Employee Directory Introducción
Vitextra Employee Directory no mantiene una base de datos propia de empleados. Lee personas, atributos de perfil, fotos, responsables, presencia de Teams e información de disponibilidad de Microsoft 365 durante su uso, mediante la API de Microsoft Graph. Para ello, el paquete solicita cinco permisos de Microsoft Graph que un administrador del inquilino aprueba una sola vez.
Este artículo enumera los permisos, explica para qué sirve cada uno y qué elementos web lo necesitan, describe lo que ven los usuarios cuando no está aprobado y muestra cómo aprobarlos y comprobar su estado. Está dirigido a administradores de SharePoint y Microsoft 365 y a quienes evalúan la seguridad del producto antes de implementarlo.
Los permisos
El paquete Vitextra Employee Directory contiene tres elementos web: Employee Directory, Employee Directory (Entra ID) y New Employees. Solicita un conjunto común de permisos para los tres. Los cinco son permisos delegados de Microsoft Graph:
| Permiso | Uso | Necesario para | Si no se aprueba |
|---|---|---|---|
Directory.Read.All | Leer miembros de roles de directorio de Microsoft Entra para la condición Funciones de usuario del editor de filtros. También permite leer cuentas de usuario, junto con User.Read.All | Employee Directory (Entra ID), New Employees, solo cuando el filtro utiliza Funciones de usuario | Si se configura un filtro por roles, Employee Directory (Entra ID) muestra una advertencia y no puede comprobar de forma fiable la pertenencia a roles; New Employees muestra un error. |
User.Read.All | Leer y buscar cuentas y atributos de perfil, responsables y subordinados directos, el equipo del usuario y fotos | Los tres elementos web; en Employee Directory con Perfiles de usuario, las fotos, el panel de detalles y los filtros rápidos | No se carga la lista y aparece un error (véase más abajo) |
Presence.Read.All | Indicador de presencia de Teams en las tarjetas, columna Estado y mensaje de ausencia en el panel de detalles | Los tres elementos web | Las personas aparecen sin presencia; Estado indica Desconectado |
Calendars.Read | Disponibilidad de hoy de la persona y del usuario conectado, zona horaria y horario laboral de la persona | Employee Directory, Employee Directory (Entra ID), panel de detalles | No se muestra la sección de hora local, horario laboral y disponibilidad |
People.Read | Lista de las personas con las que más colabora el usuario conectado | Employee Directory, Employee Directory (Entra ID), filtro rápido de colaboradores habituales | No se muestra la pestaña de colaboradores habituales |
📝 Nota
Directory.Read.All y User.Read.All se solapan: Microsoft Graph acepta cualquiera de ellos para leer cuentas. El error de la fila User.Read.All aparece cuando ninguno está aprobado, como suele suceder justo después de la implementación, con las cinco solicitudes pendientes. Apruebe ambos, tal como solicita el paquete.
Employee Directory utiliza estos permisos únicamente para leer datos del directorio, perfiles y buzones en Microsoft Entra ID y Microsoft 365. No modifica esos datos ni solicita permisos con Write en el nombre. Guardar la configuración del elemento web en una página de SharePoint es independiente de estos permisos de Microsoft Graph.
Permisos delegados, no de aplicación
Los cinco permisos son delegados: cada llamada a Microsoft Graph se realiza desde el navegador del usuario conectado, con un token emitido para él. Los elementos web no tienen permisos de aplicación (app-only), cuenta de servicio ni un servidor propio que lea el directorio.
Microsoft Graph evalúa los ámbitos delegados concedidos junto con los derechos del usuario conectado. Por ello, el directorio puede mostrar personas distintas de las visibles en Outlook o Teams; no es una copia de sus libretas de direcciones.
📝 Nota
Los permisos no se conceden al propio paquete Employee Directory. SharePoint los concede a una única aplicación de Microsoft Entra ID utilizada por todas las soluciones SPFx del inquilino: SharePoint Online Web Client Extensibility (antes SharePoint Online Client Extensibility Web Application Principal). Si ya se aprobó un permiso para otra solución, por ejemplo Vitextra Organizational Chart, se reutiliza y no vuelve a aparecer como pendiente. La misma aprobación cubre los elementos web ejecutados en Microsoft Teams.
El origen Perfiles de usuario y la búsqueda de SharePoint
El elemento web Employee Directory puede leer personas de dos orígenes seleccionables en su configuración:
- Entra ID (Azure AD): la lista, las búsquedas y la paginación utilizan Microsoft Graph y los permisos anteriores.
- Perfiles de usuario: la lista, las búsquedas, los refinadores y la ordenación proceden de la búsqueda de SharePoint, concretamente de sus resultados de personas. Funcionan con los derechos de búsqueda propios del usuario y el filtrado de seguridad habitual, sin permisos de Microsoft Graph. La sección de documentos recientes también utiliza la búsqueda de SharePoint.
Incluso con Perfiles de usuario, algunas funciones siguen utilizando Microsoft Graph: fotos, presencia, mensaje de ausencia, responsable y subordinados directos, hora local, horario laboral y disponibilidad del panel de detalles, y filtros rápidos del equipo propio y colaboradores habituales. Requieren los mismos permisos que en el modo Entra ID (Azure AD).
Employee Directory (Entra ID) y New Employees siempre utilizan Microsoft Graph.
💡 Consejo
Consulte KB10310. Employee Directory y Employee Directory (Entra ID): qué elemento web elegir para conocer las diferencias entre ambos elementos web y sus orígenes.
Qué ven los usuarios cuando falta un permiso
Cuando falta un permiso opcional, solo desaparece la función que depende de él. El comportamiento exacto de la versión actual es el siguiente:
| Elemento web / modo | Permiso que falta | Qué ven los usuarios |
|---|---|---|
| Employee Directory (Entra ID) | User.Read.All (y Directory.Read.All) | En la carga inicial, sin una lista no vacía cargada anteriormente: En lugar de la lista, un icono de error con el texto devuelto por Microsoft Graph. Si no hay texto, aparece Lo sentimos, pero algo fue mal. Actualice la página y vuelva a intentarlo. |
| Employee Directory, origen Entra ID (Azure AD) | User.Read.All (y Directory.Read.All) | El mismo error en lugar de los resultados |
| Employee Directory, origen Perfiles de usuario | User.Read.All (y Directory.Read.All) | La lista, las búsquedas y los refinadores siguen funcionando. No se muestran el responsable ni los subordinados directos en el panel de detalles; las fotos proceden de SharePoint |
| New Employees | User.Read.All (y Directory.Read.All) | Un icono con Lo sentimos, pero algo fue mal. Actualice la página y vuelva a intentarlo., seguido del error de Microsoft Graph |
| Employee Directory (Entra ID), New Employees | Directory.Read.All | Si se configura un filtro por roles, Employee Directory (Entra ID) muestra una advertencia y no puede comprobar de forma fiable la pertenencia a roles; New Employees muestra un error. |
| Todos los elementos web | Presence.Read.All | Las tarjetas no muestran presencia, Estado indica Desconectado para todos y no aparece el mensaje de ausencia |
| Employee Directory, Employee Directory (Entra ID) | Calendars.Read | No aparecen la hora local, el horario laboral ni la disponibilidad en el panel de detalles. No se muestra ningún error |
| Employee Directory, Employee Directory (Entra ID) | People.Read | Se oculta la pestaña de colaboradores habituales. Los demás filtros rápidos siguen funcionando |
❗ Importante
Employee Directory (Entra ID) conserva una copia de la lista cargada en el navegador y la muestra en la siguiente visita. Cuando la copia supera las 24 horas, se actualiza en segundo plano; Actualizar también inicia una nueva solicitud. Si esta falla tras revocar un permiso y ya se muestra una lista no vacía cargada anteriormente, se conservan la lista y su fecha de actualización original. Aparece la advertencia No se pudo actualizar la lista. Se muestra la copia guardada., seguida del texto del error si está disponible. La lista no se sustituye por una pantalla de error. Esta aparece si la carga falla sin una lista no vacía cargada anteriormente. Al probar cambios de permisos, borre los datos del sitio del navegador o utilice una ventana privada.
📝 Nota
La presencia y la disponibilidad requieren algo más que permisos: la persona debe utilizar Microsoft Teams para tener un estado de presencia y disponer de un buzón de Exchange Online para tener información de disponibilidad. Consulte KB10317. Employee Directory: hora local, horario laboral y disponibilidad y KB10214. Filtros rápidos de Employee Directory: Mi departamento, Mi equipo, Personas con las que trabajo y Favoritos.
Aprobar los permisos
Las solicitudes se crean automáticamente al implementar Employee Directory en el catálogo de aplicaciones del inquilino. Un Administrador global las aprueba:
- Abra el Centro de administración de SharePoint.
- Expanda Avanzado en la navegación izquierda y seleccione Acceso a API.
- En Solicitudes pendientes, busque las solicitudes de Microsoft Graph del paquete Vitextra Employee Directory:
Directory.Read.All,User.Read.All,Presence.Read.All,Calendars.ReadyPeople.Read. - Seleccione cada solicitud, pulse Aprobar y confirme.
No se pide consentimiento a los usuarios. Tras la aprobación, los elementos web funcionan para todo el inquilino. Si pasados unos minutos sigue apareciendo un error, vuelva a cargar la página.
💡 Consejo
El procedimiento completo, incluidos PowerShell, la aprobación parcial y la revocación, se describe en KB10360. Cómo aprobar los permisos de la API de Microsoft Graph para las soluciones de Vitextra en el centro de administración de SharePoint.
Comprobar el estado de los permisos
Abra Avanzado › Acceso a API en el Centro de administración de SharePoint para comprobar los permisos concedidos:
- Solicitudes aprobadas debe incluir los cinco permisos de Microsoft Graph. Como se conceden para todo el inquilino, pueden aparecer bajo otro paquete que los solicitó antes. Eso es suficiente.
- Los permisos que siguen en Solicitudes pendientes aún no están activos. Las funciones dependientes se comportan como se describe en Qué ven los usuarios cuando falta un permiso.
Al actualizar Employee Directory, se mantienen los permisos aprobados. Si una nueva versión solicita uno adicional, aparecerá en Solicitudes pendientes y deberá aprobarse de la misma manera.
Consideraciones para evaluaciones de seguridad
En una evaluación de seguridad suelen ser relevantes estos puntos:
- Los cinco permisos de Microsoft Graph son delegados y de solo lectura; no permiten a Employee Directory modificar datos del directorio, perfiles ni buzones.
- El navegador solicita datos del directorio, fotos, presencia y calendario directamente a Microsoft Graph y SharePoint. No los envía a Vitextra ni a terceros.
- Perfiles de usuario lee personas mediante la búsqueda de SharePoint con los derechos propios del usuario. La lista no requiere permisos de Microsoft Graph.
- Los favoritos, la lista en caché y la configuración predeterminada de la aplicación personal de Teams se almacenan fuera de Microsoft Graph. Consulte KB10469. Employee Directory: qué datos lee y dónde se guardan los favoritos y la configuración para conocer las ubicaciones y los datos leídos.
- Las solicitudes a servicios Vitextra incluyen comprobaciones de licencia, telemetría de uso con identificadores técnicos y, si se utiliza esta función, almacenamiento de la configuración predeterminada de la aplicación personal de Teams. Consulte KB10363. Dónde almacenan sus datos los productos de Vitextra: privacidad, residencia de datos y RGPD.
💡 Consejo
Para instalar la solución, consulte KB10035. Cómo instalar un producto Vitextra en SharePoint Online. Para añadir el elemento web a una página, consulte KB10309. Cómo agregar y configurar el elemento web Employee Directory.
Más información sobre el producto: https://vitextra.com/es/products/employee-directory
