Grupy zabezpieczeń i użytkownicy

Przypisywanie zestawów uprawnień każdemu użytkownikowi osobno jest czasochłonne i prowadzi do błędów, gdy ktoś zmienia rolę lub odchodzi. Grupy zabezpieczeń rozwiązują to, zbierając użytkowników w grupy, które dostają uprawnienia. W Business Central online łączy się je z grupami Microsoft Entra. Artykuł wyjaśnia, jak to działa i co sam musisz sprawdzić w swoim tenancie. Na końcu jest krótka lista kontrolna.

Grupy w Entra, uprawnienia w Business Central

Tworzysz grupę w Microsoft Entra, na przykład w centrum administracyjnym Microsoft 365. W Business Central otwierasz stronę Security Groups, tworzysz nową i wybierasz grupę Entra w polu Microsoft Entra Security Group.

Następnie przypisujesz zestawy uprawnień do grupy. Wszyscy członkowie je dostają. Microsoft Learn pisze, że ten sposób zarządzania uprawnieniami jest też wielokrotnego użytku w aplikacjach Dynamics 365.

Użytkownicy i grupy według ról

To ważne zastrzeżenie. Członkowie są widoczni w grupie tylko wtedy, gdy są też utworzeni jako użytkownicy w Business Central. Grupa Entra sama w sobie nie daje więc dostępu bez użytkownika i licencji.

Licencje przypisuje się w centrum administracyjnym Microsoft 365. Sprawdź w Microsoft Learn, jak tworzy się użytkowników według licencji i jak dostają swoje uprawnienia domyślne.

Praktyczny model to jedna grupa zabezpieczeń na funkcję zawodową i powiązanie z każdą jednego lub kilku zestawów uprawnień. Gdy współpracownik zmienia rolę, zmieniasz członkostwo w grupie w Entra zamiast poprawiać uprawnienia od zera.

Przy przypisywaniu możesz wskazać konkretną firmę, jeśli uprawnienia mają obowiązywać tylko tam. Jeśli pole zostanie puste, obowiązują we wszystkich firmach.

Dostęp do środowiska i kontrola

Grup zabezpieczeń można też użyć do sterowania tym, kto może logować się do konkretnego środowiska. To inna funkcja niż zestawy uprawnień i opisana jest na osobnej stronie Microsoft Learn o dostępie do środowisk. Sprawdź ją, jeśli chcecie ograniczyć dostęp do na przykład sandboxa z kopią produkcji.

Użyj strony Security Groups, aby zobaczyć członków i przypisane zestawy uprawnień. Akcja Permission Sets by Security Group pokazuje więcej szczegółów. Na karcie użytkownika widać członkostwa w grupach zabezpieczeń i zestawy uprawnień pochodzące z grup. Strona Effective Permissions pokazuje, czy uprawnienie pochodzi z grupy.

Przeglądaj członkostwo w grupach przy każdym odejściu lub zmianie roli.
Zostaw SUPER tylko bardzo nielicznym osobom.
Przetestuj każdą grupę z użytkownikiem próbnym.
Zapisz, kto jest właścicielem każdej grupy.

Przykład modelu

To jest przykład, a nie zalecenie: utwórz w Entra grupy BC-Sprzedaz, BC-Zakupy, BC-Magazyn, BC-Ksiegowosc i BC-Admin. Powiąż każdą z jednym lub kilkoma zestawami uprawnień zdefiniowanymi przez użytkownika w Business Central. Przypisuj pracowników do grup w Entra i pozwól, aby Business Central odczytywał członkostwo.

Niech w BC-Admin będą tylko dwie lub trzy osoby i nie nadawaj im SUPER, jeśli rola tego nie wymaga.

Odejście pracownika i administratorzy delegowani

Usuń pracownika z grup, zablokuj lub usuń użytkownika w Business Central i usuń licencję w centrum administracyjnym Microsoft 365. Sprawdź, czy nie jest właścicielem wpisów kolejki zadań ani zaplanowanych raportów, które przestaną działać.

Użytkownicy partnera mogą występować jako administratorzy delegowani. Są tworzeni automatycznie w Business Central, gdy się logują, a ich działania można śledzić w dzienniku zmian. Jeśli partner używa uprawnień granularnych, są widoczni pod pseudonimem, a nie imieniem i nazwiskiem.

Ustal z partnerem, jakie uprawnienia mają mieć, i regularnie przeglądaj listę użytkowników.

Dostęp zewnętrzny

Partnerzy mogą logować się jako administratorzy delegowani. Widać ich na liście użytkowników pod pseudonimem, a ich działania są rejestrowane. Sprawdź swoją umowę o tym, co wolno partnerowi, i regularnie przeglądaj listę.

Addverk to nowa firma zajmująca się Business Central. Jeśli chcesz pomocy w porządkowaniu użytkowników i uprawnień, napisz do nas.