Discussions Overzicht
Veel SharePoint Framework-oplossingen declareren Microsoft Graph-machtigingen die een tenantbeheerder moet goedkeuren op API-toegang in het SharePoint-beheercentrum. Discussions doet dat niet. Het pakket declareert geen aanvragen voor API-machtigingen, registreert geen toepassing in Microsoft Entra ID en toont gebruikers of beheerders geen toestemmingsvenster. Alles wat de webonderdelen doen, zoals borden, onderwerpen, antwoorden, abonnementen, bijlagen en afbeeldingen lezen en schrijven en personen zoeken voor @vermeldingen, verloopt via de SharePoint-API’s (REST en CSOM) van de site waarop het bord staat, namens de aangemelde gebruiker.
Dit artikel legt deze feiten vast voor een beveiligingsbeoordeling, beschrijft wat een beheerder tijdens de installatie wel en niet ziet en noemt de beperkte gegevens die de tenant wel verlaten.
Het importprogramma voor klassieke borden kan een andere site binnen dezelfde tenant lezen. Het herstelt oorspronkelijke auteurs en datums via SharePoint CSOM; andere inhoudsbewerkingen gebruiken REST. Alle aanroepen gebruiken de machtigingen van de aangemelde gebruiker.
Overzicht voor beoordelaars
| Vraag | Antwoord |
|---|---|
| Vraagt het pakket Microsoft Graph-machtigingen aan? | Nee |
| Andere API-machtigingen, zoals Azure DevOps of aangepaste API’s? | Geen |
| Vermeldingen op API-toegang na implementatie? | Geen; er valt niets goed te keuren of af te wijzen |
| Eigen Microsoft Entra-app-registratie of service-principal? | Geen |
| Vensters voor beheerders- of gebruikerstoestemming? | Geen |
| Identiteit voor gegevenstoegang? | De aangemelde gebruiker, bij elke aanvraag |
| Aangeroepen API’s? | Alleen de SharePoint-API’s (REST en CSOM) van SharePoint-sites |
| Toepassingsmachtigingen (app-only), serviceaccounts of opgeslagen referenties? | Geen |
| Inhoud verzonden naar Vitextra of derden? | Geen; alleen licentiecontrole en gebruikstelemetrie met technische identificatiegegevens |
| Aangepaste scripts vereist op de site? | Nee |
Wat de oplossing aanroept
De webonderdelen gebruiken de HTTP-client van SharePoint Framework. Deze verstuurt elke aanvraag met de identiteit van de huidige gebruiker. SharePoint past de gebruikersmachtigingen toe op elke aanroep, net als bij lijstweergaven in Site-inhoud. De volgende eindpunten worden gebruikt:
- Lijsten en lijstitems van de huidige site: om Discussions-lijsten te vinden aan de hand van hun markeringskolommen, deze bij het eerste gebruik te maken (voor die ene handeling is Lijsten beheren nodig) en borden, onderwerpen, antwoorden, abonnementen, vind-ik-leuks, rapporten en goedkeuringsstatussen te lezen en schrijven.
- Bijlagen bij lijstitems: bestanden bij onderwerpen en antwoorden.
- Bestanden en mappen van de documentbibliotheek
Discussions Assets: afbeeldingen die de teksteditor in de tekst invoegt. - De personenkiezerservice van SharePoint: suggesties na het typen van
@en het omzetten van de geselecteerde persoon naar een sitegebruiker. De standaardpersonenkiezer van SharePoint gebruikt dezelfde service; Microsoft Graph wordt niet aangeroepen. - De gebruikersinformatielijst van de site: auteursnamen en de id van de huidige gebruiker.
Er gaan geen aanvragen naar Microsoft Graph, Exchange, Teams of andere Microsoft 365-services en het webonderdeel verzendt geen e-mail. Het volledige overzicht van lijsten en kolommen staat in KB10411. Waar Discussions uw gegevens opslaat: lijsten, kolommen en privacy.
📝 Opmerking
Omdat de eigen machtigingen van de gebruiker gelden, kan het webonderdeel niemand meer tonen dan SharePoint via de lijsten zou tonen: lezers zien goedgekeurde onderwerpen, moderators ook wachtende onderwerpen en gasten wat hun sitemachtigingen toestaan. Het rollenmodel staat in KB10408. Machtigingen in Discussions: wie kan lezen, plaatsen en modereren.
Wat de beheerder tijdens de installatie ziet
1. Het pakket vitextra.discussions.sppkg wordt geüpload naar de tenantapp-catalogus of een app-catalogus voor een siteverzameling en ingeschakeld via App inschakelen. Het dialoogvenster toont het domein waarvandaan de scripts worden geladen en biedt Toevoegen aan alle sites. Er is geen machtigingensectie omdat het pakket geen machtigingen declareert.
2. API-toegang (SharePoint-beheercentrum → Geavanceerd → API-toegang) blijft ongewijzigd. Onder Aanvragen in behandeling verschijnt geen aanvraag van Vitextra Discussions en er hoeft niets te worden goedgekeurd. Houdt uw organisatie goedgekeurde API-machtigingen bij, dan is de vermelding voor Discussions eenvoudigweg “geen aangevraagd”.
3. Het webonderdeel wordt zoals elk ander webonderdeel aan een pagina toegevoegd. De eerste gebruiker met Lijsten beheren maakt het bord. Gebruikers zien nooit een toestemmingsvenster.
Installeren en bijwerken gaat zoals bij alle Vitextra-producten: KB10035. Een Vitextra-product installeren in SharePoint Online, KB10050. Een Vitextra-SPFx-oplossing bijwerken in SharePoint Online en KB10361. App-catalogus van de tenant of van een siteverzameling: waar implementeert u Vitextra-apps?. De algemene procedure voor pakketten die wel machtigingen aanvragen staat in KB10360. Microsoft Graph API-machtigingen voor Vitextra-oplossingen goedkeuren in het SharePoint-beheercentrum; voor Discussions hebt u dat artikel niet nodig.
❗ Belangrijk
Verschijnt na een update toch een aanvraag van Vitextra Discussions op API-toegang, dan is deze gedeclareerd door een nieuwe versie. De releaseopmerkingen van die versie zullen dit vermelden. Versie 26.10.2 declareert geen aanvragen.
De Microsoft Teams-app
Ook het Teams-app-pakket dat de app-catalogus voor het tabblad en de persoonlijke app genereert, declareert geen Microsoft Graph-bereiken. Het manifest verwijst alleen naar SharePoint Online zelf, via het standaardmechanisme waarmee een SPFx-tabblad de gebruiker aanmeldt bij de teamsite, en naar de gebruikelijke aanmeldingsdomeinen van SharePoint en Microsoft 365. In het Teams-beheercentrum toont de app daarom geen API-machtigingen om te verlenen. Toevoegen aan Teams wordt beschreven in KB10393. Discussions toevoegen aan Microsoft Teams.
Wat de tenant verlaat
| Doel | Wat wordt verzonden | Bestemming |
|---|---|---|
| Productbestanden | Een gewone browseraanvraag voor de scripts en pictogrammen van de webonderdelen | static.vitextra.com |
| Licentiecontrole | De tenant-id, de object-id van de gebruiker, het siteadres en de identificatie, naam en versie van het product | vitextra.com |
| Gebruikstelemetrie | Een gebeurtenis bij het laden van een webonderdeel (product en versie, site-id en -adres, object-id van de gebruiker, interfacetaal en of het in Teams wordt uitgevoerd) en technische foutgegevens | Azure Application Insights |
Er worden geen onderwerpen, antwoorden, bijlagen, afbeeldingen, abonnementen of gebruikerslijsten naar Vitextra of derden verzonden. Het overzicht voor alle Vitextra-producten, inclusief gegevenslocatie en AVG, staat in KB10363. Waar Vitextra-producten uw gegevens opslaan: privacy, gegevenslocatie en AVG.
Waar de e-mailmachtiging wordt verleend
Discussions verzendt bewust zelf geen e-mail en heeft dus geen Mail.Send of toepassingsmachtiging nodig om namens een postvak te verzenden. Het webonderdeel onderhoudt Discussions Subscriptions en de kolom Vermeldingen. De bezorging wordt verzorgd door een Power Automate-stroom die een site-eigenaar in de eigen omgeving instelt. Die stroom gebruikt de verbindingen van degene die hem maakt: de SharePoint-verbinding om lijsten te lezen en de Office 365 Outlook-verbinding of verbinding met een gedeeld postvak om te verzenden. Toestemming voor die verbindingen wordt gegeven in Power Automate, binnen het beheerbeleid dat uw organisatie al voor stromen toepast. Het contract tussen de lijsten en de stroom staat in KB10414. Hoe meldingen werken in Discussions: abonnementen, vermeldingen en Power Automate.
💡 Tip
Voor de beveiligingsvragenlijst: “De oplossing is een SharePoint Framework-pakket dat geen aanvragen voor API-machtigingen declareert, geen eigen Entra ID-toepassing heeft, alleen de SharePoint-API’s (REST en CSOM) van de betreffende SharePoint-sites aanroept met de gedelegeerde identiteit van de aangemelde gebruiker, alle inhoud in lijsten op die site opslaat en alleen identificatiegegevens voor licenties en telemetrie naar de leverancier stuurt.” Elke uitspraak is te controleren in de app-catalogus, op API-toegang en in de netwerkregistratie van de browser.
