Salesforceの権限設計：プロファイルと権限セットの使い分け

権限は「できること」と「見えるレコード」に分かれる

Salesforce の公式ヘルプでは、アクセス権の仕組みを 2 つに分けて説明しています。1 つは、どのオブジェクトや項目を参照・作成・編集・削除できるかです。これはプロファイル、権限セット、権限セットグループが受け持ちます。[5]

もう 1 つは、そのオブジェクトの中で、どのレコードが見えるかです。これは組織の共有設定、ロール、共有ルールが受け持ちます。ヘルプでは、権限セットやプロファイルとロールは混同しやすいが、制御する対象が違うと注意しています。[5]

整理を始める前に、いま困っていることがどちら側の話かを分けておくと、直す場所を絞れます。たとえば「取引先のタブが出ない」はできることの側、「隣の部署の商談が見えない」は見えるレコードの側です。[5][11]

4 つの仕組みを比べる

公式の説明に沿って、それぞれが何を受け持つかを並べます。[5]

• 仕組み 1プロファイルユーザーの既定の設定を決めます。ユーザー 1 人に割り当てられるのは 1 つだけで、1 種類のユーザーライセンスに属します。ログイン時間帯、IP 範囲、ページレイアウトの割り当て、既定のアプリケーションとレコードタイプは、プロファイルで設定するよう案内されています[1][4][5]
• 仕組み 2権限セットプロファイルを変えずに、権限を足すための設定の集まりです。1 人に複数を割り当てられ、Salesforce はこれを権限の管理に勧める方法としています。オブジェクト、項目、ユーザー権限、タブ、Apex クラスなどの権限はここで設定します[2][4]
• 仕組み 3権限セットグループ複数の権限セットを職務ごとに束ねて、まとめて割り当てる仕組みです。グループの権限は、含まれる権限セットの権限を合わせたものになります。ミュート権限セットで、グループの中の一部の権限だけを止められます[3][9]
• 仕組み 4ロールと共有ルールレコードの見え方を広げる仕組みです。ロール階層では、上位のロールのユーザーが、下位のユーザーが所有するレコードにアクセスできます。共有ルールは、特定のグループに、所有していないレコードへのアクセス権を足します[5][7][12]

Salesforce が勧める権限の持たせ方

公式ヘルプのガイドラインでは、できる限り「最小アクセス - Salesforce」プロファイル（既定の設定を変えるときはそのコピー）を割り当て、必要な権限だけを権限セットと権限セットグループで与えるよう勧めています。[1][4]

このとき、権限セットは役職ではなく、ユーザーが行う作業の単位で作ります。小さな権限セットを部品として使い回せるので、人や職務ごとにプロファイルを増やさずに済みます。[4]

• 作業ごとに権限セットを作る：「取引先の参照と編集」のように、1 つの作業に要る権限をまとめます。名前を見て中身が分かる付け方にします[4]
• 職務ごとに権限セットグループで束ねる：同じ作業を別の職務の人も行うなら、同じ権限セットを別のグループで使い回します[4][3]
• グループの中で外したい権限はミュートする：ほぼ同じ権限セットをもう 1 つ作らずに、ミュート権限セットで止めます[4][9]
• 期間が決まった作業は有効期限を付ける：機能を有効にすると、割り当てに終了日を設定でき、作業の後のアクセス権を片付けられます[4]

権限セットで権限を与えるには、その権限に対応するユーザーライセンスか権限セットライセンスが要ります。権限は、プロファイルと権限セットのどちらかで有効になっていれば、そのユーザーに与えられます。[4][2]

レコードの見え方は共有設定から組み立てる

レコードの見え方は、最初に組織の共有設定で、オブジェクトごとの既定のアクセスレベルを決めます。公式では、ここをいちばん厳しいレベルにしておき、ロール階層や共有ルールで必要な人に広げる組み立て方を案内しています。[5][6]

ロール階層と共有ルールは、アクセス権を足すためだけの仕組みです。組織の共有設定より狭めることはできません。見せすぎを直したいときは、共有ルールではなく、組織の共有設定や権限の側を見直します。[6][7]

ロール階層は、組織図と同じ形にする必要はありません。各ロールは、そのユーザーが必要とするデータアクセスのレベルを表すものとして作ります。[12]

項目の見え方は、ページレイアウトではなく項目レベルセキュリティで決めます。ページレイアウトが受け持つのは詳細ページと編集ページだけで、リストビュー、レポート、検索結果の項目は項目権限で制御されます。[5]

見直すときの順番

既存の権限を整理し直すときは、公式の説明をもとに、次の順番で進めると影響を追いやすくなります。[5][8]

• 1. ユーザーの種類ごとの表を作る：ユーザーの種類ごとに、オブジェクト、項目、レコードで要るアクセスレベルを書き出します。公式ヘルプでも、セキュリティを設定するときにこの表を参照するよう勧めています[5][11]
• 2. いまの付与元を確かめる：ユーザーの詳細ページの [概要を表示] で、割り当てられた権限とタブを見ます。[アクセス権の付与者] で、どのプロファイル、権限セット、権限セットグループから来た権限かが分かります[8]
• 3. 変える前に影響の範囲を見る：権限セットの [追加された権限セットグループ] の数で、変更がどれだけのグループに伝わるかを見積もります。権限セットの変更は、それを含むすべてのグループに伝わります[10][3]
• 4. プロファイルから権限セットへ寄せる：表に沿って作業ごとの権限セットを作り、職務ごとのグループにまとめて割り当てます。プロファイルには、ログイン時間帯やページレイアウトなどの既定の設定を残します[4][1]
• 5. レコードの見え方を最後に合わせる：組織の共有設定、ロール階層、共有ルールの順に、表のレベルと合っているかを確かめます[5][6][7]

権限を外したのにまだ操作できる人がいるときは、別のプロファイル、権限セット、権限セットグループから同じ権限が与えられていないかを、2 の画面で確かめます。ミュートは、そのグループを通した権限だけを止めるためです。[9][8]

手順ごとの設定方法と、プロファイルを絞って権限セットで束ねる作業の流れは、関連する開発例のページで説明しています。[4]