Profils, ensembles d'autorisations et règles de partage Salesforce

« Profils vs ensembles d’autorisations vs règles de partage » prête à confusion parce que ces trois éléments ne sont pas des alternatives — ils répondent à des questions différentes et fonctionnent ensemble. Les profils et les ensembles d’autorisations décident ce que vous pouvez faire sur un objet ; les règles de partage décident sur quels enregistrements vous pouvez le faire. Voici comment ils se combinent.

Le modèle à deux vérifications

Chaque accès à un enregistrement dans Salesforce passe par deux vérifications indépendantes :

Vérification objet et champs — issue des profils et des ensembles d’autorisations : l’utilisateur dispose-t-il des droits CRUD sur l’objet, et de la sécurité au niveau des champs sur les champs concernés ?
Vérification de l’enregistrement — issue du modèle de partage : les valeurs par défaut de l’organisation (OWD), la hiérarchie des rôles ou une règle de partage accordent-elles cet enregistrement précis ?

L’autorisation sur l’objet est la porte. Le partage décide quels enregistrements la franchissent. Les deux doivent réussir.

C’est le fondement de tout le modèle d’accès aux enregistrements.

Profils et ensembles d’autorisations : le « que pouvez-vous faire »

Ils contrôlent l’accès au niveau de l’objet, et plus encore :

CRUD par objet (Read / Create / Edit / Delete).
Sécurité au niveau des champs — quels champs sont visibles/modifiables.
Autorisations système, visibilité des applications et des onglets, et les fameuses View All / Modify All qui contournent les accès.

Profil vs ensemble d’autorisations

Un utilisateur possède exactement un profil — historiquement le socle des autorisations.
Un utilisateur peut détenir de nombreux ensembles d’autorisations (et groupes d’ensembles d’autorisations) superposés par-dessus.

L’approche moderne et recommandée est centrée sur les ensembles d’autorisations : garder le profil minimaliste et accorder l’accès via les ensembles d’autorisations, car ils sont plus faciles à attribuer, à réutiliser et à auditer qu’une multitude de profils. (Les rôles, eux, pilotent la hiérarchie de partage — un axe distinct des profils.)

Règles de partage : le « quels enregistrements »

Les règles de partage ne touchent en rien à l’accès aux objets ou aux champs. Elles ne font qu’élargir l’accès au niveau de l’enregistrement — par propriété ou par critère — par-dessus la valeur par défaut de l’organisation. Pour comprendre leur lien avec la hiérarchie, voir règles de partage vs hiérarchie des rôles.

Point crucial : une règle de partage ne peut pas compenser une autorisation d’objet manquante. Pas de Read sur Opportunities signifie aucune opportunité, peu importe le nombre de règles de partage pointant vers l’utilisateur.

Là où les autorisations l’emportent sur le partage

Il existe un endroit où les couches se croisent : View All et Modify All (au niveau de l’objet), ainsi que View All Data / Modify All Data (à l’échelle de l’organisation). Elles contournent entièrement le modèle de partage — un utilisateur qui les possède voit chaque enregistrement, quels que soient l’OWD, la hiérarchie ou les règles. Parce qu’elles sont si puissantes, ce sont les premières choses à vérifier lorsqu’un accès semble anormal. Voir View All / Modify All — le contournement à surveiller.

Mise en perspective

Question	Répondue par
L’utilisateur peut-il ouvrir cet objet ?	Profil / ensemble d’autorisations (CRUD)
Peut-il voir ce champ ?	Sécurité au niveau des champs
Quels enregistrements de l’objet peut-il voir ?	Modèle de partage
Peut-il contourner le partage ?	View All / Modify All

Pour comprendre pourquoi un utilisateur peut ou ne peut pas atteindre un enregistrement, vous devez lire les deux axes ensemble — les autorisations objet/champs et le partage qui s’applique à cet enregistrement.

Lire les deux axes en même temps

La difficulté, c’est que ces éléments se trouvent dans des parties différentes de la configuration — les profils et les ensembles d’autorisations à un endroit, le modèle de partage à un autre — et que vous devez les croiser mentalement. AgentForceAccess effectue ce croisement pour vous : demandez ce qu’un utilisateur peut faire avec un enregistrement et l’outil prend en compte les autorisations d’objet, la sécurité au niveau des champs et le modèle de partage ensemble, en citant précisément ce qui accorde ou bloque l’accès.

Questions fréquentes

Quelle est la différence entre l'accès à l'objet et l'accès à l'enregistrement ?

L'accès à l'objet (issu des profils et des ensembles d'autorisations) décide si un utilisateur peut interagir avec un objet — Read, Create, Edit, Delete — et quels champs il voit. L'accès à l'enregistrement (le modèle de partage) décide quels enregistrements précis de cet objet il peut voir. Les deux sont nécessaires.

Profils ou ensembles d'autorisations — lesquels utiliser ?

Les deux existent, mais l'approche moderne est centrée sur les ensembles d'autorisations : garder les profils minimalistes comme socle de base et accorder les accès supplémentaires via les ensembles d'autorisations et les groupes d'ensembles d'autorisations. Un utilisateur a un seul profil mais peut détenir de nombreux ensembles d'autorisations, ce qui facilite l'attribution et l'audit des accès.

Les règles de partage accordent-elles l'accès à l'objet ?

Non. Les règles de partage élargissent uniquement l'accès au niveau de l'enregistrement. Si un utilisateur n'a pas l'autorisation Read sur un objet via son profil ou un ensemble d'autorisations, aucune règle de partage ne lui montrera le moindre enregistrement. L'autorisation sur l'objet est la porte ; le partage décide quels enregistrements la franchissent.

Comment un profil peut-il l'emporter sur une règle de partage ?

Grâce à View All et Modify All. Ces autorisations — au niveau de l'objet, ou « View All Data »/« Modify All Data » à l'échelle de l'organisation — permettent à un utilisateur de voir ou de modifier chaque enregistrement, quel que soit le partage. Elles se situent au-dessus du modèle de partage : une autorisation peut donc l'emporter sur ce que le partage restreindrait.