Als Abonnent meines Newsletters erhältst Du die Beispieldateien zu den Beiträgen dazu. Hier geht’s zum Abonnement des Newsletters!

Freigeben, aber nicht Zusammenarbeiten

Während es mir bei Nutzern derselben Domäne möglich ist, diese auch für App-Workspaces zu berechtigen und somit gemeinsam an Power BI-Artefakten (Reports, Dashboards, Apps) zu arbeiten, ist es den externen Empfängern von Power BI-Inhalten lediglich möglich, Power BI-Artefakte lesend zu konsumieren. Eine Zusammenarbeit in Workspaces ist mit externen Nutzern in Power BI nicht vorgesehen. Möchte ich also einer externen Person unbedingt Zugriff auf einen App-Workspace in meinem Tenant gewähren, muss ich dieser Person wohl oder übel einen internen Nutzer in meinem O365-Adminportal einrichten.

So funktioniert externes Freigeben

Eine wichtige Information vorab: Wie weiter oben schon erwähnt, handelt es sich bei dem externen Freigeben, um das Freigeben von Reports, Dashboards und Apps mit Leserechten. Hierbei geht es also um das reine Konsumieren von Inhalten. Empfangene Reports, Dashboards und Apps können nicht verändert, sondern nur so genutzt werden, wie sie sind. Damit Power BI-Artefakte mit externen Nutzern ausgetauscht werden können, muss dafür zuvor die entsprechende Einstellung durch den Power BI-Admin im Power BI-Verwaltungsportal vorgenommen werden.

Basiseinstellungen im Power BI-Verwaltungsportal

Der Power BI-Administrator kann im Power BI-Verwaltungsportal das Freigeben von Power BI-Artefakten mit externen Nutzern aktivieren, oder deaktivieren. Die Freigabe an externe Nutzer kann hierbei der gesamten Organisation, oder nur bestimmten Sicherheitsgruppen erlaubt bzw. untersagt werden. Wie Du einen Power BI-Admin anlegst bzw. durch den O365-Admin anlegen lässt, liest Du hier. Standardmäßig ist das Freigeben mit externen Benutzern (glücklicherweise) deaktiviert.

Zwei unterschiedliche Arten des externen Freigebens

Man unterscheidet zwei verschiedene Arten des externen Freigebens: Die ad-hoc Einladung und die geplante Einladung.  Wichtig für beide Arten ist es, dass der externe Empfänger meines Power BI-Inhaltes in jedem Fall durch eine entsprechende Power BI-Lizenz abgedeckt sein muss. Erinnere Dich: Beim Freigeben von Power BI-Inhalten hört die Free-Lizenz auf. Von dem Moment an, ab dem Inhalte geteilt werden, unterstellt Microsoft einen wirtschaftlichen Nutzen und möchte daran (verständlicherweise) verdienen. Auf das Thema Lizensierung gehe ich im weiteren Verlauf an passender Stelle immer wieder ein, speziell jedoch weiter unten unter 3 Lizensierungsoptionen.

Ad-hoc Einladung

Die Ad-hoc-Einladung unterstellt, dass der externe Nutzer bereits durch eine entsprechende Power BI-Lizenz abgedeckt ist. Dies ist dann der Fall, wenn …

1. der externe Nutzer über eine Power BI-Pro-Lizenz in seinem Tenant verfügt, oder
2. ich in meinem Tenant über Power BI-Premium und mein Power BI-Artefakt in einem App-Workspace liegt, der auf einer Premium-Kapazität beruht.

Ist einer der obigen Fälle gegeben, kann ich Reports und Dashboards ad-hoc, also spontan freigeben, ohne mich zuvor um Lizensierungen kümmern zu müssen. Das Freigeben findet dann wie immer über die Schaltfläche Freigeben in der oberen rechten Ecke des Bildschirms statt:

Der folgende Screenshot zeigt den Versuch des Freigebens unter zwei verschiedenen Voraussetzungen:

• links das Freigeben von Power BI-Inhalten an externe Nutzer, unter der Voraussetzung, dass im Verwaltungsportal das Freigeben mit externen Nutzern erlaubt wurde. Beim Freigeben an den externen Nutzer Max.Mustermann@Beispielunternehmen (1) wird lediglich eine Warnung ausgegeben (2), dass man im Begriff ist, Inhalte mit organisationsfremden Personen zu teilen. Das Freigeben ist dennoch problemlos möglich, denn die Schaltfläche Freigeben (3) ist aktivierbar.
• rechts das Freigeben von Power BI-Inhalten an externe Nutzer, unter der Voraussetzung, dass im Verwaltungsportal das Freigeben mit externen Nutzern nicht erlaubt wurde. Beim Freigeben an den externen Nutzer Max.Mustermann@Beispielunternehmen (4) wird eine Meldung ausgegeben (5), dass man das Unmögliche versucht, nämlich Inhalte mit organisationsfremden Personen zu teilen. Das Freigeben ist in diesem Falle nicht möglich, da die Schaltfläche Freigeben (6) ausgegraut und damit nicht aktivierbar ist.

Ähnlich sieht es aus, wenn ich eine App aus einem App-Workspace an einen organisationsfremden Nutzer freigeben möchte. Wurde das externe Freigeben durch den Power BI-Admin gestattet, so erscheint hier nicht mal ein Hinweis darauf, dass mit einer externen Person geteilt wird. Sofern das externe Freigeben jedoch nicht gestattet ist, siehst Du folgende Warnung:

Trifft von den oben genannte Varianten a und b keine auf die vorliegende Lizenz-Situation zu, greift eine weitere Variante Power BI-Artefakte mit organisationsfremden Personen zu teilen: Die Geplante Einladung.

Geplante Einladung

Die geplante Einladung kommt zum Tragen, wenn ich Power BI-Artefakte Nutzern außerhalb meiner Organisation freigeben möchte und…

1. diese nicht über eine Power BI-Pro-Lizenz verfügen, weil sie vielleicht nicht einmal über ein Power BI-Konto verfügen und
2. ich in meinem Tenant nicht über Power BI-Premium verfüge oder
3. ich in meinem Tenant über Power BI Premium verfüge, aber mein Power BI-Artefakt aus irgendeinem Grund nicht in einem App-Workspace mit Premium-Kapazität liegt

Liegen die Fälle a und b oder c vor, dann habe ich die Möglichkeit, dem externen Nutzer einen Gastnutzer in meinem Tenant einzurichten und diesem in meinem O365-Admin Center eine entsprechende Power BI-Pro-Lizenz zuzuweisen. Diese ist dann für den Gastnutzer nur in meinem Tenant nutzbar, nicht jedoch in seinem eigenen (sofern vorhanden). Wie dies geht, zeige ich Dir jetzt.

Anlegen eines Gastnutzers in Azure Active Directory (AAD)

Um Gastnutzer in AAD anzulegen und diesen (Power BI-) Lizenzen zuzuweisen, musst du Administrator in O365 sein. Als solcher hast Du die Möglichkeit, über das O365-Admin Center Zugriff auf AAD zu nehmen:

In AAD angelangt, kann ein Gastnutzer wie folgt angelegt werden:

Wie Du auf dem Screenshot sehen kannst, habe ich einen Gastnutzer für meine private googlemail-Adresse angelegt. Da es sich hierbei um keine Firmen-E-Mailadresse handelt, kann auf dieser Adresse also auch kein Power BI-Konto angemeldet sein (dies geht nicht für gmail, gmx & co.). Damit ich mit meiner Googlemail-Adresse Power BI-Inhalte einsehen kann, muss ich dem soeben angelegtem Gastnutzer nun in meinem Tenant eine entsprechende Power BI-Pro-Lizenz zuordnen.

Zuweisen einer Power BI-Pro-Lizenz an den angelegten Gastnutzer

Gegenwärtig steht für das O365-Admin Center eine Vorschau für eine erneuerte Ansicht zur Verfügung. Mir war es nicht möglich, innerhalb dieser Vorschau die notwendigen Menüpunkte ausfindig zu machen, um einen Gastnutzer mit den entsprechenden Lizenz zu versorgen. Daher stelle, sofern Du Dich in der Vorschau befindest, bitte wieder auf die alte Sicht um:

In der alten Sicht, kann ich dem aktiven externen Nutzer wie folgt eine (zuvor gekaufte und freie) Power BI Pro-Lizenz zuordnen:

Nachdem ich für den externen Empfänger in meinem Tenant einen Gastnutzer angelegt und diesem eine Power BI-Pro-Lizenz zugewiesen habe, kann ich Reports, Dashboards und Apps auf dieselbe Weise mit dem Nutzer teilen, wie ich es beim Ad-hoc-Freigeben bereits getan habe:

So konsumiert der externe Nutzer den freigegebenen Inhalt

Unabhängig davon, ob der externe Nutzer selbst über eine Power BI-Pro-Lizenz verfügt, oder als Gastnutzer in meinem Tenant mit einer entsprechenden Lizenz versorgt wurde, findet das Konsumieren der freigegebenen Inhalte auf die gleiche Art und Weise statt. Zunächst erhält der Nutzer eine E-Mail mit der Nachricht, dass ein entsprechender Inhalt für Ihn freigegeben wurde und dieser unter einem entsprechenden Link („Go to Report“) einsehbar ist:

Mit einem Klick auf den Link Go to Report wird er aufgefordert, sich unter der genutzten E-Mailadresse an einem Microsoft-Konto anzumelden.

Sofern für diese E-Mailadresse noch kein Microsoft-Konto angelegt wurde, wird der Empfänger aufgefordert, ein solches (kostenfrei) anzulegen:

Sobald man sich mit dem nun existierenden Microsoft-Konto authentifiziert, kann Microsoft prüfen, ob für diesen Nutzer eine entsprechende Power BI-Lizenz (auch in fremden Tenants) zur Verfügung steht. Danach können die freigegebenen Power BI-Artefakte im Browser wie folgt konsumiert werden:

3 Lizensierungsoptionen

Ich habe an den entsprechenden Stellen schon einiges zum Thema Lizensierung erwähnt, möchte hier jedoch noch einmal geschlossen auf das Thema eingehen.Natürlich ist es beim Freigeben von Power BI-Artefakten wichtig, dass nicht nur der Sender über eine Power BI Pro-Lizenz verfügt, sondern auch der Empfänger über eine entsprechende Lizenz abgedeckt ist. Hierbei stehen 3 Szenarien zur Verfügung:

• Verwenden von Power BI Premium: Externer Empfänger benötigt keine Pro-Lizenz und ist über meine Lizenz abgedeckt.
• Zuweisen einer Power BI Pro-Lizenz zu einem Gastnutzer in meinem Tenant: Dem in Azure Active Directory (AAD) angelegten Gastnutzer kann in O365 eine Power BI Pro-Lizenz zugeordnet werden. Er kann Inhalte konsumieren, weil er über die in meinem Tenant vorhandene Power BI Pro-Lizenz abgedeckt ist.
• Der Gastnutzer verfügt über eine eigene Power BI Pro-Lizenz: Der Gastnutzer meldet sich bei seinem Nutzerkonto an und kann durch die vorhandene Power BI Pro-Lizenz die freigegebenen Inhalte konsumieren.

Da dieses Thema nicht ganz trivial ist, habe ich das Ganze noch einmal graphisch als Entscheidungsbaum aufbereitet und hoffe, dass dies hilft, die Thematik besser zu durchdringen.

Wann nutze ich welche Form des externen Freigebens?

Freigeben in Power BI hat zu einem sehr großen Anteil mit Lizensierung zu tun. Das macht die Sache keineswegs übersichtlicher. Mit dem folgenden Entscheidungsbaum hoffe ich, zu mehr Transparenz beizutragen.

Bis zum nächsten Mal und denk dran: Sharing is caring. Wenn Dir der Beitrag gefallen hat, dann teile ihn gerne. Falls Du Anmerkungen hast, schreibe gerne einen Kommentar, oder schicke mir eine Mail an lars@ssbi-blog.de

Viele Grüße aus Hamburg,

Lars

Lars Schreiber

Lars ist Berater, Entwickler und Trainer für Microsoft Power BI. Er ist zertifizierter Power BI-Experte und Microsoft Trainer. Für sein Engagement in der internationalen Community wurde Lars seit 2017 jährlich durch Microsoft der MVP-Award verliehen. Lies hier mehr…

ssbi-blog.de

Der Beitrag Freigeben von Power BI-Artefakten an externe Nutzer erschien zuerst auf THE SELF-SERVICE-BI BLOG.

Als Abonnent meines Newsletters erhältst Du die Beispieldateien zu den Beiträgen dazu. Hier geht’s zum Abonnement des Newsletters!

Was bedeutet „Freigeben“ im Power BI-Kontext?

Bei den unterschiedlichen Szenarien, wie im Power BI-Service Inhalte freigegeben werden können, geht es darum, die folgend aufgeführten Power BI-Artefakte mit anderen Personen (nicht zwangsläufig Kollegen im eigenen Unternehmen) zu teilen:

• Dataset
• Reports
• Dashboards

Datasets selbst, können gegenwärtig nicht freigegeben werden. Sie sind stets die Basis zweier weiterer Artefakt, den Reports und Dashboards, um die es im Wesentlichen geht, wenn von Freigeben die Rede ist. 

Ich beginne mit der einfachsten Form des Freigebens, dem spontanen Freigeben.

Szenario #1: Spontanes Teilen von Reports und Dashboards

Zweck

Spontanes Freigeben kommt zum Tragen, wenn sich der Chef meldet und innerhalb der nächsten 5 Minuten einen Bericht haben will, von dem er eben noch gar nicht wußte, dass man ihn hat. Der Adressatenkreis ist eingeschränkt und das Freigeben findet spontan, also ungeplant statt.

Rechte

Der Empfänger des Reports/ Dashboards hat ausschließlich Leserechte.

Lizenz

Der Sender des Reports/ Dashboards benötigt in jedem Falle eine Power BI Pro-Lizenz.

Der Empfänger benötigt generell ebenfalls eine Power BI Pro-Lizenz. Sofern sich der zu teilende Inhalt auf einem Workspace mit Premium-Kapazität (in einer sog. P-SKU) befindet, ist für den Empfänger die kostenfreie Power BI Free-Lizenz ausreichend.

Adressierung des Empfängers

Die Adressierung des Empfängers kann auf drei Wegen erfolgen:

• E-Mailadresse,
• O365-Verteilerliste (nicht O365-Gruppe!!!)
• Azure Active Directory Security Group

Szenario #2: Zusammenarbeit in App-Workspaces (App-Arbeitsbereichen)

Was ist ein App-Workspace?

Ein App-Workspace ist ein Container für …

• Power BI-Artefakte (Datasets, Reports, Dashboards, Dataflows (seit 5.11.18 in Preview)
• Excel-Arbeitsmappen („Excel-Daten in Power BI importieren“ & „Excel-Datei nach Power BI hochladen“)

Im Gegensatz zum Freigeben von Reports und Dashboards geht es bei App-Workspaces nicht nur um das Konsumieren von Inhalten, sondern um das aktive Mitarbeiten an eben solchen. Kollegen, die für einen App-Workspace berechtigt werden, erhalten eine entsprechende Rolle. Diese Rolle bestimmt ihre Rechte innerhalb des App-Workspaces. Bevor ich im Detail auf die unterschiedlichen Rollen und Rechte eingehen kann, muss ich zunächst erklären, warum es gegenwärtig zwei unterschiedliche Versionen von App-Workspaces gibt (App-Workspace V1 und App-Workspace V2) und worin ihre Unterschiede bestehen.

App-Workspace V1 vs. V2

Derzeit gibt es zwei Varianten des App-Workspaces: V1 und V2. Bei der V1 handelt es sich um die „alte“ Version des App-Workspaces, bei der V2 um die neue Version, die sich gegenwärtig noch in Preview befindet. Wieso hat Microsoft sich entschlossen, eine neue Version des App-Workspaces zu erstellen? Das hat im Wesentlichen zwei Gründe:

• Die V1 wird auf Basis einer O365-Gruppe erstellt. Diese Tatsache nervte sowohl Power BI-Nutzer, als auch O365-Admins, da bei jeder Erstellung eines neuen App-Workspaces automatisch eine neue O365-Gruppe erstellt wurde, umgekehrt aber bei jeder Erstellung einer neuen O365-Gruppe auch automatisch ein neuer App-Workspace in Power BI auftauchte. Diese Problematik ist mit der V2 behoben, die nun von O365-Gruppen entkopppelt ist.
• Die V1 ist hinsichtlich der Rechtevergabe an Mitglieder des App-Workspaces recht unflexibel, da hier die Rechte sowohl von der Rolle des App-Workspace-Berechtigen (Admin oder Mitglied), als auch von der Sicherheitseinstellung auf Workspace-Ebene abhängt. In der V1 ist es z. B. unmöglich bei zwei Kollegen mit der Rolle Mitglied einmal Leserechte und einmal Schreib-/Leserechte zu vergeben. Diese Problematik wird durch die V2 adressiert.

Tipp: Da auf lange Sicht alle App-Workspaces durch die Nutzer (nein, das macht nicht Microsoft für Dich) auf die V2 umgestellt werden müssen, empfehle ich, neue App-Workspaces gleich als V2 anzulegen.

Zweck

Gemeinsames Arbeiten an Power BI-Artefakten. Es geht nicht mehr nur um das reine Betrachten fertiger Reports und Dashboards, sondern um das Mitwirken/ Kollaborieren an Power BI-Artefakten. Daher auch die Bezeichnung „Workspace“, also „Arbeitsbereich“. Hier wird wirklich gearbeitet.

Rechte

Die Rechtevergabe unterscheidet sich zwischen beiden App-Workspace-Versionen stark

• V1: Kombination aus der Rolle des Kollegen (Administrator oder Mitglied) und der Erteilung von Schreib- oder Schreib-/Leserechten auf Workspace-Ebene
• V2: Die Rechte des Kollegen finden ausschließlich auf Rollenebene statt. Um hier feiner die Berechtigungen steuern zu können, wurden in der V2 zusätzlich zu den Rollen Administrator und Mitglied noch die beiden Rollen Mitwirkender und Viewer (wird erst integriert, wenn V2 nicht mehr in der Preview ist) ergänzt.

Die Unterschiede zwischen den einzelnen Rollenkonzepten in V1 und V2 verdeutlicht die folgende Übersicht:

Lizenz

Jeder Nutzer, der eine Berechtigung für einen App-Workspace haben möchte, benötigt eine Power BI Pro-Lizenz, unabhängig davon, ob das Unternehmen Power BI Premium hat, oder nicht. Dies bedeutet, dass auch für das Anlegen eines neuen App-Workspaces eine Power BI Pro-Lizenz notwendig ist.

Adressierung des Empfängers

Die Adressierung des Empfängers unterscheidet sich zwischen den beiden Workspace-Versionen:

• V1: E-Mailadresse
• V2: E-Mailadresse, unterschiedliche O365-Gruppen, Azure Active Directory Security Groups

Row Level Security

Simpel formuliert, handelt es sich bei RLS um die Möglichkeit, je Datensatz im Datenmodell festzulegen, wer diesen sehen darf. Falls Du hierzu mehr lernen möchtest, findest Du detaillierte Informationen in meiner Beitragsreihe zu diesem Thema. 

Wurden Reports/ Dashboards aus einem App-Workspace heraus veröffentlicht, dann gibt es Konstellationen, unter denen Nutzer des App-Workspaces in der Lage sind, die vollständige, den Reports/ Dashboards zugrundliegende pbix-Datei herunterzuladen. Diese Konstellationen sind die folgenden:

• V1: Nutzer des App-Workspaces hat die Rolle Admin, oder Nutzer des App-Workspaces hat die Rolle Mitglied, bei Schreib-/Leserechte auf App-Workspace-Ebene
• V2: Nutzer des App-Workspaces haben die Rollen Admin, Mitglied oder Mitwirkender

Es verwundert nicht, dass es bei diesen Kollegen sinnlos ist, ein Berechtigungskonzept auf Datensatzebene (also Row Level Security) zu  hinterlegen, da sie aufgrund ihrer Rolle sowieso auf alle Daten zugreifen können. Wundere Dich also nicht, wenn Du einen Kollegen in Deine RLS-Rollen integriert hast und er/ sie in geteilten Reports/ Dashboards trotzdem alle Daten sehen kann. Dann liegt es daran, dass er/ sie im entsprechenden App-Workspace, aus dem die Reports/ Dashboards geteilt wurden, eine Rolle hat, die ihn/ sie alle Daten sehen lässt.

Der Einfachheit halber, habe ich die oben beschriebenen Inhalte noch einmal tabellarisch zusammengefasst:

Widmen wir uns nun der dritten Variante des Teilen von Power BI-Artefakten.

Szenario #3: Freigeben von Reports/ Dashboards über Organisations-Apps

Was sind Organisations-Apps?

Microsoft tut sich mit der Namensgebung manchmal etwas schwer, was dann zu Lasten der Nutzer geht. Neben den sog. Service Apps, die es mir ermöglichen Webservices wie Google Analytics in Power BI mit wenigen Klicks zu importieren und der Power BI mobile App, die mich Power BI-Inhalte auf meinem mobilen Endgerät betrachten läßt, gibt es auch noch die sog. Organisations-Apps. Diese Apps sind quasi die veröffentlichte Variante eines App-Workspaces (daher auch der Name „App“-Workspace). Ich kann innerhalb des App-Workspaces definieren welche Artefakte Bestandteil der App sein sollen (1) und dann die App veröffentlichen (2). Eine App ist immer an den App-Workspace gebunden, aus dem Sie veröffentlicht wurde. Es gibt keine Möglichkeit, aus einem Workspace mehr als eine App zu veröffentlichen.

Zweck

Während das spontane Freigeben für Einzelfälle gedacht ist und App-Workspaces für die Kollaboration zwischen Kollegen, dienen Organisations-Apps der Verteilung von Inhaltspaketen an eine Vielzahl von Empfängern.

Rechte

Der Empfänger hat ausschließlich Leserechte.

Lizenz

Da Organisations-Apps aus einem App-Workspace heraus veröffentlicht werden, verfügt der Sender zwangsläufig über eine Power BI Pro-Lizenz. 

Der Empfänger benötigt generell ebenfalls eine Power BI Pro-Lizenz. Sofern die App aus einem  App-Workspace veröffentlicht wird, der auf einer Premium-Kapazität (in einer sog. P-SKU) beruht, ist für den Empfänger die kostenfreie Power BI Free-Lizenz ausreichend.

Adressierung des Empfängers

Die Adressierung des Empfängers kann auf drei Wegen erfolgen:

• E-Mailadresse,
• O365-Verteilerliste (nicht O365-Gruppe!!!)
• Azure Active Directory Security Group

Unterschied zwischen Workspace-Leser und App-Empfänger

Eine berechtigte Frage, die mir während eines Vortrags zu diesem Thema gestellt wurde war: „Wo liegt denn der Unterschied zwischen einem Nutzer mit reinen Leserechten im App-Workspace und einem Empfänger einer App?“ Aus meiner Sicht gibt es hier zwei Unterschiede:

1. Da ich in einer App nicht alle Bestandteile des Workspaces veröffentlichen muss, kann ein Nutzer mit Leserechten innerhalb des App-Workspaces Inhalte sehen, die ein App-Empfänger nicht sehen kann.
2. Da Inhalte meines App-Workspaces erst dann in der App erscheinen, wenn ich diese veröffentliche bzw. aktualisiere, hat ein Kollege mit Leserechten innerhalb des App-Workspaces entsprechende Informationen einfach zu einem früheren Zeitpunkt.

Beim nächsten Mal zeige ich Dir, wie man Power BI-Artefakte mit externen Nutzern teilen kann.

Bis zum nächsten Mal und denk dran: Sharing is caring. Wenn Dir der Beitrag gefallen hat, dann teile ihn gerne. Falls Du Anmerkungen hast, schreibe gerne einen Kommentar, oder schicke mir eine Mail an lars@ssbi-blog.de

Viele Grüße aus Hamburg,

Lars

Ich schreibe meine Beiträge für Dich, den Leser. Bitte schenke mir eine Minute Deiner Zeit und bewerte die folgenden Kategorien, um mir zu helfen meine Beiträge so gut wie möglich zu schreiben. Danke

Lars Schreiber

Lars ist Berater, Entwickler und Trainer für Microsoft Power BI. Er ist zertifizierter Power BI-Experte und Microsoft Trainer. Für sein Engagement in der internationalen Community wurde Lars seit 2017 jährlich durch Microsoft der MVP-Award verliehen. Lies hier mehr…

ssbi-blog.de

Der Beitrag Freigeben und Zusammenarbeiten im Power BI Service erschien zuerst auf THE SELF-SERVICE-BI BLOG.