Autorisaties in Business Central: slim gebruik van exclude-rechten

In Microsoft Dynamics 365 Business Central worden gebruikersautorisaties geregeld via rechten sets (permission sets). Hiermee bepaal je wie toegang heeft tot welke tabellen, pagina’s en rapporten. Binnen deze sets kun je gebruikmaken van include- en exclude-rechten, die elk een andere rol spelen in het beheer van toegang.

Include versus Exclude

• Include-rechten: geven expliciet toegang tot bepaalde objecten of acties. Bijvoorbeeld: een gebruiker mag een specifieke tabel lezen en bewerken;
• Exclude-rechten: blokkeren expliciet toegang tot objecten of acties, zelfs als andere rechten sets toegang verlenen.

Belangrijk: exclude-rechten hebben altijd voorrang op include-rechten. Heeft een gebruiker via een andere set toegang, maar krijgt via een exclude-recht blokkade, dan wint de exclude en wordt de toegang geblokkeerd.

Waarom exclude-rechten onmisbaar zijn in autorisaties Business Central

Het gebruik van exclude-rechten binnen standaard rechten sets biedt verschillende voordelen:

1. Beheersbaarheid en schaalbaarheid
   Standaard sets regelen algemene toegang. Met exclude-rechten kun je uitzonderingen fijnmazig beheren, zonder voor iedere afwijking een nieuwe set te maken.
2. Beperking van risico’s
   Gevoelige objecten kun je expliciet afschermen, ook als gebruikers brede toegang hebben via een standaard set.
3. Efficiëntie in autorisatiebeheer
   Je hoeft niet telkens nieuwe include-sets te creëren. Eén standaard set, aangevuld met exclude-rechten, volstaat.
4. Consistentie en herbruikbaarheid
   Standaard sets zijn getest en onderhouden door Microsoft of partners. Door alleen correcties via exclude-rechten door te voeren, behoud je consistentie en verlaag je onderhoudskosten.
5. Auditing en compliance
   Het is eenvoudiger aan te tonen dat toegang tot gevoelige data expliciet is geblokkeerd dan te bewijzen dat toegang nooit is verleend via include-rechten.

Praktijkvoorbeeld: inkoop versus verkoop

Stel, een medewerker mag alleen inkopen doen, maar mag geen verkoopdata inzien.

• Rol: inkoopmedewerker;
• Standaard rechten set: D365 PURCH AGENT (toegang tot inkoopfunctionaliteit);
• Probleem: deze set geeft ook toegang tot verkooptabellen en -pagina’s, zoals klantkaarten of verkooporders die deze medewerker niet mag zien.

Oplossing:

1. Ken de standaard D365 PURCH AGENT-set toe. Dit geeft de medewerker alle benodigde rechten voor inkoop;
2. Maak een aparte rechten set met alleen exclude-rechten voor verkoopdata;
3. Ken beide sets toe aan de medewerker. De standaard set geeft toegang, maar de exclude set blokkeet expliciet toegang tot verkoopdata.

Resultaat:

• De medewerker heeft alle benodigde inkooprechten;
• Toegang tot verkoopdata is expliciet geblokkeerd;
• De exclude-rechten kunnen hergebruikt worden voor andere inkoopmedewerkers.

Met exclude-rechten houd je grip op uitzonderingen zonder de standaardstructuur van rechten sets te vervuilen. Dit maakt autorisatiebeheer in Business Central veiliger, efficiënter en beter schaalbaar.