Fjernsupport: hvordan får en konsulent trygg tilgang?

Del aldri passord

Be aldri en konsulent bruke en kollegas pålogging, og del aldri en brukers passord. Dels bryter det sikkerhetsreglene deres, dels kan dere ikke etterpå se hvem som gjorde hva.

Det samme gjelder delte kontoer. En felles bruker som flere konsulenter logger inn med, gjør det umulig å følge hvem som har gjort hva. Bruk personlige tilganger.

Delegert administrasjon

Ifølge Microsoft Learn får en partner tilgang til miljøene deres gjennom et GDAP-forhold som en global administrator hos dere godtar. Anbefalt minimumsrolle for Business Central er Dynamics 365 Business Central Administrator. Det krever ingen separat Business Central-lisens for konsulenten.

Konsulenten opprettes automatisk som bruker i miljøet første gang vedkommende logger inn, med et pseudonym og firmaets navn. Handlingene kan ses i endringsloggen (Change Log). Microsoft nevner at dere kan godta korte forhold som ikke forlenges automatisk, hvis behovet er midlertidig.

Spør partneren hvilke av medarbeiderne deres som har tilgang til tenanten deres, og hvordan de melder av folk som forlater virksomheten. Microsoft anbefaler at partneren selv holder oversikt over hvilke pseudonymer folkene deres har hos hver kunde.

Begrens tilgangen

Sjekk innstillingen Partner Access. Microsoft Learn skriver at nye partnere som standard får tilgang til miljøer hvis alle partnere er tillatt. Vil dere unngå det, må dere velge utvalgte partnere. Når en GDAP-relasjon utløper, beholdes innstillingen, slik at tilgangen kan komme tilbake hvis relasjonen gjenopprettes.

Business Central lar dere styre tilgangen i administrasjonssenteret. Microsoft Learn nevner disse mulighetene:

• Slå av partnertilgang på et miljø, eller tillat bare utvalgte partnere
• Deaktiver en bestemt delegert bruker i miljøet
• Fjern eller endre rettighetene i lisenskonfigurasjonene for delegerte administratorer
• Bruk betinget tilgang i Microsoft Entra, for eksempel krav om flerfaktorgodkjenning
• Godta kortvarige GDAP-forhold i stedet for permanente

Gjestebrukere, logg og kontroll

Hvis en ekstern person skal arbeide med data som bruker, for eksempel en revisor, kan dere opprette vedkommende som gjest i Microsoft Entra og gi en passende lisens. Microsoft skriver at en ekstern revisor må ha lisensen External Accountant, og at delegerte administratorer ikke kan levere regnskapstjenester.

Gi bare tillatelsene personen trenger, og fjern dem når oppgaven er slutt.

Både interne og eksterne administratorer kan se delegerte brukere i brukerlisten og følge endringene deres i endringsloggen, hvis den er slått på for de aktuelle feltene. Sjekk derfor oppsettet av endringsloggen før dere gir tilgang.

Be partneren dokumentere hvem som har tilgang, og når det sist ble gjennomgått.

Sjekk at endringsloggen faktisk er satt opp til å følge feltene dere vil kunne se endringer i. Den følger ikke alt som standard, og dere kan ikke i ettertid se det som ikke ble logget.

Sjekkliste

Gå gjennom listen hvert halvår og etter hvert partnerbytte. Avtal med partneren hvem som kontakter hvem hvis det oppstår mistanke om feil bruk.

• Er tilgangen gitt via delegert administrasjon og ikke delt pålogging
• Er rollen den minste nødvendige
• Er MFA slått på
• Er tidsrammen avtalt
• Finnes det en databehandleravtale
• Blir tilgangen fjernet etter oppgaven

Spørsmål til oss

Har dere spørsmål om tilgang og fjernsupport, kan dere skrive til oss.