Rollen und Berechtigungen von DQE One in Dynamics
Das DQE One-Paket für Dynamics 365 / Power Platform wird mit drei Dataverse-Sicherheitsrollen ausgeliefert. Weisen Sie diese je nach Art der Interaktion des Benutzers mit DQE zu.
Drei Rollen für drei Benutzertypen
- DQE - User: alltäglicher Zugriff für Endbenutzer, die die Echtzeitvalidierung (Adresse, E-Mail, Telefon, Name, B2B) auf Account-, Contact- und Lead-Formularen nutzen.
- DQE - Data administrator: Konfigurationszugriff auf DataQ Settings und die Ländertabelle, für die Person, die DQE One einrichtet und pflegt.
- DQE - Unify Application User: nicht-interaktive Rolle für den Anwendungsbenutzer, den der DQE-Standalone(Unify)-Server zum Lesen, Aktualisieren, Freigeben und Zusammenführen von Account-, Contact- und Lead-Datensätzen verwendet.
Welche Rolle für welchen Anwendungsfall?
| Ich möchte… | Was ich benötige |
|---|---|
| Die verwaltete DQE One-Lösung installieren | Die integrierte Dataverse-Sicherheitsrolle System Administrator oder System Customizer — keine DQE-Rolle. Keine der drei DQE-Rollen enthält Privilegien zum Import von Lösungen. |
| Die Echtzeitvalidierung (Adresse, E-Mail, Telefon, Name, B2B) auf Account-, Contact- oder Lead-Formularen nutzen | DQE - User |
| DataQ Settings konfigurieren (Lizenz, aktivierte Produkte, API-URL, Standalone-URL) | DQE - Data administrator |
| Die Ländertabelle verwalten | DQE - Data administrator |
| Feldzuordnungen erstellen oder bearbeiten | Siehe Bekannte Einschränkung unten — im aktuellen Auslieferungszustand reicht keine der beiden DQE-Rollen allein aus |
| Dem DQE-Standalone(Unify)-Anwendungsbenutzer erlauben, Datensätze zu lesen, zu aktualisieren, freizugeben und zusammenzuführen | DQE - Unify Application User, zugewiesen an den in Package Setup §1.3 erstellten Anwendungsbenutzer |
Was jede Rolle freischaltet
| Rolle | Gewährt Zugriff auf… |
|---|---|
| DQE - User | Lesezugriff auf DataQ Settings, die Ländertabelle und Feldzuordnungen. Sie gewährt keinen zusätzlichen Zugriff auf Account, Contact oder Lead — die Echtzeitvalidierung läuft über Dataverse-Custom-APIs, die keine Berechtigungen auf Datensatzebene erfordern; Ihr eigenes Dynamics-Sicherheitsmodell muss dem Benutzer dennoch erlauben, diese Datensätze zu lesen und zu bearbeiten, damit die Formulare funktionieren. |
| DQE - Data administrator | Vollzugriff (Create/Read/Write/Delete) auf DataQ Settings und die Ländertabelle sowie Lesezugriff auf Account und Contact. Kein Zugriff auf Feldzuordnungen — siehe Bekannte Einschränkung unten. |
| DQE - Unify Application User | Read/Write/Append/AppendTo/Share/Merge auf Account, Contact und Lead sowie Vollzugriff auf die Ländertabelle. Schließt bewusst Create und Delete auf Account, Contact und Lead aus — der Anwendungsbenutzer kann bestehende Datensätze aktualisieren und zusammenführen, aber keine erstellen oder löschen. |
Bekannte Einschränkung: Feldzuordnungen
Der Artikel Package Setup nennt DQE - Data administrator als die für Feldzuordnungen zu verwendende Rolle. Im aktuellen Paket gewährt diese Rolle tatsächlich keinerlei Privileg auf die vom Zuordnungsbildschirm verwendete Feldzuordnungs-Entität, während DQE - User dafür nur Lesezugriff hat. In der Praxis kann ein Benutzer, der nur die Standard-DQE-Rollen besitzt, heute keine Feldzuordnung erstellen, bearbeiten oder löschen — das Speichern erfordert einen Benutzer mit umfassenderem Dataverse-Zugriff, etwa System Administrator oder System Customizer. Falls beim Speichern einer Feldzuordnung ein Berechtigungsfehler auftritt, liegt das daran; wenden Sie sich an Ihren DQE-Projektmanager, wenn dies behoben werden soll.
Azure-AD-App-Registrierung: wird „user_impersonation“ benötigt?
Die DQE-Standalone(Unify)-Anwendung verbindet sich über einen Azure-AD-Anwendungsbenutzer mit Ihrer Dynamics-Umgebung (siehe Package Setup §1.2–§1.3). Manche Sicherheitsrichtlinien von Organisationen stufen die delegierte Berechtigung user_impersonation der Dynamics-CRM-API als zu weitreichend ein und verweigern deren Vergabe.
Diese Berechtigung ist nicht erforderlich. Der Dataverse-Zugriff des Anwendungsbenutzers wird ausschließlich über seine zugewiesene Sicherheitsrolle — DQE - Unify Application User — gesteuert, nicht über Azure-AD-API-Berechtigungen. Eine App-Registrierung ganz ohne Dynamics-CRM-API-Berechtigung, nur mit der von Azure automatisch zugewiesenen Standardberechtigung User.Read für Microsoft Graph, funktioniert einwandfrei: Der Anwendungsbenutzer kann DQE-Prozesse ohne jeglichen Berechtigungsfehler ausführen, sofern er in der Zielumgebung die Rolle DQE - Unify Application User besitzt.
Wenn die Sicherheitsrichtlinie Ihrer Organisation user_impersonation blockiert, können Sie diese bei der Registrierung der Azure-AD-Anwendung in Package Setup §1.2 vollständig weglassen und sich ausschließlich auf die Dataverse-Sicherheitsrolle verlassen.
Verwandte Artikel
Verknüpfung mit