Permisos de API y consentimiento del administrador para Discussions

Información general

Muchas soluciones de SharePoint Framework declaran permisos de Microsoft Graph que un administrador del inquilino debe aprobar en Acceso a la API, en el centro de administración de SharePoint. Discussions no lo hace. El paquete declara cero solicitudes de permisos de API, no registra ninguna aplicación en Microsoft Entra ID y no muestra ningún aviso de consentimiento a usuarios ni administradores. Todas las operaciones de los elementos web, como leer y escribir foros, temas, respuestas, suscripciones, adjuntos e imágenes y buscar personas para @menciones, utilizan las API de SharePoint (REST y CSOM) del sitio donde reside el foro, en nombre del usuario que ha iniciado sesión.

Este artículo recoge estos hechos para la revisión de seguridad, explica qué ve y qué no ve el administrador durante la instalación y enumera los pocos datos que salen del inquilino.

El importador de foros clásicos puede leer otro sitio del mismo inquilino. Restaura autores y fechas originales mediante SharePoint CSOM; las demás operaciones de contenido utilizan REST. Todas estas llamadas usan los permisos del usuario que ha iniciado sesión.

Resumen para revisores

Qué invoca la solución

Los elementos web utilizan el cliente HTTP de SharePoint Framework, que envía cada solicitud con la identidad del usuario actual. SharePoint aplica sus permisos a cada llamada, igual que en las vistas de lista de Contenido del sitio. Se utilizan los siguientes puntos de conexión:

• Listas y elementos de lista del sitio actual: para localizar las listas de Discussions por sus columnas marcadoras, crearlas en el primer uso (esa operación requiere Administrar listas) y leer y escribir foros, temas, respuestas, suscripciones, «me gusta», reportes y estados de aprobación.
• Archivos adjuntos de elementos de lista: archivos adjuntos a temas y respuestas.
• Archivos y carpetas de la biblioteca de documentos Discussions Assets: imágenes insertadas en el editor de texto enriquecido.
• El servicio de selección de personas de SharePoint: sugerencias después de escribir @ y resolución de la persona elegida como usuario del sitio. Es el mismo servicio que utiliza el selector estándar de SharePoint; no llama a Microsoft Graph.
• La lista de información de usuarios del sitio: nombres de autores e identificador del usuario actual.

No se envían solicitudes a Microsoft Graph, Exchange, Teams ni a otros servicios de Microsoft 365, y el elemento web no envía correos. La lista completa de listas y columnas está en KB10411. Dónde almacena Discussions sus datos: listas, columnas y privacidad.

Qué ve el administrador durante la instalación

1. El paquete vitextra.discussions.sppkg se carga en el catálogo de aplicaciones del inquilino o de una colección de sitios y se habilita con Habilitar aplicación. El cuadro de diálogo muestra el dominio desde el que se cargan los scripts y ofrece Agregar a todos los sitios; no incluye una sección de permisos porque el paquete no declara ninguno.

2. Acceso a la API (Centro de administración de SharePoint → Opciones avanzadas → Acceso a la API) no cambia: no aparece ninguna solicitud de Vitextra Discussions en Solicitudes pendientes y no hay nada que aprobar. Si su organización lleva un registro de permisos de API aprobados, la entrada de Discussions es simplemente «ninguno solicitado».

3. El elemento web se agrega a una página como cualquier otro y el primer usuario con Administrar listas crea el foro. Los usuarios nunca ven un cuadro de consentimiento.

La instalación y la actualización siguen los mismos pasos que cualquier producto de Vitextra: KB10035. Cómo instalar un producto Vitextra en SharePoint Online, KB10050. Cómo actualizar una solución SPFx de Vitextra en SharePoint Online y KB10361. Catálogo de aplicaciones del inquilino frente al de colección de sitios: dónde implementar las aplicaciones de Vitextra. El procedimiento general para paquetes que sí solicitan permisos está en KB10360. Cómo aprobar los permisos de la API de Microsoft Graph para las soluciones de Vitextra en el centro de administración de SharePoint; Discussions no necesita ese artículo.

La aplicación de Microsoft Teams

El paquete de aplicación de Teams que genera el catálogo para la pestaña y la aplicación personal tampoco declara ámbitos de Microsoft Graph. Su manifiesto solo hace referencia a SharePoint Online, mediante el mecanismo estándar con el que una pestaña SPFx inicia la sesión del usuario en el sitio de equipo, y a los dominios habituales de inicio de sesión de SharePoint y Microsoft 365. Por ello, la aplicación no muestra permisos de API que conceder en el centro de administración de Teams. Para agregarla a Teams, consulte KB10393. Cómo añadir Discussions a Microsoft Teams.

Qué sale del inquilino

No se envían temas, respuestas, adjuntos, imágenes, suscripciones ni listas de usuarios a Vitextra ni a terceros. El resumen para todos los productos de Vitextra, incluida la residencia de datos y el RGPD, está en KB10363. Dónde almacenan sus datos los productos de Vitextra: privacidad, residencia de datos y RGPD.

Dónde se concede el permiso de correo

Discussions no envía correos por diseño, por lo que no necesita Mail.Send ni un permiso de aplicación para enviar en nombre de un buzón. El elemento web mantiene Discussions Subscriptions y la columna Menciones; la entrega corresponde a un flujo de Power Automate que el propietario del sitio configura en su propio entorno. El flujo utiliza las conexiones de quien lo crea: SharePoint para leer las listas y Office 365 Outlook o un buzón compartido para enviar. El consentimiento para esas conexiones se concede en Power Automate, bajo las directivas de gobierno que su organización ya aplica a los flujos. El contrato entre las listas y el flujo se describe en KB10414. Cómo funcionan las notificaciones en Discussions: suscripciones, menciones y Power Automate.