サポーターさん

ロールやプロファイルを使った機能やデータアクセス制御などについて説明します

Salesforceの導入が初めてのお客様などへの説明用資料としてご活用いただければ幸いです。

1.ユーザ説明資料サンプル

１．表紙

画像はクリックすると拡大表示されます。

表紙については、以下の箇所をプロジェクトに合わせて変更してください。

情報種別：社外秘など

情報所有者：基本的にはお客様の会社名となります。

会社名：自社の会社名（正式名称）を記入してください。

タイトル：ドキュメントのタイトルをプロジェクトに合わせて変更してください

（例ではセキュリティとデータアクセスとなっています）

版数、作成日、作成者：※必要に応じて、最終更新日、更新者を入れてください。

２．改訂履歴

版数、変更箇所、変更内容、変更理由、作成日、作成者、更新日、更新者などを記述します。

改訂履歴は、ドキュメントのメンテナンス上必ず設定するようにしましょう。

またプロジェクトごとに記載の粒度やルールを検討してください。

３．はじめに（本書の目的）

資料の目的を記載します。

４．目次

機能概要説明資料の目次を以下の内容で記載しています。

（目次の例）

1. セキュリティとデータアクセス概要
2. Salesforceのセキュリティとデータアクセス
3. セキュリティとデータアクセス（全体像）
4. 外部からSalesforceへのアクセス制御
5. 組織レベルのセキュリティ（IPアドレス制限）
6. 組織レベルのセキュリティ（ログイン時間の制御）
7. 組織レベルのセキュリティ（API制御）（接続アプリケーション）
8. 組織レベルのセキュリティ（デバイス端末管理）
9. Salesforce組織内部のセキュリティ/アクセス制御
10. Salesforceの操作や機能に対する権限コントロール
11. プロファイル(操作や機能アクセス制御）
12. 権限セット（操作や機能アクセス制御)
13. 権限セットグループ
14. 組織の共有設定
15. ロール階層を用いたアクセス権の制御
16. 共有ルールを用いたアクセス制御
17. レコードの個別共有

５．Salesforceのセキュリティとデータアクセス

はじめにセキュリティとデータアクセスの内容について纏めています。

６．Salesforceのセキュリティとデータアクセス（マトリクス表）

Salesforceのデータアクセスに関するセキュリティコントロールについてのサマリーを上記のようにまとめています。

外部からのアクセス制御とSalesforce組織内部のアクセス制御の大きく2つの分類に分けています。さらに、それぞれの分類の中で、セキュリティレベル、制御単位、セキュリティ機能、機能説明について記載しています。

それぞれの内容について詳細は、次の章移行で具体的に説明をします。

７．組織レベルのセキュリティ（IPアドレス制限）

IPアドレスの範囲（ホワイトリスト）を設定することで、アクセス元のIPアドレスを制限することが可能となります。

組織単位でIPアドレスを制限する場合は、アクセスしているIPアドレスを含めるように設定しないと、誰もアクセスできなくなってしまうため注意が必要

８．組織レベルのセキュリティ（ログイン時間の制御）

プロファイル（ユーザレベルで設定する権限機能）によりログイン時間を制限することができます。

ログイン可能な曜日と時間帯（開始から終了）の指定が可能

上記の図では、日曜日は終日ログイン不可とし、月曜日は午前9時から午後6時までログイン可能としている。

それ以外の曜日は、24時間いつでもログイン可能な設定となる。

9.組織レベルのセキュリティ（APIアクセス制御）（接続アプリケーション）

API や標準プロトコル (SAML、OAuth、OpenID Connect等)を使用して、外部アプリケーションを Salesforce

に統合（セキュアに接続）できるようにする仕組み

図の例では、 CircleCIからOAuthを利用してSalesforceに接続するための設定例となります。

接続アプリケーション画面からコンシューマキーキーの情報なども確認することが可能で、この情報を使ってCircleCIから接続するための設定を行う。

10.組織レベルのセキュリティ（デバイス端末管理）

デバイス端末の管理として、モバイル端末でSalesforceネイティブアプリケーションを利用している場合、デバイス端末ごとにSalesforceへのログインアクセス制限を設けることができます。

※本機能を利用する場合は、権限セットを使ってユーザに必要な権限を付与する必要があります。

詳細は、以下、Salesforce公式Helpサイト「モバイルデバイス追跡」を参照（https://help.salesforce.com/s/articleView?id=sf.security_device_management.htm&type=5）

モバイル端末からのアクセスは、ユーザデバイス（Userdevice）オブジェクトに記録されます。

以下のような情報がログとして残ります。

• ユーザ名、名前、状態、デバイス種類、プラットフォームまたはOS種別
• デバイス固有ID、プラットフォームまたはOSバージョン、最終アクセス日時、作成日

11.Salesforceの操作や機能に対する権限コントロール

Salesforceで利用可能な機能や操作を制限する場合やデータのアクセスを制御したい場合

ロール/プロファイル（権限セット）/公開グループといった権限コントロールの機能を組み合わせて利用することで実現

制御種別：「操作や機能アクセス制御」と「レコードに対するアクセス制御」の2対の軸で分類しています。

機能名：具体的な権限コントロール機能（プロファイル、権限セット、組織の共有設定、ロール、共有ルールなど）

説明：それぞれの権限コントロール機能に関する説明など

12.プロファイル(操作や機能アクセス制御）

プロファイルについての説明資料となります。

「プロファイルはユーザ作成時に必ず1つ指定する必要があります。(変更も可能）ユーザはシステムにログイン後、設定されたプロファイルにより利用可能な機能や操作、データへのアクセスが制御されます。」

12.プロファイル(オブジェクトへのアクセス制御）

プロファイル毎に標準オブジェクト/カスタムオブジェクトへのアクセス権（参照・作成・編集・削除）を設定することができます。

13.プロファイル（設定可能な項目）

プロファイルで設定可能な項目と具体的な設定例

（一部のみ記載しているため全て説明したい場合はSalesforce公式サイトでご確認ください。）

14.プロファイル（機能・操作の権限コントロール例）

プロファイルによる機能・操作権限の制御について、画面やレコードのイメージで説明しています。

例えば、アプリケーションの表示やデフォルトの表示制御、タブの表示制御、オブジェクト毎にプロファイルで利用可能なレコードタイプの制御など

15.権限セット（操作や機能アクセス制御)

プロファイルを持つユーザに対して、当該プロファイルで保持していない権限を追加で特定のユーザだけに付与したい場合には、権限セットを利用して、ユーザに追加の権限を付与することができます。

16.権限セットグループ

権限セットを複数ユーザに対して付与したい場合には、権限セットを纏めた権限セットグループを作成して付与することも可能。　例では、権限セットグループを運用担当者Bに付与するイメージ

17.権限セットに関する補足

権限セットのオブジェクト設定（オブジェクトに関する権限の設定画面）方法（イメージ）

以下のようにオブジェクトのタブの設定やオブジェクト権限の設定、項目アクセス許可の設定が可能

18.組織の共有設定（1/3）

組織の共有設定：オブジェクト（テーブル）毎に公開/非公開の設定を行う。組織内部と外部でそれぞれ分けて設定が可能(※1)

非公開：基本的にデータの所有者のみ参照・編集が可能（例外：すべてのデータの参照権限を持つものは参照可能）

公開：公開の場合はすべてのユーザが参照・編集可能となる。公開には種類があり

（①公開/参照のみ、②公開/参照/更新可能、③公開・参照/更新/所有権の移転）

そのほか、主従関係の子オブジェクトに関しては、親の設定に依存する（親レコードに連動）を指定可能

19.組織の共有設定（2/3）

組織の共有設定を【非公開】とした場合のアクセス権限の説明例

【レコードの所有者について】

レコードを新規作成した際には、指定がない場合、デフォルトで作成者＝所有者が設定されます。

所有者は、所有権の移転ができるため、3つ目のレコードのように担当者Ｃが作成したレコードを担当者Ａに所有権を移転することで担当者Ａは当該レコードへアクセスすることができるようになります。

取引先は非公開のため、所有者のみアクセス可能（担当者Aが所有するレコードは上記のうち2つ（山田太郎、山田はなこ）について参照・編集が可能　※データ移行の際は、所有者について注意が必要

20.組織の共有設定（親レコード連動）（3/3）

主従関係の子オブジェクトで、親の設定に依存する（親レコードに連動）を指定した場合

親レコードに連動の場合には、親レコード（上記の例では取引先のレコード）に対する権限と同じ権限が子オブジェクトのレコードに対して適用されます。

そのため、担当者Aは、非公開の取引先レコードで、株式会社ABCと合同会社１２３に対して、アクセス権限があるため、その子レコードである（取引先責任者）の山田太郎、田中一郎、山本次郎の3レコードに対してアクセスすることが可能となります。

21.ロール（ロール階層を用いたレコードのアクセス権の付与）（1/2）

ロール（ユーザグループの階層を定義）を使うことで、下位ロール階層のユーザが所有するレコードを上位階層のユーザがアクセスすることができるような権限設定が可能となります。

第一階層の営業本部、本部長は第二階層、第三階層の全てのデータにアクセスできるような設定となっている。

第二階層の西日本統括部は大阪営業所のデータのみアクセス可能、東日本の場合は東京と埼玉営業所へのアクセスが可能

第三階層は、各ユーザが所有するデータのみ参照可能

22.ロール（ロール階層を用いたレコードのアクセス権の付与）（2/2）

非公開のオブジェクトに対して、ロール階層のアクセス制御を許可することで、以下のような権限設定が可能となる。

非公開オブジェクトのため、基本的にはレコードの所有者のみアクセス可能となるが、ロール階層によるアクセスを許可した場合には、レコードの所有者が所属するロールの上位階層のロールに所属するユーザは、下位ロールのユーザが所有するレコードに対して参照（または参照/編集）のアクセスが可能となる。

上記の例では、東京と千葉ロールの担当者Ａと担当者Bが所有する株式会社ＡＢＣと株式会社XYZのレコードについて、関東ロールの管理者Ｘはそれぞれ参照（または参照/編集）が可能となる、さらに上位の本社担当は、関東の管理者Xが持つ合同会社123のレコードも含め3つのレコードすべて参照（または、参照/編集）が可能となる。

23.共有ルール（レコードのアクセス権の付与（ロールを利用した場合））

ロールはユーザの上下階層のアクセス権限を拡張しましたが、横軸などのアクセス権限を拡張する場合には、共有ルールを使用します。共有ルールを使うことで、特定の条件のレコードをロールグループや公開グループ（ロールとは異なる組織にとらわれない自由なユーザグループ）に対してレコードを共有する仕組みを構築することができます。

24.共有ルール（レコードのアクセス権の付与（公開グループを利用した場合））

公開グループ（ロールとは異なる組織にとらわれない自由なユーザグループ）を使った共有ルールの設定例

25.共有ルール：補足（ロール＆共有ルールを使ったアクセス制御）

非公開オブジェクトに対して、縦のアクセス制御（ロール）と横のアクセス制御（共有ルール）を組み合わせることで柔軟な

アクセス権の設定が可能となります。

26.レコードの個別共有

ロールや共有ルールは、レコード作成時に自動的に条件に基づき共有アクセス権限を付与する仕組みですが、レコードを作成後に自身が所有するレコードを他のユーザやグループに対して個別に手動で共有することも可能です。

共有先は、ユーザ、カスタマーポータルユーザ、チャネルプログラム、パートナーユーザ、ポータルロール、ポータルロール&下位ロール、ロール、ロール内部＆ポータル下位ロール、公開グループから選択可能

27.（補足）データアクセス権限の設定の流れ

データアクセス権限の設定手順としては、まず、オブジェクト毎のレコードをユーザ全員で共有するか、しないかを検討します。

全員で共有する場合は組織の共有設定を公開とし、それ以外は一旦非公開（自分の所有するデータは自分のみアクセス可能）

とする。

非公開場合には、基本的にレコードの所有者のみしかアクセスできない（システム管理者を除く）

そのため、ロールを用いたユーザ階層の共有権限の拡張や、共有ルールを用いてユーザやグループ間での共有を定義する

2.ユーザ説明資料「機能概要説明書（Salesforceセキュリティとデータアクセス）」 のダウンロード

資料のダウンロードおよびご利用に関しては、本サイトのコンテンツ利用規約に同意される場合のみ利用可能となります。

一般公開資料（PDF版資料）

要件定義_ユーザ説明資料_機能概要説明資料「Salesforceセキュリティとデータアクセス」（PDF版）のダウンロード

※クリックして資料のダウンロードが開始されるまで少し時間がかかる場合がありますので、そのままお待ちください。

もしダウンロードが開始されない場合、ブラウザでポップアップブロックされている可能性があるのでご確認ください。

関係者のみ（PPT版資料）

関係者の方は、以下のページからログインして資料をダウンロードしてください

参考

保護中: 【関係者】ダウンロード可能なコンテンツ（サンプル・フォーマット）一覧

  [st-kaiwa2]お問合せ・ご要望いただいているコンテンツも頑…

続きを読む

サポーターさん

ブログランキングに参加しましたので、ご支援していただけると幸いです。

にほんブログ村

この場合、あとで不要になったレコードタイプを削除するとなったときには、以下のエラーが出てしまい削除できなくなってしまいます。

エラーメッセージ「[プロファイル名]の有効チェックを外すことはできません。デフォルトのレコードタイプとして以下のプロファイルが現在使用中です。」

エラー内容は、メッセージの通りでプロファイルに対して、レコードタイプを有効化しているとレコードタイプを削除できないというシンプルなものです。カスタムプロファイルなどは比較的簡単に修正して対応することができますが、以下のプロファイルなどは簡単には修正することができません。

※（2022年6月17日時点）今後もう少し簡単に削除できる方法が公開されるかもしれませんが…

標準プロファイル

・Chatter Only

・Chatter External User

・Chatter Free User

・Chatter Moderator User

・Customer Community User

・Identity User

今回は、これらのプロファイルの修正方法についてご説明していきます。

レコードタイプの削除方法

【プロファイルの編集画面からレコードタイプ変更が可能なプロファイルの場合】

カスタムプロファイルなどプロファイルの編集画面からレコードタイプの変更が可能な場合は、プロファイルの編集画面で利用しているレコードタイプが表示されているため、そちらから変更することが可能です。手順は以下の通り。

手順①システム管理者にて、設定->プロファイル->対象のプロファイルをクリックしてプロファイルの参照画面を表示します。

例では、[カスタム標準ユーザ]というカスタムプロファイルで説明します。

手順②プロファイルの参照画面からレコードタイプの設定欄を確認して、変更対象のレコードタイプの編集リンクをクリックします。

以下の例では、取引先に設定されたWEB会員（デフォルト）の編集を実行します。

手順③レコードタイプの設定の編集画面が表示されるため、選択済のレコードタイプからWEB会員を未選択とし、代わりにマスタを選択済に設定しいます。※レコードタイプは必須のため、必ず1つは設定する必要があります。

保存すると取引先のWEB会員レコードタイプからカスタム標準ユーザのプロファイルは除外されます。

【プロファイルの編集画面にレコードタイプが表示されない（編集不可）のプロファイルの場合】

ChatterExternal Userなどの特殊な標準プロファイルを利用している場合は、プロファイルの編集を行っても、プロファイルの中にオブジェクトのレコードタイプ設定が表示されません。

そのため、以下の手順に沿って削除を行う必要があります。

手順①まず編集対象のプロファイルのIDを取得します。

システム管理者にて、設定->ユーザ->プロファイルの順に実行し、プロファイルの一覧を表示します。

手順②続いて、編集対象のプロファイル名をクリックします。※以下の例では、[Chatter External User]を使って説明

手順③プロファイルを開いたあとのブラウザのURLからプロフィアるのIDを取得します。※[00e]から始まる15桁のID

上記の例では、最後の00eからの15桁がプロファイルのIDとなります。※2Fは不要なので気を付けてください。

/lightning/setup/Profiles/page?address=%2F00e5h0000032ZSW

※プロファイルIDと合わせてプロファイル名もコピーしてテキストへ保存しておいてください（あとで利用します）

プロファイル名：Chatter External Userなどの名称

手順④レコードタイプを設定しているオブジェクトのID（標準オブジェクトの場合はオブジェクト名でもよい）を取得します。

オブジェクトマネージャを実行してレコードタイプが設定されているオブジェクトを表示しURLからIDを取得します。

以下の例の場合、赤文字のところがオブジェクトのIDとなります。

【カスタムオブジェクトの場合】

/lightning/setup/ObjectManager/01Ip0000000NXGz/Details/view

【標準オブジェクトの場合（以下は取引先）】

/lightning/setup/ObjectManager/Account/Details/view

※オブジェクトIDをコピーしてテキストへ保存しておいてください。※今回の例では取引先となるためAccountをコピー

手順⑤自Salesforce組織のインスタンスURLをコピーしてテキストへ保存

※以下の赤文字URLのように、自のSalesforce組織からhttps://xxx….force.comまでをコピーします。後ろの部分は不要

https://cclt-dev-ed.lightning.force.com/lightning/lightning/xxx

手順⑥レコードタイプの設定画面を表示するためのURLを作成

まずは、手順⑤で取得したインスタンスURLを用意して、その後ろに以下を追加します。※一旦以下の文字列をそのままコピーしてください。

/setup/ui/profilerecordtypeedit.jsp?id=[手順①プロファイルID]&tid=[手順②のオブジェクトID]&pn=[手順①プロファイルID]

作成したURLは以下のようになります。

https://cclt-dev-ed.lightning.force.com/lightning/setup/ui/profilerecordtypeedit.jsp?id=00e5h0000032ZSW&tid=Account&pn=Chatter+External+User

※/setup/の前に/lightning/をつけるとエラーになるので注意！（Classicの機能での編集となるため）

※Chatter Free Userの半角スペース部分は、以下のように+（半角のプラス）でつないでください

・Chatter+Only

・Chatter+External+User

・Chatter+Free+User

・Chatter+Moderator+User

・Customer+Community+User

・Identity+User

手順⑦レコードタイプ設定の編集画面を表示

さきほどの手順⑥で作成したURLをブラウザに張り付けて実行すると、指定されたプロファイルのレコードタイプ設定画面が表示されます。

以下の例では、Chatter External Userのレコードタイプ設定の編集画面となります。

手順⑧レコードタイプの設定変更

削除したいレコードタイプを未選択にして、代わりにのレコードタイプを選択して保存します。

※レコードタイプは必ず1つセットする必要があるためマスタ以外に選択するものがなければ[–マスタ–]を選択してください。

保存してレコードタイプの設定変更を確定します。

手順⑨レコードタイプの無効化

レコードタイプを削除するためには、無効化する必要があります。レコードタイプの編集を行い、有効のチェックを外します。

手順⑩レコードタイプの削除

レコードタイプ一覧から削除対象のレコードタイプの削除を実行します。

削除した場合に、以下のメッセージが表示されることがありますが、ここで削除のリンクを再度クリックしてください。

手順⑫レコードの値の置き換え

最後に、選択リストのレコード値の置き換えを実施します。対象がなければ、[–なし–]を選択して完了をクリックします。

削除が成功するとレコードタイプ一覧から非表示となります。

まとめ

今回は、レコードタイプの削除方法をご説明いたしました。

サポーターさん

ブログランキングに参加しましたので、ご支援していただけると幸いです。

にほんブログ村

前回の記事では、Salesforceのライセンス体系の考え方と権限設定（プロファイル）に関して説明しました。

今回は、Salesforceのセキュリティとデータアクセスの基本的な考え方について説明していきたいとおもいます。

1.セキュリティとデータアクセスの基本

まず、以下の４つについては、Salesforceのセキュリティとデータアクセスに関する基本概念となるため、必ず覚えておきましょう。

上記についての詳細な内容はこれから説明していきます。

組織レベルのセキュリティ（ログイン制限）

①ログイン時間とIPアドレスの制限

ユーザに付与するプロファイルでログイン時間を制限することができます。また、IPアドレスの範囲（ホワイトリスト）を設定することで、アクセス元のIPアドレスを制限することができます。

（[設定]->[管理]->[ユーザ]->[プロファイル]->[ログイン時間帯の制御]の順に実行）

※図はクリックすると拡大表示されます。

IPアドレス制限は、組織レベルでも設定可能ですが、誤った設定をしてしまうと誰もログインできなくなってしまうため注意してください。

（[設定]->[管理]->[ユーザ]->[プロファイル]->[ログインIPアドレスの制限]の順に実行）

上記内容でログイン時間帯とIPアドレス制限を設定した場合、以下のような制御が行われます。

センターAのオペレータAからはSalesforce組織にアクセスが可能ですが、センターBからはIPアドレス制限がされているためアクセスすることができなくなります。

ログインの制限については、以下のようなフローとなります。

提供される多要素認証は複数ありますが、Salesforceのモバイルアプリの認証を使う方式がおすすめです。

モバイルアプリを使った認証方法については、動画で詳しく紹介されているので、以下の公式サイトのURLを参照してください。

ログインアクセスポリシーの設定（代理ログイン）

ログインアクセスポリシーの機能を利用することで、システム管理者は任意のユーザとして代理ログインすることができるようになります。

【設定方法】

設定->セキュリティ->ログインアクセスポリシーの順に実行します。

以下、ログインアクセスポリシーの画面にて、管理者は任意のユーザでログインできますを有効化して保存します。

上記設定を行うことで、ユーザ一覧の画面から、ユーザ名の隣にログインのリンクが表示されるようになります。

例えば、ユーザ名（ゲスト）のユーザとしてログインすると、ゲストのユーザ権限でログインされるため、利用できるアプリケーションや機能、またデータに対するアクセス権限などもユーザ（ゲスト）と同じ権限となります。

ユーザの設定や権限による不具合などを再現、調査する際に非常に便利な機能となりますので、是非覚えておきましょう。

2.セキュリティとデータアクセス概念

Salesforceのデータアクセスの基本概念は大きく以下の２つとなります。また、制御方法の組み合わせにより、複雑な要件にも柔軟に対応できるセキュリティ設定が可能です。

データアクセス制御の設定ステップ

Salesforceのデータアクセス制御の設定では、大きく以下の2種類の仕組み使って制御します。

①プロファイルによる、オブジェクトや項目へのアクセス制御を設定（下図のSTEP１，２）

・プロファイル毎に、オブジェクトや項目単位のデータアクセス権限を制御する方法

例：以下の例では、営業プロファイルのユーザは、商談オブジェクトのレコードを参照・作成・編集・削除すべて行えますが、経理部のプロファイルのユーザは、商談オブジェクトのレコードに対してはなにも実行することはできません。

・営業プロファイルを作成して、商談オブジェクトに対して（参照、作成、編集、削除をすべて許可する）のように設定

・経理部プロファイルを作成して、商談オブジェクトに対して（参照、作成、編集、削除をすべて許可しない）のように設定

②組織レベルのデータアクセス権限を制御する仕組み（共有設定、ロール、共有ルール）を使ったデータアクセス制御（下図のSTEP３から５）

・組織全体でレコード単位でデータのアクセス制御を設定する方法

例えば、商談オブジェクトに対して、組織の共有設定で非公開とします。すると営業プロファイルのユーザは、商談オブジェクトに対して、データの参照が可能なため、自分が所有者に設定されているレコードは参照・編集などができますが、ほかの営業担当者が作成した商談データは参照することはできません。

この制御は、システム全体の制御となるため、画面上だけではなく、レポートやデータのエクスポートでも同様の制御となります。自分が所有するデータしかレポートで表示されず、エクスポートもユーザ自身が所有するデータのみが対象となります。

STEP３以降については、レコード単位でのデータアクセスを制御する方法となります。それぞれについて詳しく解説していきます。

①組織の共有設定

オブジェクトに公開/非公開の設定を行い、ユーザがお互いの所有するレコードに対するデフォルトアクセスレベルを指定します。

・公開設定の場合には、ユーザ自身が所有するレコードは全ユーザへ公開（参照もしくは編集）されます。

・非公開設定の場合には、ユーザ自身が所有するレコードは他のユーザは参照できません。

上記の例では、組織設定で、取引先オブジェクトを公開とした場合、営業担当者は、すべての取引先のデータにアクセスすることができます。

逆に、非公開とした場合には、各営業担当者は、担当者自身が所有する取引先の情報のみアクセスすることができます。

組織の共有設定を非公開にして、データを最も制限の厳しいレベルにロックダウンした場合、以下の方法により、レコード単位で他のユーザにアクセス権限を付与することが可能です。

• ロール階層を利用した権限拡張
  • 階層の上位のユーザに、自分より下位のユーザが所有するすべてのレコードへのアクセスを付与できます。ロール階層は、企業・団体の組織図に一致している必要はありません。階層の各ロールはユーザまたはユーザグループが必要とするデータアクセスを意識した階層構造にする必要があります。
• 共有ルールを利用した権限拡張
  • 共有ルールを使用することで、特定のユーザグループに対して組織の共有設定の例外が設定され、そのユーザグループが所有していないレコードや通常は参照できないレコードにアクセスできるようになります。
• 共有の直接設定を利用した権限拡張
  • 特定のレコードの所有者は他のユーザとそのレコードを共有できるようになります。共有の直接設定は組織の共有設定、ロール階層、または共有ルールのように自動化されていません。一時的に所有権を別のユーザに割り当てる必要がある場合などに利用されます。

②ロール階層による制御

ロール階層を設定すると、階層が上位のユーザは、自分より下位ロールのユーザが所有するすべてのレコードへのアクセスを付与できます。

ロール階層は、企業・団体の組織図に一致している必要はありません。階層の各ロールはユーザまたはユーザグループが必要とするデータアクセスを意識した階層構造にする必要があります。

③共有ルールによるアクセス制御（レコードアクセス例外の処理）

レコードアクセス例外の処理

組織の共有設定が非公開の場合でも、以下の方法でレコードのアクセス権を拡張する（他ユーザ・他グループのデータにアクセスする）ことができます。

• 共有ルールを使用
  • 共有ルールを使用することで、特定のユーザグループに対して組織の共有設定の例外が設定され、そのユーザグループが所有していないレコードや通常は参照できないレコードにアクセスできるようになります。

上記の例では、東京営業所（ロール）のデータを埼玉営業所（ロール）に公開（参照・編集）の共有ルールを設定、また、埼玉営業所（ロール）のデータを東京営業所（ロール）に公開（参照・編集）の共有ルールを設定しています。

共有ルールを設定した場合には、営業担当者AとBは、それぞれが所有する取引先のデータを参照・編集することができるようになります。

共有の直接設定

共有ルールを使用するかわりに、ユーザが所有している特定のレコードを他ユーザ/グループへ共有する方法があります。

非公開設定されているオブジェクトのレコードを作成後に、参照画面で、共有ボタンが表示されます。

※以下の例では、取引先（非公開）のレコードを作成した後の画面です。共有ボタンが表示されているのでクリックします。

すると取引先の共有画面へ遷移します。この画面で追加ボタンをクリックします。

以下の画面で、ユーザ・ロール・公開グループなどから共有対象を選択し、追加します。共有については、（参照のみ）もしくは（参照・編集）を選択することができます。

設定後、保存すると以下のように追加したユーザやグループに対して付与した権限が確認できます。

【注意】

レコードを直接共有する設定に関しては、Salesforce Classicのみ利用可能で、Lightningでは利用できないので注意してください。

演習

今回ご説明してきたデータアクセスの権限制御はSalesforceを利用する上で非常に重要な概念となりますので、必ずマスターしておきましょう。

権限関連については、すぐに理解するのが難しいと思いますので、実際に設定してどのように制御されるのか確認してみることをお勧めします。

また、Trailhead（トレイルヘッド）でこの単元のモジュールが用意されているのでぜひトライしてください。

データセキュリティ

プロファイルによるオブジェクトに対するアクセス制御の仕組みを理解できましたか。うまくいかなかった方は、トレイルヘッドの説明をよく読んで成功するまでチャレンジしてください。

まとめ

本記事では、Salesforceのライセンス体系に関する説明と権限コントロールのプロファイルについて説明してきました。

次回は、ロールの説明とユーザ管理について説明していきたいと思います。

サポーターさん

ブログランキングに参加しましたので、ご支援していただけると幸いです。

にほんブログ村

前回の記事では、Deloveper組織を使ってTrailheadを実践するところまでやりました。

今回は、まずセールスフォースのライセンス体系について説明していきます。ライセンスについて理解できたら、ライセンスに応じたユーザを作成し、続いて権限についての説明をしていきたいと思います。

1.ライセンス体系について

Salesforceのライセンス体系は少し複雑ですが、基本的には以下の2つの軸の組み合わせでライセンスの種類・価格が決まります。

①製品ライセンス＞②エディション

まずは、製品を選択し、製品の中のエディション（ProfessionalやEnterpiseなどライセンスにより機能制限あり）を選択するという流れとなります。

主要な製品ライセンスの種類

主要な製品としては、以下のようなものがあります。

• Sales Cloudライセンス：取引先の管理や商談、見積、契約など営業支援（SFA）の機能を備えています。
• Serive Cloudライセンス：コールセンターやカスタマーサポート向けのお問合せ管理を中心とした機能を備えています。
• Lightning Platformライセンス：Salesforce標準の機能は利用せず、サービス基盤を使って、完全に独自のアプリケーションを作成するような場合に選択する製品ライセンスとなっています。注意事項として、自由に利用できるオブジェクトは10個までという制約があります。

エディション

エディションは、各製品ライセンスの中のプランのような位置づけとなります。以下の図のように各製品ライセンスの中には、Essensials , Professional, Enterprise , UInlimitedのようにエディションが定義されています。

エディション毎に利用できる機能が異なり、ライセンス価格も異なります。利用できる機能が多く、権限が大きいエディションは費用が高くなっています。

例えば、Sales Cloudライセンスの中のEssentialsエディションは、3000円と安価ですが、リードのスコアリングやリードの登録などの機能は利用できません。

Professional以上であれば、リードのスコアリングや登録が可能となっています。このように同じSales Cloudライセンスの中でもエディションによって、利用できる機能にも制約があるということを覚えておきましょう。

また、Lightning Platformは少し特殊で、Lightning Platform StarterとLightning Platform Plusの2種類のライセンスがあります。

Starterの場合、利用可能なオブジェクト数が10個とかなり限られているため、要件が満たせない場合にはPlusを選択することで110個まで利用になります。また、承認ワークフローの機能の利用可否なども異なるため、要件に基づいて慎重に選定する必要があります。

注意：Salesforceでは、最低1名のシステム管理者のライセンスが必要となります。

また購入したエディションによって、利用可能なリソースにも制限があります。（以下の図を参照）

例えば、オブジェクトに追加で項目を作成できるカスタム項目の数を見ると、Personal Editionの場合、1オブジェクトあたり5つまでしか作成できませんが、ENTERPRISE EDITIONだと500個も作成できます。

1オブジェクトに大量に項目を作成する必要があるシステムを構築するような場合には、エディションの制約などもチェックするようにしましょう。

ユーザライセンス、権限ライセンス、機能ライセンス

実際にユーザアカウントを作成時には、購入したユーザライセンスを割り当てる必要があります。

ユーザライセンス

ユーザがアクセスできる機能を制御するライセンスとなります。各ユーザに必ず1つ設定する必要があります。

権限セットライセンス

権限セットは、ユーザライセンスに含まれていない機能やデータへアクセスするための権限を作成しユーザへ付与するような仕組みのライセンスとなります。

ユーザライセンスは1ユーザに1つのライセンスしか割り当てできませんが、権限セットは、1ユーザに対していくつでも付与することができます。

ユーザライセンスで不足する機能やアクセスさせたいデータがある場合には、権限セットを使って、権限を追加するという考え方となります。

機能ライセンス

機能ライセンスは、ユーザライセンスに含まれていない機能へのアクセス権を追加付与するためのものとなります。機能ライセンスについても、権限セット同様1ユーザに対して割り当ての上限はありません。

ライセンスの利用状況確認

購入したライセンス数と利用状況は、システム管理者でログイン後、[設定]>[会社の設定]>[組織情報]から確認することができます。

下図のように、ユーザライセンス、権限ライセンス、機能ライセンスの種類と状況、ライセンス数、使用数、残数、有効期限を確認できます。

ライセンス体系の次は、ユーザの権限コントロールの方法について説明していきたいと思います。

データアクセスに関しては、これから説明するロール、プロファイル以外にも共有ルールなどの方法もありますが、まずは基本となるプロファイルとロールについて説明していきたいと思います。

１．プロファイル

プロファイルは、権限コントロールの仕組みで、Salesforcのオブジェクト（テーブル）や項目に対するアクセス権を制御したり、アプリケーション（機能）やタブの表示制御、ページレイアウトの制御などを行うことができます。

また、1人のユーザアカウントに対して、必ず1つのプロファイルを設定する必要があります。

プロファイルの制御項目

プロファイルでは、以下のような権限の制御が可能となります。

一度に理解するのは難しいと思いますが、まずは、どのような制御が可能か把握しておいてください。

• ページレイアウト：プロファイル毎に異なるページレイアウトを設定することができます。例えば顧客情報の画面でも、お客様の住所などの個人情報を非表示にしたレイアウトを作成して、限られた部署の人のみが参照するような制御が可能となります。
• 項目レベルセキュリティ：項目レベルセキュリティを利用することで、レコードの中の一部の項目を非表示にするなどの制御が可能となります。上記のページレイアウトを使って制御する場合には、画面上では項目は表示されませんが、レポートなどでは項目が利用できる状態となっています。そのため、レポートでの表示やデータのエクスポートなどで項目の内容を確認できてしまいます。全体的に特定の項目の内容を表示させないようにするためには、項目レベルセキュリティを使ってデータに対してのアクセス権限を非表示に設定する必要があります。
• アプリケーション：プロファイル毎に利用可能なアプリケーションと、デフォルトで表示されるアプリケーションの設定が可能です。
• タブの設定：アプリケーション内のタブについてもプロファイル毎にタブの表示/非表示の設定が可能です。
• レコードタイプの設定：レコードタイプとは、レコードを識別するためにレコードに属性（タイプ）を設定する機能となります。レコードタイプを利用することで、ユーザがアクセス可能な処理プロセス、ページレイアウト、選択リスト値をレコードタイプごとに定義することができます。例えば同じ商談のレコードであっても、製品販売用の商談とサービス提供用の商談では、管理するプロセスや項目なども異なります。このような場合には、製品分類ごとにレコードタイプを分けて定義することで、製品ごとの処理プロセスやページレイアウトなどを定義することができます。※レコードタイプについては、複雑な制御のため、別途詳細に説明します。
• オブジェクト権限：プロファイル毎に利用可能なオブジェクトを設定することができます。例えば営業用のプロファイルでは、顧客データ（取引先オブジェクト）を参照可能として、総務部用のプロファイルでは、参照不可にするような制御が可能です。
• そのほかにも、ログイン可能な時間帯の制御やIPアドレスの制御、利用可能なプログラムの指定などが可能となっています。

上記のようにプロファイルで制御可能な項目はたくさんあります。

設定可能な項目は多いため、プロファイルの設定内容を検討する際は、以下のような設定定義書を用意して検討するとよいでしょう。

上記のテンプレートは、以下からダウンロードしてご利用いただけます。

参考

SFDC設定パラメータシート（組織・個人・権限）Excelテンプレート

Salesforce（セールスフォース）では、サービスの利用に必要な最低限の設定…

続きを読む

プロファイルの作成手順

プロファイルは、ゼロから新規で作成することはできません。Salesforceで予め用意されている複数のプロファイルのテンプレートを複製して、カスタマイズ後に利用する流れとなります。

手順①システム管理者でログイン後、[設定]→[ユーザ]→[プロファイル]の順に実行し以下の画面を表示します。

手順②ベースとなるプロファイルをコピーしてカスタムプロファイルを作成します。

※ここで注意するべきなのは、ユーザライセンスの欄です。本記事で説明したユーザライセンスごとに利用できるプロファイルが限られています。

上記の図では、Salesforce Platformユーザライセンスが設定されているユーザには、標準Platformユーザのプロファイルしか割り当てできません。

Slaesforceユーザライセンスを利用している場合には、システム管理者のプロファイルや標準ユーザなどのプロファイルを割り当てることができます。

手順③プロファイルをコピーしてカスタムプロファイル作成画面にて、プロファイル名を指定して保存します。

例では、標準ユーザプロファイルを利用して、カスタム標準ユーザという名前を付けて保存しています。

保存すると以下のような画面が表示されます。

編集ボタンを押して各種権限の変更を行うことができますが、まずは標準のまま利用しましょう。

今後、より具体的な利用方法や設定方法について解説していきますので、その時に必要な設定をしていきたいと思います。

まとめ

本記事では、Salesforceのライセンス体系に関する説明と権限コントロールのプロファイルについて説明してきました。

次回は、ロールの説明とユーザ管理について説明していきたいと思います。

サポーターさん

ブログランキングに参加しましたので、ご支援していただけると幸いです。

にほんブログ村