Новый специалист выходит на смену в понедельник. Лицензия активна, но рабочее пространство не открывается, присутствие не загружается, а нужная очередь не видна. Администратор начинает добавлять роли по одной. Через полгода никто уже не может объяснить, почему у этого человека прав больше, чем у коллег.
Группы безопасности Microsoft Entra позволяют выстроить более понятную модель для Dynamics 365 Contact Center. Людей включают в группу по характеру работы, группу связывают с командой Dataverse, а нужные роли назначают команде. Главная польза не в экономии кликов. Членство становится контролируемым источником доступа, который проверяют и при добавлении, и при удалении сотрудника.
Начните с работы, а не с фамилий
Не копируйте роли человека за соседним столом. Сначала опишите работу. Представителю первой линии могут понадобиться обращения, присутствие, утвержденные очереди и обработка разговоров. Руководителю нужен другой набор прав. Администратор не должен получать права первой линии только потому, что иногда проверяет очередь.
- 1Опишите работуЗафиксируйте разрешенную работу до выбора ролей.
- 2Создайте путь группыСвяжите одну управляемую группу Entra с одной командой Dataverse.
- 3Назначьте ролиДобавьте базовые роли команде и зафиксируйте прямые исключения.
- 4Проверьте реальную работуПроверьте вход, очередь, присутствие и обработку разговора.
- 5Докажите отключениеУдалите тестовое членство и убедитесь, что прежняя работа недоступна.
Microsoft сообщает, что функция стала общедоступной 24 июля 2026 года. Она связывает группу безопасности Microsoft Entra с командой Dataverse и позволяет выдать участникам роли Basic User, Customer Service Representative и Omnichannel agent. Участник нескольких команд получает совокупность их привилегий. Это удобно, но именно так незаметно возникает лишний доступ. См. описание функции Microsoft.
Опишите каждую группу одним предложением. Например, «участники обрабатывают обращения розничных клиентов в основной очереди». Если в предложении две несвязанные работы, нужны две группы. Такой подход соответствует ролевому доступу и понятным правилам безопасности.
Постройте один путь от группы к команде
Схема должна помещаться на одной странице.
- Назначенный владелец управляет членством в группе Microsoft Entra.
- Группа связана с командой Dataverse типа Microsoft Entra ID Security Group.
- Команда получает утвержденные роли Contact Center.
- Представитель входит в систему и проходит рабочую проверку.
- После удаления из группы отдельно проверяется потеря доступа.
Текущий справочник Microsoft по ролям и пользователям перечисляет три роли для группы представителей. Он также уточняет, что для сопоставления ролей и персон нужны прямые назначения. Поэтому нельзя без проверки удалить все прямые роли. Сначала выделите назначения, связанные с персонами, специальными приложениями и документированными исключениями.
Проверяйте глазами представителя
Наличие группы в панели администратора не доказывает, что работа доступна. Используйте лицензированную тестовую учетную запись или контролируемый список для реального новичка. Повторите тот же путь, который человек пройдет в загруженную смену.
| Какое доказательство собрать | Нормальный результат | Когда нужна эскалация |
|---|---|---|
| Вход в приложение | Открывается нужное рабочее пространство | Приложение отсутствует или выбрано неверно |
| Очереди и присутствие | Видны утвержденные очереди и статусы | Нужной очереди нет или видна лишняя |
| Работа с разговором | Разрешенную работу можно принять и завершить | Действие недоступно или открыта ограниченная работа |
| Проверка удаления | Бывшая работа больше недоступна | Старая очередь или разговор остается доступным |
| Несколько групп | Совокупные права соответствуют утвержденной работе | Получен недокументированный набор прав |
Обязательно проверьте удаление. Добавление сотрудника обычно проходит по счастливому сценарию. Ошибки обнаруживаются при увольнении, временной подмене и смене должности.
Если права не обновились, не маскируйте проблему новой прямой ролью. Сравните членство Entra, связанную команду Dataverse, роли команды, лицензию и прямые назначения. Microsoft описывает необязательную синхронизацию для случаев, когда обновление нужно немедленно. Зафиксируйте ее использование и повторите тест.
Отделяйте доступ от назначения разговоров
Группа определяет, кто может пользоваться возможностью. Она не решает, кому сегодня должен попасть конкретный разговор.
Правила назначения в общем инбоксе по-прежнему учитывают график, доступность, язык, владельца клиента и контролируемый резерв. В командном инбоксе у разговора должен быть один видимый владелец, даже если работать с ним могут несколько человек. Допуск в очередь не делает человека правильным исполнителем каждого обращения.
Администратор может добавить сотрудника для короткой подмены, а маршрутизация начнет считать его постоянным исполнителем. Доступ будет верным, назначение — нет. Проверяйте оба механизма, но утверждайте их отдельно.
Ограничьте срок исключений
Руководителю иногда нужны два региона, а лидеру миграции — временные права администратора. У исключения должны быть владелец, причина и дата окончания. Проверяйте его отдельно от базовой группы.
Ежемесячный список прямых назначений полезнее большого снимка всех участников. Спросите, выполняет ли человек эту работу, дает ли доступ нужная группа и не создает ли вторая группа неутвержденное сочетание прав.
DripTell использует тот же принцип в клиентских операциях. Права команды и владение разговором должны быть явными, а маршрутизация и контекст клиента — видимыми. Чтобы описать эту границу для своих каналов, можно связаться с DripTell. Важно уметь объяснить, почему сотрудник видит разговор и как его доступ прекращается.
Часто задаваемые вопросы
Могут ли группы Entra заменить все прямые роли
Нет. Microsoft поддерживает групповые назначения для пользователей Contact Center, но сопоставление ролей и персон по-прежнему требует прямых назначений. Сохраняйте и проверяйте документированные исключения.
Какие роли нужны обычной команде представителей
В примере Microsoft используются Basic User, Customer Service Representative и Omnichannel agent. Конкретная схема зависит от конфигурации и разрешенной работы.
Как проверить увольнение сотрудника
Удалите тестового пользователя из группы, при необходимости примените документированную синхронизацию, войдите под этой учетной записью и убедитесь, что прежние рабочее пространство, очередь и действия больше недоступны.
Что должно остановить запуск
Остановитесь, если неясен владелец группы, появились лишние права, отсутствует нужная очередь, доступ сохраняется после удаления или прямые назначения нельзя объяснить.
Помочь применить это руководство?Спросить команду DripTell
От чтения к действию
Нужна помощь с применением этого подхода в вашей компании?
Оставьте контакты. Мы учтём материал, который вы читаете, и начнём с полезного ответа для вашей команды.
DripTell Editorial
Практические материалы, проверенные командой продукта и клиентских процессов DripTell.
Узнайте, как DripTell проверяет сведения о продукте, использует первичные источники и исправляет ошибки.
Редакционная политика и источники
