Roles y permisos de DQE One en Dynamics
El paquete DQE One para Dynamics 365 / Power Platform incluye tres roles de seguridad de Dataverse. Asígnelos según cómo interactúa cada usuario con DQE.
Tres roles, para tres tipos de usuarios
- DQE - User: acceso diario para los usuarios finales que usan la validación en tiempo real (dirección, email, teléfono, nombre, B2B) en los formularios Account, Contact y Lead.
- DQE - Data administrator: acceso de configuración a DataQ Settings y a la tabla de países, para la persona que configura y mantiene DQE One.
- DQE - Unify Application User: rol no interactivo para el usuario de aplicación utilizado por el servidor DQE Standalone (Unify) para leer, actualizar, compartir y fusionar registros de Account, Contact y Lead.
¿Qué rol necesito según el caso de uso?
| Quiero… | Lo que necesito |
|---|---|
| Instalar la solución gestionada DQE One | El rol de seguridad integrado de Dataverse System Administrator o System Customizer — no un rol de DQE. Ninguno de los tres roles de DQE incluye privilegios de importación de soluciones. |
| Usar la validación en tiempo real (dirección, email, teléfono, nombre, B2B) en los formularios Account, Contact o Lead | DQE - User |
| Configurar DataQ Settings (licencia, productos activados, URL de la API, URL de Standalone) | DQE - Data administrator |
| Gestionar la tabla de países | DQE - Data administrator |
| Crear o editar mapeos de campos | Consulte Limitación conocida más abajo — tal como está, ningún rol de DQE es suficiente por sí solo |
| Permitir que el usuario de aplicación de DQE Standalone (Unify) lea, actualice, comparta y fusione registros | DQE - Unify Application User, asignado al usuario de aplicación creado en el §1.3 de Package Setup |
Qué desbloquea cada rol
| Rol | Da acceso a… |
|---|---|
| DQE - User | Acceso de lectura a DataQ Settings, a la tabla de países y a los mapeos de campos. No otorga ningún acceso adicional a Account, Contact o Lead — la validación en tiempo real se ejecuta mediante Custom APIs de Dataverse que no requieren privilegios a nivel de registro, pero su propio modelo de seguridad de Dynamics debe seguir permitiendo que el usuario lea y edite esos registros para que los formularios funcionen. |
| DQE - Data administrator | Acceso completo (Create/Read/Write/Delete) a DataQ Settings y a la tabla de países, además de acceso de solo lectura a Account y Contact. Sin acceso a los mapeos de campos — consulte Limitación conocida más abajo. |
| DQE - Unify Application User | Read/Write/Append/AppendTo/Share/Merge en Account, Contact y Lead, además de acceso completo a la tabla de países. Excluye deliberadamente Create y Delete en Account, Contact y Lead — el usuario de aplicación puede actualizar y fusionar registros existentes, pero no puede crearlos ni eliminarlos. |
Limitación conocida: mapeos de campos
El artículo Package Setup indica DQE - Data administrator como el rol a usar para los mapeos de campos. En el paquete actual, este rol en realidad no otorga ningún privilegio sobre la entidad de mapeo de campos utilizada por la pantalla de mapeo, mientras que DQE - User solo tiene acceso de lectura a ella. En la práctica, un usuario que solo tenga los roles estándar de DQE no puede hoy crear, editar ni eliminar un mapeo de campos — guardarlo requiere un usuario con un acceso más amplio en Dataverse, como System Administrator o System Customizer. Si encuentra un error de permisos al guardar un mapeo de campos, esta es la causa; contacte a su gestor de proyecto de DQE si necesita que se resuelva.
Registro de aplicación en Azure AD: ¿se necesita "user_impersonation"?
La aplicación DQE Standalone (Unify) se conecta a su entorno de Dynamics a través de un usuario de aplicación de Azure AD (consulte Package Setup §1.2–§1.3). Algunas políticas de seguridad de organizaciones marcan el permiso delegado user_impersonation de la API de Dynamics CRM como demasiado amplio y se niegan a concederlo.
Este permiso no es necesario. El acceso a Dataverse del usuario de aplicación está regido íntegramente por su rol de seguridad asignado — DQE - Unify Application User — y no por permisos de API de Azure AD. Un registro de aplicación sin ningún permiso de API de Dynamics CRM, solo con el permiso predeterminado User.Read de Microsoft Graph que Azure asigna automáticamente, funciona correctamente: el usuario de aplicación puede ejecutar los procesos de DQE sin ningún error de permisos, siempre que tenga el rol DQE - Unify Application User en el entorno de destino.
Si la política de seguridad de su organización bloquea user_impersonation, puede omitirlo por completo al registrar la aplicación de Azure AD en el §1.2 de Package Setup y basarse únicamente en el rol de seguridad de Dataverse.
Artículos relacionados
Relacionada con