ユーザのアクセス権の制御

レコードレベルセキュリティではまず、各オブジェクトの組織の共有設定を指定します。組織の共有設定では、ユーザが互いのレコードに対して持つデフォルトのアクセスレベルを指定します。

組織の共有設定を使用してデータを最も制限の厳しいレベルで保護します。他のレコードレベルのセキュリティや共有ツールを使用して、他のユーザに選択的にアクセス権を付与します。たとえば、商談を参照および編集するオブジェクトレベルの権限をユーザに許可し、組織全体の共有設定は参照のみであるとします。デフォルトでは、これらのユーザは、すべての商談レコードを参照することはできますが、レコードの所有者であるか、他の権限が付与されていない限り、これらのレコードを編集することはできません。

組織の共有設定を指定したら、レコードに対するより幅広いアクセス権を許可する一番の方法はロール階層の使用です。組織図と同様、ロール階層は、ユーザまたはユーザグループが必要とするデータアクセスのレベルを示します。ロール階層によって、組織のデフォルト設定に関係なく、階層の上位のユーザは常に階層の下位のユーザと同じデータにアクセスできます。組織図に一致する代わりに、階層の各ロールでユーザまたはユーザグループが必要とするデータのアクセスレベルを示すことができます。

同様に、テリトリー階層を使用して、レコードへのアクセス権限を共有することができます。「テリトリーレコードのデフォルトのユーザアクセス権の定義」を参照してください。

共有ルールでは、ユーザセットを対象に、組織全体の共有設定に自動的な例外を設けることができます。共有ルールを使用して、所有していないレコードや通常は参照できないレコードへのアクセス権をこれらのユーザに付与します。ロール階層と同様、共有ルールは、レコードに対する追加のユーザアクセス権を許可するためだけに使用され、組織の共有設定に比べて厳密な制限ではありません。

特定のレコードセットに対するアクセス権限を必要とするユーザの一貫性のあるグループを定義することが必要な場合があります。レコード所有者は共有の直接設定を使用して、アクセス権限を持たないユーザに参照権限および編集権限を与えます。共有の直接設定は組織の共有設定、ロール階層、または共有ルールのように自動化されていません。ただし、レコード所有者に、レコードを参照する必要があるユーザとレコードを共有する柔軟性を提供します。

ユーザ共有では、内部ユーザまたは外部ユーザを組織内の別のユーザに対して表示したり、非表示にしたりできます。ユーザ共有ルールは、公開グループ、ロール、またはテリトリーへのメンバーシップに基づいています。このため、ユーザ共有ルールを作成する前に、適切な公開グループ、ロール、またはテリトリーを作成する必要があります。各共有ルールでは、共有元グループのメンバーが共有先グループのメンバーと共有されます。ユーザはロール階層内で自分より下位のユーザと同じアクセス権を継承します。

共有ルールと共有の直接設定で必要な制御が提供されない場合、Apex による共有管理を使用できます。Apex による共有管理により、開発者はプログラムでカスタムオブジェクトを共有できます。Apex による共有管理を使用してカスタムオブジェクトを共有した場合は、「すべてのデータの編集」権限を持つユーザのみが、カスタムオブジェクトのレコードの共有を追加または変更できます。共有アクセス権は、レコード所有者が変わっても維持されます。

制限ルールをユーザに適用すると、共有設定を通じてユーザが参照アクセス権を持っていたデータの範囲がさらに限定され、設定されたレコード条件に一致するレコードのみになります。この動作は、永続的である点を除いて、リストビューやレポートでの結果の絞り込みに似ています。

範囲設定ルールでは、ユーザが自分に関連したレコードのみを表示できるように条件を設定できます。範囲設定ルールは、ユーザがすでに持っているレコードアクセス権を制限するものではありません。ユーザに表示されるレコードの範囲を設定するものです。ユーザは引き続き共有設定に従ってアクセス権を持っているすべてのレコードを開いたりこれらのレコードに関してレポートしたりできます。