--- title: "API-machtigingen en beheerderstoestemming voor Discussions" description: "Naslag voor SharePoint-beheerders en beveiligingsbeoordelaars: Discussions vraagt geen Graph- of andere API-machtigingen en geen beheerderstoestemming aan, gebruikt SharePoint REST en CSOM namens de gebruiker en beschrijft installatie, Teams, externe gegevens en de afzonderlijke Power Automate-verbindingen." url: https://vitextra.com/nl/support/kb/10413 language: nl published: 2026-11-06 modified: 2026-11-06 products: - "Discussions" author: "Lidija Reising" tags: ["Discussions API-machtigingen", "beheerderstoestemming SPFx", "geen Microsoft Graph", "API-toegang SharePoint", "SharePoint REST gebruikerscontext", "beveiligingsbeoordeling", "Mail.Send niet nodig"] --- # API-machtigingen en beheerderstoestemming voor Discussions Naslag voor SharePoint-beheerders en beveiligingsbeoordelaars: Discussions vraagt geen Graph- of andere API-machtigingen en geen beheerderstoestemming aan, gebruikt SharePoint REST en CSOM namens de gebruiker en beschrijft installatie, Teams, externe gegevens en de afzonderlijke Power Automate-verbindingen. ## Overzicht Veel ::SharePoint:: Framework-oplossingen declareren Microsoft Graph-machtigingen die een tenantbeheerder moet goedkeuren op **API-toegang** in het ::SharePoint-beheercentrum::. [Discussions](https://vitextra.com/nl/products/discussions) doet dat niet. Het pakket declareert **geen aanvragen voor API-machtigingen**, registreert **geen toepassing** in ::Microsoft Entra ID:: en toont gebruikers of beheerders **geen toestemmingsvenster**. Alles wat de webonderdelen doen, zoals borden, onderwerpen, antwoorden, abonnementen, bijlagen en afbeeldingen lezen en schrijven en personen zoeken voor @vermeldingen, verloopt via de SharePoint-API’s (::REST:: en CSOM) van de ::site:: waarop het bord staat, namens de aangemelde gebruiker. Dit artikel legt deze feiten vast voor een beveiligingsbeoordeling, beschrijft wat een beheerder tijdens de installatie wel en niet ziet en noemt de beperkte gegevens die de ::tenant:: wel verlaten. Het importprogramma voor klassieke borden kan een andere site binnen dezelfde tenant lezen. Het herstelt oorspronkelijke auteurs en datums via SharePoint CSOM; andere inhoudsbewerkingen gebruiken REST. Alle aanroepen gebruiken de machtigingen van de aangemelde gebruiker. ## Overzicht voor beoordelaars | Vraag | Antwoord | |---|---| | Vraagt het pakket Microsoft Graph-machtigingen aan? | Nee | | Andere API-machtigingen, zoals ::Azure DevOps:: of aangepaste API’s? | Geen | | Vermeldingen op **API-toegang** na implementatie? | Geen; er valt niets goed te keuren of af te wijzen | | Eigen Microsoft Entra-app-registratie of service-principal? | Geen | | Vensters voor beheerders- of gebruikerstoestemming? | Geen | | Identiteit voor gegevenstoegang? | De aangemelde gebruiker, bij elke aanvraag | | Aangeroepen API’s? | Alleen de SharePoint-API’s (REST en CSOM) van SharePoint-sites | | ::Toepassingsmachtigingen:: (app-only), serviceaccounts of opgeslagen referenties? | Geen | | Inhoud verzonden naar Vitextra of derden? | Geen; alleen licentiecontrole en gebruikstelemetrie met technische identificatiegegevens | | Aangepaste scripts vereist op de site? | Nee | ## Wat de oplossing aanroept De webonderdelen gebruiken de HTTP-client van SharePoint Framework. Deze verstuurt elke aanvraag met de identiteit van de huidige gebruiker. SharePoint past de gebruikersmachtigingen toe op elke aanroep, net als bij lijstweergaven in **Site-inhoud**. De volgende eindpunten worden gebruikt: - **Lijsten en lijstitems** van de huidige site: om Discussions-lijsten te vinden aan de hand van hun markeringskolommen, deze bij het eerste gebruik te maken (voor die ene handeling is **Lijsten beheren** nodig) en borden, onderwerpen, antwoorden, abonnementen, vind-ik-leuks, rapporten en goedkeuringsstatussen te lezen en schrijven. - **Bijlagen bij lijstitems**: bestanden bij onderwerpen en antwoorden. - **Bestanden en mappen** van de ::documentbibliotheek:: `Discussions Assets`: afbeeldingen die de teksteditor in de tekst invoegt. - **De personenkiezerservice** van SharePoint: suggesties na het typen van `@` en het omzetten van de geselecteerde persoon naar een sitegebruiker. De standaardpersonenkiezer van SharePoint gebruikt dezelfde service; ::Microsoft Graph:: wordt niet aangeroepen. - **De gebruikersinformatielijst van de site**: auteursnamen en de id van de huidige gebruiker. Er gaan geen aanvragen naar Microsoft Graph, Exchange, Teams of andere Microsoft 365-services en het ::webonderdeel:: verzendt geen e-mail. Het volledige overzicht van lijsten en kolommen staat in [KB10411. Waar Discussions uw gegevens opslaat: lijsten, kolommen en privacy](https://vitextra.com/nl/support/kb/10411). 📝 **Opmerking** Omdat de eigen machtigingen van de gebruiker gelden, kan het webonderdeel niemand meer tonen dan SharePoint via de lijsten zou tonen: lezers zien goedgekeurde onderwerpen, moderators ook wachtende onderwerpen en gasten wat hun sitemachtigingen toestaan. Het rollenmodel staat in [KB10408. Machtigingen in Discussions: wie kan lezen, plaatsen en modereren](https://vitextra.com/nl/support/kb/10408). ## Wat de beheerder tijdens de installatie ziet 1\. Het pakket `vitextra.discussions.sppkg` wordt geüpload naar de tenantapp-catalogus of een ::app-catalogus:: voor een ::siteverzameling:: en ingeschakeld via **App inschakelen**. Het dialoogvenster toont het domein waarvandaan de scripts worden geladen en biedt **Toevoegen aan alle sites**. Er is geen machtigingensectie omdat het pakket geen machtigingen declareert. ![De app inschakelen in de app-catalogus](https://static.vitextra.com/articles/10413/enable-app-nl.png) *De app inschakelen in de app-catalogus* 2\. **API-toegang** (**SharePoint-beheercentrum → Geavanceerd → API-toegang**) blijft ongewijzigd. Onder **Aanvragen in behandeling** verschijnt geen aanvraag van *Vitextra Discussions* en er hoeft niets te worden goedgekeurd. Houdt uw organisatie goedgekeurde API-machtigingen bij, dan is de vermelding voor Discussions eenvoudigweg “geen aangevraagd”. ![API-toegang na implementatie van Discussions](https://static.vitextra.com/articles/10413/api-access-empty-nl.png) *API-toegang na implementatie van Discussions* 3\. Het webonderdeel wordt zoals elk ander webonderdeel aan een pagina toegevoegd. De eerste gebruiker met **Lijsten beheren** maakt het bord. Gebruikers zien nooit een toestemmingsvenster. Installeren en bijwerken gaat zoals bij alle Vitextra-producten: [KB10035. Een Vitextra-product installeren in SharePoint Online](https://vitextra.com/nl/support/kb/10035), [KB10050. Een Vitextra-SPFx-oplossing bijwerken in SharePoint Online](https://vitextra.com/nl/support/kb/10050) en [KB10361. App-catalogus van de tenant of van een siteverzameling: waar implementeert u Vitextra-apps?](https://vitextra.com/nl/support/kb/10361). De algemene procedure voor pakketten die *wel* machtigingen aanvragen staat in [KB10360. Microsoft Graph API-machtigingen voor Vitextra-oplossingen goedkeuren in het SharePoint-beheercentrum](https://vitextra.com/nl/support/kb/10360); voor Discussions hebt u dat artikel niet nodig. ❗ **Belangrijk** Verschijnt na een update toch een aanvraag van *Vitextra Discussions* op **API-toegang**, dan is deze gedeclareerd door een nieuwe versie. De releaseopmerkingen van die versie zullen dit vermelden. Versie 26.10.2 declareert geen aanvragen. ## De Microsoft Teams-app Ook het Teams-app-pakket dat de app-catalogus voor het tabblad en de persoonlijke app genereert, declareert geen Microsoft Graph-bereiken. Het manifest verwijst alleen naar ::SharePoint Online:: zelf, via het standaardmechanisme waarmee een SPFx-tabblad de gebruiker aanmeldt bij de ::teamsite::, en naar de gebruikelijke aanmeldingsdomeinen van SharePoint en ::Microsoft 365::. In het Teams-beheercentrum toont de app daarom geen API-machtigingen om te verlenen. Toevoegen aan Teams wordt beschreven in [KB10393. Discussions toevoegen aan Microsoft Teams](https://vitextra.com/nl/support/kb/10393). ## Wat de tenant verlaat | Doel | Wat wordt verzonden | Bestemming | |---|---|---| | **Productbestanden** | Een gewone browseraanvraag voor de scripts en pictogrammen van de webonderdelen | `static.vitextra.com` | | **Licentiecontrole** | De tenant-id, de object-id van de gebruiker, het siteadres en de identificatie, naam en versie van het product | `vitextra.com` | | **Gebruikstelemetrie** | Een gebeurtenis bij het laden van een webonderdeel (product en versie, site-id en -adres, object-id van de gebruiker, interfacetaal en of het in Teams wordt uitgevoerd) en technische foutgegevens | Azure Application Insights | Er worden geen onderwerpen, antwoorden, bijlagen, afbeeldingen, abonnementen of gebruikerslijsten naar Vitextra of derden verzonden. Het overzicht voor alle Vitextra-producten, inclusief gegevenslocatie en AVG, staat in [KB10363. Waar Vitextra-producten uw gegevens opslaan: privacy, gegevenslocatie en AVG](https://vitextra.com/nl/support/kb/10363). ## Waar de e-mailmachtiging wordt verleend Discussions verzendt bewust zelf geen e-mail en heeft dus geen *Mail.Send* of toepassingsmachtiging nodig om namens een postvak te verzenden. Het webonderdeel onderhoudt `Discussions Subscriptions` en de kolom **Vermeldingen**. De bezorging wordt verzorgd door een Power Automate-stroom die een site-eigenaar in de eigen omgeving instelt. Die stroom gebruikt de verbindingen van degene die hem maakt: de SharePoint-verbinding om lijsten te lezen en de Office 365 Outlook-verbinding of verbinding met een gedeeld postvak om te verzenden. Toestemming voor die verbindingen wordt gegeven in ::Power Automate::, binnen het beheerbeleid dat uw organisatie al voor stromen toepast. Het contract tussen de lijsten en de stroom staat in [KB10414. Hoe meldingen werken in Discussions: abonnementen, vermeldingen en Power Automate](https://vitextra.com/nl/support/kb/10414). 💡 **Tip** Voor de beveiligingsvragenlijst: “De oplossing is een SharePoint Framework-pakket dat geen aanvragen voor API-machtigingen declareert, geen eigen Entra ID-toepassing heeft, alleen de SharePoint-API’s (REST en CSOM) van de betreffende SharePoint-sites aanroept met de gedelegeerde identiteit van de aangemelde gebruiker, alle inhoud in lijsten op die site opslaat en alleen identificatiegegevens voor licenties en telemetrie naar de leverancier stuurt.” Elke uitspraak is te controleren in de app-catalogus, op **API-toegang** en in de netwerkregistratie van de browser.