Dans Microsoft Dynamics 365 Business Central, un profil (rôle) est une couche de personnalisation de l’interface qui détermine le Role Center affiché à l’ouverture de session, les menus de navigation disponibles et les pages ou rapports accessibles par défaut.
À retenir dès maintenant : masquer un bouton ou une page via un profil améliore l’ergonomie, mais ne restreint en rien l’accès sous-jacent aux données. La sécurité réelle se vérifie via la page Effective Permissions et les Permission Sets — jamais via la configuration du profil seul.
Pour valider la configuration d’un environnement, trois outils sont indispensables :
- La page Effective Permissions, qui affiche la combinaison réelle des droits par utilisateur.
- La page Gestion des utilisateurs et groupes, qui relie profils, Permission Sets et licences.
- Microsoft Entra ID, qui centralise l’authentification et les groupes de sécurité pour Business Central Online.
Points clés
La règle d’or de l’administration des rôles Business Central est simple : les profils gèrent l’expérience utilisateur, les Permission Sets gèrent la sécurité des données, et la page Effective Permissions est le seul outil fiable pour vérifier le résultat réel.
| Point | Détails |
|---|---|
| Profils ≠ sécurité | Un profil contrôle l’interface ; seuls les Permission Sets et entitlements restreignent l’accès aux données. |
| Vérifier Effective Permissions | Après toute modification de droits, contrôlez la page Effective Permissions pour chaque utilisateur concerné. |
| Préparer avant d’importer | Définissez Permission Sets et groupes de sécurité avant d’importer massivement des utilisateurs pour éviter les incohérences. |
| Versionner les profils AL | Exportez les profils en AL et archivez-les dans Git pour faciliter la maintenance multi-environnement. |
| Accompagnement Dynamicsconnect | Dynamicsconnect réalise audits, conception de profils et formation pour sécuriser les déploiements Business Central en PME. |
Que sont réellement les rôles Business Central et comment s’organisent-ils ?
La personnalisation de l’interface utilisateur dans Business Central s’articule autour de quatre couches distinctes, chacune ayant une priorité définie :
- Extensions AL (page / page extension / rolecenter objects) : couche la plus profonde, déployée par un développeur ou un ISV via Visual Studio Code. Elle définit la structure de base du Role Center et des pages.
- Customisation de profil : modifications apportées par un administrateur depuis le client Business Central (ajout/suppression de colonnes, réorganisation de menus) pour un profil donné.
- Personnalisation utilisateur : ajustements réalisés par l’utilisateur final sur son propre espace de travail, sans impact sur les autres.
- Role Center : page d’accueil role-tailored qui agrège les indicateurs, raccourcis et flux d’activité pertinents pour un métier donné (comptable, commercial, responsable entrepôt, etc.).
L’ordre de priorité est strict : une extension AL prime sur la customisation de profil, qui prime elle-même sur la personnalisation utilisateur. Concrètement, si une extension AL masque un champ, aucune customisation de profil ni personnalisation utilisateur ne peut le faire réapparaître.
La distinction entre profils créés en AL et profils créés depuis le client a des implications directes sur la maintenance. Un profil issu d’une extension ne peut pas être supprimé tant que l’extension est installée ; un profil créé manuellement depuis la page Profils (rôles) est plus souple mais ne bénéficie pas du versioning automatique d’une extension.
Conseil de pro : Avant de créer un profil manuellement, vérifiez si une extension existante (Microsoft ou ISV) ne propose pas déjà un Role Center adapté au métier visé. Copier un profil existant est souvent plus rapide et moins risqué que de partir de zéro.
Profils, Permission Sets et entitlements : qui contrôle quoi ?
La confusion entre profil et Permission Set est l’erreur la plus fréquente observée lors des déploiements Business Central. Voici la répartition exacte des responsabilités :
- Profil : contrôle l’expérience visuelle (Role Center, menus, disposition des pages). Aucun impact sur les données.
- Permission Set : contrôle les actions sur les tables et objets — lecture ®, insertion (I), modification (M), suppression (D), exécution (Execute). Plusieurs Permission Sets peuvent être cumulés sur un même utilisateur.
- Entitlement : plafond d’accès déterminé par la licence (Essentials, Premium, Team Member). Un Permission Set ne peut pas accorder plus que ce que la licence autorise.
Principe fondamental : masquer des éléments d’interface n’empêche pas l’accès aux actions sous-jacentes. Un utilisateur dont le profil ne montre pas le menu « Comptabilité » peut tout à fait accéder aux écritures comptables via une URL directe ou une API, si ses Permission Sets le permettent.
Le comportement d’agrégation des permissions mérite une attention particulière. Lorsqu’un utilisateur appartient à plusieurs groupes de sécurité ou dispose de plusieurs Permission Sets, Business Central applique la règle du moins restrictif (least-restrictive) sur les filtres de sécurité : si un Permission Set autorise une table sans filtre et qu’un autre l’autorise avec filtre, l’accès sans filtre l’emporte. La sécurité effective doit donc toujours être vérifiée via la page Effective Permissions, qui affiche la combinaison réelle des droits, leurs sources (groupes, sets directs) et l’impact des entitlements.
Conseil de pro : Après chaque modification de Permission Set ou de groupe de sécurité, ouvrez la page Effective Permissions pour l’utilisateur concerné et vérifiez ligne par ligne les tables sensibles (écritures comptables, paiements, données RH). Ne présumez jamais du résultat sans cette vérification.
Comment créer, copier, modifier, affecter et activer un profil
Les opérations courantes sur les profils se déroulent depuis la page Profils (rôles), accessible via la barre de recherche Business Central.
Créer ou copier un profil
- Ouvrez la page Profils (rôles) (recherche : « Profiles » ou « Profils »).
- Cliquez sur Nouveau pour créer un profil vierge, ou sélectionnez un profil existant et cliquez sur Copier le profil pour en hériter la configuration.
- Renseignez le Profile ID (identifiant technique, sans espaces) et le Display Name (nom affiché à l’utilisateur).
- Sélectionnez le Role Center ID associé (page d’accueil du profil).
- Enregistrez.
Affecter un profil à un utilisateur
- Ouvrez la page Paramètres utilisateur (User Settings) ou la Liste des personnalisations utilisateur (User Personalization List).
- Sélectionnez l’utilisateur concerné.
- Modifiez le champ Profile ID pour y affecter le profil souhaité.
- Enregistrez. La modification prend effet à la prochaine connexion de l’utilisateur.
Points de vigilance opérationnels
- Toute modification de profil (customisation de pages, réorganisation de menus) ne prend effet pour l’utilisateur qu’après déconnexion et reconnexion.
- Ne renommez pas un Profile ID en cours de session active : cela peut générer des incohérences dans les personnalisations utilisateur liées à cet identifiant.
- Après chaque modification, testez avec un compte utilisateur de test disposant uniquement du profil modifié.
Conseil de pro : Maintenez un compte de test dédié pour chaque profil métier clé. Ce compte doit avoir exactement les mêmes Permission Sets que les utilisateurs réels du profil — c’est la seule façon de valider l’expérience complète sans risquer de perturber un utilisateur en production.
Checklist post-modification :
- Connexion avec le compte de test et vérification visuelle du Role Center.
- Contrôle via Effective Permissions que les droits n’ont pas été modifiés involontairement.
- Export du profil en AL si la configuration doit être archivée ou réutilisée.
Exporter et importer des profils AL : réutilisation et gestion multi-environnement
L’export de profils est une fonctionnalité sous-utilisée qui simplifie considérablement la gestion multi-tenant et l’intégration dans un processus de développement.
Procédure d’export et d’import
- Depuis la page Profils (rôles), sélectionnez le ou les profils à exporter.
- Cliquez sur Exporter les profils : Business Central génère un fichier ZIP contenant des fichiers AL (
.al) pour chaque profil sélectionné. - Pour importer dans un autre environnement, ouvrez la page Profils (rôles) sur le tenant cible, cliquez sur Importer les profils et sélectionnez le fichier ZIP.
Ces fichiers AL peuvent être intégrés dans un dépôt de code source (Git), ce qui permet de versionner les configurations de profils au même titre que le code d’extension. Depuis la version 18 de Business Central, les Permission Sets peuvent également être fournis comme objets AL (PermissionSet, PermissionSetExtension), ce qui facilite leur maintenance et leur déploiement via des pipelines CI/CD.
Limitations et précautions
- Un profil créé par une extension ne peut pas être supprimé tant que l’extension est installée sur le tenant.
- Lors d’un import dans un environnement où une extension définit déjà un profil avec le même ID, des conflits peuvent survenir. Vérifiez toujours les Profile IDs existants avant d’importer.
- Pour les intégrateurs gérant plusieurs clients, un contrôle de version AL des profils et des Permission Sets est une pratique recommandée pour garantir la cohérence entre environnements de développement, test et production.
Conseil de pro : Intégrez l’export des profils AL dans votre checklist de fin de sprint ou de mise en production. Un fichier ZIP versionné dans Git représente une sauvegarde fiable et un point de restauration rapide en cas de régression.
Comment gérer et supprimer les personnalisations de profil et d’utilisateur
La distinction entre les trois niveaux de personnalisation est essentielle pour auditer et corriger une configuration sans effets de bord.
Trois niveaux, trois responsables
- Personnalisation utilisateur : modifiée par l’utilisateur final via le mode personnalisation de son navigateur. Stockée par utilisateur, elle ne touche que son propre espace de travail.
- Customisation de profil : appliquée par un administrateur depuis la page Profils (rôles) → Personnaliser les pages. Elle s’applique à tous les utilisateurs du profil.
- Extension AL : définie par un développeur, elle constitue la base non modifiable sans redéploiement de l’extension.
Supprimer des personnalisations
- Pour supprimer toutes les personnalisations d’un utilisateur : ouvrez la Liste des personnalisations utilisateur, sélectionnez l’utilisateur, puis cliquez sur Effacer les pages personnalisées.
- Pour supprimer les personnalisations d’une page spécifique pour un utilisateur : accédez à Pages personnalisées depuis la fiche utilisateur et supprimez les entrées concernées.
- Pour réinitialiser la customisation d’un profil : ouvrez le profil dans la page Profils (rôles), accédez à Personnaliser les pages et supprimez les customisations page par page.
Ces suppressions sont irréversibles. Planifiez-les pendant une fenêtre de maintenance et communiquez aux utilisateurs concernés avant d’intervenir, en particulier si leurs personnalisations représentent des ajustements métier importants. Un changement de processus métier ou une harmonisation des espaces de travail après une montée de version sont les cas d’usage les plus courants pour ces opérations.
Ajouter et gérer utilisateurs, licences et groupes : Online vs On-Premises
Business Central Online repose entièrement sur Microsoft 365 et Microsoft Entra ID :
- Les comptes utilisateurs sont créés dans le Centre d’administration Microsoft 365 ou via le Partner Center (pour les revendeurs).
- À la première connexion d’un utilisateur dans Business Central, son compte est automatiquement importé depuis Microsoft Entra ID.
- Les licences (Essentials, Premium, Team Member, Device) sont attribuées dans le Centre d’administration Microsoft 365 ; elles déterminent les entitlements disponibles dans Business Central.
- La synchronisation des utilisateurs depuis Microsoft 365 garantit la cohérence entre licence et Permission Sets.
Business Central On-Premises fonctionne différemment :
- Les utilisateurs sont gérés directement depuis la page Utilisateurs de Business Central.
- La licence est liée à un fichier
.bclicense(ou.flfpour les versions antérieures) importé dans l’environnement. - L’intégration avec Active Directory ou Microsoft Entra ID est possible mais nécessite une configuration explicite.
Recommandation pour un déploiement initial : définissez et testez vos Permission Sets et groupes de sécurité avant d’importer massivement des utilisateurs. Ajouter des utilisateurs dans un environnement dont la gouvernance des droits n’est pas finalisée génère des incohérences difficiles à corriger a posteriori, notamment sur les filtres de sécurité.
Concernant les groupes de sécurité : Microsoft a progressivement remplacé les anciens groupes d’utilisateurs Business Central par des groupes de sécurité Microsoft Entra ID dans Business Central Online. Cette migration simplifie la gouvernance en centralisant la gestion des groupes dans Entra ID, mais elle nécessite une planification lors des projets de mise à niveau pour éviter toute perte d’attribution de Permission Sets.
Sécurité et bonnes pratiques : PIM, MFA et séparation des tâches
La gouvernance des accès dans Business Central s’appuie sur plusieurs niveaux de contrôle complémentaires.
Principes fondamentaux :
- Lors du premier déploiement, au moins un compte SUPER doit être configuré pour administrer l’ensemble des accès. Ce compte doit être nominatif, jamais partagé.
- Appliquez le principe du moindre privilège : chaque utilisateur ne doit disposer que des Permission Sets strictement nécessaires à ses tâches.
- Pour les comptes administrateurs et les rôles hautement privilégiés, Microsoft recommande l’usage de Privileged Identity Management (PIM) via Microsoft Entra ID, qui permet d’activer des droits élevés uniquement à la demande et pour une durée limitée, réduisant ainsi la surface d’exposition.
Sur la sécurité des comptes privilégiés : Microsoft recommande explicitement PIM et MFA pour les environnements Business Central Online. Un compte administrateur sans MFA représente le vecteur d’attaque le plus courant sur les tenants Microsoft 365.
Séparation des tâches (SOD) :
Pour les opérations critiques — règlements fournisseurs, écritures comptables, modifications de données maîtres — mettez en place des workflows d’approbation qui imposent une validation par un second utilisateur. Le principe créateur/approbateur réduit le risque de fraude interne et répond aux exigences d’audit courantes dans les PME soumises à des contrôles comptables.
Vérifications régulières à planifier :
- Audit trimestriel des Effective Permissions pour les comptes à droits étendus.
- Revue des membres des groupes de sécurité Entra ID après chaque départ ou changement de poste.
- Surveillance des sessions actives et des logs de connexion via le Centre d’administration Business Central.
- Contrôle des comptes inactifs depuis plus de 90 jours.
Conseil de pro : Activez les alertes de sécurité ERP pendant les périodes de faible activité (congés, fermetures annuelles) : c’est précisément lors de ces fenêtres que les comptes dormants sont les plus exposés.
Checklist de déploiement et d’audit des rôles en production
Cette checklist couvre l’ensemble du cycle de vie d’un projet de gouvernance des rôles, de l’analyse initiale à la maintenance post-déploiement.
Phase 1 — Audit des usages existants
- Inventaire des profils actifs et des utilisateurs affectés à chacun.
- Identification des Permission Sets en place et des chevauchements potentiels.
- Recensement des personnalisations utilisateur non documentées.
- Analyse des entitlements par rapport aux licences souscrites.
Phase 2 — Conception
- Définition d’une matrice profils ↔ tâches métier (qui fait quoi dans quel module).
- Création ou adaptation des Permission Sets selon le principe du moindre privilège.
- Définition des security filters pour les données sensibles (sociétés, dimensions, centres de coût).
- Choix des Role Centers adaptés à chaque métier (comptable, commercial, logisticien, etc.).
Phase 3 — Tests et validation
- Test avec des comptes utilisateurs de test pour chaque profil.
- Vérification systématique via Effective Permissions pour chaque combinaison profil + Permission Sets.
- Contrôle des chevauchements de filtres de sécurité (règle least-restrictive).
- Validation des entitlements par rapport aux licences assignées.
Phase 4 — Formation et mise en production
- Formation des utilisateurs clés sur leur Role Center et les fonctionnalités disponibles.
- Communication sur les changements d’interface avant la bascule.
- Export des profils AL et archivage dans le dépôt de code source.
- Plan de rollback documenté (export des profils avant modification, liste des Permission Sets précédents).
Phase 5 — Maintenance post-go-live
- Revue semestrielle des droits et des profils.
- Mise à jour des Permission Sets après chaque montée de version Business Central.
- Monitoring des sessions et des logs d’accès.
- Mise à jour de la matrice profils ↔ tâches lors de tout changement organisationnel.
Conseil de pro : Après chaque mise à jour majeure de Business Central, vérifiez que les Permission Sets système n’ont pas été modifiés par Microsoft. Depuis la v18, ces sets sont fournis comme objets AL versionnés, ce qui facilite la détection des changements via un diff Git.
Dynamicsconnect vous accompagne dans la gouvernance de vos rôles Business Central
Concevoir une architecture de profils et de permissions cohérente demande une connaissance précise des mécanismes Business Central et une compréhension fine des processus métier de votre organisation. Dynamicsconnect propose un accompagnement structuré pour les PME et ETI qui souhaitent sécuriser et optimiser leur déploiement : audit des profils et Permission Sets existants, conception d’une matrice profils ↔ tâches adaptée à votre organisation, définition des security filters, tests Effective Permissions, export et versioning AL, et formation des administrateurs.
Pour les organisations qui démarrent un projet Business Central ou qui souhaitent revoir leur gouvernance des accès, Dynamicsconnect réalise un audit et conseil initial qui permet d’identifier les risques, de cartographier les droits existants et de proposer une feuille de route opérationnelle. L’objectif est concret : réduire les risques de sécurité, garantir la conformité des processus et accélérer la prise en main par les utilisateurs. Pour en savoir plus sur l’offre et engager une première discussion, consultez la page solutions Microsoft Dynamics 365.
Lectures et ressources officielles recommandées
Les ressources ci-dessous couvrent l’ensemble des sujets abordés dans ce guide et constituent les références à consulter pour approfondir chaque aspect de l’administration des rôles Business Central.
- Gérer les profils d’utilisateur — Microsoft Learn (fr) : procédures complètes de création, copie, affectation et suppression de profils depuis le client Business Central.
- Personnaliser l’interface pour les rôles utilisateur — Microsoft Learn : documentation technique sur les couches de personnalisation AL et leur ordre de priorité.
- Entitlements and Permission Sets overview — Microsoft Learn : référence pour la création de Permission Sets en AL (v18+), le versioning et les entitlements.
- Security for Business Central (online) — Microsoft Learn : recommandations Microsoft sur MFA, PIM, Entra ID et gouvernance des comptes privilégiés.
- Security overview — Microsoft Learn : vue d’ensemble de l’architecture de sécurité Business Central (authentification, chiffrement, monitoring).
- Gérer les utilisateurs et les rôles — Microsoft Learn (fr) : procédures d’import et de synchronisation des utilisateurs depuis Microsoft 365.
- Profiles vs Permission Sets: Hiding a Button Isn’t Security — Oussama Sabbouh : analyse experte illustrant les erreurs fréquentes de confusion entre personnalisation UI et restriction d’accès.
Sources
- Security for Business Central (online) – Microsoft Learn
- Entitlements and Permission Sets overview – Business Central developer docs
- Customize the user interface for user roles – Business Central | Microsoft Learn
- Profiles (Roles) vs Permission Sets: Hiding a Button Isn’t Security – Oussama Sabbouh
Questions fréquentes
Quelles sont les principales fonctionnalités de Business Central ?
Business Central couvre la comptabilité générale, la gestion financière, les achats, les ventes, les stocks, la chaîne logistique et les projets. La gestion des profils et des Permission Sets permet d’adapter l’interface et les droits d’accès à chaque métier au sein d’une même organisation.
Qui utilise Business Central et ses profils ?
Business Central est principalement utilisé par les PME et ETI. Les profils sont configurés par les administrateurs IT ou les consultants ERP pour adapter l’expérience de chaque type d’utilisateur : comptable, commercial, responsable logistique, technicien terrain, etc.
Quel est le prix de Business Central ?
La tarification de Business Central dépend du type de licence (Essentials, Premium, Team Member) et du nombre d’utilisateurs. Les entitlements associés à chaque licence déterminent le plafond des Permission Sets activables.
Comment se connecter à Business Central et changer de profil ?
La connexion s’effectue via un navigateur web ou l’application mobile, avec authentification Microsoft Entra ID. Pour changer de profil, un administrateur accède à la page Paramètres utilisateur, modifie le champ Profile ID pour l’utilisateur concerné, et la modification prend effet à la prochaine connexion de l’utilisateur.
Comment vérifier les droits effectifs d’un utilisateur dans Business Central ?
Ouvrez la page Effective Permissions depuis la fiche de l’utilisateur concerné. Elle affiche la combinaison réelle de tous les Permission Sets actifs, leurs sources (groupes de sécurité, sets directs) et l’impact des entitlements liés à la licence.
