Bảo mật hệ thống cấp bậc để kiểm soát truy nhập

Mô hình bảo mật hệ thống cấp bậc là một phần mở rộng cho mô hình bảo mật hiện tại sử dụng đơn vị kinh doanh, vai trò bảo mật, chia sẻ, và nhóm. Nó có thể được sử dụng với tất cả các mô hình bảo mật hiện có khác. Bảo mật hệ thống phân cấp cung cấp quyền truy cập chi tiết hơn vào hồ sơ cho một tổ chức và giúp giảm chi phí bảo trì.

Ví dụ, trong các tình huống phức tạp, bạn có thể bắt đầu với việc tạo ra một số đơn vị kinh doanh và sau đó thêm an ninh hệ thống phân cấp. Bảo mật bổ sung này cung cấp quyền truy cập chi tiết hơn vào dữ liệu với chi phí bảo trì ít hơn nhiều mà một số lượng lớn các đơn vị kinh doanh có thể yêu cầu.

Mô hình bảo mật phân cấp quản lý và phân cấp vị trí

Hai mô hình bảo mật có thể được sử dụng cho hệ thống phân cấp, hệ thống phân cấp người quản lý và hệ thống phân cấp vị trí . Với hệ thống phân cấp người quản lý, người quản lý phải ở trong cùng đơn vị kinh doanh với báo cáo hoặc trong đơn vị kinh doanh mẹ của đơn vị kinh doanh trong báo cáo để có quyền truy cập vào dữ liệu của báo cáo. Hệ thống phân cấp vị trí cho phép truy cập dữ liệu qua đơn vị kinh doanh. Nếu bạn là một tổ chức tài chính, bạn có thể thích mô hình phân cấp người quản lý để ngăn người quản lý truy cập dữ liệu bên ngoài đơn vị kinh doanh của họ. Tuy nhiên, nếu bạn là thành viên của tổ chức dịch vụ khách hàng và muốn người quản lý truy cập các trường hợp dịch vụ được xử lý ở các đơn vị kinh doanh khác nhau thì hệ thống phân cấp vị trí có thể phù hợp hơn với bạn.

Lưu ý

Trong khi mô hình bảo mật hệ thống phân cấp cung cấp một mức độ nhất định của các truy cập vào dữ liệu, truy cập bổ sung có thể được thu được bằng cách sử dụng các hình thức khác của an ninh, chẳng hạn như vai trò bảo mật.

Hệ thống cấp bậc của trình quản lý

Mô hình bảo mật phân cấp người quản lý dựa trên chuỗi quản lý hoặc cấu trúc báo cáo trực tiếp, trong đó mối quan hệ giữa người quản lý và báo cáo được thiết lập bằng cách sử dụng trường Người quản lý trên bảng người dùng hệ thống. Với mô hình bảo mật này, người quản lý có thể truy cập dữ liệu mà báo cáo của họ có quyền truy cập. Họ có thể thực hiện công việc thay mặt cho cấp dưới trực tiếp của mình hoặc truy cập thông tin cần phê duyệt.

Lưu ý

Với mô hình bảo mật hệ thống phân cấp người quản lý, người quản lý có quyền truy cập vào các bản ghi thuộc sở hữu của người dùng hoặc nhóm mà người dùng là thành viên và các bản ghi được chia sẻ trực tiếp với người dùng hoặc nhóm mà người dùng là thành viên của. Khi một bản ghi được chia sẻ bởi người dùng bên ngoài chuỗi quản lý với người dùng báo cáo trực tiếp có quyền truy cập chỉ đọc, người quản lý báo cáo trực tiếp chỉ có quyền truy cập chỉ đọc vào bản ghi được chia sẻ.

Khi bạn bật tùy chọn Ghi lại quyền sở hữu giữa các đơn vị kinh doanh , người quản lý có thể có báo cáo trực tiếp từ các đơn vị kinh doanh khác nhau. Bạn có thể sử dụng thiết đặt cơ sở dữ liệu môi trường sau để loại bỏ hạn chế đơn vị kinh doanh.

ManagersMustBeInSameOrParentBusinessUnitAsReports

Mặc định = đúng

Bạn có thể đặt thành sai và đơn vị kinh doanh của người quản lý không cần phải giống với đơn vị kinh doanh của người báo cáo trực tiếp.

Ngoài mô hình bảo mật hệ thống cấp bậc của người quản lý, người quản lý phải có ít nhất đặc quyền Đọc ở cấp độ người dùng trên bảng để xem dữ liệu của báo cáo. Ví dụ: nếu người quản lý không có quyền truy cập Đọc vào bảng Trường hợp thì người quản lý không thể xem các trường hợp mà báo cáo của họ có quyền truy cập.

Đối với báo cáo không trực tiếp trong cùng chuỗi quản lý của người quản lý, người quản lý có quyền truy cập chỉ đọc vào dữ liệu của báo cáo không trực tiếp. Đối với báo cáo trực tiếp, người quản lý có quyền truy cập Đọc, Viết, Nối, Nối vào dữ liệu của báo cáo. Để minh họa mô hình bảo mật phân cấp người quản lý, chúng ta hãy xem sơ đồ sau. Tổng Giám đốc có thể đọc hoặc cập nhật dữ liệu VP bán hàng và dữ liệu VP dịch vụ. Tuy nhiên, Giám đốc điều hành chỉ có thể đọc dữ liệu của người quản lý bán hàng và dữ liệu của người quản lý dịch vụ cũng như dữ liệu bán hàng và hỗ trợ. Bạn có thể giới hạn hơn nữa lượng dữ liệu mà người quản lý có thể truy cập bằng độ sâu. Độ sâu được sử dụng để giới hạn số cấp độ sâu mà người quản lý có quyền truy cập chỉ đọc vào dữ liệu báo cáo của họ. Ví dụ: nếu độ sâu được đặt thành 2, CEO có thể xem dữ liệu của Phó Giám đốc Kinh doanh, Phó Giám đốc Dịch vụ cũng như người quản lý bán hàng và dịch vụ. Tuy nhiên, CEO không nhìn thấy dữ liệu bán hàng hoặc dữ liệu hỗ trợ.

Điều quan trọng cần lưu ý là nếu người báo cáo trực tiếp có quyền truy cập bảo mật vào bảng sâu hơn người quản lý của họ thì người quản lý đó có thể không xem được tất cả các bản ghi mà người báo cáo trực tiếp có quyền truy cập. Ví dụ sau minh họa điểm này.

• Một đơn vị kinh doanh có ba người dùng: Người dùng 1, Người dùng 2 và Người dùng 3.

• Người dùng 2 là một báo cáo trực tiếp của người sử dụng 1.

• Người dùng 1 và Người dùng 3 có quyền truy cập đọc ở cấp độ người dùng trên bảng Tài khoản. Cấp độ truy cập này cung cấp cho người dùng quyền truy cập hồ sơ của họ, hồ sơ được chia sẻ với người dùng, và các hồ sơ được chia sẻ với một nhóm người dùng là thành viên.

• Người dùng 2 có quyền truy cập đọc đơn vị kinh doanh trên bảng Tài khoản. Quyền truy cập này cho phép Người dùng 2 xem tất cả các tài khoản của đơn vị kinh doanh, bao gồm tất cả các tài khoản do Người dùng 1 và Người dùng 3 sở hữu.

• Người dùng 1, với tư cách là người quản lý trực tiếp của Người dùng 2, có quyền truy cập vào các tài khoản được sở hữu hoặc chia sẻ với Người dùng 2, bao gồm các tài khoản được chia sẻ hoặc sở hữu bởi các nhóm Người dùng 2 khác. Tuy nhiên, Người dùng 1 không có quyền truy cập vào tài khoản của Người dùng 3, mặc dù người báo cáo trực tiếp của họ có thể có quyền truy cập vào tài khoản Người dùng 3.

hệ thống cấp bậc vị trí

Hệ thống phân cấp vị trí không dựa trên cấu trúc báo cáo trực tiếp, như hệ thống phân cấp người quản lý. Người dùng không phải là một người quản lý thực tế của các người dùng khác để truy cập vào dữ liệu của người dùng. Với tư cách là quản trị viên, bạn xác định các vị trí công việc khác nhau trong tổ chức và sắp xếp chúng theo thứ bậc vị trí. Sau đó, bạn thêm người dùng vào bất kỳ vị trí cụ thể nào hoặc như chúng tôi cũng nói, gắn thẻ người dùng có vị trí cụ thể. Người dùng có thể được gắn thẻ chỉ với một vị trí trong một hệ thống phân cấp nhất định, Tuy nhiên, một vị trí có thể được sử dụng cho nhiều người dùng. Người dùng tại các vị trí cao hơn trong hệ thống có quyền truy cập vào dữ liệu của những người sử dụng tại các vị trí thấp hơn, trong đường dẫn tổ tiên trực tiếp. Vị trí cao hơn trực tiếp có quyền truy cập đọc, viết, phụ thêm, thêm vào vào dữ liệu vị trí trong đường dẫn tổ tiên trực tiếp. Các vị trí cao hơn không trực tiếp có quyền truy cập chỉ đọc vào dữ liệu của các vị trí thấp hơn trong đường dẫn tổ tiên trực tiếp.

Để minh họa khái niệm về con đường tổ tiên trực tiếp, chúng ta hãy xem sơ đồ sau. Vị trí người quản lý bán hàng có quyền truy cập vào dữ liệu bán hàng, tuy nhiên, vị trí này không có quyền truy cập vào dữ liệu hỗ trợ nằm trong đường dẫn gốc khác. Điều này cũng đúng với vị trí quản lý dịch vụ. Nó không có quyền truy cập vào dữ liệu bán hàng nằm trong đường dẫn bán hàng. Giống như trong hệ thống phân cấp người quản lý, bạn có thể giới hạn lượng dữ liệu mà các vị trí cao hơn có thể truy cập bằng chiều sâu. Độ sâu giới hạn mức độ sâu mà một vị trí cao hơn có quyền truy cập chỉ đọc vào dữ liệu của các vị trí thấp hơn trong đường dẫn tổ tiên trực tiếp. Ví dụ: nếu độ sâu được đặt thành 3, vị trí Giám đốc điều hành có thể xem dữ liệu từ các vị trí Phó Giám đốc Kinh doanh và Phó Giám đốc Dịch vụ đến các vị trí bán hàng và hỗ trợ.

Lưu ý

Với bảo mật phân cấp vị trí, người dùng ở vị trí cao hơn có quyền truy cập vào các bản ghi thuộc sở hữu của người dùng ở vị trí thấp hơn hoặc bởi nhóm mà người dùng là thành viên và vào các bản ghi được chia sẻ trực tiếp với người dùng hoặc nhóm đó một người dùng là thành viên của.

Ngoài mô hình bảo mật phân cấp vị trí, người dùng ở cấp cao hơn ít nhất phải có đặc quyền đọc ở cấp độ người dùng trên bảng để xem các bản ghi mà người dùng ở vị trí thấp hơn có quyền truy cập. Ví dụ: nếu người dùng ở cấp cao hơn không có quyền truy cập đọc vào bảng Trường hợp, thì người dùng đó sẽ không thể xem các trường hợp mà người dùng ở vị trí thấp hơn có quyền truy cập.

Thiết lập Bảo mật Hệ thống cấp bậc

Để thiết lập bảo mật hệ thống cấp bậc, hãy đảm bảo rằng bạn có quyền Quản trị viên hệ thống để cập nhật cài đặt.

• Làm theo các bước trong Xem hồ sơ người dùng của bạn.
• Không có đúng loại quyền? Liên hệ với quản trị viên hệ thống của bạn.

Bảo mật Hệ thống phân cấp bị tắt theo mặc định. Để kích hoạt bảo mật phân cấp, hãy hoàn thành các bước sau.

1. Chọn một môi trường và chuyển đến Thiết đặt>Người dùng + Quyền>Bảo mật hệ thống cấp bậc.

2. Dưới Mô hình phân cấp, chọn một trong hai Kích hoạt mô hình phân cấp người quản lý hoặc Kích hoạt mô hình phân cấp vị trí tùy thuộc vào yêu cầu của bạn.

   Quan trọng

   Để thực hiện bất kỳ thay đổi nào trong an ninh hệ thống phân cấp, bạn phải có đặc quyền thay đổi thiết đặt bảo mật hệ thống phân cấp.

   Bên trong Quản lý bảng phân cấp khu vực, tất cả các bảng hệ thống đều được bật để bảo mật hệ thống phân cấp theo mặc định, nhưng bạn có thể loại trừ các bảng chọn lọc khỏi hệ thống phân cấp. Để loại trừ các bảng cụ thể khỏi mô hình phân cấp, hãy xóa hộp kiểm cho các bảng mà bạn muốn loại trừ và lưu các thay đổi của mình.

   

3. Đặt Chiều sâu đến giá trị mong muốn để giới hạn số cấp độ sâu mà người quản lý có quyền truy cập chỉ đọc vào dữ liệu báo cáo của họ.

   Ví dụ: nếu độ sâu bằng 2, người quản lý chỉ có thể truy cập vào tài khoản của chính họ và tài khoản của báo cáo ở độ sâu hai cấp. Trong ví dụ của chúng tôi, nếu bạn đăng nhập vào ứng dụng Customer Engagement với tư cách là Phó chủ tịch bán hàng không phải quản trị viên, bạn chỉ thấy các tài khoản đang hoạt động của người dùng như được hiển thị:

   

   Lưu ý

   Trong khi, an ninh hệ thống phân cấp cấp quyền truy cập VP bán hàng vào các bản ghi trong hình chữ nhật màu đỏ, quyền truy cập bổ sung có thể có dựa trên vai trò an ninh mà VP bán hàng có.

4. Bên trong Quản lý bảng phân cấp theo mặc định, tất cả các bảng hệ thống đều được bật để bảo mật hệ thống cấp bậc. Để loại trừ một bảng cụ thể khỏi mô hình phân cấp, hãy xóa dấu kiểm bên cạnh tên bảng và lưu các thay đổi của bạn.

   Giao diện người dùng mới, hiện đại trong bản xem trước

   

   Quan trọng

   • Đây là một tính năng xem trước.
   • Các tính năng xem trước không được dùng cho sản xuất và có thể có chức năng bị hạn chế. Những tính năng này khả dụng trước khi có bản phát hành chính thức để khách hàng có thể truy cập sớm và cung cấp phản hồi.

   Giao diện người dùng kế thừa

   

Thiết lập hệ thống phân cấp người quản lý và vị trí

Hệ thống phân cấp người quản lý có thể dễ dàng được tạo bằng cách sử dụng mối quan hệ người quản lý trên bản ghi người dùng hệ thống. Bạn sử dụng trường tìm kiếm người quản lý (ParentsystemuserID) để chỉ định người quản lý của người dùng. Nếu bạn đã tạo hệ thống phân cấp vị trí, bạn cũng có thể gắn thẻ người dùng với một vị trí cụ thể trong hệ thống phân cấp vị trí. Trong ví dụ sau, nhân viên bán hàng báo cáo cho người quản lý bán hàng trong hệ thống phân cấp người quản lý và cũng có vị trí bán hàng trong hệ thống phân cấp vị trí:

Để thêm người dùng vào một vị trí cụ thể trong hệ thống phân cấp vị trí, hãy sử dụng trường tra cứu có tên Vị trí trên biểu mẫu của bản ghi người dùng.

Quan trọng

Để thêm người dùng vào một vị trí hoặc thay đổi vị trí của người dùng, bạn phải có đặc quyền chỉ định vị trí cho một người sử dụng.

Để thay đổi vị trí trên biểu mẫu của bản ghi người dùng, trên thanh điều hướng, hãy chọn Thêm (…) và chọn một vị trí khác.

Để tạo một hệ thống phân cấp vị trí:

1. Chọn một môi trường và chuyển đến Thiết đặt>Người dùng + Quyền>Vị trí.

   Đối với mỗi vị trí, cung cấp tên của vị trí, vị trí mẹ của vị trí, và mô tả. Thêm người dùng vào vị trí này bằng cách sử dụng trường tìm kiếm được gọi là người sử dụng ở vị trí này. Hình ảnh sau đây là ví dụ về phân cấp vị trí với các vị trí hoạt động.

   

   Ví dụ về người dùng được kích hoạt với vị trí tương ứng của họ được hiển thị trong hình ảnh sau.

   

Bao gồm hoặc loại trừ các bản ghi do người báo cáo trực tiếp sở hữu có trạng thái người dùng bị vô hiệu hóa

Người quản lý có thể xem bản ghi báo cáo trực tiếp về trạng thái bị vô hiệu hóa của họ đối với những môi trường đã bật bảo mật hệ thống cấp bậc sau ngày 31 tháng 1 năm 2024. Đối với các môi trường khác, bản ghi của báo cáo trực tiếp trạng thái bị vô hiệu hóa không được đưa vào chế độ xem của người quản lý.

Để bao gồm các bản ghi của báo cáo trực tiếp về trạng thái bị vô hiệu hóa:

1. Cài đặt công cụ OrganizationSettingsEditor.
2. Cập nhật cài đặt AuthorizationEnableHSMForDisabledUsers thành true.
3. Tắt Mô hình phân cấp.
4. Kích hoạt lại nó một lần nữa.

Để loại trừ bản ghi của báo cáo trực tiếp về trạng thái bị vô hiệu hóa:

1. Cài đặt công cụ OrganizationSettingsEditor.
2. Cập nhật cài đặt AuthorizationEnableHSMForDisabledUsers thành false.
3. Tắt Mô hình phân cấp.
4. Kích hoạt lại nó một lần nữa.

Lưu ý

• Khi bạn tắt và bật lại mô hình phân cấp, quá trình cập nhật có thể mất thời gian vì hệ thống cần tính toán lại quyền truy cập bản ghi người quản lý.
• Nếu bạn thấy hết thời gian chờ, hãy giảm số lượng bảng trong danh sách Quản lý bảng phân cấp để chỉ bao gồm các bảng mà người quản lý cần xem. Nếu thời gian chờ vẫn tiếp tục, hãy gửi phiếu hỗ trợ để yêu cầu hỗ trợ.
• Các bản ghi của báo cáo trực tiếp về trạng thái bị vô hiệu hóa sẽ được bao gồm nếu những bản ghi này được chia sẻ với một báo cáo trực tiếp khác đang hoạt động. Bạn có thể loại trừ những bản ghi này bằng cách xóa chia sẻ.

cân nhắc hiệu suất

Để thúc đẩy hiệu suất, chúng tôi khuyên bạn nên:

• Duy trì bảo mật hệ thống phân cấp hiệu quả cho 50 người dùng trở xuống dưới quyền người quản lý hoặc vị trí. Thứ bậc của bạn có thể có hơn 50 người dùng dưới một người quản lý hoặc một vị trí, nhưng bạn có thể sử dụng cài đặt Độ sâu để giảm số cấp cho quyền truy cập chỉ đọc và với giới hạn này số lượng người dùng hiệu quả dưới quyền một người quản lý hoặc vị trí là 50 người dùng trở xuống.

• Sử dụng các mô hình bảo mật phân cấp với các mô hình bảo mật hiện có khác cho các tình huống phức tạp hơn. Tránh việc tạo ra một số lớn các đơn vị kinh doanh, thay vào đó, tạo ra ít đơn vị kinh doanh hơn và thêm an ninh hệ thống phân cấp.

Xem thêm

Bảo mật trong Microsoft Dataverse
Truy vấn và trực quan hóa dữ liệu theo cấp bậc