Von Organizational Chart benötigte Microsoft-Graph-Berechtigungen

Einführung

Das Vitextra Organizational Chart speichert keine eigenen Mitarbeiterdaten. Alles, was es anzeigt – Namen, Positionen, Vorgesetztenbeziehungen, Fotos und Anwesenheitsstatus –, wird zur Laufzeit über die Microsoft Graph API aus Microsoft Entra ID gelesen. Damit das funktioniert, benötigt das Webpart eine kleine Menge an API-Berechtigungen, die ein Mandantenadministrator einmalig genehmigt.

Dieser Artikel listet diese Berechtigungen auf, erklärt, wofür jede davon verwendet wird, zeigt, wie Sie sie genehmigen, und beschreibt, wie das Organigramm aussieht, wenn eine Berechtigung fehlt. Er richtet sich an SharePoint- und Microsoft-365-Administratoren sowie an Sicherheitsprüfer, die das Produkt vor der Bereitstellung bewerten müssen.

Die Berechtigungen

Organizational Chart fordert drei delegierte Berechtigungen für Microsoft Graph an:

Alle drei sind delegierte Berechtigungen: Das Webpart ruft Microsoft Graph immer im Namen des angemeldeten Benutzers auf, niemals mit einer eigenen Anwendungsidentität. Das Organigramm zeigt einem Besucher daher nie etwas, das er nicht auch selbst beim Durchsuchen des Verzeichnisses in Microsoft 365 sehen könnte – es stellt die Informationen lediglich in einer bequemeren Form dar.

Genehmigen der Berechtigungen

Die Berechtigungsanforderungen werden automatisch registriert, wenn das Organizational-Chart-Paket im App-Katalog des Mandanten bereitgestellt wird. So genehmigen Sie sie:

1. Melden Sie sich im SharePoint Admin Center mit einem Konto an, das die Rolle Globaler Administrator oder SharePoint-Administrator besitzt.
2. Klappen Sie in der linken Navigation Erweitert auf und wählen Sie API-Zugriff aus.
3. Suchen Sie unter Ausstehende Anforderungen die Anforderungen des Pakets Organizational Chart für die Ressource Microsoft Graph – Directory.Read.All, User.Read.All und Presence.Read.All.
4. Wählen Sie jede Anforderung aus und klicken Sie auf Genehmigen. Bestätigen Sie die Genehmigung im Bereich, der sich öffnet.

Genehmigte Berechtigungen werden in die Liste Genehmigte Anforderungen verschoben, wo sie jederzeit überprüft oder widerrufen werden können.

Was passiert, wenn eine Berechtigung fehlt

Die drei Berechtigungen schlagen auf unterschiedliche Weise fehl, was die Diagnose des Problems erleichtert:

• Directory.Read.All oder User.Read.All nicht genehmigt. Das Organigramm kann das Verzeichnis überhaupt nicht laden. Anstelle des Baums zeigt das Webpart die Meldung Leider ist etwas schiefgelaufen. Bitte aktualisieren Sie die Seite und versuchen Sie es erneut. mit einer Schaltfläche Konfigurieren für Seitenbearbeiter an. Genehmigen Sie die ausstehenden Anforderungen und laden Sie die Seite neu.
• Presence.Read.All nicht genehmigt. Das Organigramm wird geladen und alle Karten werden angezeigt, aber der Anwesenheitspunkt auf den Fotos fehlt bei allen. Dies ist der häufigste Teilzustand: Die beiden Verzeichnisberechtigungen wurden genehmigt, die Anwesenheitsanforderung wurde jedoch übersehen.
• Eine Berechtigung wurde nach der Bereitstellung widerrufen. Die Symptome sind dieselben wie oben. Widerrufene Berechtigungen erscheinen erneut unter Ausstehende Anforderungen und können wieder genehmigt werden.

Wer das Organigramm sehen kann

Da das Webpart delegierte Berechtigungen verwendet, wird der Zugriff auf das Organigramm durch zwei Faktoren bestimmt:

• Zugriff auf die Seite. Ein Besucher muss die SharePoint-Seite oder die Teams-Registerkarte öffnen können, auf der das Webpart gehostet wird – es gelten die üblichen SharePoint- und Teams-Berechtigungen.
• Zugriff auf das Verzeichnis. Jedes Mitglied der Organisation kann in Microsoft 365 standardmäßig grundlegende Verzeichnisinformationen lesen, sodass jeder Besucher mit Seitenzugriff dasselbe Organigramm sieht. Gastbenutzer hingegen werden nicht in das Organigramm geladen und können in der Regel auch nicht das vollständige Verzeichnis lesen.

Organizational Chart fügt keine eigene Berechtigungsebene hinzu: Es blendet einzelne Mitarbeiter nicht vor bestimmten Besuchern aus und gewährt niemandem Zugriff auf Daten, die er nicht auch anderswo in Microsoft 365 lesen könnte. Um bestimmte Konten vollständig aus dem Organigramm fernzuhalten – Dienstkonten, freigegebene Postfächer, Testbenutzer –, verwenden Sie die Filter- und Ausschlussoptionen des Webparts, die in KB10233. So fügen Sie das Organizational-Chart-Webpart hinzu und konfigurieren es beschrieben sind.

Datenverarbeitung

Für eine Sicherheitsprüfung sind in der Regel folgende Punkte relevant:

• Mitarbeiterdaten werden direkt vom Browser des Benutzers aus Microsoft Graph gelesen und weder an Vitextra noch an einen Drittanbieterdienst gesendet.
• Ein Snapshot des geladenen Verzeichnisses wird bis zu 12 Stunden im lokalen Speicher des Browsers aufbewahrt, um wiederholte Besuche zu beschleunigen; er wird pro Benutzer und pro Browser gespeichert und verlässt das Gerät nie.
• Fotos und Anwesenheitsstatus werden nur für die auf dem Bildschirm sichtbaren Karten abgerufen und nicht über die Seitensitzung hinaus zwischengespeichert.
• Das Webpart kontaktiert Vitextra-Server nur, um den Lizenzstatus des Mandanten zu überprüfen, statische Ressourcen wie Symbole zu laden und anonyme Telemetriedaten zur Produktnutzung zu erfassen. Diese Anforderungen enthalten keine Verzeichnisdaten.