Berechtigungen

Filesharing liefert drei Berechtigungssätze (Permission Sets). Weisen Sie jeder Identität genau den passenden Satz zu.

Wer	Berechtigungssatz	Hinweis
Benutzer	`MGT Filesharing`	Dateien aus dem LAN holen und ins LAN senden, gespeicherte Dateien verwalten.
Administrator	`MGT Filesharing Adm`	Enthält `MGT Filesharing`. Zusätzlich: Konfiguration, Einrichtungsseite, Installation und Upgrade, Job-Queue-Eintrag.
Entra-App des Dienstes	ausschließlich `MGT Filesharing Svc`	Nie einem Benutzer zuweisen. Nicht zusammen mit `MGT Filesharing` oder `MGT Filesharing Adm` an dieselbe Identität vergeben.

Die Sätze enthalten keine Standardrollen (z. B. D365-Rollen). Werden Standardrechte benötigt, weisen Sie diese außerhalb der App zu.

So weisen Sie die Sätze zu

Benutzer und Administratoren

Öffnen Sie Benutzer in BC und wählen Sie den Benutzer.
Fügen Sie unter Berechtigungssätze MGT Filesharing bzw. MGT Filesharing Adm hinzu.

Entra-App des Dienstes

Wie die Anwendung in BC angelegt wird, steht auf der Seite Entra-App und Zertifikat. Dort weisen Sie ihr den Satz MGT Filesharing Svc zu.

Rechte der Sätze im Überblick

R = Lesen, I = Einfügen, M = Ändern, D = Löschen, X = Ausführen, „–" = kein Recht. Die Spalte „Administrator" zeigt die wirksamen Rechte einschließlich des geerbten Benutzersatzes.

Daten	Benutzer	Administrator	Dienst
Einrichtung	R	RIMD	R
Erlaubte Dateiendungen	R	RIMD	R
Agents	R	RIMD	RIM
Stammordner	R	RIMD	RIMD
Anforderungen	RIMD	RIMD	RM
Verzeichniseinträge (Zwischenablage der Ordnerlisten)	RIMD	RIMD	RID
Gespeicherte Dateien	RIMD	RIMD	RI
Lizenzdaten (Lizenz-App)	RIM	RIM	–
Job-Queue-Einträge (BC-Standardtabelle)	–	RIM	–

Der Dienst darf also bewusst keine Anforderungen anlegen oder löschen (sie entstehen und enden in BC), keine gespeicherten Dateien ändern oder löschen und keine Agents löschen. Die Seiten der Benutzeroberfläche und die Lizenzobjekte gehören nicht zum Dienstsatz; er enthält nur die vier API-Seiten und die Codeunits, die beim Abschluss einer Anforderung laufen.

Die vollständige Matrix mit allen Objekten steht im Bedrohungsmodell (docs/security.md, Abschnitt 4) im Repository.

Was ein Administrator zusätzlich braucht

MGT Filesharing Adm enthält keine Rechte auf die Aufbewahrungsrichtlinien von BC. Die Aktionen „Bereinigung einrichten" und „Aufbewahrungsrichtlinien" in der Einrichtung funktionieren nur, wenn der Administrator diese Rechte aus den Standardsätzen von BC erhält.

Offener Punkt: Standardrechte der Entra-App

Welche Standardrechte von BC die Entra-App zusätzlich zu MGT Filesharing Svc für den API-Zugriff braucht, ist noch nicht abschließend ermittelt; das klärt der manuelle End-to-End-Test. Weisen Sie der App bis dahin nur MGT Filesharing Svc zu. Meldet BC bei einem API-Aufruf einen Berechtigungsfehler, ergänzen Sie gezielt das fehlende Recht und keinen pauschal breiten Standardsatz.

Hinweise zum sicheren Betrieb

Nur zusammengehörige Companies je Dienst. Alle Dienste und alle Ziele (Companies) eines Entra-Tenants teilen sich dieselbe Entra-App und denselben Berechtigungssatz; BC kann sie nicht unterscheiden. Ein Dienst darf mehrere Companies derselben Firma bedienen (Mehrere Companies), deren Trennung beruht auf der Dienstkonfiguration (eigener Agent-Code, eigene Stammordner), nicht auf getrennten Rechten in BC.
Gespeicherte Dateien sind für alle Benutzer mit MGT Filesharing sichtbar. Es gibt keinen Besitzer- oder Ordnerfilter. Begrenzen Sie den Benutzerkreis und setzen Sie kurze Verfallsfristen.
Keine Virenprüfung. Filesharing prüft Pfad, Name, Endung, Größe und Prüfsumme, nicht den Inhalt. Betreiben Sie auf dem Rechner des Dienstes einen Endpoint-Schutz.
Dienstkonto. Verwenden Sie ein dediziertes Domänenkonto oder ein gMSA, nie LocalSystem oder NetworkService. Das Konto braucht Lesen auf allen Stammordnern, Ändern nur dort, wo Uploads erlaubt sind. Siehe Dienst installieren.
Verdacht auf Kompromittierung. Sperren Sie den Agent in BC (Feld „Aktiv" in der Agent-Liste) und erneuern Sie Zertifikat oder Secret der Entra-App.