Niveaux d'accès par module
Un niveau d'accès décide de ce qu'un utilisateur peut faire via les pages API propres à l'extension MCP Guard dans Microsoft Dynamics 365 Business Central. Deux utilisateurs ayant les mêmes autorisations Business Central peuvent obtenir des droits différents : un planificateur modifie le plan, les autres le lisent seulement. Vous définissez le niveau par module sur la règle de l'utilisateur, sur la page Paramètres utilisateur MCP Guard. Un utilisateur sans règle obtient Lecture.
Les modules
| Champ de la règle | Couvre |
|---|---|
| Accès production | productionOrders, prodOrderLines, prodOrderRoutingLines |
| Accès planification | planningLines, et les actions calculatePlan et calculateCalendar |
| Accès assemblage | assemblyOrders, assemblyLines |
| Accès projets | projectTasks, projectPlanningLines |
Les niveaux
| Niveau | Autorise |
|---|---|
| Lecture | La lecture. C'est le niveau le plus bas, et celui qu'obtient un utilisateur sans règle. |
| Modifier | Aussi la modification d'enregistrements existants. |
| Créer et actions | Aussi la création d'enregistrements, la suppression d'un ordre de fabrication et les actions : refresh, refreshForward, release, reopen, calculatePlan, calculateCalendar. |
| Validation | Aussi la validation d'un ordre d'assemblage. Pour la production, la planification et les projets, il équivaut à Créer et actions. |
Chaque niveau inclut les précédents. Validation est le seul niveau qui permet de valider un ordre d'assemblage. Créer et actions est le niveau qui permet de supprimer un ordre de fabrication. Voir API de production.
Comment le niveau est déterminé
La même règle décide que pour les sociétés et la configuration MCP : la ligne pour l'utilisateur, sinon la ligne d'un groupe de sécurité dont l'utilisateur est membre ayant la Priorité la plus basse. Une nouvelle règle commence à Lecture pour chaque module. Lorsque Microsoft Entra ID ne peut pas être interrogé sur l'appartenance aux groupes, aucune règle de groupe ne s'applique : l'utilisateur ne fait donc que lire.
Business Central applique le niveau
La vérification a lieu dans les pages API elles-mêmes, à chaque création, modification, suppression et action. Peu importe le client MCP ou la configuration MCP avec lesquels l'utilisateur se connecte. Lorsque la règle accorde moins que ce que l'opération exige, Business Central refuse avec un message comme celui-ci :
Votre règle MCP Guard vous donne l'accès Lecture à Production, et ceci nécessite Modifier. Demandez à votre administrateur de modifier la règle sur la page Paramètres utilisateur MCP Guard.
Le message indique le niveau que la règle accorde, le module et le niveau que l'opération exige.
C'est une seconde vérification, pas un remplacement
Le niveau d'accès s'ajoute à tout ce que Business Central vérifie déjà.
- L'utilisateur a toujours besoin des autorisations propres à Business Central sur les données, par exemple sur les ordres de fabrication.
- L'utilisateur a toujours besoin de l'ensemble d'autorisations MCP GUARD - USER. Depuis la version 1.13.0.0, il contient toutes les pages des modules : c'est donc le niveau de la règle qui décide par module. Voir Ensembles d'autorisations.
- La configuration MCP doit toujours exposer l'opération.
Le niveau d'accès par module ne couvre que les pages API propres à l'extension. Les pages API de Microsoft, comme les commandes vente et les articles, ne sont pas concernées. Limitez celles-ci avec les ensembles d'autorisations, la configuration MCP et l'Accès général de la règle, que le connecteur BC MCP Pro applique. Voir Accès général.
Ce que voit le client MCP
La page API mcpUserSettings renvoie productionAccess, planningAccess, assemblyAccess, projectAccess et generalAccess pour l'utilisateur connecté. Un connecteur peut utiliser ces valeurs pour masquer les outils que l'utilisateur ne peut pas utiliser. Le connecteur BC MCP Pro le fait : un outil ou une action que la règle n'autorise pas est omis de la liste des outils. Voir Se connecter avec le connecteur BC MCP Pro.