Policy Acknowledgement Policy Acknowledgement хранит рабочие данные на сайте центра политик SharePoint. Режим записи определяет способ сохранения обычных подтверждений сотрудников. Он не переносит данные решения на другой сайт хранения.
Что хранится в центре политик
| Список или библиотека | Назначение |
|---|---|
Policies | Карточки политик, текущая версия и условия чтения. |
PolicyVersions | Метаданные версий и снимки документов, где они поддерживаются. |
PolicyCategories | Категории и их тексты подтверждения. |
PolicyCampaigns | Определения аудиторий, сроки и настройки напоминаний. |
PolicyAssignments | Назначения сотрудников и их текущее состояние. |
PolicyAcknowledgements | Подтверждения и другие события с цепочкой хешей. |
PolicyQuestions | Вопросы сотрудников, причины и ответы. |
PolicyNotificationLog | Хранилище журнала уведомлений. |
PolicyAuditLog | Административные события и события рабочего процесса. |
PolicySettings | Настройки продукта. |
PolicyRoleAssignments | Соответствия ролей и групп. |
Исходные документы остаются по настроенным URL. При публикации документа с тем же origin может сохраняться снимок в PolicyVersions; для внешних источников такой снимок и хеш содержимого не создаются.
Сравнение режимов записи
| Аспект | Direct | Service |
|---|---|---|
| Запись обычного подтверждения | Веб-часть записывает данные в SharePoint в сеансе сотрудника. | Веб-часть отправляет подтверждение подключённому сервису. |
| Разрешения сотрудников в матрице ролей | Внесение изменений в назначения и подтверждения. | Чтение этих двух списков. |
| Требуется ли отдельный сервис для этой записи | Нет. | Да, с работающим адресом и согласием. |
| Автоматические напоминания и обновление аудитории | Не предоставляются режимом Direct. | Зависят от реализации и работы подключённого сервиса. |
По умолчанию используется Direct. Выбор Service не устанавливает сервис и не проверяет все аспекты его работы.
Настройте и проверьте смену режима
- Откройте Уведомления в Policy Admin.
- Для режима Service заполните Адрес службы напоминаний, откройте согласие администратора и выполните Проверить согласие.
- Выберите нужный вариант в Кто создаёт записи об ознакомлении и сохраните.
- Откройте Роли и выберите Сохранить и применить права.
- Проверьте действующие разрешения SharePoint и протестируйте подтверждение под отдельной учётной записью сотрудника.
Сохранение режима не применяет разрешения повторно автоматически. Страница чтения блокирует обычную отправку, если в режиме Service нет URL или подтверждённого согласия; последующая недоступность сервиса приводит к ошибке отправки.
Проследите путь записи через приложение
Карточка, назначение и подтверждение — разные записи. Карточка описывает текущую политику, назначение — работу человека для версии и кампании, а подтверждение — событие доказательства. Квитанция показывает выбранные поля доказательства. После успешной отправки записи обычно согласованы, но их нельзя считать единым атомарным объектом.
При прямой записи приложение читает предыдущий хеш, добавляет подтверждение и обновляет назначение. При сервисной — отправляет данные на настроенную конечную точку и получает созданную запись. Позднее чтение или обновление может завершиться ошибкой даже после успешной ранней записи. Поэтому при расследовании нужно сравнить ссылку назначения и запись доказательства до просьбы сотруднику повторить попытку.
Смена режима меняет путь обычных подтверждений, а не расположение всех данных политик или каждую административную операцию. Она также не переписывает прежние события в новую модель доказательств. Сохраняйте исходные записи и проверяйте, как фактические разрешения и поведение сервиса поддерживают нужные требования защиты.
Разделите проверки при смене режима
| Проверка | Что проверить |
|---|---|
| Конфигурация | Сохранённые режим, конечная точка и согласие соответствуют нужной настройке. |
| Разрешения | Матрица продукта применена повторно, фактические права списков проверены. |
| Подтверждение сотрудника | Типичный сотрудник отправляет подтверждение и получает правильную квитанцию. |
| Согласованность назначения | Соответствующее назначение имеет нужный статус и ссылку доказательства. |
| Исключительный процесс | Уполномоченный оператор разрешает тестовое обращение, включая отдельный путь освобождения, если он используется. |
| Фоновая работа | Владелец сервиса демонстрирует необходимые задания и поведение доставки. |
Проводите проверки под учётными записями, представляющими рабочие роли. Тест только администратором синхронизации может скрывать сохранённый у него дополнительный полный доступ. Аналогично, успешный ответ согласия не подтверждает исправность всех серверных операций записи, планирования и доставки.
Рассматривайте целостность как часть защиты
Цепочка хешей связывает записи так, что изменение записи или отсутствие некоторых записей может вызвать несовпадение. Она не предоставляет независимую доверенную опись всего, что должно существовать. Для обнаружения удаления конца цепочки или замены всей цепочки могут потребоваться другие средства или сохранённые доказательства. Поэтому зелёный индикатор означает прохождение реализованных проверок согласованности загруженной цепочки.
Используйте результат вместе с разрешениями, доказательствами источника и версии и рабочими записями. Совпавший хеш не доказывает показ архивного файла, существование всех требуемых событий сотрудников или понимание текста. При несогласованности сохраните идентификаторы и исходные данные до исправлений; см. KB10533. Проверка целостности журнала подтверждений и KB10538. Устранение ошибок сохранения подтверждений и отсутствующих уведомлений.
Границы защиты подтверждающих записей
Событие содержит идентификационные сведения, данные политики и версии, время, текст подтверждения, данные условий чтения и хеши. Приложение проверяет цепочку хешей записей для обнаружения несоответствий. Это не абсолютная гарантия неизменяемости.
❗ Важно
Интерфейс описывает Service как режим, запрещающий прямую запись даже администраторам, однако текущий код синхронизации прав сохраняет полный доступ учётной записи, выполняющей синхронизацию. Повышенные и существующие разрешения также требуют проверки. Direct предоставляет сотрудникам права внесения изменений, а матрица не изолирует записи по сотрудникам. Нельзя утверждать, что все подтверждающие записи технически неизменяемы или что фильтрация веб-частей обеспечивает защиту отдельных записей.
События освобождения сейчас записываются напрямую в SharePoint даже в режиме Service. Этот путь может завершиться ошибкой для ответственного за соответствие, имеющего только права предусмотренной матрицы. См. KB10507. Как обрабатывать вопросы по политикам и освобождать сотрудников. Реализация отдельного сервиса не входит в проект веб-частей, поэтому разрешения приложения, фоновую обработку и меры защиты нужно проверить в реальном развёртывании.
