Employee Directory Ievads
Vitextra Employee Directory risinājums neuztur savu darbinieku datubāzi. Cilvēki, profila atribūti, fotoattēli, vadītāji, Teams klātbūtne un brīvā/aizņemtā laika informācija tiek nolasīta no Microsoft 365 darbības laikā, izmantojot Microsoft Graph API. Šim nolūkam risinājuma pakotne pieprasa piecas Microsoft Graph atļaujas, kuras nomnieka administrators apstiprina vienu reizi.
Šajā rakstā ir uzskaitītas šīs atļaujas, paskaidrots, kam katra no tām tiek izmantota un kurai tīmekļa daļai tā ir vajadzīga, precīzi aprakstīts, ko lietotāji redz, ja atļauja nav apstiprināta, un parādīts, kā atļaujas apstiprināt un pārbaudīt to statusu. Raksts ir paredzēts SharePoint un Microsoft 365 administratoriem, kā arī drošības speciālistiem, kas novērtē produktu pirms izvietošanas.
Atļaujas
Pakotnē Vitextra Employee Directory ir trīs tīmekļa daļas — Employee Directory, Employee Directory (Entra ID) un New Employees —, un tā pieprasa vienu kopīgu atļauju kopu tām visām. Visas piecas ir deleģētās Microsoft Graph atļaujas:
| Atļauja | Kam tiek izmantota | Kur vajadzīga | Ja nav apstiprināta |
|---|---|---|---|
Directory.Read.All | Microsoft Entra direktorija lomu dalībnieku nolasīšana filtru redaktora nosacījumam Lietotāja lomas. Kopā ar User.Read.All tā ļauj arī nolasīt lietotāju kontus | Employee Directory (Entra ID), New Employees — tikai tad, ja filtrā ir nosacījums Lietotāja lomas | Nosacījums darbojas tā, it kā nevienam nebūtu atlasīto lomu. Kļūda netiek rādīta |
User.Read.All | Lietotāju kontu un to profila atribūtu nolasīšana un meklēšana, personas vadītājs un tiešie padotie, pierakstījušā lietotāja komanda, kā arī darbinieku fotoattēli | Visas trīs tīmekļa daļas; tīmekļa daļā Employee Directory ar avotu Lietotāja profili — tikai detalizētās informācijas rūts un ātrie filtri | Cilvēku sarakstu nevar ielādēt, un tiek parādīta kļūda (skatiet tālāk) |
Presence.Read.All | Microsoft Teams klātbūtnes indikators kartītēs, kolonna Statuss un ziņojums Ārpus biroja detalizētās informācijas rūtī | Visas trīs tīmekļa daļas | Cilvēki tiek rādīti bez klātbūtnes; kolonnā Statuss ir Bezsaistē |
Calendars.Read | Personas un pierakstījušā lietotāja šodienas brīvā/aizņemtā laika grafiks kopā ar personas laika joslu un darba stundām | Employee Directory, Employee Directory (Entra ID) — detalizētās informācijas rūts | Sadaļa Vietējais laiks, Darba stundas un Pieejamība netiek rādīta |
People.Read | To cilvēku saraksts, ar kuriem pierakstījies lietotājs strādā visbiežāk | Employee Directory, Employee Directory (Entra ID) — ātrais filtrs Cilvēki, ar kuriem strādāju | Cilne Cilvēki, ar kuriem strādāju netiek rādīta |
📝 Piezīme
Atļaujas Directory.Read.All un User.Read.All pārklājas: lietotāju kontu nolasīšanai Microsoft Graph pieņem jebkuru no tām. Tāpēc rindā User.Read.All aprakstītā kļūda rodas tad, ja nav apstiprināta neviena no tām, — tas ir parasts stāvoklis tūlīt pēc izvietošanas, kamēr visi pieci pieprasījumi vēl gaida apstiprinājumu. Apstipriniet abas atļaujas, kā to pieprasa pakotne.
Employee Directory datus tikai lasa. Tas neko neizveido, nemaina un neizdzēš pakalpojumos Microsoft Entra ID, Exchange Online, Teams vai SharePoint un nepieprasa nevienu atļauju, kuras nosaukumā ir Write.
Deleģētās, nevis lietojumprogrammas atļaujas
Visas piecas atļaujas ir deleģētās: katrs Microsoft Graph izsaukums tiek veikts no pierakstījušā lietotāja pārlūkprogrammas ar šim lietotājam izsniegtu marķieri. Tīmekļa daļām nav lietojumprogrammas (app-only) atļauju, nav pakalpojuma konta un nav savas servera daļas, kas lasītu jūsu direktoriju.
Lapas lasītājam tas nozīmē vienkāršu noteikumu: lietotājs pakalpojumā Employee Directory nekad neredz vairāk, nekā viņš tāpat varētu redzēt Microsoft 365. Microsoft Graph papildus deleģētajam tvērumam piemēro paša lietotāja tiesības, tāpēc tīmekļa daļa tikai parāda direktoriju, klātbūtni un brīvā/aizņemtā laika informāciju ērtākā veidā. Turklāt tīmekļa daļas izslēdz viesu kontus no saviem sarakstiem.
📝 Piezīme
Atļaujas netiek piešķirtas pašai Employee Directory pakotnei. SharePoint tās piešķir vienai Microsoft Entra ID lietojumprogrammai, ko tas izmanto visiem SPFx risinājumiem nomniekā, — SharePoint Online Web Client Extensibility (agrāk: SharePoint Online Client Extensibility Web Application Principal). Ja atļauja jau ir apstiprināta citam risinājumam, piemēram, Vitextra Organizational Chart, tiek izmantots tas pats piešķīrums, un pieprasījums vairs neparādās kā gaidošs. Tas pats apstiprinājums darbojas arī tad, kad tīmekļa daļas darbojas pakalpojumā Microsoft Teams.
Avots “Lietotāja profili” un SharePoint meklēšana
Tīmekļa daļa Employee Directory var nolasīt cilvēkus no diviem avotiem, kurus izvēlas tās iestatījumos:
- Entra ID (Azure AD) — saraksts, meklēšana un lapošana darbojas caur Microsoft Graph un ir atkarīgi no iepriekš minētajām atļaujām.
- Lietotāja profili — saraksts, meklēšana, precizētāji un kārtošana tiek iegūti no SharePoint meklēšanas (SharePoint meklēšanas pakalpojuma rezultāti par cilvēkiem), nevis no Microsoft Graph. Tie darbojas ar paša lietotāja SharePoint meklēšanas tiesībām ar parasto drošības filtrēšanu, un tiem nav vajadzīga neviena Microsoft Graph atļauja. Arī detalizētās informācijas rūts sadaļa Nesenie dokumenti izmanto SharePoint meklēšanu.
Pat ar avotu Lietotāja profili daži tīmekļa daļas elementi joprojām izsauc Microsoft Graph: fotoattēli, klātbūtne un ziņojums Ārpus biroja, sadaļas Vadītājs un Padotie un sadaļa Vietējais laiks, Darba stundas un Pieejamība detalizētās informācijas rūtī, kā arī ātrie filtri Mana komanda un Cilvēki, ar kuriem strādāju. Tie ir atkarīgi no tām pašām atļaujām kā režīmā Entra ID (Azure AD).
Tīmekļa daļas Employee Directory (Entra ID) un New Employees vienmēr izmanto Microsoft Graph.
💡 Padoms
Par atšķirībām starp abām direktorija tīmekļa daļām un to avotiem skatiet rakstu KB10310. Employee Directory vai Employee Directory (Entra ID): kuru tīmekļa daļu izvēlēties.
Ko lietotāji redz, ja atļaujas nav
Tīmekļa daļas ir veidotas tā, lai neobligātas atļaujas trūkums atspējotu tikai no tās atkarīgo funkciju. Precīza darbība pašreizējā versijā:
| Tīmekļa daļa / režīms | Trūkstošā atļauja | Ko redz lietotāji |
|---|---|---|
| Employee Directory (Entra ID) | User.Read.All (un Directory.Read.All) | Saraksta vietā — kļūdas ikona ar kļūdas tekstu, ko atgrieza Microsoft Graph; ja teksta nav — ziņojums Diemžēl radās problēmas. Lūdzu, atsvaidziniet lapu un mēģiniet vēlreiz. |
| Employee Directory, avots Entra ID (Azure AD) | User.Read.All (un Directory.Read.All) | Tā pati kļūda meklēšanas rezultātu vietā |
| Employee Directory, avots Lietotāja profili | User.Read.All (un Directory.Read.All) | Saraksts, meklēšana un precizētāji turpina darboties. Detalizētās informācijas rūtī netiek rādītas sadaļas Vadītājs un Padotie, un fotoattēli tiek ņemti no SharePoint, nevis no Microsoft Graph |
| New Employees | User.Read.All (un Directory.Read.All) | Kļūdas ikona ar ziņojumu Diemžēl radās problēmas. Lūdzu, atsvaidziniet lapu un mēģiniet vēlreiz., aiz kura seko Microsoft Graph atgrieztais kļūdas teksts |
| Employee Directory (Entra ID), New Employees | Directory.Read.All | Nosacījumam Lietotāja lomas ar operatoru Satur neatbilst neviens, bet nosacījumam ar operatoru Nesatur — visi. Kļūda netiek rādīta |
| Visas tīmekļa daļas | Presence.Read.All | Kartītēs nav klātbūtnes indikatora, kolonnā Statuss visiem ir Bezsaistē, un detalizētās informācijas rūtī nav ziņojuma Ārpus biroja |
| Employee Directory, Employee Directory (Entra ID) | Calendars.Read | Detalizētās informācijas rūts sadaļa Vietējais laiks, Darba stundas un Pieejamība netiek rādīta. Kļūda netiek rādīta |
| Employee Directory, Employee Directory (Entra ID) | People.Read | Cilne Cilvēki, ar kuriem strādāju ātro filtru joslā ir paslēpta. Pārējās cilnes turpina darboties |
❗ Svarīgi
Tīmekļa daļa Employee Directory (Entra ID) saglabā ielādētā saraksta kopiju pārlūkprogrammā un parāda to nākamajā apmeklējumā. Ja atļauja tiek atsaukta pēc tam, kad lietotāji jau ir atvēruši tīmekļa daļu, viņu pārlūkprogrammas turpina rādīt sarakstu no kešatmiņas, līdz kopija kļūst vecāka par 24 stundām vai lietotājs noklikšķina uz Atsvaidzināt; pēc tam parādās kļūda. Pārbaudot atļauju izmaiņas, notīriet vietnes datus pārlūkprogrammā vai izmantojiet privāto logu.
📝 Piezīme
Klātbūtnei un brīvā/aizņemtā laika informācijai ar atļauju vien nepietiek: lai personai būtu klātbūtnes statuss, tai jāizmanto Microsoft Teams, un lai būtu brīvā/aizņemtā laika grafiks, tai jābūt Exchange Online pastkastei. Plašāku informāciju par pieejamības sadaļu skatiet rakstā KB10317. Employee Directory: vietējais laiks, darba stundas un pieejamība, bet par ātrajiem filtriem — rakstā KB10214. Employee Directory ātrie filtri: mana nodaļa, mana komanda, cilvēki, ar kuriem strādāju, izlase.
Atļauju apstiprināšana
Atļauju pieprasījumi tiek izveidoti automātiski, kad Employee Directory pakotne tiek izvietota nomnieka lietotņu katalogā. Tos apstiprina SharePoint administrators vai globālais administrators:
- Atveriet SharePoint administrēšanas centru.
- Kreisajā navigācijā izvērsiet Papildu (Advanced) un atlasiet API piekļuve.
- Cilnē Gaidošie pieprasījumi (Pending requests) atrodiet pakotnes Vitextra Employee Directory pieprasījumus resursam Microsoft Graph —
Directory.Read.All,User.Read.All,Presence.Read.All,Calendars.ReadunPeople.Read. - Atlasiet katru pieprasījumu, noklikšķiniet uz Apstiprināt un apstipriniet.
Lietotāji neredz piekrišanas uzvedni: pēc apstiprināšanas tīmekļa daļas darbojas visiem nomniekā. Ja dažas minūtes pēc apstiprināšanas tīmekļa daļa joprojām rāda kļūdu, atsvaidziniet lapu.
💡 Padoms
Pilna procedūra, tostarp apstiprināšana ar PowerShell, daļēja apstiprināšana un atļauju atsaukšana, ir aprakstīta rakstā KB10360. Kā apstiprināt Microsoft Graph API atļaujas Vitextra risinājumiem SharePoint administrēšanas centrā.
Atļauju statusa pārbaude
Lai pārbaudītu, kuras atļaujas ir spēkā, SharePoint administrēšanas centrā atveriet Papildu › API piekļuve:
- Cilnē Apstiprinātie pieprasījumi (Approved requests) jābūt uzskaitītām visām piecām Microsoft Graph atļaujām. Tā kā piešķīrumi attiecas uz visu nomnieku, atļauja tur var būt norādīta pie citas pakotnes, kas to pieprasīja pirmā, — ar to pietiek.
- Jebkura atļauja, kas joprojām ir norādīta cilnē Gaidošie pieprasījumi, vēl nav spēkā; no tās atkarīgās funkcijas darbojas tā, kā aprakstīts sadaļā Ko lietotāji redz, ja atļaujas nav.
Atjauninot Employee Directory, iepriekš apstiprinātās atļaujas paliek apstiprinātas. Ja jaunā versija pieprasa papildu atļauju, tā parādās cilnē Gaidošie pieprasījumi, un tā jāapstiprina tādā pašā veidā.
Piezīmes drošības pārbaudei
Drošības pārbaudē parasti ir svarīgi šādi punkti:
- Visas piecas atļaujas ir deleģētās un paredzētas tikai lasīšanai. Employee Directory nekad neko neieraksta pakalpojumā Microsoft 365.
- Direktorija datus, fotoattēlus, klātbūtni un kalendāra informāciju lietotāja pārlūkprogramma pieprasa tieši no Microsoft Graph un SharePoint, un tie netiek nosūtīti ne Vitextra, ne trešajām personām.
- Avots Lietotāja profili nolasa cilvēkus, izmantojot SharePoint meklēšanu ar paša lietotāja tiesībām, un pašam sarakstam tam nav vajadzīga neviena Microsoft Graph atļauja.
- Izlase, kešatmiņā saglabātais darbinieku saraksts un Teams personiskās lietotnes noklusējuma konfigurācija tiek glabāti ārpus Microsoft Graph; kur tieši un kādus datus tīmekļa daļas nolasa, ir aprakstīts rakstā KB10469. Employee Directory: kādus datus tā nolasa un kur tiek glabāta izlase un iestatījumi.
- Vienīgie pieprasījumi Vitextra pakalpojumiem ir licences pārbaude un lietojuma telemetrija ar tehniskiem identifikatoriem; skatiet rakstu KB10363. Kur Vitextra produkti glabā jūsu datus: konfidencialitāte, datu atrašanās vieta un VDAR.
💡 Padoms
Par risinājuma instalēšanu skatiet rakstu KB10035. Kā instalēt Vitextra produktu pakalpojumā SharePoint Online. Par tīmekļa daļas pievienošanu lapai skatiet rakstu KB10309. Kā pievienot un konfigurēt Employee Directory tīmekļa daļu.
