Employee Directory Inleiding
Vitextra Employee Directory houdt geen eigen medewerkersdatabase bij. Personen, profielkenmerken, foto’s, managers, Teams-aanwezigheid en vrij/bezet-informatie worden tijdens het gebruik via de Microsoft Graph API uit Microsoft 365 gelezen. Het oplossingspakket vraagt hiervoor vijf Microsoft Graph-machtigingen aan, die een tenantbeheerder eenmaal goedkeurt.
Dit artikel beschrijft de machtigingen, waarvoor ze worden gebruikt en welke webonderdelen ze nodig hebben. Ook leest u precies wat gebruikers zien als een machtiging niet is goedgekeurd en hoe u machtigingen goedkeurt en controleert. Het artikel is bedoeld voor SharePoint- en Microsoft 365-beheerders en voor beveiligingsmedewerkers die het product vóór implementatie beoordelen.
De machtigingen
Het pakket Vitextra Employee Directory bevat drie webonderdelen: Employee Directory, Employee Directory (Entra ID) en New Employees. Voor alle drie wordt één gezamenlijke set machtigingen aangevraagd. Alle vijf zijn gedelegeerde Microsoft Graph-machtigingen:
| Machtiging | Gebruik | Nodig voor | Zonder goedkeuring |
|---|---|---|---|
Directory.Read.All | Leden van Microsoft Entra-directoryrollen lezen voor de voorwaarde Gebruikersrollen in de filtereditor. Dekt samen met User.Read.All ook het lezen van gebruikersaccounts | Employee Directory (Entra ID), New Employees, alleen bij een filtervoorwaarde Gebruikersrollen | Bij een ingesteld rollenfilter toont Employee Directory (Entra ID) een waarschuwing en kan het rollenlidmaatschap niet betrouwbaar controleren; New Employees toont een foutmelding. |
User.Read.All | Gebruikersaccounts en profielkenmerken lezen en doorzoeken; managers, direct ondergeschikten, het eigen team en medewerkersfoto’s lezen | Alle drie; bij Employee Directory met Gebruikersprofielen foto’s, het detailvenster en de snelfilters | De personenlijst kan niet worden geladen en er verschijnt een foutmelding (zie hieronder) |
Presence.Read.All | De Teams-aanwezigheidsindicator op kaarten, de kolom Status en de afwezigheidsmelding in het detailvenster | Alle drie | Personen verschijnen zonder aanwezigheidsindicator; Status toont Offline |
Calendars.Read | De vrij/bezet-planning van vandaag van de persoon en de aangemelde gebruiker, plus tijdzone en werkuren van de persoon | Employee Directory, Employee Directory (Entra ID), detailvenster | Het onderdeel met lokale tijd, werkuren en beschikbaarheid wordt niet getoond |
People.Read | De personen met wie de aangemelde gebruiker het meest samenwerkt | Employee Directory, Employee Directory (Entra ID), snelfilter voor personen met wie u samenwerkt | Het tabblad voor personen met wie u samenwerkt wordt niet getoond |
📝 Opmerking
Directory.Read.All en User.Read.All overlappen: Microsoft Graph accepteert beide voor het lezen van gebruikersaccounts. De fout uit de rij User.Read.All verschijnt dus als geen van beide is goedgekeurd. Dat is gewoonlijk direct na implementatie het geval, wanneer alle vijf aanvragen nog openstaan. Keur beide goed, zoals het pakket vraagt.
Employee Directory gebruikt deze machtigingen uitsluitend om directory-, profiel- en postvakgegevens in Microsoft Entra ID en Microsoft 365 te lezen. Het wijzigt deze gegevens niet en vraagt geen machtigingen met Write in de naam. Het opslaan van webonderdeelinstellingen op een SharePoint-pagina staat los van deze Microsoft Graph-machtigingen.
Gedelegeerde machtigingen, geen toepassingsmachtigingen
Alle vijf machtigingen zijn gedelegeerd. Iedere Microsoft Graph-aanroep komt uit de browser van de aangemelde gebruiker en gebruikt een token voor die gebruiker. De webonderdelen hebben geen toepassingsmachtigingen (app-only), geen serviceaccount en geen eigen back-end die uw directory leest.
Microsoft Graph beoordeelt de verleende gedelegeerde machtigingen samen met de rechten van de aangemelde gebruiker. De directory kan daarom andere personen tonen dan Outlook of Teams en is geen kopie van hun adresboeken.
📝 Opmerking
De machtigingen worden niet aan het pakket Employee Directory zelf verleend. SharePoint verleent ze aan één Microsoft Entra ID-toepassing voor alle SPFx-oplossingen in de tenant: SharePoint Online Web Client Extensibility (voorheen SharePoint Online Client Extensibility Web Application Principal). Een machtiging die al voor een andere oplossing, bijvoorbeeld Vitextra Organizational Chart, is goedgekeurd, wordt hergebruikt. De aanvraag verschijnt dan niet opnieuw als openstaand. Dezelfde goedkeuring geldt wanneer de webonderdelen in Microsoft Teams worden gebruikt.
De bron Gebruikersprofielen en SharePoint-zoekopdrachten
Het webonderdeel Employee Directory kan personen uit twee bronnen lezen. U kiest de bron in de instellingen:
- Entra ID (Azure AD): de lijst, zoekopdrachten en paginering gebruiken Microsoft Graph en de bovenstaande machtigingen.
- Gebruikersprofielen: de lijst, zoekopdrachten, verfijningsfilters en sortering gebruiken SharePoint-zoekopdrachten, namelijk de personenresultaten van de SharePoint-zoekservice. Ze werken met de eigen zoekrechten van de gebruiker en de gebruikelijke beveiligingsfilters. Hiervoor zijn geen Microsoft Graph-machtigingen nodig. Ook het onderdeel met recente documenten in het detailvenster gebruikt SharePoint-zoekopdrachten.
Ook bij Gebruikersprofielen gebruiken bepaalde functies Microsoft Graph: foto’s, aanwezigheid, de afwezigheidsmelding, de manager en direct ondergeschikten, lokale tijd, werkuren en beschikbaarheid in het detailvenster en de snelfilters voor het eigen team en personen met wie u samenwerkt. Deze functies vereisen dezelfde machtigingen als bij Entra ID (Azure AD).
De webonderdelen Employee Directory (Entra ID) en New Employees gebruiken altijd Microsoft Graph.
💡 Tip
Zie KB10310. Employee Directory en Employee Directory (Entra ID): welk webonderdeel kiest u? voor de verschillen tussen de twee webonderdelen en hun bronnen.
Wat gebruikers zien als een machtiging ontbreekt
Als een optionele machtiging ontbreekt, vervalt alleen de bijbehorende functie. De huidige versie werkt als volgt:
| Webonderdeel / modus | Ontbrekende machtiging | Wat gebruikers zien |
|---|---|---|
| Employee Directory (Entra ID) | User.Read.All (en Directory.Read.All) | Bij de eerste laadactie, zonder eerder geladen, niet-lege lijst: In plaats van de lijst verschijnt een foutpictogram met de fouttekst van Microsoft Graph. Zonder fouttekst verschijnt Er is iets misgegaan. Vernieuw de pagina en probeer het nogmaals. |
| Employee Directory, bron Entra ID (Azure AD) | User.Read.All (en Directory.Read.All) | Dezelfde foutmelding in plaats van zoekresultaten |
| Employee Directory, bron Gebruikersprofielen | User.Read.All (en Directory.Read.All) | De lijst, zoekopdrachten en verfijningsfilters blijven werken. Manager en direct ondergeschikten ontbreken in het detailvenster. Foto’s komen uit SharePoint in plaats van Microsoft Graph |
| New Employees | User.Read.All (en Directory.Read.All) | Een foutpictogram met Er is iets misgegaan. Vernieuw de pagina en probeer het nogmaals., gevolgd door de Microsoft Graph-fouttekst |
| Employee Directory (Entra ID), New Employees | Directory.Read.All | Bij een ingesteld rollenfilter toont Employee Directory (Entra ID) een waarschuwing en kan het rollenlidmaatschap niet betrouwbaar controleren; New Employees toont een foutmelding. |
| Alle webonderdelen | Presence.Read.All | Kaarten hebben geen aanwezigheidsindicator, Status toont overal Offline en het detailvenster toont geen afwezigheidsmelding |
| Employee Directory, Employee Directory (Entra ID) | Calendars.Read | Lokale tijd, werkuren en beschikbaarheid ontbreken in het detailvenster. Er verschijnt geen foutmelding |
| Employee Directory, Employee Directory (Entra ID) | People.Read | Het tabblad voor personen met wie u samenwerkt wordt verborgen. De andere snelfilters blijven werken |
❗ Belangrijk
Employee Directory (Entra ID) bewaart een kopie van de geladen lijst in de browser en toont deze bij een volgend bezoek. Zodra de kopie ouder is dan 24 uur, wordt deze op de achtergrond vernieuwd; Vernieuwen start ook een nieuwe aanvraag. Mislukt die aanvraag na het intrekken van een machtiging terwijl een eerder geladen, niet-lege lijst wordt getoond, dan blijven de lijst en de oorspronkelijke bijwerkdatum behouden. Er verschijnt een waarschuwing: De lijst kon niet worden bijgewerkt. De opgeslagen kopie wordt weergegeven., gevolgd door de fouttekst indien beschikbaar. De lijst wordt niet vervangen door een foutscherm. Dat verschijnt als het laden mislukt zonder een eerder geladen, niet-lege lijst. Wis bij het testen van machtigingswijzigingen de sitegegevens in de browser of gebruik een privévenster.
📝 Opmerking
Voor aanwezigheid en vrij/bezet-informatie is meer nodig dan alleen een machtiging. De persoon moet Microsoft Teams gebruiken voor een aanwezigheidsstatus en een Exchange Online-postvak hebben voor een vrij/bezet-planning. Zie KB10317. Employee Directory: lokale tijd, werkuren en beschikbaarheid en KB10214. Snelfilters in Employee Directory: Mijn afdeling, Mijn team, Mensen met wie ik samenwerk en Favorieten.
De machtigingen goedkeuren
De machtigingsaanvragen worden automatisch gemaakt wanneer het pakket Employee Directory in de tenant-appcatalogus wordt geïmplementeerd. Een Globale beheerder keurt ze goed:
- Open het SharePoint-beheercentrum.
- Vouw Geavanceerd uit in de linkernavigatie en selecteer API-toegang.
- Zoek onder Openstaande aanvragen de aanvragen voor Microsoft Graph van Vitextra Employee Directory:
Directory.Read.All,User.Read.All,Presence.Read.All,Calendars.ReadenPeople.Read. - Selecteer iedere aanvraag, klik op Goedkeuren en bevestig.
Gebruikers krijgen geen toestemmingsvraag. Na goedkeuring werken de webonderdelen voor iedereen in de tenant. Laad de pagina opnieuw als er enkele minuten na goedkeuring nog een foutmelding verschijnt.
💡 Tip
De volledige procedure, inclusief PowerShell, gedeeltelijke goedkeuring en het intrekken van machtigingen, staat in KB10360. Microsoft Graph API-machtigingen voor Vitextra-oplossingen goedkeuren in het SharePoint-beheercentrum.
De machtigingsstatus controleren
Open Geavanceerd › API-toegang in het SharePoint-beheercentrum om de verleende machtigingen te controleren:
- Onder Goedgekeurde aanvragen moeten alle vijf Microsoft Graph-machtigingen staan. Ze gelden voor de hele tenant en kunnen daarom onder een ander pakket staan dat ze eerder heeft aangevraagd. Dat is voldoende.
- Een machtiging onder Openstaande aanvragen is nog niet actief. Afhankelijke functies werken zoals beschreven bij Wat gebruikers zien als een machtiging ontbreekt.
Bij het bijwerken van Employee Directory blijven eerder goedgekeurde machtigingen behouden. Vraagt een nieuwe versie een aanvullende machtiging aan, dan verschijnt deze onder Openstaande aanvragen en moet u deze op dezelfde manier goedkeuren.
Aandachtspunten voor beveiligingsbeoordelingen
Voor een beveiligingsbeoordeling zijn doorgaans de volgende punten relevant:
- Alle vijf Microsoft Graph-machtigingen zijn gedelegeerd en geven alleen leestoegang; ze staan Employee Directory niet toe directory-, profiel- of postvakgegevens te wijzigen.
- De browser vraagt directorygegevens, foto’s, aanwezigheid en agendagegevens rechtstreeks op bij Microsoft Graph en SharePoint. Deze worden niet naar Vitextra of derden verzonden.
- Gebruikersprofielen leest personen via SharePoint-zoekopdrachten met de eigen rechten van de gebruiker. De lijst zelf vereist geen Microsoft Graph-machtiging.
- Favorieten, de gecachte medewerkerslijst en de standaardconfiguratie van de persoonlijke Teams-app worden buiten Microsoft Graph opgeslagen. Zie KB10469. Employee Directory: gelezen gegevens en opslag van favorieten en instellingen voor de opslaglocaties en de gelezen gegevens.
- Aanvragen naar Vitextra-services omvatten licentiecontroles, gebruikstelemetrie met technische identificatiegegevens en, indien gebruikt, opslag van de standaardconfiguratie van de persoonlijke Teams-app. Zie KB10363. Waar Vitextra-producten uw gegevens opslaan: privacy, gegevenslocatie en AVG.
💡 Tip
Zie KB10035. Een Vitextra-product installeren in SharePoint Online voor installatie en KB10309. Het webonderdeel Employee Directory toevoegen en configureren voor het toevoegen aan een pagina.
Meer informatie over het product: https://vitextra.com/nl/products/employee-directory
