Employee Directory Ievads
Vitextra Employee Directory risinājums neuztur savu darbinieku datubāzi. Cilvēki, profila atribūti, fotoattēli, vadītāji, Teams klātbūtne un brīvā/aizņemtā laika informācija tiek nolasīta no Microsoft 365 darbības laikā, izmantojot Microsoft Graph API. Šim nolūkam risinājuma pakotne pieprasa piecas Microsoft Graph atļaujas, kuras nomnieka administrators apstiprina vienu reizi.
Šajā rakstā ir uzskaitītas šīs atļaujas, paskaidrots, kam katra no tām tiek izmantota un kurai tīmekļa daļai tā ir vajadzīga, precīzi aprakstīts, ko lietotāji redz, ja atļauja nav apstiprināta, un parādīts, kā atļaujas apstiprināt un pārbaudīt to statusu. Raksts ir paredzēts SharePoint un Microsoft 365 administratoriem, kā arī drošības speciālistiem, kas novērtē produktu pirms izvietošanas.
Atļaujas
Pakotnē Vitextra Employee Directory ir trīs tīmekļa daļas - Employee Directory, Employee Directory (Entra ID) un New Employees -, un tā pieprasa vienu kopīgu atļauju kopu tām visām. Visas piecas ir deleģētās Microsoft Graph atļaujas:
| Atļauja | Kam tiek izmantota | Kur vajadzīga | Ja nav apstiprināta |
|---|---|---|---|
Directory.Read.All | Microsoft Entra direktorija lomu dalībnieku nolasīšana filtru redaktora nosacījumam Lietotāju lomas. Kopā ar User.Read.All tā ļauj arī nolasīt lietotāju kontus | Employee Directory (Entra ID), New Employees - tikai tad, ja filtrā ir nosacījums Lietotāju lomas | Ja ir konfigurēts lomu filtrs, Employee Directory (Entra ID) rāda brīdinājumu un nevar uzticami pārbaudīt dalību lomās; New Employees rāda kļūdu. |
User.Read.All | Lietotāju kontu un to profila atribūtu nolasīšana un meklēšana, personas vadītājs un tiešie padotie, pierakstījušā lietotāja komanda, kā arī darbinieku fotoattēli | Visas trīs tīmekļa daļas; tīmekļa daļā Employee Directory ar avotu Lietotāja profili - fotoattēli, detalizētās informācijas rūts un ātrie filtri | Cilvēku sarakstu nevar ielādēt, un tiek parādīta kļūda (skatiet tālāk) |
Presence.Read.All | Microsoft Teams klātbūtnes indikators kartītēs, kolonna Statuss un ziņojums Ārpus biroja detalizētās informācijas rūtī | Visas trīs tīmekļa daļas | Cilvēki tiek rādīti bez klātbūtnes; kolonnā Statuss ir Bezsaistē |
Calendars.Read | Personas un pierakstījušā lietotāja šodienas brīvā/aizņemtā laika grafiks kopā ar personas laika joslu un darba stundām | Employee Directory, Employee Directory (Entra ID) - detalizētās informācijas rūts | Sadaļas Vietējais laiks, Darba stundas un Pieejamība netiek rādītas |
People.Read | To cilvēku saraksts, ar kuriem pierakstījies lietotājs strādā visbiežāk | Employee Directory, Employee Directory (Entra ID) - ātrais filtrs Cilvēki, ar kuriem strādāju | Cilne Cilvēki, ar kuriem strādāju netiek rādīta |
📝 Piezīme
Atļaujas Directory.Read.All un User.Read.All pārklājas: lietotāju kontu nolasīšanai Microsoft Graph pieņem jebkuru no tām. Tāpēc rindā User.Read.All aprakstītā kļūda rodas tad, ja nav apstiprināta neviena no tām, - tas ir parasts stāvoklis tūlīt pēc izvietošanas, kamēr visi pieci pieprasījumi vēl gaida apstiprinājumu. Apstipriniet abas atļaujas, kā to pieprasa pakotne.
Employee Directory izmanto šīs atļaujas tikai direktorija, profilu un pastkastīšu datu lasīšanai pakalpojumos Microsoft Entra ID un Microsoft 365. Risinājums šos datus nemaina un nepieprasa atļaujas ar Write nosaukumā. Tīmekļa daļas iestatījumu saglabāšana SharePoint lapā ir atsevišķa darbība, kurai šīs Microsoft Graph atļaujas netiek izmantotas.
Deleģētās, nevis lietojumprogrammas atļaujas
Visas piecas atļaujas ir deleģētās: katrs Microsoft Graph izsaukums tiek veikts no pierakstījušā lietotāja pārlūkprogrammas ar šim lietotājam izsniegtu marķieri. Tīmekļa daļām nav lietojumprogrammas (app-only) atļauju, nav pakalpojuma konta un nav savas servera daļas, kas lasītu jūsu direktoriju.
Microsoft Graph ņem vērā piešķirtās deleģētās atļaujas kopā ar pierakstījušā lietotāja tiesībām. Tāpēc direktorijā var būt citi cilvēki nekā Outlook vai Teams; tas nav šo lietotņu adrešu grāmatu kopija.
📝 Piezīme
Atļaujas netiek piešķirtas pašai Employee Directory pakotnei. SharePoint tās piešķir vienai Microsoft Entra ID lietojumprogrammai, ko tas izmanto visiem SPFx risinājumiem nomniekā, - SharePoint Online Web Client Extensibility (agrāk: SharePoint Online Client Extensibility Web Application Principal). Ja atļauja jau ir apstiprināta citam risinājumam, piemēram, Vitextra Organizational Chart, tiek izmantots tas pats piešķīrums, un pieprasījums vairs neparādās kā gaidošs. Tas pats apstiprinājums darbojas arī tad, kad tīmekļa daļas darbojas pakalpojumā Microsoft Teams.
Avots “Lietotāja profili” un SharePoint meklēšana
Tīmekļa daļa Employee Directory var nolasīt cilvēkus no diviem avotiem, kurus izvēlas tās iestatījumos:
- Entra ID (Azure AD) - saraksts, meklēšana un lapošana darbojas caur Microsoft Graph un ir atkarīgi no iepriekš minētajām atļaujām.
- Lietotāja profili - saraksts, meklēšana, precizētāji un kārtošana tiek iegūti no SharePoint meklēšanas (SharePoint meklēšanas pakalpojuma rezultāti par cilvēkiem), nevis no Microsoft Graph. Tie darbojas ar paša lietotāja SharePoint meklēšanas tiesībām ar parasto drošības filtrēšanu, un tiem nav vajadzīga neviena Microsoft Graph atļauja. Arī detalizētās informācijas rūts sadaļa Nesenie dokumenti izmanto SharePoint meklēšanu.
Pat ar avotu Lietotāja profili daži tīmekļa daļas elementi joprojām izsauc Microsoft Graph: fotoattēli, klātbūtne un ziņojums Ārpus biroja, sadaļas Vadītājs un Padotie un sadaļa Vietējais laiks, Darba stundas un Pieejamība detalizētās informācijas rūtī, kā arī ātrie filtri Mana komanda un Cilvēki, ar kuriem strādāju. Tie ir atkarīgi no tām pašām atļaujām kā režīmā Entra ID (Azure AD).
Tīmekļa daļas Employee Directory (Entra ID) un New Employees vienmēr izmanto Microsoft Graph.
💡 Padoms
Par atšķirībām starp abām direktorija tīmekļa daļām un to avotiem skatiet rakstu KB10310. Employee Directory vai Employee Directory (Entra ID): kuru tīmekļa daļu izvēlēties.
Ko lietotāji redz, ja atļaujas nav
Tīmekļa daļas ir veidotas tā, lai neobligātas atļaujas trūkums atspējotu tikai no tās atkarīgo funkciju. Precīza darbība pašreizējā versijā:
| Tīmekļa daļa / režīms | Trūkstošā atļauja | Ko redz lietotāji |
|---|---|---|
| Employee Directory (Entra ID) | User.Read.All (un Directory.Read.All) | Sākotnējā ielādē, ja nav iepriekš ielādēta netukša saraksta: Saraksta vietā - kļūdas ikona ar kļūdas tekstu, ko atgrieza Microsoft Graph; ja teksta nav - ziņojums Diemžēl radās problēmas. Lūdzu, atsvaidziniet lapu un mēģiniet vēlreiz. |
| Employee Directory, avots Entra ID (Azure AD) | User.Read.All (un Directory.Read.All) | Tā pati kļūda meklēšanas rezultātu vietā |
| Employee Directory, avots Lietotāja profili | User.Read.All (un Directory.Read.All) | Saraksts, meklēšana un precizētāji turpina darboties. Detalizētās informācijas rūtī netiek rādītas sadaļas Vadītājs un Padotie, un fotoattēli tiek ņemti no SharePoint, nevis no Microsoft Graph |
| New Employees | User.Read.All (un Directory.Read.All) | Kļūdas ikona ar ziņojumu Diemžēl radās problēmas. Lūdzu, atsvaidziniet lapu un mēģiniet vēlreiz., aiz kura seko Microsoft Graph atgrieztais kļūdas teksts |
| Employee Directory (Entra ID), New Employees | Directory.Read.All | Ja ir konfigurēts lomu filtrs, Employee Directory (Entra ID) rāda brīdinājumu un nevar uzticami pārbaudīt dalību lomās; New Employees rāda kļūdu. |
| Visas tīmekļa daļas | Presence.Read.All | Kartītēs nav klātbūtnes indikatora, kolonnā Statuss visiem ir Bezsaistē, un detalizētās informācijas rūtī nav ziņojuma Ārpus biroja |
| Employee Directory, Employee Directory (Entra ID) | Calendars.Read | Detalizētās informācijas rūts sadaļa Vietējais laiks, Darba stundas un Pieejamība netiek rādīta. Kļūda netiek rādīta |
| Employee Directory, Employee Directory (Entra ID) | People.Read | Cilne Cilvēki, ar kuriem strādāju ātro filtru joslā ir paslēpta. Pārējās cilnes turpina darboties |
❗ Svarīgi
Tīmekļa daļa Employee Directory (Entra ID) saglabā ielādētā saraksta kopiju pārlūkprogrammā un parāda to nākamajā apmeklējumā. Kad kopija ir vecāka par 24 stundām, tā tiek atjaunināta fonā; arī Atsvaidzināt sāk jaunu pieprasījumu. Ja pēc atļaujas atsaukšanas pieprasījums neizdodas un jau tiek rādīts iepriekš ielādēts saraksts ar vismaz vienu personu, tīmekļa daļa saglabā sarakstu un tā sākotnējo atjaunināšanas datumu. Parādās brīdinājums: Neizdevās atjaunināt sarakstu. Tiek rādīta saglabātā kopija., kam seko kļūdas teksts, ja tas ir pieejams. Saraksts netiek aizstāts ar kļūdas ekrānu. Kļūdas ekrāns parādās, ja ielāde neizdodas un iepriekš ielādēta netukša saraksta nav. Pārbaudot atļauju izmaiņas, notīriet vietnes datus pārlūkprogrammā vai izmantojiet privāto logu.
📝 Piezīme
Klātbūtnei un brīvā/aizņemtā laika informācijai ar atļauju vien nepietiek: lai personai būtu klātbūtnes statuss, tai jāizmanto Microsoft Teams, un lai būtu brīvā/aizņemtā laika grafiks, tai jābūt Exchange Online pastkastei. Plašāku informāciju par pieejamības sadaļu skatiet rakstā KB10317. Employee Directory: vietējais laiks, darba stundas un pieejamība, bet par ātrajiem filtriem - rakstā KB10214. Employee Directory ātrie filtri: mana nodaļa, mana komanda, cilvēki, ar kuriem strādāju, izlase.
Atļauju apstiprināšana
Atļauju pieprasījumi tiek izveidoti automātiski, kad Employee Directory pakotne tiek izvietota nomnieka lietotņu katalogā. Tos apstiprina globālais administrators:
- Atveriet SharePoint administrēšanas centru.
- Kreisajā navigācijā izvērsiet Papildu (Advanced) un atlasiet API piekļuve.
- Cilnē Gaidošie pieprasījumi (Pending requests) atrodiet pakotnes Vitextra Employee Directory pieprasījumus resursam Microsoft Graph -
Directory.Read.All,User.Read.All,Presence.Read.All,Calendars.ReadunPeople.Read. - Atlasiet katru pieprasījumu, noklikšķiniet uz Apstiprināt un apstipriniet.
Lietotāji neredz piekrišanas uzvedni: pēc apstiprināšanas tīmekļa daļas darbojas visiem nomniekā. Ja dažas minūtes pēc apstiprināšanas tīmekļa daļa joprojām rāda kļūdu, atsvaidziniet lapu.
💡 Padoms
Pilna procedūra, tostarp apstiprināšana ar PowerShell, daļēja apstiprināšana un atļauju atsaukšana, ir aprakstīta rakstā KB10360. Kā apstiprināt Microsoft Graph API atļaujas Vitextra risinājumiem SharePoint administrēšanas centrā.
Atļauju statusa pārbaude
Lai pārbaudītu, kuras atļaujas ir spēkā, SharePoint administrēšanas centrā atveriet Papildu › API piekļuve:
- Cilnē Apstiprinātie pieprasījumi (Approved requests) jābūt uzskaitītām visām piecām Microsoft Graph atļaujām. Tā kā piešķīrumi attiecas uz visu nomnieku, atļauja tur var būt norādīta pie citas pakotnes, kas to pieprasīja pirmā, - ar to pietiek.
- Jebkura atļauja, kas joprojām ir norādīta cilnē Gaidošie pieprasījumi, vēl nav spēkā; no tās atkarīgās funkcijas darbojas tā, kā aprakstīts sadaļā Ko lietotāji redz, ja atļaujas nav.
Atjauninot Employee Directory, iepriekš apstiprinātās atļaujas paliek apstiprinātas. Ja jaunā versija pieprasa papildu atļauju, tā parādās cilnē Gaidošie pieprasījumi, un tā jāapstiprina tādā pašā veidā.
Piezīmes drošības pārbaudei
Drošības pārbaudē parasti ir svarīgi šādi punkti:
- Visas piecas Microsoft Graph atļaujas ir deleģētas un paredzētas tikai lasīšanai; tās neļauj Employee Directory mainīt direktorija, profilu vai pastkastīšu datus.
- Direktorija datus, fotoattēlus, klātbūtni un kalendāra informāciju lietotāja pārlūkprogramma pieprasa tieši no Microsoft Graph un SharePoint, un tie netiek nosūtīti ne Vitextra, ne trešajām personām.
- Avots Lietotāja profili nolasa cilvēkus, izmantojot SharePoint meklēšanu ar paša lietotāja tiesībām, un pašam sarakstam tam nav vajadzīga neviena Microsoft Graph atļauja.
- Izlase, kešatmiņā saglabātais darbinieku saraksts un Teams personiskās lietotnes noklusējuma konfigurācija tiek glabāti ārpus Microsoft Graph; kur tieši un kādus datus tīmekļa daļas nolasa, ir aprakstīts rakstā KB10469. Employee Directory: kādus datus tā nolasa un kur tiek glabāta izlase un iestatījumi.
- Pieprasījumi Vitextra pakalpojumiem ietver licences pārbaudi, lietojuma telemetriju ar tehniskiem identifikatoriem un, ja šī iespēja tiek izmantota, Teams personiskās lietotnes noklusējuma konfigurācijas glabāšanu; skatiet KB10363. Kur Vitextra produkti glabā jūsu datus: konfidencialitāte, datu atrašanās vieta un VDAR.
💡 Padoms
Par risinājuma instalēšanu skatiet rakstu KB10035. Kā instalēt Vitextra produktu pakalpojumā SharePoint Online. Par tīmekļa daļas pievienošanu lapai skatiet rakstu KB10309. Kā pievienot un konfigurēt Employee Directory tīmekļa daļu.
Uzziniet vairāk par produktu: https://vitextra.com/lv/products/employee-directory
