Pārskats
Vairākas Vitextra tīmekļa daļas lasa datus, kas atrodas ārpus SharePoint vietnes: lietotāju profilus un vadītāju hierarhiju pakalpojumā Microsoft Entra ID, klātbūtnes statusu pakalpojumā Microsoft Teams, kalendārus, uzdevumus pakalpojumos Planner un To Do, failus pakalpojumā OneDrive. SharePoint Framework (SPFx) risinājumi šiem datiem piekļūst caur Microsoft Graph, un nomnieka administratoram tas vienreiz jāatļauj.
Mehānisms ir vienāds visiem SPFx risinājumiem: risinājuma pakotne deklarē nepieciešamās atļaujas, SharePoint pārvērš šo deklarāciju atļauju pieprasījumos, kad pakotne tiek izvietota lietotņu katalogā, un pieprasījumi gaida SharePoint administrēšanas centra lapā API piekļuve, līdz administrators tos apstiprina vai noraida.
Šajā rakstā ir paskaidrots, kuri Vitextra produkti pieprasa atļaujas un kāpēc, kā apstiprināt pieprasījumus, kā tos vēlāk pārskatīt un atsaukt un ko jūs redzat tīmekļa daļās, ja atļaujas trūkst. Raksts ir paredzēts SharePoint un globālajiem administratoriem, kuri instalē Vitextra produktus, un drošības speciālistiem, kuri pārskata šādus pieprasījumus.
📝 Piezīme
Rakstā ir aplūkoti tikai SPFx risinājumu API piekļuves pieprasījumi. Pašas pakotnes instalēšana ir aprakstīta rakstā KB10035. Kā instalēt Vitextra produktu pakalpojumā SharePoint Online.
Kas tiek pieprasīts un kāpēc
Visas atļaujas, ko pieprasa Vitextra produkti, ir deleģētās atļaujas: tās darbojas tikai pierakstījušā lietotāja kontekstā un nekad nedod tīmekļa daļai plašāku piekļuvi par to, kāda šim lietotājam jau ir pakalpojumā Microsoft 365. Tīmekļa daļa, kas rāda kolēģu sarakstu, parāda tieši tos cilvēkus un atribūtus, kurus lietotājs varētu atrast programmā Outlook vai Teams; tīmekļa daļa, kas rāda uzdevumus, parāda tā lietotāja uzdevumus, kurš atvēra lapu.
Tabulā ir uzskaitītas atļaujas, ko deklarē to produktu pašreizējās versijas, kuri izmanto Microsoft Graph.
| Produkts | API | Atļaujas | Izmantojums |
|---|---|---|---|
| Employee Directory | Microsoft Graph | User.Read.All, Directory.Read.All, People.Read, Presence.Read.All, Calendars.Read | Lietotāju profilu, nodaļu un vadītāju lasīšana; saistītās personas; Teams klātbūtnes statuss; aizņemtības statuss pieejamības indikatoram |
| Employee Details | Microsoft Graph | User.Read.All, User.ReadWrite, People.Read.All, Presence.Read.All, Files.Read.All, Sites.Read.All, Calendars.Read.Shared | Profilu lasīšana; iespēja lietotājam rediģēt sava profila laukus; saistītās personas; klātbūtnes statuss; dokumenti un vietnes, ar kurām persona nesen strādājusi (Microsoft Graph ieskati); kolēģu aizņemtības statuss darba laikam un pieejamībai |
| Organizational Chart | Microsoft Graph | User.Read.All, Directory.Read.All, Presence.Read.All | Pakļautības hierarhijas veidošana pēc atribūta Vadītājs; nodaļa un amats; Teams klātbūtnes statuss |
| Absence & Coverage | Microsoft Graph | User.Read.All | Darbinieku, viņu vadītāju un tiešo padoto noteikšana pieprasījumiem, apstiprinājumiem un aizvietošanai |
| My Tasks | Microsoft Graph | User.Read, User.ReadBasic.All, Tasks.ReadWrite | Uzdevumi no Planner, To Do un atzīmētajiem e-pasta ziņojumiem; uzdevumu autoru vārdi |
| My Tasks | Azure DevOps | user_impersonation | Avots Azure DevOps un tīmekļa daļa Azure DevOps Query |
| Password Vault | Microsoft Graph | Files.ReadWrite.AppFolder | Šifrētā seifa glabāšana lietotāja OneDrive lietojumprogrammas mapē |
Produkti, kas strādā tikai ar pašreizējo vietni — Announcements Carousel, List Filter Online, QR Code Generator, Questions & Answers, Quick Poll, RSS Reader, Smart Search un Smart Tiles —, nepieprasa nekādas API atļaujas. Lapā API piekļuve par tiem nekas neparādās.
📝 Piezīme
Atļaujas nosaukums, piemēram, Tasks.ReadWrite vai User.ReadWrite, ir Microsoft Graph tvēruma nosaukums, kas var būt plašāks par to, ko produkts ar to dara. My Tasks uzdevumus tikai lasa; Employee Details raksta tikai pierakstījušā lietotāja profila laukus. Katra atļauja ir sīkāk paskaidrota produktu rakstos: KB10235. Organizational Chart nepieciešamās Microsoft Graph atļaujas, KB10303. My Tasks: nepieciešamās atļaujas, konfidencialitāte un drošība.
No kurienes rodas pieprasījumi
Atļaujas pieprasījums tiek izveidots, kad .sppkg pakotne tiek izvietota nomnieka lietotņu katalogā. Pieprasījumi pieder pakotnei, nevis atsevišķām tīmekļa daļām, tāpēc risinājums, kurā ir divas tīmekļa daļas, rāda vienu pieprasījumu kopu, un atļauja, kas nepieciešama tikai neobligātai funkcijai (piemēram, My Tasks avotam Azure DevOps), tiek pieprasīta kopā ar pārējām.
Pārvaldības ziņā ir svarīgi divi punkti.
- Apstiprinājums attiecas uz visu nomnieku. SharePoint piešķir atļauju vienai Microsoft Entra ID lietojumprogrammai, ko tas izmanto visiem SPFx risinājumiem, — SharePoint Online Web Client Extensibility (agrāk: SharePoint Online Client Extensibility Web Application Principal). Kad User.Read.All ir apstiprināta produktam Employee Directory, to pašu piešķīrumu izmanto Organizational Chart un jebkurš cits SPFx risinājums nomniekā, kas to pieprasa. Tā darbojas SharePoint Framework; tas nav Vitextra projektēšanas lēmums.
- Izvietošana nav atkarīga no apstiprinājuma. Vitextra produktu var izvietot, pievienot vietnēm un ievietot lapās, kamēr tā pieprasījumi vēl gaida apstiprinājumu vai pat ir noraidīti. Nedarbojas tikai tās funkcijas, kas ir atkarīgas no trūkstošās atļaujas.
Priekšnosacījumi
- Vitextra pakotne ir augšupielādēta nomnieka lietotņu katalogā un izvietota (Iespējot lietotni).
- Jūs esat pierakstījies ar kontu, kuram ir SharePoint administratora vai globālā administratora loma. Vietņu kolekcijas administratori un lietotņu kataloga īpašnieki API piekļuvi apstiprināt nevar.
❗ Svarīgi
Lapā API piekļuve tiek rādīti to pakotņu pieprasījumi, kas izvietotas nomnieka lietotņu katalogā. Ja vēlaties izvietot Vitextra produktus no vietņu kolekcijas lietotņu kataloga, vispirms izvietojiet pakotni nomnieka lietotņu katalogā un apstipriniet pieprasījumus tur; apstiprinātās atļaujas attiecas uz visu nomnieku un pēc tam ir pieejamas arī kopijai vietņu kolekcijas lietotņu katalogā.
Pieprasījumu apstiprināšana
1. Atveriet Microsoft 365 administrēšanas centru un pārejiet uz SharePoint administrēšanas centru.
2. Kreisajā navigācijā izvērsiet Papildu (Advanced) un atlasiet API piekļuve.
3. Cilnē Gaidošie pieprasījumi (Pending requests) atrodiet Vitextra pakotnes pieprasījumus. Katrā rindā ir redzams pakotnes nosaukums (piemēram, Vitextra Employee Directory), API (Microsoft Graph vai Azure DevOps) un atļauja.
4. Atlasiet pieprasījumu un noklikšķiniet uz Apstiprināt. Izlasiet aprakstu panelī un apstipriniet ar Apstiprināt.
5. Atkārtojiet to katram pakotnes pieprasījumam. Atļauja, kas jau ir apstiprināta citam risinājumam, vairs neparādās: SharePoint izmanto esošo piešķīrumu.
6. Pārslēdzieties uz cilni Apstiprinātie pieprasījumi (Approved requests) un pārbaudiet, vai tajā ir uzskaitītas visas pakotnes atļaujas.
Lietotāji piekrišanas uzvedni neredz: pēc apstiprināšanas tīmekļa daļas darbojas visiem nomnieka lietotājiem. Piešķīrums parasti stājas spēkā dažu minūšu laikā; ja tīmekļa daļa joprojām ziņo par trūkstošu atļauju, ielādējiet lapu atkārtoti vai izrakstieties un pierakstieties vēlreiz, lai saņemtu jaunu marķieri.
💡 Padoms
Pieprasījumus var apstiprināt uzreiz visus ar SharePoint Online Management Shell: Get-SPOTenantServicePrincipalPermissionRequests parāda gaidošos pieprasījumus, un Approve-SPOTenantServicePrincipalPermissionRequest -RequestId <id> apstiprina vienu no tiem. Tas ir ērti, ja vienlaikus ieviešat vairākus Vitextra produktus.
Tikai daļas atļauju apstiprināšana
Jūs varat apstiprināt dažus pieprasījumus un noraidīt citus. Tīmekļa daļa turpina darboties, un tiek ietekmēta tikai attiecīgā funkcija:
- noraidīta Presence.Read.All — Employee Directory, Employee Details un Organizational Chart rāda cilvēkus bez Teams klātbūtnes indikatora;
- noraidīta Calendars.Read / Calendars.Read.Shared — netiek rādīta informācija par pieejamību un darba laiku;
- noraidīta Files.Read.All / Sites.Read.All — Employee Details nerāda nesen izmantotos failus un vietnes;
- noraidīta user_impersonation (Azure DevOps) — My Tasks avots Azure DevOps un tīmekļa daļa Azure DevOps Query nevar pierakstīties pakalpojumā Azure DevOps.
Ja tiek noraidīta produkta pamatatļauja (User.Read.All uz cilvēkiem orientētajiem produktiem, Tasks.ReadWrite produktam My Tasks, Files.ReadWrite.AppFolder produktam Password Vault), tīmekļa daļa paliek bez datiem.
Ko lietotāji redz, ja atļaujas trūkst
| Simptoms | Iespējamais cēlonis |
|---|---|
| Tīmekļa daļa rāda kļūdu par liegtu piekļuvi, nepietiekamām tiesībām vai trūkstošu piekrišanu | Pamatatļauja gaida apstiprinājumu vai ir noraidīta |
| Darbinieki ir uzskaitīti, bet trūkst krāsainā klātbūtnes punkta | Presence.Read.All nav apstiprināta |
| Organizācijas shēma ir tukša vai rāda tikai pašreizējo lietotāju | User.Read.All vai Directory.Read.All nav apstiprināta |
| My Tasks nerāda neko no Planner, To Do un Outlook, bet SharePoint avots darbojas | Tasks.ReadWrite nav apstiprināta |
| Viss darbojās, bet pēc atjaunināšanas viena funkcija pārstāja darboties | Jaunā versija pieprasa papildu atļauju, kas vēl gaida apstiprinājumu |
Atveriet lapu API piekļuve un salīdziniet cilnes Gaidošie pieprasījumi un Apstiprinātie pieprasījumi ar tabulu šī raksta sākumā.
Atjauninājumi un jaunas atļaujas
Kad augšupielādējat jaunu pakotnes versiju (skatiet KB10050. Kā atjaunināt Vitextra SPFx risinājumu pakalpojumā SharePoint Online), agrāk apstiprinātās atļaujas paliek apstiprinātas. Ja jaunā versija deklarē atļauju, kuras iepriekšējā versijā nebija, jaunais pieprasījums parādās cilnē Gaidošie pieprasījumi, un tas jāapstiprina tāpat. Vitextra šādas izmaiņas norāda produkta laidiena piezīmēs.
Atļauju pārskatīšana un atsaukšana
Tā kā piešķīrumus kopīgi izmanto visi SPFx risinājumi, Vitextra produkta noņemšana neatsauc tā pieprasītās atļaujas. Lai atsauktu atļauju:
- Atveriet API piekļuve un pārslēdzieties uz cilni Apstiprinātie pieprasījumi.
- Atlasiet atļauju un noklikšķiniet uz Noņemt.
- Apstipriniet.
❗ Svarīgi
Pirms noņemat atļauju, pārbaudiet, vai no tās nav atkarīgs cits nomnieka risinājums — tajā pašā cilnē parādās jūsu pašu SPFx tīmekļa daļas, citu ražotāju produkti un Microsoft iepriekš autorizētās atļaujas. Ja noņemsiet atļauju, ko izmanto cits risinājums, tas nekavējoties pārstās darboties.
Noraidītu pieprasījumu var apstiprināt vēlāk: noraidītie pieprasījumi paliek cilnē Gaidošie pieprasījumi, līdz pakotne tiek noņemta no lietotņu kataloga. Ja pieprasījums ir pazudis, pakotnes atkārtota izvietošana lietotņu katalogā to izveido no jauna.
Drošības piezīmes pārskatītājiem
- Katrs Microsoft Graph izsaukums tiek veikts no pierakstījušā lietotāja pārlūkprogrammas ar šim lietotājam izsniegtu marķieri. Vitextra tīmekļa daļām nav lietojumprogrammas (app-only) atļauju un nav pakalpojuma konta.
- Microsoft Graph papildus deleģētajam tvērumam piemēro paša lietotāja atļaujas: lietotājs, kas ir paslēpts no adrešu grāmatas, vai nomnieks, kas ierobežo People API, tīmekļa daļās tiek atspoguļots tāpat kā programmā Outlook.
- Vitextra netiek sūtīti nekādi direktorija dati, uzdevumu dati vai faili. Vienīgie pieprasījumi Vitextra pakalpojumiem ir licences pārbaude un lietošanas telemetrija ar tehniskajiem identifikatoriem; skatiet KB10363. Kur Vitextra produkti glabā jūsu datus: konfidencialitāte, datu atrašanās vieta un VDAR.
