Dataverse-security role

Wat is een Dataverse-security role?

Een Dataverse-security role is een verzameling privileges die bepaalt welke apps, tabellen en platformfuncties een gebruiker of team in één Dataverse-omgeving mag gebruiken.

Voor tabellen combineert een role een bewerking, zoals Read, Create, Write, Delete, Append, Append To, Assign of Share, met een toegangsniveau. Daardoor kan dezelfde bewerking alleen voor eigen records of voor een bredere organisatie gelden.

Een gebruiker heeft ten minste één passende security role nodig om Dataverse-data te benaderen. Een Power Platform-tenantbeheerrol geeft niet automatisch toegang tot gegevens in iedere Dataverse-omgeving.

Privileges en access levels

Een privilege beschrijft de toegestane handeling. Read laat records lezen; Write wijzigen; Append en Append To regelen het koppelen van records.

Access levels bepalen de reikwijdte. Afhankelijk van het beveiligingsmodel zijn dat onder meer eigen records, business unit, parent-child business units en organisatie.

Niet ieder privilege gebruikt dezelfde dieptes. Organization-owned tables hebben geen individuele recordowner en worden doorgaans op organisatieniveau beveiligd.

Cumulatieve rollen

Een gebruiker kan meerdere security roles hebben. De rechten worden opgeteld; een beperkende rol trekt een ruimer privilege uit een andere rol niet af.

Dit maakt samengestelde functies mogelijk, bijvoorbeeld een basisrol plus een tijdelijke goedkeurdersrol. Het betekent ook dat toegangsdiagnose alle directe en via teams verkregen rollen moet bekijken.

Er bestaat geen algemene deny-role waarmee een toegekend recht weer wordt ingetrokken. Verwijder of verklein de bron van het ruime privilege.

Business units, teams en ownership

Security roles zijn aan een business unit verbonden. User- en team-owned records hebben een eigenaar, en toegangsniveaus gebruiken die structuur om bereik te bepalen.

Owner teams kunnen records bezitten en roles krijgen. Access teams geven toegang tot specifieke records via templates zonder het record te bezitten.

Microsoft Entra-groepsteams kunnen groepslidmaatschap aan Dataverse-toegang koppelen. Controleer synchronisatie, groepsbeheer en de roles van het team.

Voorbeeld voor dossierbeheer

Dossierbehandelaars mogen dossiers van hun eigen team lezen en wijzigen. Een kwaliteitsrol mag dossiers organisatiebreed lezen maar niet verwijderen.

Een finance-team krijgt toegang tot betaalgegevens via een aanvullende role en waar nodig column security. De app toont alleen relevante pagina's, maar serverrechten blijven de werkelijke grens.

Een externe auditor krijgt een tijdelijke read-only role in een afgeschermde omgeving of business unit. De einddatum en eigenaar van die toegang worden geregistreerd.

Role versus app delen

Een model-driven app kan aan geselecteerde security roles beschikbaar worden gesteld. Dat geeft toegang tot de appnavigatie, maar de onderliggende tabelprivileges blijven nodig.

Omgekeerd betekent tabeltoegang niet dat iedere app automatisch zichtbaar is. Controleer zowel app sharing als Dataverse-rechten.

Canvas apps hebben een ander deelmodel, maar Dataverse-operaties vanuit de app worden nog steeds door de rechten van de gebruiker begrensd.

Role versus adminrol

Microsoft Entra- en service-adminrollen beheren tenant- of omgevingsfuncties. Dataverse-security roles regelen data en functies binnen de database.

Een Power Platform Administrator moet in de betreffende omgeving een passende Dataverse-role krijgen om data te openen. Behandel System Administrator als een krachtig datarecht, niet als onschuldige supporttoegang.

Least privilege en beheer

Start met taakgerichte custom roles in plaats van brede kopieën van System Administrator. Geef alleen benodigde tabelbewerkingen en access levels.

Versiebeheer custom roles in solutions en test met accounts die alleen de bedoelde rollen hebben. Een test door een beheerder maskeert ontbrekende privileges.

Review periodiek directe toewijzingen, teamrollen en tijdelijke toegang. Registreer eigenaar en doel van iedere custom role, zodat verouderde rechten kunnen worden verwijderd.