Password Vault Überblick
Password Vault bewahrt den Tresor jedes Benutzers in einer Datei im App-Ordner des OneDrive dieses Benutzers auf. Um diese Datei zu lesen und zu schreiben, fordert das Lösungspaket genau eine Microsoft-Graph-Berechtigung an: Files.ReadWrite.AppFolder. Ein Mandantenadministrator muss sie nach der Bereitstellung des Pakets einmal genehmigen; bis dahin kann das Webpart keinen Tresor öffnen oder erstellen. Dieser Artikel erklärt die Berechtigung und die Genehmigung.
Warum Password Vault die Berechtigung benötigt
Das Webpart verwendet Microsoft Graph für drei Vorgänge, alle im App-Ordner des OneDrive des angemeldeten Benutzers:
- das Auffinden der Tresordatei
vitextra-password-vault.json; - ihr Erstellen, wenn der Benutzer Password Vault zum ersten Mal öffnet;
- ihr Lesen und Speichern nach jeder Änderung.
Password Vault fordert keine weitere Microsoft-Graph-Berechtigung an und benötigt keine SharePoint-Listenberechtigungen: Jeder Benutzer, der die Seite öffnen kann, kann seinen eigenen Tresor verwenden.
Benutzer benötigen außerdem ein bereitgestelltes OneDrive und genehmigten Zugriff. Der unten beschriebene Berechtigungsfehler setzt voraus, dass keine andere bestehende Berechtigung den nötigen Dateizugriff gewährt.
Was die Berechtigung erlaubt und was nicht
| Aspekt | Details |
|---|---|
| Berechtigungstyp | Delegiert: Sie wirkt nur im Namen des angemeldeten Benutzers, nicht mit einer unabhängigen Anwendungsidentität |
| Erlaubt | Lesen und Schreiben von Dateien im App-Ordner des eigenen OneDrive des angemeldeten Benutzers |
| Erlaubt nicht | Lesen oder Ändern der anderen OneDrive-Dateien des Benutzers, des OneDrive anderer Benutzer, von SharePoint-Websites, E-Mails, Kalendern oder Verzeichnisdaten |
| Anwendungszugriff (app-only) | Keiner; Password Vault hat kein Dienstkonto und keinen Hintergrundprozess |
📝 Hinweis
In SharePoint Online werden API-Berechtigungen von SPFx-Lösungen einer einzigen Microsoft-Entra-ID-Anwendung erteilt, die alle SPFx-Lösungen im Mandanten gemeinsam nutzen – SharePoint Online Client Extensibility Web Application Principal. Sobald Files.ReadWrite.AppFolder genehmigt ist, steht die Berechtigung jeder in Ihrem Mandanten bereitgestellten SPFx-Lösung zur Verfügung, und der App-Ordner ist der Ordner dieser gemeinsam genutzten Anwendung. So funktioniert das SharePoint Framework für alle Anbieter. Stellen Sie nur SPFx-Lösungen bereit, denen Sie vertrauen; beachten Sie die Sicherheitshinweise in KB10360. So genehmigen Sie Microsoft-Graph-API-Berechtigungen für Vitextra-Lösungen im SharePoint Admin Center.
So genehmigen Sie die Berechtigung
Die Berechtigungsanforderung wird erstellt, wenn das Password-Vault-Paket im Mandanten-App-Katalog bereitgestellt wird (siehe KB10035. So installieren Sie ein Vitextra-Produkt in SharePoint Online). Sie benötigen die Rolle Globaler Administrator; die Rolle SharePoint-Administrator allein reicht für Microsoft-Graph-Berechtigungen nicht aus. Microsoft
1. Öffnen Sie das SharePoint Admin Center.
2. Wechseln Sie zu Erweitert > API-Zugriff.
3. Wählen Sie auf der Registerkarte Ausstehende Anforderungen die Anforderung des Pakets Vitextra Password Vault für Microsoft Graph / Files.ReadWrite.AppFolder aus.
4. Klicken Sie auf Genehmigen und bestätigen Sie.
5. Prüfen Sie, ob die Berechtigung jetzt auf der Registerkarte Genehmigte Anforderungen angezeigt wird.
Wurde Files.ReadWrite.AppFolder bereits für eine andere SPFx-Lösung genehmigt, erscheint keine neue Anforderung: SharePoint verwendet die vorhandene Erteilung weiter. Benutzer sehen keine Einwilligungsaufforderung; nach der Genehmigung funktioniert das Webpart für alle im Mandanten, in der Regel innerhalb weniger Minuten. Falls nicht, laden Sie die Seite neu.
💡 Tipp
Screenshots, PowerShell-Befehle, die teilweise Genehmigung, das Widerrufen von Berechtigungen und das Verhalten bei Updates finden Sie unter KB10360. So genehmigen Sie Microsoft-Graph-API-Berechtigungen für Vitextra-Lösungen im SharePoint Admin Center.
Was Benutzer sehen, solange die Berechtigung nicht genehmigt ist
Das Paket kann bereitgestellt und das Webpart Seiten hinzugefügt werden, während die Anforderung noch aussteht. Ohne die Berechtigung kann das Webpart den Tresor jedoch weder lesen noch erstellen. Anstelle des Bildschirms PIN einrichten oder der Eingabeaufforderung PIN eingeben sehen Benutzer die Meldung „Leider ist ein Fehler aufgetreten. Aktualisieren Sie die Seite, und versuchen Sie es erneut.“ mit einer Schaltfläche Aktualisieren. Es wird keine Tresordatei erstellt.
Nach der Genehmigung klicken Benutzer auf Aktualisieren oder laden die Seite neu, und das Webpart öffnet sich normal.
Dieselbe Meldung erscheint, wenn eine genehmigte Berechtigung später auf der Registerkarte Genehmigte Anforderungen entfernt wird. Das Entfernen der Berechtigung löscht keine Tresordateien: Sie verbleiben im OneDrive der Benutzer und öffnen sich wieder, sobald die Berechtigung genehmigt ist. Andere Ursachen der Meldung finden Sie unter KB10459. Warum Password Vault nicht geladen wird: „Leider ist ein Fehler aufgetreten“ und Berechtigungsfehler.
