MTC Skopos analyse la séparation des tâches dans Microsoft Dynamics 365 Business Central sur son propre modèle d'autorisations : ensembles d'autorisations, droits TableData et d'exécution, groupes de sécurité, filtres de sécurité et limites de licence. Une extension connecteur en lecture seule extrait la configuration de sécurité par API ou sous forme de fichier ZIP, et l'analyse s'exécute sur votre propre poste. L'outil vient de spécialistes des autorisations SAP et apporte la même profondeur à Business Central, pour une licence de base forfaitaire de 5 736 EUR/an, sans frais par société ni par utilisateur.
| MTC Skopos pour Business Central | |
|---|---|
| Modèle d'accès analysé | Ensembles d'autorisations (Système, Extension, Défini par l'utilisateur) avec inclusions et exclusions, groupes de sécurité, attributions par société |
| Droits évalués | TableData Lecture, Insertion, Modification, Suppression (directs et indirects) ; Exécution des pages, états, codeunits, requêtes, XMLports |
| Prise en compte des licences | Les actions que la licence peut bloquer sont signalées ; les droits accordés au-delà de la licence sont listés |
| Filtres de sécurité | Indiqués en note sur le risque qu'ils limitent |
| Extraction | Extension MTC Skopos Connector en lecture seule : API (application Entra que vous détenez) ou export ZIP en un clic |
| Données métier lues | Aucune. Comptages d'activité optionnels par utilisateur et par table, jamais le contenu des enregistrements |
| Déploiement | Business Central online et serveurs on-premise ; analyse en local, sans cloud MTC |
| Paysages mixtes | Analysé à côté de SAP ECC, S/4HANA, Business One et d'autres systèmes |
| Prix | Licence de base 5 736 EUR/an, environnements, sociétés et utilisateurs illimités |
Pourquoi la séparation des tâches dans Business Central est-elle plus difficile qu'il n'y paraît ?
Parce que l'autorisation visible à l'écran est rarement celle qui s'applique. Un utilisateur reçoit des ensembles d'autorisations par société, directement ou via des groupes de sécurité. Un ensemble défini par l'utilisateur peut en inclure d'autres et exclure des autorisations ou des ensembles entiers. Un droit peut être direct ou indirect. Une ligne sur l'objet 0 accorde tous les objets de son type, c'est ainsi que fonctionnent SUPER et les ensembles de lecture larges. Enfin, la licence plafonne le résultat : un Team Member qui détient un droit d'insertion via un ensemble ne peut utiliser que ce que la licence Team Member autorise.
Un conflit comme « gérer les fournisseurs » contre « valider les factures d'achat » n'est réel qu'une fois tout cela résolu. Les revues sur tableur des noms d'ensembles d'autorisations se trompent dans les deux sens : elles signalent des utilisateurs dont la licence bloque le droit, et elles manquent ceux qui atteignent la table via un ensemble inclus.
Comment MTC Skopos lit-il un environnement Business Central ?
- Installer l'extension MTC Skopos Connector dans l'environnement. Elle ajoute des pages API en lecture seule, une page d'export et un ensemble d'autorisations, MTC SKOPOS READ. Elle ne modifie aucun objet standard et son code source peut être consulté depuis la gestion des extensions. C'est l'équivalent Business Central du transport que MTC fournit pour les systèmes SAP.
- Choisir comment les données arrivent dans MTC Skopos. Soit MTC Skopos lit l'API directement, recommandé pour les analyses répétées (une application Entra que vous enregistrez et détenez pour Business Central online, une clé d'accès aux services web pour un serveur on-premise), soit l'administrateur exporte un fichier ZIP en un clic. Le ZIP contient des sommes de contrôle : toute altération est détectée à l'import.
- Lancer l'analyse. Chaque société devient sa propre source de données. Les résultats remontent jusqu'à l'utilisateur, l'ensemble d'autorisations, le groupe de sécurité le cas échéant, et le droit sur la table ou l'objet derrière chaque fonction en conflit.
| Données extraites | Utilisation |
|---|---|
| Utilisateurs et plans de licence | Périmètre analysé, et ce que chaque licence permet |
| Ensembles d'autorisations, développés, avec relations d'inclusion et d'exclusion | Les droits effectifs de chaque ensemble |
| Groupes de sécurité et membres | Les accès hérités via les groupes Entra |
| Attributions par société | Quels ensembles s'appliquent dans quelle société |
| Filtres de sécurité | Notes sur les risques qu'ils restreignent |
| Comptages d'activité (extension optionnelle) | Enregistrements créés ou modifiés par utilisateur et par table, pour que la remédiation conserve les accès réellement utilisés |
La mise en place complète, y compris les autorisations Entra et la fenêtre d'activité, est décrite dans le guide d'import Business Central (en anglais).
À quoi ressemblent des règles d'accès Business Central ?
Le même format Excel que pour SAP, avec les droits Business Central comme valeurs d'autorisation. Une fonction s'écrit avec les droits sur les tables et les objets qui la réalisent : insertion ou modification sur la table 23 (Vendor) pour la gestion des fournisseurs, exécution du codeunit 90 (Purch.-Post) et insertion sur la table 38 (Purchase Header) pour la validation des documents d'achat. Un risque associe des fonctions, exactement comme dans des règles d'accès SAP.
Chaque société étant analysée séparément, les mêmes règles d'accès s'appliquent à toutes les sociétés d'un environnement. Comme toujours, elles doivent refléter le fonctionnement de votre organisation : tout point de départ est un modèle à revoir, puis à adapter et à maintenir vous-même. La page maintenance des règles d'accès explique comment les clients maintiennent les leurs.
Comment les licences et les filtres de sécurité sont-ils traités ?
Ils sont signalés, pas appliqués en silence. Quand un droit d'un risque dépasse ce que la licence de l'utilisateur permet, ou que chaque attribution de ce droit porte un filtre de sécurité, le risque reste dans le rapport avec une note qui nomme la limite : par exemple une insertion fournisseur autorisée seulement en indirect avec une licence Team Member, ou le filtre lui-même (Customer: Country/Region Code=US). Le réviseur décide alors si le conflit est réel pour cet utilisateur. La source de données affiche aussi une liste « Granted but not licensed » : chaque utilisateur, ensemble et droit au-delà du niveau de licence, une liste de nettoyage utile en soi.
Peut-on analyser Business Central à côté de SAP ?
Oui, et c'est une raison fréquente de choisir MTC Skopos. Les groupes qui utilisent S/4HANA ou ECC au siège font souvent tourner Business Central dans leurs filiales, avec des équipes de centres de services partagés qui ont des comptes dans les deux. Chargez les deux comme sources de données, rattachez les comptes de chaque personne à une seule identité, et le module Cross-System permet à une même règle d'associer une fonction dans Business Central à une fonction dans SAP. La même application couvre aussi SAP Business One et les tenants S/4HANA Public Cloud.
La simulation fonctionne sur les ensembles d'autorisations définis par l'utilisateur : une modification peut être testée avant d'être faite dans Business Central. Les ensembles Système et Extension sont en lecture seule, comme dans Business Central. Le module de recommandations de remédiation propose des changements dans les termes de Business Central : quelle attribution d'ensemble d'autorisations retirer, et quel nouvel ensemble créer à sa place, qui inclut l'ensemble d'origine sans les droits à risque.
Combien cela coûte-t-il ?
La licence de base coûte 5 736 EUR/an et couvre un nombre illimité d'environnements, de sociétés et d'utilisateurs. La simulation (1 199 EUR/an), les recommandations de remédiation (2 398 EUR/an) et les règles cross-system (1 199 EUR/an) sont des modules optionnels. La grille tarifaire donne le détail. Les suites de gouvernance cloud pour Dynamics, comme Delinea Fastpath, ajoutent des revues d'accès et des workflows de provisioning. MTC Skopos reste un outil d'analyse : il n'écrit jamais dans Business Central. Le comparatif des alternatives à SAP GRC met les options côte à côte.
Questions fréquentes
Comment réaliser une analyse de séparation des tâches dans Business Central ?
Business Central n'a pas de contrôle SoD intégré. L'accès effectif d'un utilisateur vient des ensembles d'autorisations attribués par société, directement ou via des groupes de sécurité, moins ce que retirent les ensembles exclus, le tout plafonné par sa licence. Une analyse SoD doit traduire tout cela en droits sur des tables et des objets, puis tester ces droits contre des règles d'accès. MTC Skopos le fait à partir d'une extraction en lecture seule de l'environnement et rattache chaque conflit à l'ensemble d'autorisations et au droit qui le créent.
Comment MTC Skopos se connecte-t-il à Business Central ?
Votre administrateur installe l'extension MTC Skopos Connector, qui lit uniquement la configuration de sécurité et n'écrit rien. MTC Skopos lit ensuite les données par l'API Business Central avec une application Entra enregistrée et détenue par votre tenant (ou une clé d'accès aux services web sur un serveur on-premise), ou bien l'administrateur exporte un fichier ZIP en un clic et l'envoie. La mise en place prend environ 30 minutes, une seule fois.
MTC Skopos lit-il des données métier dans Business Central ?
Non. Le connecteur lit les utilisateurs, les plans de licence, les ensembles d'autorisations et leur contenu, les groupes de sécurité, les attributions et les filtres de sécurité. Il ne lit aucun enregistrement client, fournisseur, écriture comptable ou document. L'extension optionnelle MTC Skopos Activity ajoute le nombre d'enregistrements créés ou modifiés par chaque utilisateur et par table, sans en lire le contenu.
MTC Skopos tient-il compte des licences Business Central ?
Oui. Un ensemble d'autorisations peut accorder plus que ce que la licence de l'utilisateur permet. MTC Skopos calcule ce que chaque plan de licence autorise et signale les actions que la licence peut bloquer : un Team Member qui détient un droit d'insertion via un ensemble d'autorisations est remonté avec cette note plutôt que comme un conflit sans réserve. Une liste distincte montre chaque droit accordé au-delà du niveau de licence.
Peut-on analyser Business Central et SAP ensemble ?
Oui. Beaucoup de groupes utilisent S/4HANA ou ECC au siège et Business Central dans les filiales. Les deux se chargent comme sources de données dans la même application MTC Skopos, et avec le module Cross-System (1 199 EUR/an) une règle peut associer une fonction dans Business Central à une fonction incompatible dans SAP pour la même personne.
Combien coûte l'analyse SoD Business Central avec MTC Skopos ?
La licence de base coûte 5 736 EUR/an et couvre un nombre illimité d'environnements, de sociétés et d'utilisateurs analysés. La simulation, les recommandations de remédiation et les règles cross-system sont des modules optionnels. Il n'y a pas de frais par société ni par utilisateur.
À lire aussi : Analyse SoD SAP Business One · Analyse SoD multi-ERP (en anglais) · S/4HANA Public Cloud (en anglais) · Alternatives à SAP GRC · Maintenance des règles d'accès