Как синхронизировать права доступа SharePoint с Dynamics 365 в масштабах предприятия

Системы Dynamics 365 и SharePoint не используют общую модель безопасности. При их интеграции для хранения документов записи привязываются к папкам, однако роли безопасности системы Dynamics 365 не привязываются к правам доступа системы SharePoint.  

Результат: пользователь, доступ которого в Dynamics 365 ограничен собственными счетами, может напрямую открыть SharePoint и просматривать документы по всем счетам в организации. 

Для команды из пяти человек это просто неудобство. А для предприятия с тысячами пользователей, несколькими бизнес-подразделениями и обязательствами по соблюдению требований GDPR, NIST, HIPAA или PCI DSS — это неуправляемый риск несоответствия нормативным требованиям, который прямо сейчас таится в вашем хранилище документов. 

Данное руководство предназначено для второй группы. В нем рассказывается о том, что на самом деле позволяет устранить эту проблему в широком масштабе, а также о том, почему архитектура развертывания выбранного вами инструмента определяет, сможет ли это решение выдержать нагрузку после того, как число пользователей превысит первую сотню.

В масштабах предприятия для синхронизации прав доступа между SharePoint и Dynamics 365 требуется специализированное решение для репликации, которое непрерывно считывает модель безопасности, роли, иерархию бизнес-подразделений, пользователей и команды из Dynamics 365 и в режиме реального времени обеспечивает применение эквивалентных прав доступа в SharePoint. Ручные исправления и потоки Power Automate не работают при наличии более одного объекта. 

Решающим фактором является модель развертывания, а не количество бизнес-подразделений, данные о которых любое решение извлекает напрямую из одного экземпляра. Настоящим ограничением являются несколько сайтов SharePoint и многоарендаторские среды: встроенный коннектор Dynamics 365 поддерживает только один сайт по умолчанию, а SharePoint должен использовать одного арендатора совместно с Dynamics 365, поэтому решение, ограниченное одним экземпляром CRM, не может охватить ни тот, ни другой вариант без отдельного развертывания для каждого из них. 

Небольшие организации иногда могут обойтись ручным исправлением ошибок или использованием потока Power Automate, поскольку количество переменных ограничено: одна сущность, одно подразделение, несколько десятков пользователей. У крупных предприятий такой роскоши нет. Вам приходится управлять: 

• Несколько бизнес-подразделений и иерархии «родитель-дочернее предприятие», где доступ зависит от организационной структуры, а не только от индивидуальных ролей 

• Безопасность на основе иерархии менеджеров и должностей, что большинство методов «облегченной» синхронизации не способны точно воспроизвести 

• Тысячи пользователей и документов, что выходит за пределы собственной области действия разрешений SharePoint, если структуры разрешений не построены таким образом, чтобы управлять ими 

• Многопользовательские или мультирегиональные среды, где единый инструмент, интегрированный в CRM, должен работать в рамках собственных ограничений по ресурсам Dataverse для каждого арендатора, с которым он взаимодействует 

• Требования к соблюдению нормативных требований, подлежащие аудиту, при этом фраза "мы считаем, что разрешения соответствуют требованиям" не является приемлемым ответом при аудите на соответствие GDPR или стандартам NIST 

• Необходимость непрерывно управлять всем этим в режиме реального времени, а не с помощью пакетной обработки или запланированной синхронизации, при которых возникает задержка между моментом изменения прав доступа и моментом их фактического применения 

Для решения этой проблемы обычно предлагаются два подхода, и ни один из них не предназначен для вышеуказанного 

Ручное управление разрешениями не обеспечивает масштабируемость. Каждое изменение должности, перевод в другую команду или прием на работу нового сотрудника требует соответствующего ручного обновления записи в таблице SharePoint. Как только за внесение этих обновлений отвечает более чем несколько человек, этот механизм перестает выполнять функцию реального средства контроля за соблюдением нормативных требований. Отсутствует контрольный след, связывающий изменение в CRM с обновлением таблицы SharePoint, которое оно должно было инициировать, поэтому никто не может доказать, что доступ действительно когда-либо был приведён в соответствие. 

Пользовательские потоки Power Automate они работают для отдельного объекта с простой структурой, но не справляются с задачами на уровне всего предприятия: процессы выполняются асинхронно, поэтому одновременные изменения прав доступа для больших групп пользователей могут привести к разрыву синхронизации; отсутствует встроенный триггер для изменений в составе команд; а каждый дополнительный объект или бизнес-подразделение умножает объем пользовательской логики, которую вашей команде приходится разрабатывать, тестировать и поддерживать на постоянной основе. Это превращается во внутренний программный проект, на который вы не заложили средства в бюджете. 

Другие решения, представленные на рынке, устанавливаются и работают непосредственно внутри Dynamics 365 в качестве управляемого CRM-решения, при этом альтернативных способов развертывания не предусмотрено. Это подходящий вариант, если в вашей организации используется единая и простая среда Dataverse. Именно в этом и заключается пробел CB Dynamics 365 to SharePoint Permissions Replicator был построен слишком близко.