Rôles et permissions DQE One dans Dynamics
Le package DQE One pour Dynamics 365 / Power Platform est livré avec trois rôles de sécurité Dataverse. Attribuez-les selon la façon dont chaque utilisateur interagit avec DQE.
Trois rôles, pour trois types d'utilisateurs
- DQE - User : accès du quotidien pour les utilisateurs finaux qui utilisent la validation en temps réel (adresse, email, téléphone, nom, B2B) sur les formulaires Account, Contact et Lead.
- DQE - Data administrator : accès de configuration à DataQ Settings et à la table des pays, pour la personne qui met en place et maintient DQE One.
- DQE - Unify Application User : rôle non interactif pour l'utilisateur applicatif utilisé par le serveur DQE Standalone (Unify) afin de lire, mettre à jour, partager et fusionner les enregistrements Account, Contact et Lead.
Quel rôle pour quel usage ?
| Je veux… | Ce dont j'ai besoin |
|---|---|
| Installer la solution managée DQE One | Le rôle de sécurité intégré de Dataverse System Administrator ou System Customizer — pas un rôle DQE. Aucun des trois rôles DQE n'inclut de privilège d'import de solution. |
| Utiliser la validation en temps réel (adresse, email, téléphone, nom, B2B) sur les formulaires Account, Contact ou Lead | DQE - User |
| Configurer DataQ Settings (licence, produits activés, URL de l'API, URL Standalone) | DQE - Data administrator |
| Gérer la table des pays | DQE - Data administrator |
| Créer ou modifier des mappings de champs | Voir Limitation connue ci-dessous — en l'état, aucun des deux rôles DQE n'est suffisant seul |
| Permettre à l'utilisateur applicatif DQE Standalone (Unify) de lire, mettre à jour, partager et fusionner les enregistrements | DQE - Unify Application User, attribué à l'utilisateur applicatif créé au §1.3 de Package Setup |
Ce que débloque chaque rôle
| Rôle | Donne accès à… |
|---|---|
| DQE - User | Accès en lecture à DataQ Settings, à la table des pays et aux mappings de champs. Il n'ajoute aucun accès supplémentaire à Account, Contact ou Lead — la validation en temps réel passe par des Custom APIs Dataverse qui ne nécessitent pas de privilège au niveau des enregistrements, mais votre propre modèle de sécurité Dynamics doit tout de même autoriser l'utilisateur à lire et modifier ces enregistrements pour que les formulaires fonctionnent. |
| DQE - Data administrator | Accès complet (Create/Read/Write/Delete) à DataQ Settings et à la table des pays, plus un accès en lecture seule à Account et Contact. Aucun accès aux mappings de champs — voir Limitation connue ci-dessous. |
| DQE - Unify Application User | Read/Write/Append/AppendTo/Share/Merge sur Account, Contact et Lead, plus un accès complet à la table des pays. Exclut volontairement Create et Delete sur Account, Contact et Lead — l'utilisateur applicatif peut mettre à jour et fusionner des enregistrements existants mais ne peut pas en créer ni en supprimer. |
Limitation connue : mappings de champs
L'article Package Setup indique DQE - Data administrator comme rôle à utiliser pour les mappings de champs. Dans le package actuel, ce rôle n'accorde en réalité aucun privilège sur l'entité de mapping de champs utilisée par l'écran de mapping, tandis que DQE - User n'a qu'un accès en lecture à celle-ci. En pratique, un utilisateur disposant uniquement des rôles DQE standards ne peut aujourd'hui ni créer, ni modifier, ni supprimer un mapping de champs — l'enregistrer nécessite un utilisateur avec un accès Dataverse plus large, tel que System Administrator ou System Customizer. Si vous rencontrez une erreur de permissions en enregistrant un mapping de champs, c'est la cause ; contactez votre chef de projet DQE si vous souhaitez que ce soit traité.
Inscription d'application Azure AD : faut-il « user_impersonation » ?
L'application DQE Standalone (Unify) se connecte à votre environnement Dynamics via un utilisateur applicatif Azure AD (voir Package Setup §1.2–§1.3). Certaines politiques de sécurité d'organisation signalent la permission déléguée user_impersonation sur l'API Dynamics CRM comme trop large et refusent de l'accorder.
Cette permission n'est pas nécessaire. L'accès à Dataverse pour l'utilisateur applicatif est entièrement régi par son rôle de sécurité attribué — DQE - Unify Application User — et non par des permissions d'API Azure AD. Une inscription d'application sans aucune permission d'API Dynamics CRM, avec uniquement la permission par défaut User.Read sur Microsoft Graph attribuée automatiquement par Azure, fonctionne correctement : l'utilisateur applicatif peut exécuter les traitements DQE sans aucune erreur de permissions, dès lors qu'il possède le rôle DQE - Unify Application User dans l'environnement cible.
Si la politique de sécurité de votre organisation bloque user_impersonation, vous pouvez l'ignorer entièrement lors de l'inscription de l'application Azure AD au §1.2 de Package Setup et vous appuyer uniquement sur le rôle de sécurité Dataverse.
Articles liés
Associé à