创建安全角色以仅创建角色和用户而无需系统管理员角色答案

【问题标题】：Creating a security role to be able to only create roles and users without having system admin role创建安全角色以仅创建角色和用户而无需系统管理员角色
【发布时间】：2017-08-10 19:03:00
【问题描述】：

CRM 2015：我希望能够为本地 IT 创建一个角色，以便能够添加用户帐户和分配角色。

关于“添加角色”部分，是否只需在用户级别的“安全角色”的“业务管理”选项卡中为本地IT创建一个角色“写入”到“安全”角色就足够简单了吗？

【问题讨论】：

标签： dynamics-crm-2015 security-roles

【解决方案1】：

不，这没那么简单。用户不能授予另一个用户比他更高的权限（这将是一个严重的安全漏洞）。因此，例如，您具有编辑安全角色的角色，并且您对业务部门中的帐户具有读取权限。如果您的业务部门中的某个人没有读取权限而只有用户权限，您可以为他添加业务部门的读取权限（与您相同），但您将无法授予他组织权限（高于您的权限）。您可以想象，如果这是可能的，您将能够基本上赋予自己管理员权限并在 CRM 中做任何您想做的事情。知道了这一点，您应该可以创建一个角色，例如对帐户、联系人、自定义实体等和安全角色具有完全访问权限。此角色将能够修改其他用户对帐户、联系人等的访问级别，但不能修改他们无权访问的其他实体。

完全相同的逻辑适用于分配安全角色。因此，如果用户 A 赋予用户 B 的权限高于用户 A，则用户 A 无法将安全角色分配给用户 B。

最后，要正确实施您描述的场景非常困难，因为有这么多特权，用户需要拥有很多特权才能使用 CRM。我已经尝试过一次，但无法满足业务需求 - 它总是以使用系统管理员角色结束，因为总是有一些场景只能由具有此“特定”安全修改角色的用户处理。

【讨论】：

我害怕这个。感谢您的回复。
事实证明这一点都不简单。我实际上可以在 2016 年使用 Web API 使其工作，但不能在 2015 年使用 REST Builder 或 REST SDK 工作。我有一个非常有经验的程序员，我可以补充一下。

【解决方案2】：

分配“系统管理员”安全角色并将用户记录中的访问模式更改为“管理”帮助我实现了这一点。用户仍然无法访问任何交易数据。所以，我认为你可以采用这种方法。

【讨论】：