Segurança da hierarquia para controlar o acesso

O modelo de segurança da hierarquia é uma extensão para os modelos de segurança existentes que usam unidades de negócios, direitos de acesso, compartilhamentos e equipes. Ele pode ser usado com todos os outros modelos de segurança existentes. A segurança de hierarquia oferece um acesso mais granular aos registros para uma organização e a ajuda a diminuir os custos de manutenção.

Por exemplo, em cenários complexos, pode começar com a criação de várias unidades de negócios e adicionar a segurança da hierarquia. Esta segurança adicionada fornece acesso mais granular aos dados com menores custos de manutenção que um grande número de unidades empresariais pode exigir.

Modelos de segurança de hierarquia de gerentes e de hierarquia de posições

Dois modelos de segurança podem ser usados para hierarquias, a hierarquia de gerente e a hierarquia da posição. Com a hierarquia de gerentes, para ter acesso aos dados de um relatório, um gerente deve estar na mesma unidade de negócios que o relatório ou na unidade de negócios pai da unidade de negócios do relatório. A hierarquia de cargo permite acesso aos dados nas unidades de negócios. Se você for uma organização financeira, pode preferir o modelo da hierarquia de gerente para evitar que os gerentes acessem dados fora de suas unidades de negócios. Entretanto, se você faz parte de uma organização do serviço de atendimento ao cliente e deseja que os gerentes acessem os casos de serviços tratados em unidades de negócios diferentes, a hierarquia da posição poderá funcionar melhor para você.

Hierarquia de gerentes

O modelo de segurança da hierarquia do gerente é baseado na cadeia de gerenciamento ou estrutura de subordinação direta, onde o relacionamento do gerente e do subordinado direto é estabelecido usando o campo Gerente na tabela de usuário do sistema. Com este modelo de segurança, os gerentes podem acessar os dados aos quais seus subordinados têm acesso. Eles podem executar o trabalho em nome de seus subordinados diretos ou acessar as informações que precisam de aprovação.

Para um subordinado indireto na mesma cadeia de gerenciamento do gerente, o gerente tem acesso somente leitura aos dados do subordinado indireto. Para um relatório direto, o gerente terá acesso de Leitura, Gravação, Anexar, Anexar a para os dados do relatório. Para ilustrar o modelo de segurança da hierarquia do gerente, vamos ver o diagrama a seguir. O CEO pode ler ou atualizar os dados do VP de Vendas e os dados do VP de Serviço. Entretanto, o CEO só pode ler dados do gerente de vendas e os dados do gerente de serviço, bem como os dados de vendas e suporte. Você pode limitar ainda mais a quantidade de dados acessíveis por um gerente com profundidade. A profundidade é usada para limitar quantos níveis de profundidade um gerente possui acesso somente leitura aos dados de seus relatórios. Por exemplo, se a profundidade é definida como 2, o CEO pode ver os dados do VP de Vendas, VP de Serviço e gerentes de vendas e serviços. Entretanto, o CEO não verá os dados de vendas ou dados de suporte.

É importante observar que, se o subordinado direto tiver acesso de segurança mais amplo a uma tabela do que o gerente, esse gerente não poderá ver todos os registros aos quais o subordinado direto tem acesso. O exemplo a seguir ilustra esse ponto.

• Uma unidade de negócios simples tem três usuários: Usuário 1, Usuário 2 e Usuário 3.

• O Usuário 2 é um relatório direto do Usuário 1.

• O Usuário 1 e o Usuário 3 têm acesso de leitura em nível de usuário na tabela Account. Esse nível fornece ao usuário acesso aos registros que ele possui, aos registros que são compartilhados com o usuário e aos registros que são compartilhados com a equipe da qual for membro.

• O Usuário 2 tem acesso de leitura ao nível de unidade de negócios na tabela Conta. Este acesso permite que o Usuário 2 visualize as contas da unidade de negócios, incluindo todas as contas do Usuário 1 e do Usuário 3.

• O Usuário 1, como gerente direto do Usuário 2, tem acesso às contas de propriedade de ou compartilhadas com o Usuário 2, incluindo contas compartilhadas com ou de propriedade de outras equipes do Usuário 2. No entanto, o Usuário 1 não tem acesso às contas do Usuário 3, embora seu subordinado direto possa ter acesso às contas do Usuário 3.

Hierarquia de cargos

A hierarquia da posição não é baseada na estrutura de reportes diretos, como a hierarquia gerencial. Um usuário não precisa ser um gerente real de outro usuário para acessar os dados do usuário. Como administrador, você define várias posições de trabalho na organização e as organiza na hierarquia de posições. Em seguida, você adiciona usuários em qualquer posição ou, vamos dizer, marca um usuário com uma posição específica. Um usuário pode ser marcado apenas com um cargo em uma determinada hierarquia; entretanto, um cargo pode ser usado para vários usuários. Os usuários em cargos mais elevados na hierarquia têm acesso aos dados de usuários em cargos mais baixos, no caminho de ancestrais diretos. Os cargos mais elevados têm acesso de Leitura, Gravação, Anexar e Vincular para os dados de cargos mais baixos no caminho hierárquico direto. Os cargos superiores indiretos têm acesso somente leitura aos dados dos cargos inferiores na linha de sucessão direta.

Para ilustrar o conceito de caminho do ancestral direto, vamos observar o diagrama a seguir. A posição de gerente de vendas tem acesso aos dados de vendas; entretanto, não tem acesso aos dados de suporte, que estão em um caminho hierárquico diferente. O mesmo ocorre para a posição de gerente de serviço. Não tem acesso aos dados de vendas, que estão no diretório de vendas. Como na hierarquia de gerente, é possível limitar a quantidade de dados acessíveis por posições mais elevadas com profundidade. O limite de profundidade determina quantos níveis uma posição superior tem acesso somente leitura aos dados das posições inferiores no caminho de antepassados diretos. Por exemplo, se a profundidade é definida como 3, a posição de CEO poderá ver todos os dados desde as posições de VP de Vendas e VP de Serviço até as posições de vendas e suporte.

Configurar a segurança da hierarquia

Para configurar a segurança da hierarquia, verifique se você tem a permissão de Administrador do Sistema para atualizar a configuração.

• Siga as etapas em Exibir seu perfil de usuário.
• Não possui as permissões corretas? Entre em contato com o administrador do sistema.

A segurança da hierarquia é desabilitada por padrão. Para habilitar a segurança da hierarquia, conclua as etapas a seguir.

1. Entre no centro de administração do Power Platform como administrador (administrador Dynamics 365 ou administrador Microsoft Power Platform).

2. No painel de navegação, selecione Gerenciar.

3. No painel Gerenciar, selecione Ambientes e, em seguida, selecione um ambiente na lista.

4. Vá para Configurações>Usuários + Permissões>Segurança de hierarquia.

5. Em Modelo de Hierarquia, selecione Ativar Modelo de Hierarquia de Gerente ou Ativar Modelo de Hierarquia de Posição dependendo de suas necessidades.

   Importante

   Para fazer as alterações na Segurança da hierarquia, você deve ter privilégios Alterar configurações de segurança da hierarquia.

   Na área Gerenciamento de Tabelas Hierárquicas, todas as tabelas do sistema são ativadas para segurança da hierarquia, por padrão, mas é possível excluir tabelas seletivas da hierarquia. Para excluir tabelas específicas do modelo de hierarquia, desmarque as caixas de seleção das tabelas que deseja excluir e salvar suas alterações.

   

6. Defina a Profundidade para um valor desejado a fim de limitar a quantidade de níveis a que um gerente terá acesso apenas de leitura aos dados dos seus relatórios.

   Por exemplo, se a profundidade for igual a 2, um gerente só poderá acessar suas próprias contas e as contas dos relatórios até dois níveis abaixo. No nosso exemplo, se você entrar nos aplicativos do Customer Engagement como um VP de Vendas não administrador, você verá apenas as contas ativas dos usuários, conforme mostrado:

   

   Observação

   Embora a segurança hierárquica conceda acesso ao VP de Vendas aos registros no retângulo vermelho, acessos adicionais podem estar disponíveis dependendo da função de segurança que o VP de Vendas possui.

Configurar hierarquias de gestão e de funções

A hierarquia do gerente é criada com facilidade usando o relacionamento do gerente no registro do usuário do sistema. Use o campo de pesquisa do Gerente (ParentsystemuserID) para especificar o gerente do usuário. Se você criou a hierarquia de cargo, você também pode marcar o usuário com um determinado cargo na hierarquia de cargos. No exemplo a seguir, o vendedor responde ao gerente de vendas na hierarquia do gerente e também tem a posição de vendas na hierarquia de posição.

Para adicionar um usuário a uma posição específica em uma hierarquia de posição, use o campo de pesquisa chamado Posição no formulário de registro do usuário:

Para alterar a posição no formulário de registro de usuário, na barra de navegação, selecione Mais (…) e escolha uma posição diferente.

Para criar uma hierarquia de cargos:

1. Selecione um ambiente e vá para Configurações>Usuários + Permissões>Cargos.

   Para cada cargo, forneça o nome do cargo, o principal do cargo e a descrição. Adicione usuários ao cargo usando o campo de pesquisa chamado Usuários neste cargo. A imagem a seguir é um exemplo de hierarquia da posição com as posições ativas.

   

   O exemplo de usuários habilitados com suas posições correspondentes é mostrado na imagem a seguir.

   

Editar e atualizar vários níveis de registros para relatórios diretos

Por padrão, os gerentes podem atualizar registros de seus subordinados diretos e registros de indivíduos que se reportam a seus subordinados diretos. Basicamente, você pode atualizar registros com três níveis de profundidade. Você pode alterar a configuração padrão concluindo as seguintes etapas.

1. Instale a ferramenta OrganizationSettingsEditor.
2. Edite a configuração HierarchyLevelForHierarchyFeature .
3. Insira o número de profundidade de nível direto. Por exemplo, digite 5.
4. Selecione Atualizar.

Incluir ou excluir registros pertencentes ao subordinado direto com o status de usuário desabilitado

Os gerentes podem ver os registros dos subordinados diretos com status desabilitado em ambientes onde a segurança hierárquica está habilitada após 31 de janeiro de 2024. Para outros ambientes, registros de subordinados diretos com status desabilitado não são incluídos na visualização do gerente.

Para incluir registros de subordinados diretos de status desabilitado:

1. Instale a ferramenta OrganizationSettingsEditor.
2. Atualize a configuração AuthorizationEnableHSMForDisabledUsers para true.
3. Desative a Modelagem da hierarquia.
4. Reabilite-a novamente.

Para excluir registros de subordinados diretos com status desabilitado:

1. Instale a ferramenta OrganizationSettingsEditor.
2. Atualize a configuração AuthorizationEnableHSMForDisabledUsers para falso.
3. Desative a Modelagem da hierarquia.
4. Reabilite-a novamente.

• Quando você desabilita e reabilita a modelagem de hierarquia, a atualização pode levar algum tempo, pois o sistema precisa recalcular o acesso aos registros dos gerentes.
• Se você vir um tempo limite, reduza o número de tabelas na lista Gerenciamento de Tabelas Hierárquicas para incluir somente as tabelas que precisam ser exibidas pelo gerente. Se o tempo limite persistir, envie um chamado de suporte para solicitar assistência.
• Os registros do subordinado direto de status desabilitado serão incluídos se esses registros forem compartilhados com outro subordinado direto que esteja ativo. Você pode excluir esses registros removendo o compartilhamento.

Considerações de desempenho

Para aumentar o desempenho, recomendamos:

• Manter a segurança de hierarquia eficiente para 50 usuários ou menos abaixo do gerente ou posição. Sua hierarquia pode ter mais de 50 usuários sob um gerente ou cargo, mas você pode usar a configuração de Profundidade para reduzir os níveis de acesso a apenas leitura, limitando assim o número efetivo de usuários sob um gerente ou cargo a 50 ou menos.

• Use modelos de segurança de hierarquia com outros modelos de segurança existentes para cenários mais complexos. Evite criar um grande número de unidades de negócios. Em vez disso, crie menos unidades de negócios e adicione segurança da hierarquia.

• Mantenha o número HierarchyLevelForHierarchyFeature no menor nível de profundidade direta, conforme exigido pelos requisitos do seu negócio, para permitir que os gerentes atualizem os registros de seus subordinados diretos.

Veja também

Security in Microsoft Dataverse
Consultar e visualizar dados hierárquicos