La sicurezza record-based di Dataverse (security role + business unit + team) decide se un utente vede un record, ma non quali colonne di quel record. In molti scenari reali serve un livello più fine: un sales rep può leggere l’anagrafica di un contatto ma non il codice fiscale, oppure un recruiter vede la scheda candidato ma non la RAL. Qui entrano in gioco tre strumenti che un functional consultant deve saper combinare: column-level security, hierarchy security e l’integrazione con Microsoft Entra ID.
Column-level (field) security
Quando la protezione a livello di record non basta perché il problema è una singola colonna sensibile all’interno di un record altrimenti visibile, si abilita la column security sulla colonna (flag Enable security nella definizione del campo). Dal momento in cui è attiva, la colonna diventa invisibile a tutti (mostrata come ********) finché non concedi l’accesso tramite un Column Security Profile (Field Security Profile).
Nel profile assegni, per ciascuna colonna protetta, tre permessi indipendenti:
- Read — vedere il valore in chiaro
- Update — modificarlo
- Create — valorizzarlo alla creazione del record
Il profilo si assegna a utenti o a team. Punto chiave da consulente: la column security è additiva e ortogonale al security role. Non sostituisce il ruolo; lo raffina. L’utente deve prima poter leggere il record (via ruolo), poi il profile determina se le colonne protette gli appaiono in chiaro.
Hierarchy security
La hierarchy security aggiunge accesso ai record posseduti da persone “sotto” un manager, senza dover disegnare business unit o team dedicati. Esistono due modelli, mutuamente esclusivi a livello di ambiente:
- Manager hierarchy — basata sulla colonna Manager della tabella
systemuser. Il manager e il subordinato devono stare nella stessa business unit (o BU figlia). - Position hierarchy — basata su posizioni (job position) indipendenti dalla struttura organizzativa; ideale quando la catena gerarchica attraversa più business unit.
Il concetto d’esame è la depth: un manager ottiene accesso in lettura e scrittura sui record dei subordinati diretti, ma solo in lettura sui livelli più profondi, fino alla profondità configurata. La hierarchy security non concede privilegi che il manager non ha già tramite un security role: è un moltiplicatore di visibilità, non una fonte primaria di permessi.
Integrazione con Microsoft Entra ID
L’autenticazione a Dataverse è delegata interamente a Microsoft Entra ID: gli utenti sono identità Entra, e questo abilita controlli che vivono fuori dal modello di sicurezza di Dataverse.
Conditional Access
Le policy di Conditional Access (MFA obbligatoria, dispositivo compliant, blocco per geolocalizzazione o rischio) si applicano al sign-in verso l’ambiente. Sono un layer di autenticazione: proteggono l’accesso, non i dati riga per riga. Un consultant non risolve un requisito “solo da rete aziendale” con security role, ma con Conditional Access.
Group team
I gruppi di sicurezza di Entra ID possono diventare group team in Dataverse. Vantaggi rispetto ai team owner classici:
- l’appartenenza si gestisce una sola volta in Entra ID e si riflette automaticamente nell’ambiente;
- si assegnano security role al group team, così ogni membro eredita i privilegi al primo accesso;
- si può assegnare al group team anche un Column Security Profile, centralizzando l’accesso alle colonne sensibili per interi reparti.
Da abbinare al security group dell’ambiente stesso, che filtra chi può entrare: solo i membri del gruppo associato all’environment vengono provisioned come utenti.
Trappole tipiche d’esame
- La field security colpisce anche gli amministratori. Scenario: un System Administrator non vede più una colonna dopo l’abilitazione della sicurezza → risposta giusta: assegnargli il Column Security Profile con permesso Read. Il ruolo di admin non bypassa la column security.
- Serve mascherare una sola colonna su record visibili (es. IBAN, RAL, codice fiscale) → column-level security con security profile, non una nuova business unit o un share record.
- Il manager deve vedere i dati del team ma resta bloccato → verifica che manager abbia un security role con i privilegi base: la hierarchy security amplia la visibilità, non la crea dal nulla.
- Requisito “accesso solo con MFA / da dispositivo compliant” → Conditional Access in Entra ID, non security role né sharing.
- Gestire l’accesso di un intero reparto in modo centralizzato → group team basato su gruppo Entra ID con ruolo (ed eventuale column security profile) assegnato, non aggiunta manuale utente per utente.