API-Berechtigungen und Administratoreinwilligung für Discussions

Überblick

Viele SharePoint-Framework-Lösungen deklarieren Microsoft-Graph-Berechtigungen, die ein Mandantenadministrator auf der Seite API-Zugriff (API access) des SharePoint Admin Centers genehmigen muss. Discussions gehört nicht dazu. Das Paket deklariert keine API-Berechtigungsanforderungen, registriert keine Anwendung in Microsoft Entra ID und zeigt Benutzern oder Administratoren keine Einwilligungsaufforderung. Alles, was die Webparts tun – Boards, Themen, Antworten, Abonnements, Anlagen und Bilder lesen und schreiben, Personen für @Erwähnungen suchen –, läuft über die SharePoint-REST-API der Website, auf der das Board liegt, als angemeldeter Benutzer.

Dieser Artikel hält diese Tatsache für die Sicherheitsprüfung fest, erklärt, was ein Administrator bei der Installation sieht und nicht sieht, und führt die wenigen Dinge auf, die den Mandanten tatsächlich verlassen.

Zusammenfassung für Prüfer

Was die Lösung aufruft

Die Webparts verwenden den HTTP-Client des SharePoint Framework, der jede Anforderung mit der Identität des aktuellen Benutzers sendet. SharePoint wendet die Berechtigungen des Benutzers auf jeden Aufruf an, genau wie bei den Listenansichten in den Websiteinhalten (Site contents). Verwendet werden folgende Endpunkte:

• Listen und Listenelemente der aktuellen Website – um die Discussions-Listen anhand ihrer Markierungsspalten zu finden, sie bei der ersten Verwendung zu erstellen (dafür und nur dafür ist Listen verwalten nötig) und Boards, Themen, Antworten, Abonnements, Likes, Meldungen und Genehmigungsstatus zu lesen und zu schreiben.
• Anlagen von Listenelementen – Dateien, die an Themen und Antworten angehängt sind.
• Dateien und Ordner der Dokumentbibliothek Discussions Assets – eingebettete Bilder des Rich-Text-Editors.
• Der Personenauswahldienst von SharePoint – die Vorschläge, die nach der Eingabe von @ angezeigt werden, und die Auflösung der gewählten Person in einen Websitebenutzer. Das ist derselbe Dienst, den die Standard-Personenauswahl von SharePoint verwendet; er ruft nicht Microsoft Graph auf.
• Die Benutzerinformationsliste der Website – Autorennamen und die ID des aktuellen Benutzers.

Keine Anforderung geht an Microsoft Graph, Exchange, Teams oder einen anderen Microsoft 365-Dienst, und das Webpart sendet keine E-Mail. Die vollständige Liste der Listen und Spalten finden Sie in KB10411. Wo Discussions Ihre Daten speichert: Listen, Spalten und Datenschutz.

Was der Administrator bei der Installation sieht

1. Das Paket vitextra.discussions.sppkg wird in den Mandanten-App-Katalog (oder einen Websitesammlungs-App-Katalog) hochgeladen und mit App aktivieren (Enable app) aktiviert. Der Dialog nennt die Domäne, von der die Skripts geladen werden, und bietet Zu allen Websites hinzufügen (Add to all sites) an; er zeigt keinen Berechtigungsabschnitt, weil das Paket keine deklariert.

2. Die Seite API-Zugriff (SharePoint Admin Center → Erweitert → API-Zugriff) ändert sich nicht: Unter Ausstehende Anforderungen (Pending requests) erscheint keine Anforderung von Vitextra Discussions, und es muss nichts genehmigt werden. Führt Ihre Organisation ein Verzeichnis genehmigter API-Berechtigungen, lautet der Eintrag für Discussions schlicht „keine angefordert".

3. Das Webpart wird wie jedes andere zu einer Seite hinzugefügt, und der erste Benutzer mit Listen verwalten erstellt das Board. Benutzer sehen nie einen Einwilligungsdialog.

Die Schritte für Installation und Update sind dieselben wie bei jedem Vitextra-Produkt: KB10035. So installieren Sie ein Vitextra-Produkt in SharePoint Online, KB10050. So aktualisieren Sie eine Vitextra-SPFx-Lösung in SharePoint Online und KB10361. Mandanten-App-Katalog oder Websitesammlungs-App-Katalog: Wo Vitextra-Apps bereitgestellt werden. Das allgemeine Verfahren für Pakete, die Berechtigungen anfordern, steht in KB10360. So genehmigen Sie Microsoft-Graph-API-Berechtigungen für Vitextra-Lösungen im SharePoint Admin Center; für Discussions wird dieser Artikel nicht benötigt.

Die Microsoft-Teams-App

Das Teams-App-Paket, das der App-Katalog für die Registerkarte und die persönliche App erzeugt, deklariert ebenfalls keine Microsoft-Graph-Bereiche. Sein Manifest verweist nur auf SharePoint Online selbst – den Standardmechanismus, mit dem eine SPFx-Registerkarte den Benutzer bei der Teamwebsite anmeldet – und auf die üblichen Anmeldedomänen von SharePoint und Microsoft 365. Im Teams Admin Center zeigt die App daher keine zu gewährenden API-Berechtigungen. Wie Sie die App zu Teams hinzufügen, beschreibt KB10393. So fügen Sie Discussions zu Microsoft Teams hinzu.

Was den Mandanten verlässt

Kein Thema, keine Antwort, keine Anlage, kein Bild, kein Abonnement und keine Benutzerliste wird an Vitextra oder an Dritte gesendet. Der Überblick über alle Vitextra-Produkte, einschließlich Datenresidenz und DSGVO, steht in KB10363. Wo Vitextra-Produkte Ihre Daten speichern: Datenschutz, Datenresidenz und DSGVO.

Wo die E-Mail-Berechtigung liegt

Discussions sendet bewusst keine E-Mail und braucht daher weder Mail.Send noch eine Anwendungsberechtigung, um im Namen eines Postfachs zu senden. Das Webpart pflegt die Liste Discussions Subscriptions und die Spalte Mentions; die Zustellung ist Aufgabe eines Power-Automate-Flows, den ein Websitebesitzer in seiner eigenen Umgebung einrichtet. Dieser Flow verwendet die Verbindungen der Person, die ihn erstellt – die SharePoint-Verbindung zum Lesen der Listen und die Office 365 Outlook-Verbindung (oder die eines freigegebenen Postfachs) zum Senden –, und die Einwilligung für diese Verbindungen wird in Power Automate erteilt, im Rahmen der Governance, die Ihre Organisation bereits auf Flows anwendet. Der Vertrag zwischen den Listen und dem Flow ist in KB10414. So funktionieren Benachrichtigungen in Discussions: Abonnements, Erwähnungen und Power Automate beschrieben.