Dataverse und SharePoint: Dateizugriff prüfen

Eine modellgesteuerte App blendet einen Fall für Kolleginnen und Kollegen aus. Können sie den Anhang trotzdem über einen SharePoint-Link öffnen?

Dataverse- und SharePoint-Berechtigungen schützen unterschiedliche Ressourcen. Der Zugriff auf einen Dataverse-Datensatz wird nicht automatisch auf SharePoint-Dokumente übertragen. Prüfe die Datei zusätzlich zur App. Siehe Microsofts Referenzarchitektur.

Quellen geprüft am 27. September 2026. KI-unterstützter Leitfaden. Die folgende Checkliste ist eine empfohlene Prüfmethode und kein Bericht über abgeschlossene Mandantentests.

Dataverse- und SharePoint-Berechtigungen getrennt betrachten

Beginne die Prüfung mit drei Fragen und weise Verantwortliche zu:

• Kann die Person den Geschäftsdatensatz öffnen? Lass die vorgesehene Dataverse-Berechtigung durch den App-Verantwortlichen zeigen.
• Kann sie die Dokumentverwaltung nutzen? Prüfe die SharePoint-Website und die Document-Location-Berechtigungen in Dataverse. Microsoft führt Berechtigungen zum Anlegen von Speicherorten, Reparieren von Links und Verwalten von Dokumenten getrennt auf. Berechtigungen für Dokumentverwaltung.
• Kann sie die Datei selbst öffnen? Lass den SharePoint-Verantwortlichen effektive Dateiberechtigungen und Freigaben prüfen. Ein ausgeblendeter App-Button ist kein Beleg.

Dokumentiere das erwartete Ergebnis vor dem Test. „Kann den Fall nicht sehen“ und „darf dessen Dokumente nicht lesen“ sind zwei getrennte Abnahmekriterien.

Passende Kontrolle für die Anforderung wählen

Zufälliges Auffinden erschweren. Microsofts Referenzmuster richtet Arbeitsgruppen aus und begrenzt Navigation und Suche, während die native Dokumentverwaltung erhalten bleibt. Das kann für eine vereinbarte Auffindbarkeitsgrenze passen. Es bildet jedoch nicht die Dataverse-Berechtigung jedes einzelnen Datensatzes auf jede Datei ab.

Dokumente voneinander isolieren. Wenn ein Benutzer die Datei eines anderen Teams selbst mit direkter URL nicht lesen darf, prüfe Datei-/Ordnerberechtigungen oder getrennte Speichergrenzen. Microsoft schließt strenge Isolation auf Dateiebene ausdrücklich aus seinem such- und auffindbarkeitsbasierten Muster aus. Muster und Einschränkungen.

Lass dir bei dieser zweiten Anforderung erklären, wie Berechtigungen, Widerruf, Eigentümerwechsel und Fehler behandelt werden. Ein Vorschlag, der nur beschreibt, wie Personen Dokumente finden, reicht nicht.

Copilot-Auffindbarkeit separat prüfen

Microsofts Restricted Content Discovery beschränkt organisationsweite Auffindbarkeit und Copilot-Erlebnisse, ändert aber keine bestehenden Berechtigungen. Microsoft beschreibt die Funktion als vorübergehende Governance-Maßnahme, während Eigentümer Zugriffe prüfen. Websitekontextsuche und andere Ausnahmen machen sie nicht zu einem universellen Ausblendschalter. Prüfe Voraussetzungen und Ausbreitung der Richtlinie, bevor du dich darauf verlässt. Restricted Content Discovery.

Protokolliere Suchergebnisse getrennt von Autorisierung. Ein fehlender Suchtreffer beweist nicht, dass der Dateizugriff verweigert wird.

Zugriff mit zwei Benutzern und direktem Link testen

Nutze eine Nichtproduktionsumgebung und synthetische Dokumente. Wähle zwei gewöhnliche Testkonten A und B, keine Administratoren. Für den Beispiel-Fall darf A Datensatz und Datei lesen; B keines von beidem. Lass die Verantwortlichen diese Erwartung vorher bestätigen.

1. Ausgangszustand erfassen. Notiere Gruppen, App-Rollen, Dokumentenspeicherort, SharePoint-Berechtigungen und bestehende Freigabelinks. Bewahre die nötigen Einstellungen zur Wiederherstellung auf.
2. Vorgesehenen Weg als A testen. Öffne den Fall, folge dem Dokumentlink und lies die Testdatei. Eine Verweigerung ist hier ebenfalls ein Fehler: Sichere Nutzung umfasst erlaubten Zugriff.
3. App-Zugriff als B testen. Rufe den Fall über Navigation und bekannte Datensatz-URL auf. Werte dies nicht als Ergebnis für das Dokument.
4. Datei als B testen. Öffne die bekannte SharePoint-Datei-URL in einer separaten Sitzung von B. Prüfe außerdem verwendete Freigabelinks. Kann B die Datei lesen, ist die Isolation fehlgeschlagen, selbst wenn der App-Test erfolgreich war.
5. Auffindbarkeit separat prüfen. Teste die relevanten Sucheinstiege oder Copilot-Funktionen. Halte Erfahrung, Abfrage, Richtlinie und Zeitpunkt fest.
6. Änderung im Lebenszyklus prüfen. Widerrufe eine Testberechtigung nach dem vorgesehenen Ablauf und wiederhole erlaubte und verweigerte Prüfungen. Notiere Sitzungs- und Ausbreitungsbedingungen.

Halte pro Prüfung Identität, Weg, erwartetes und tatsächliches Ergebnis, Zeitstempel, Nachweis und Verantwortlichen fest. Nicht durchgeführte Prüfungen bleiben als ungetestet markiert. Verwende keine echten Kundendateien als Nachweis.

Fallstricke vor dem Rollout

• Nur mit Administratorkonten testen: Prüfe die effektiven Berechtigungen der vorgesehenen Nutzer.
• Suche abgeschaltet bedeutet sicher: Bei Datei-Isolation ist zusätzlich ein Direktlink-Test erforderlich.
• Ein erfolgreicher Test deckt alles ab: Prüfe Freigabe, Neuzuweisung und Widerruf im konkreten Ablauf.
• Berechtigungsautomatisierung ohne Betrieb: Benenne Operator, Fehleralarm und Wiederherstellungsablauf.

Prüfe Dataverse- und SharePoint-Zugriff gemeinsam, nimm aber jede Grenze separat ab. Stoppe den Rollout, wenn eine erforderliche Dateisperre fehlt oder ungeprüft ist; App- und Dokumentverantwortliche müssen Abhilfe und Wiederholung abstimmen.

Weiterführender Artikel

• Die generierten Befehlsgruppen der Power Platform CLI sicher bewerten behandelt einen separaten Power-Platform-Änderungsablauf.

Bildquelle: Microsoft-Referenzarchitektur. Die Grafik ist ein Referenzdesign, kein Testergebnis.