicator постоянно отслеживает соответствующие изменения в настройках безопасности системы Dynamics 365 и применяет соответствующие права доступа в системе SharePoint, включая изменения, касающиеся пользователей, команд, бизнес-подразделений, доступа к ресурсам, ролей и иерархической безопасности.
Главный вывод прост: интеграция Dynamics 365 с SharePoint обеспечивает связь между вашими системами, но не приводит к автоматической синхронизации их моделей безопасности. Если доступ к вашим документам должен последовательно соответствовать настройкам доступа в CRM, рассматривайте синхронизацию прав доступа как отдельное требование и заранее запланируйте её реализацию, прежде чем проблемы с доступом станут постоянной административной проблемой.
Подробнее об интеграции Dynamics и SharePoint
Dynamics 365 SharePoint: права доступа к интеграции — что нужно администраторам и пользователям
Как компания Stars Behavioral Health Group сократила расходы на хранение данных в формате Dynamics 365 за счет переноса вложений в формат SharePoint
ORBIS и Connecting Software устраняют скрытую уязвимость в правах доступа Microsoft Dynamics 365
