Policy Acknowledgement Productrollen bepalen welke handelingen en weergaven in Policy Acknowledgement beschikbaar zijn. Policy Admin past ook rolgebaseerde SharePoint-machtigingen toe op de hublijsten. Houd bij het inrichten van toegang rekening met beide lagen.
Begrijp de rollen
| Rol | Belangrijkste gebruik in de webonderdelen |
|---|---|
| Productbeheerder | Configuratie, instellingen, rollen en administratie; toegang tot beheer en rapportage. |
| Compliancemanager | Beleid, campagnes, rapporten en vrijstellingen in het gehele product. |
| Auteur van beleid | Beleid maken en beleid beheren waarvan de auteur eigenaar is. |
| Auditor | Rapportage en inspectie zonder handelingen voor beleidsbeheer. |
| Medewerker | Persoonlijke toewijzingen en beleidsinhoud. |
Het bereik van een teammanager wordt afgeleid van rapportagelijnen, met een instelling voor directe ondergeschikten of de volledige hiërarchische tak. Het is geen zesde roltoewijzing in de rollenlijst. Eigendom wordt per beleid opgeslagen; de auteursweergave filtert beleid op die eigenaar.
Wijs groepen toe
- Open Policy Admin als productbeheerder en selecteer Rollen.
- Selecteer Entra ID-beveiligingsgroepen of SharePoint-groepen van de hubsite voor de vereiste rollen.
- Behoud ten minste één groep voor Productbeheerder.
- Controleer de medewerkerspopulatie en Managers zien alle directe en indirecte ondergeschikten.
- Selecteer Opslaan en machtigingen toepassen en wacht totdat de synchronisatie is voltooid.
Gebruik expliciete medewerkersgroepen wanneer een nauwkeurige toegangsgrens vereist is. Hoewel de interface Alle gelicentieerde gebruikers aanbiedt, beschouwt de huidige rolbepaling deze optie als passend bij de huidige gebruiker zonder licentiecontrole. Dit mag niet worden gebruikt als bewijs dat de toegang beperkt is tot accounts met een licentie.
Begrijp wat het toepassen van machtigingen wijzigt
Synchronisatie verleent leestoegang tot de site aan rolgroepen, verbreekt machtigingsovererving op de productlijsten en past de machtigingsmatrix voor de lijsten toe. Het account dat de synchronisatie uitvoert, behoudt Volledig beheer over die lijsten. Controleer de gevolgen voordat u dit toepast op een bestaande gedeelde site.
In de modus Direct krijgen medewerkers bijdragemachtigingen op toewijzingen en bevestigingsrecords. In de modus Service zijn de medewerkersvermeldingen in die matrix voor deze twee lijsten alleen-lezen. Medewerkers behouden bijdragemachtigingen op vragen. Een gebruiker met meerdere rollen kan de gecombineerde machtigingen van de betreffende groepen krijgen.
❗ Belangrijk
Filtering op beleidseigenaar en filtering van persoonlijke toewijzingen worden in de webonderdelen uitgevoerd. De machtigingsmatrix werkt op lijstniveau, niet met isolatie per beleid of medewerker. Presenteer deze filters niet als garantie dat gebruikers geen andere records via SharePoint kunnen benaderen. Geslaagde synchronisatie bewijst evenmin dat iedere bestaande of verhoogde machtiging is ingetrokken.
Doelgroep, eigenaarschap en machtigingen onderscheiden
Deze begrippen beantwoorden verschillende vragen. Een campagnedoelgroep bepaalt wie een taak moet krijgen. De beleidseigenaar bepaalt verantwoordelijkheid en de op auteur gefilterde beheerweergave. Een rol maakt productacties mogelijk, terwijl SharePoint-machtigingen toegang tot opgeslagen records regelen. Het ene veranderen realiseert niet automatisch de andere doelen.
Een beleid toewijzen aan de financiële afdeling maakt de onderliggende lijstrecords bijvoorbeeld niet privé voor financiën. Een kaart aan een andere eigenaar overdragen verandert welke auteur deze moet beheren, maar is geen overdracht van machtigingen per item. Een beheerpagina verbergen in portaalnavigatie trekt evenmin bestaande lijsttoegang van een gebruiker in.
Ontwerp rolgroepen rond verantwoordelijkheden en controleer daarna de effectieve gegevenstoegang voor die groepen. Test gecombineerd lidmaatschap wanneer iemand bij meerdere groepen hoort. Een gebruiker met een auteursrol en een beheergroep kan veel meer zien of wijzigen dan een testaccount met alleen de auteursrol. Verwijderen van één lidmaatschap kan toegang via een andere groep of verhoogde sitemachtiging intact laten.
Een representatieve toegangstest gebruiken
| Testaccount | Toepassingscontrole | Aanvullende toegangscontrole |
|---|---|---|
| Beheerder | Open Policy Admin en bekijk ingestelde rollen. | Controleer of verwacht beheer na synchronisatie beschikbaar blijft. |
| Auteur | Open eigen beleid en controleer bedoelde beheeracties. | Bekijk werkelijke lijstmachtigingen in plaats van isolatie uit de gefilterde weergave af te leiden. |
| Auditor | Open het relevante rapport en download een toegestane export. | Controleer of acties die een resultaat of auditgebeurtenis opslaan extra schrijftoegang vereisen. |
| Medewerker | Open toegewezen beleid en dien een proefbevestiging in. | Controleer brontoegang en het ingestelde bewijsschrijfpad. |
| Manager | Laad het verwachte rapportageteam. | Controleer effectieve gegevenstoegang en bereikgedrag onafhankelijk van elkaar. |
Sommige ogenschijnlijk leesgerichte acties schrijven ook gegevens. Een integriteitscontrole bewaart bijvoorbeeld het resultaat en een rapportexport schrijft een auditgebeurtenis na het genereren van het bestand. Een alleen-lezen account kan daarom bruikbare uitvoer zien en daarna een schrijffout krijgen. Onderzoek de specifieke mislukte bewerking voordat u de rol uitbreidt.
Toegang onderhouden na organisatiewijzigingen
Controleer wanneer een auteur van functie verandert zowel groepslidmaatschap als eigenaarschap van het onderhouden beleid. Bekijk bij managerwisselingen directoryrelaties en opgeslagen managervelden op toewijzingen; pagina vernieuwen herschrijft geen historische toewijzingen. Controleer bij wijziging van vastleggingsmodus de service en pas de bijbehorende machtigingsmatrix opnieuw toe.
Houd kort bij wie machtigingen toepaste, welke groepen bedoeld waren en welke representatieve tests slaagden. Het synchroniserende account behoudt Full Control; beoordeel dit expliciet in plaats van aan te nemen dat een servicemoduslabel betekent dat alle menselijke accounts alleen kunnen lezen. De instelling voor de hele tak wordt evenmin afgedwongen door de huidige Team Compliance-kiezer; zie KB10530. Team Compliance: uw team volgen en opvolgen voor de resulterende rapportagebeperking.
Controleer en onderhoud toegang
Test met afzonderlijke accounts voor beheerder, auteur, rapportagegebruiker en medewerker. Controleer zowel de bedoelde pagina's als de onderliggende lijstmachtigingen. Voer na wijziging van de registratiemodus voor bevestigingen Opslaan en machtigingen toepassen opnieuw uit en controleer de effectieve rechten. Zie KB10509. Gegevensopslag in Policy Acknowledgement: Direct en Service voor de registratiemodi en hun beperkingen.
