D365FO - Пользователи теряют доступ после развёртывания данных между D365 средами

[MarinaAX]

Всем привет!

Прошу вашей помощи в следующей проблеме.

1. Есть две практически идентичные среды СРЕДА1 (исходная) и СРЕДА2 (целевая), у обоих сред один и тот же код + 7.2 PU15. Единственное отличие: СРЕДА1 - single-box, а СРЕДА2 - Microsoft SaaS без RDP-доступа. Т.е. развёртываем данные через форму заказа в LCS, используя временную Microsoft SaaS среду, к которой есть RDP-доступ и на которую можно ссылаться в LCS запросах на развёртывание данных.
2. Все пользователи активны в СРЕДА1.
3. Развёртывание данных из СРЕДА1 в СРЕДА2 проходит успешно, без ошибок.
4. После того как данные развёрнуты из СРЕДА1 в СРЕДА2, некоторые пользователи не могут залогиниться в СРЕДА2 и получают ошибку, что они не авторизированы использовать данную среду: You are not authorized to login with your current credentials. You will be redirected to the login page in a few seconds. Проверка учётных записей пользователей, которые получают такую ошибку не демонстрирует каких-либо отклонений в ролях или статусе пользователей: их роли в СРЕДА2 соответствует ролям в СРЕДА1; учётные записи в СРЕДА2 - активированы.
5. Решение проблемы: удаление пользователя в СРЕДА2 и добавление с назначением ролей, идентичных ролям в СРЕДА1.
6. Пользователи, которые испытывают проблемы в СРЕДА2
   6.1. Принадлежат как нашему AD домену так и другим доменам, с которыми федерирован наш Azure AD домен.
   6.2. Их меньшинство, по сравнению с пользователями, которые не испытывают проблем с вхожением в СРЕДА2.
   6.3. Подобые проблемы наблюдались и при развёртываниях данных между другими D365 средами в нашем LCS-проекте, но пользователи при этом не всегда одни и те же.
   6.4. Бывает, что пользователи, которые испытывают проблемы имеют роли системных администраторов, а не только пользователи с неадминистраторскими ролями.

Вопросы:

1. Знаете ли бы, почему это происходит и как это предотвратить в будущем?
2. Является ли моя ошибка описанной в этом посте D365FO - пропажа доступа пользователей и его восстановление?

Заранее, большое спасибо за вашу помощь!

[MarinaAX]

Моя ошибка описана в этом посте D365FO - пропажа доступа пользователей и его восстановление.

[vmoskalenko]

Цитата:

Сообщение от MarinaAX

Всем привет!

Прошу вашей помощи в следующей проблеме.

1. Есть две практически идентичные среды СРЕДА1 (исходная) и СРЕДА2 (целевая), у обоих сред один и тот же код + 7.2 PU15. Единственное отличие: СРЕДА1 - single-box, а СРЕДА2 - Microsoft SaaS без RDP-доступа. Т.е. развёртываем данные через форму заказа в LCS, используя временную Microsoft SaaS среду, к которой есть RDP-доступ и на которую можно ссылаться в LCS запросах на развёртывание данных.

Перенос данных через что? Бекап БД? или DMF?
СРЕДА1 - это производственная среда? Прод?
Облако? on-prem/LBD?

Цитата:

Сообщение от MarinaAX

Вопросы:

1. Знаете ли бы, почему это происходит и как это предотвратить в будущем?

Не уверен. Я так думаю что это из-за SID в таблице UserInfo. Теперь это поле как-то странно формируется. и Для Облака и on-prem/LBD формируется по разному.

Цитата:

Сообщение от MarinaAX

[*]Является ли моя ошибка описанной в этом посте D365FO - пропажа доступа пользователей и его восстановление?

Скорее всего это другое. Хотя и очень похоже и даже может найтись общая корневая проблема.

Рекомендую вообще не переносить пользователей. А создавать их для ПРОДА вручную. Вместе с провами. Потому как вы можете перенести пользователя с UAT с правами админа на прод, а пользователь на ПРОДе не должен облажать такими правами.

[MarinaAX]

Большое спасибо за комментарий! Совершенно верно!!! Проблема был в SID'е.

СРЕДА1 - single-box dev environment
СРЕДА2 - Microsoft SaaS без RDP
Все админские роли права срезаем у пользователей ещё в СРЕДА1.

[KiselevSA]

Нет развернутой 365, но для AX 2012 в форме есть метод SysUserInfoDetail.generateInitialUserSid(), который с параметрами домена, сетевого имени и типа пользователя вызывается при установке отметки "Включено" у пользователя.
Может и в 365 есть подобное? Тогда после восстановления можно запускать для всех пользователей скрипт для установки правильного SID.

[vmoskalenko]

Кстати, уж коли про админинг мы тут говорим, то вот чудесный тул
https://github.com/d365collaborative/d365fo.tools
PowerShell модуль для администрирования D365FFO

и пользователей умеет добавлять и ролями управлять и БД трансформировать с Azure SQL на MS SQL.