Dynamics 365 : 安全的财务和运营应用程序

在本文中

• 基于角色的安全性
• 任务录制的安全诊断
• 职责分离
• 安全报告
• 可扩展的数据安全策略
• 数据库日志记录

接下来的步骤

金融和运营应用程序使用Microsoft Entra作为主要身份提供商。他们还使用Azure的安全功能来支持和扩展本机安全功能。若要访问这些应用程序，用户必须在关联租户中拥有有效的Microsoft Entra ID帐户，并使用有效的许可证配置到Dynamics 365环境中。用户经过身份验证后，这些应用程序使用基于角色的安全性来授权访问应用程序的各个元素。您还可以使用可扩展的数据安全策略来限制对数据子集的访问。

笔记

Azure Active Directory现在是Microsoft Entra ID。了解更多信息

金融和运营应用程序的安全架构由以下组件组成：

• 身份验证：只有在Dynamics 365中具有权限的用户才能连接。
• 授权：权限形成定义职责的权限，这些职责在安全角色中收集以确定授权。
• 安全角色授予对财务和运营应用程序的访问权限。
• 职责允许访问部分业务流程。
• 权限允许访问单个任务。
• 权限授予对单个安全对象的访问权限。
• 数据安全是一个可扩展的安全框架，用于控制对数据库中的表、字段和行的访问。
• 审核：当用户登录或退出应用程序时，系统会进行日志记录。

显示金融和运营应用程序安全架构的图表。

基于角色的安全性

在基于角色的安全性中，被分配到安全角色的用户可以访问与该角色相关联的一组职责，这些职责由各种细粒度权限组成。未分配给任何角色的用户都没有权限。

权限由权限组成，表示对任务的访问，如取消付款和处理存款。职责由特权组成，代表业务流程的一部分，例如维护银行交易。将角色分配给所有法律实体或特定法律实体内的用户，以授予对财务和运营应用程序功能的访问权限。

默认情况下，解决方案中提供了大约100个标准安全角色。所有功能都与至少一个标准安全角色相关联。管理员可以复制和修改示例安全角色以适应业务需要，或者创建全新的安全角色。

重要的

在开始创建自定义角色之前，我们建议复制示例安全角色，并使用它们为所有用户分配角色。这将帮助您更快地向实施团队提供访问权限，避免与“临时”使用管理员角色相关的任何风险，并且比等待创建完全自定义的角色更快。

如果您的组织有基本的安全要求，您可能会发现标准角色足以满足您的大多数需求，并直接使用它们。财务和运营应用程序中包含的标准安全角色包含职责分离。如果用户需要完全访问功能，他们通常需要角色组合。

标准安全角色可能会在未来的应用程序更新中发生更改，以适应新的和更新的功能。如果您使用标准安全角色并在以后对其进行修改，则很难区分标准角色和修改后的角色。您可能需要将它们与另一个未修改的环境进行比较。

如果您的组织具有增强的安全要求，则最好使用标准角色的副本，避免直接修改标准角色。

如果您的组织有更高级的安全要求，您可以选择创建自定义角色。虽然这种方法适合某些客户，但我们不建议从完全自定义的角色开始。标准的安全角色提供对所需功能的访问，同时仍然允许一些功能的分离。我们鼓励您使用标准角色作为模板进行复制和修改，以满足您的特定要求。

了解如何在财务和运营应用程序中实现基于角色的安全性。

任务录制的安全诊断

财务和运营应用程序的任务记录器是一个实用程序，允许用户记录几个不同用例的业务流程。它是一个有价值的工具，用于许多用途，包括流程定义、培训、测试和安全性。您可以使用任务记录器安全诊断来分析和管理任何任务录制中的安全权限要求。当您使用任务记录器为测试或培训目的定义和记录业务流程时，它还捕获了实现这些任务的安全性要求。然后，您可以使用该工具来定制示例安全角色的重复副本，以更好地满足您的需求。

了解有关任务录制的安全诊断的详细信息。

职责分离

有些组织可能需要将某些任务分开，并由不同的用户执行。例如，您可能不希望同一个人维护供应商信息、确认收到货物以及处理向供应商付款。这一概念有时被称为功能分离，财务和运营应用程序中包含的标准安全角色就是在考虑到这种分离的情况下创建的。举前面的例子，Dynamics365 Finance中需要分配不同的安全角色，以维护供应商信息、确认收到货物和处理向供应商付款。

除了功能分离之外，财务和运营应用程序还将职责分离。职责分离有助于您降低欺诈风险，执行内部控制政策，并发现错误或违规行为。您可以确定组织中同一用户不得执行的特定职责，并创建规则来检测和防止分配与这些规则冲突的安全角色。

定义职责划分规则时，应评估现有的角色定义和角色分配是否符合规定，并防止不符合规定的角色定义或角色分配。将记录导致与现有规则发生冲突的未来角色分配，管理员必须允许或拒绝这些分配。

学习如何设置职责隔离。

安全报告

Dynamics 365提供了一组丰富的安全报告，可帮助您了解环境中使用的安全角色以及分配给每个角色的用户。在实施过程中熟悉这些报告，并尽早让您的合规团队参与进来。不要等到审核第一次使用这些报告。

• “用户角色分配”报告生成系统中正在使用的用户角色分配的视图。默认情况下，报告包括已分配角色的所有用户。您可以选择在生成报告时通过输入用户列表将报告限制为特定的用户集。
• “角色到用户分配”报告聚合角色分配。展开报表中的角色，将显示分配给该角色的用户列表。展开用户名将显示角色所应用的任何限制。您可以选择在生成报告时通过输入用户列表将报告限制为特定的用户集。
• “安全角色访问”报告提供了每个安全角色的有效权限的列表视图，这些权限按角色中包含的所有子角色、职责和特权的类型分组。
• “安全职责分配”报告提供了一个角色中包含的所有职责的视图。您可以将此报告配置为在任何角色集合上运行，以确保在角色之间保持职责分离。默认情况下，报告包括所有角色，但您可以筛选记录以限制报告中的角色。
• 除了安全报告之外，开发人员还可以生成一个工作簿，其中包含所有角色的所有用户安全权限。该工作簿提供了一个针对您的实施的全面列表，包括合作伙伴提供的自定义项和软件模块。
• 为了遵守隐私法律法规的要求，当数据主体要求提供其个人数据的副本时，您可以使用人员搜索报告。
• 财务和运营应用程序为每个表中存储的数据类型提供了一组默认的资产分类。通过自定义，您可以更改数据的分类，以满足自己的分类和跟踪需求。
• 系统管理员可以使用“用户日志”页面保存已登录应用程序的用户的审核日志。用户日志记录功能使管理员能够识别提供敏感数据访问权限的角色。您的组织可以定义什么是敏感数据，以满足其需求。如果您想要详细的审核级别来跟踪访问过被标识为敏感数据的用户，则此功能非常有用。了解有关管理敏感数据访问的更多信息。

可扩展的数据安全策略

使用可扩展数据安全（XDS）策略，开发人员可以通过基于安全策略限制对表记录的访问来补充基于角色的安全性。如果您对行级安全性有特殊或特殊的要求，这可能会很有用。您可以创建包含用于选择信息的查询和受策略约束的一个或多个表的策略。策略中的查询应用筛选器，并且只有满足筛选器条件的记录才能从受限制的表中访问。XDS为高级需求提供了一个强大的数据安全工具，但您应该谨慎使用它，以避免对性能或可用性产生意外影响。

数据库日志记录

数据库日志记录提供了一种跟踪财务和运营应用程序中表和字段的特定类型更改的方法，包括插入、更新、删除和重命名键操作。为表或字段配置日志记录时，对该表或字段的每次更改的记录都存储在环境数据库的数据库日志表sysdatabaselog中。

您可以使用数据库日志记录来创建对包含敏感信息的特定表的更改的可审核记录，或者监视电子签名的使用。您还可以使用数据库日志记录来跟踪对业务流程很重要的特定表或字段的更改。例如，您可能希望跟踪供应商银行帐号或客户信用额度的更改。

此功能是对许多模块中已经提供的审计跟踪功能的补充。

数据库日志记录旨在跟踪对特定、敏感信息或配置的个别更改。它不用于跟踪在批处理作业中运行的自动事务，也不建议用于事务。尽管从业务角度来看，数据库日志记录可能很有价值，但在资源使用和管理方面可能成本高昂，因此应谨慎使用。

Microsoft建议您在实现数据库日志记录时执行以下步骤：

• 创建一个检查和使用数据库日志的计划。
• 通过选择要记录的特定字段而不是整个表来限制日志条目并提高性能。
• 创建一个计划，说明记录数据的保存时间，并使用包含的清理作业。

接下来的步骤

• 从第一天起学习如何将安全作为首要任务
• 使用“设计成功”安全检查表来帮助确定隐私和合规性、身份和访问以及应用程序安全领域的关键需求和实施活动并确定其优先级