Profili, permission set e sharing rule in Salesforce

“Profili vs permission set vs sharing rule” manda spesso in confusione perché i tre elementi non sono alternative: rispondono a domande diverse e lavorano insieme. Profili e permission set decidono cosa puoi fare su un oggetto; le sharing rule decidono su quali record puoi farlo. Ecco come si combinano.

Il modello a due controlli

Ogni accesso a un record in Salesforce supera due controlli indipendenti:

1. Controllo su oggetto e campo — da profili e permission set: l”utente ha il CRUD sull”oggetto e la field-level security sui campi?
2. Controllo sul record — dal modello di condivisione: gli org-wide default, la gerarchia dei ruoli o una sharing rule concedono questo specifico record?

Il permesso sull”oggetto è il cancello. La condivisione decide quali record vi passano attraverso. Entrambi devono passare.

Questa è la base dell”intero modello di accesso ai record.

Profili e permission set: il “cosa puoi fare”

Questi governano l”accesso a livello di oggetto e altro ancora:

• CRUD per oggetto (Read / Create / Edit / Delete).
• Field-level security: quali campi sono visibili/modificabili.
• Permessi di sistema, visibilità di app e tab, e i permessi che scavalcano l”accesso, View All / Modify All.

Profilo vs permission set

• Un utente ha esattamente un profilo: storicamente la base dei permessi.
• Un utente può avere molti permission set (e permission set group) sovrapposti.

L”approccio moderno e consigliato è guidato dai permission set: mantieni il profilo minimale e concedi l”accesso tramite i permission set, perché sono più facili da assegnare, riutilizzare e verificare rispetto a una proliferazione di profili. (I ruoli, al contrario, guidano la gerarchia di condivisione: un asse separato rispetto ai profili.)

Sharing rule: il “quali record”

Le sharing rule non toccano affatto l”accesso a oggetto o campo. Si limitano ad ampliare l”accesso a livello di record — per proprietà o per criterio — al di sopra dell”org-wide default. Per come si relazionano alla gerarchia, vedi sharing rule vs gerarchia dei ruoli.

Punto cruciale: una sharing rule non può rimediare a un permesso sull”oggetto mancante. Nessun Read sulle Opportunity significa nessuna opportunità, per quante sharing rule puntino all”utente.

Dove i permessi prevalgono sulla condivisione

C”è un punto in cui i livelli si incrociano: View All e Modify All (a livello di oggetto), e View All Data / Modify All Data (a livello di sistema). Questi scavalcano completamente il modello di condivisione: un utente che li possiede vede ogni record indipendentemente da OWD, gerarchia o regole. Proprio perché sono così potenti, sono la prima cosa da verificare quando l”accesso sembra sbagliato. Vedi View All / Modify All: la scorciatoia da tenere d”occhio.

Mettere insieme i pezzi

Domanda	Risposta data da
L”utente può aprire questo oggetto?	Profilo / permission set (CRUD)
Può vedere questo campo?	Field-level security
Quali record dell”oggetto può vedere?	Modello di condivisione
Può scavalcare la condivisione?	View All / Modify All

Per capire perché un utente riesce o non riesce a raggiungere un record, leggi entrambi gli assi insieme: i permessi su oggetto/campo e la condivisione che si applica a quel record.

Leggere entrambi gli assi contemporaneamente

La difficoltà è che questi elementi risiedono in parti diverse del setup — profili e permission set in un punto, il modello di condivisione in un altro — e devi incrociarli mentalmente. AgentForceAccess fa questa intersezione per te: chiedi cosa può fare un utente con un record e tiene conto insieme dei permessi sull”oggetto, della field-level security e del modello di condivisione, indicando esattamente cosa concede o blocca l”accesso.

Domande frequenti

Qual è la differenza tra accesso all'oggetto e accesso al record?

L'accesso all'oggetto (da profili e permission set) decide se un utente può toccare un oggetto — Read, Create, Edit, Delete — e quali campi vede. L'accesso al record (il modello di condivisione) decide quali record specifici di quell'oggetto può vedere. Servono entrambi.

Profili o permission set: cosa dovrei usare?

Esistono entrambi, ma l'approccio moderno è guidato dai permission set: mantieni i profili minimali come base e concedi l'accesso aggiuntivo tramite permission set e permission set group. Un utente ha un solo profilo ma può avere molti permission set, il che rende l'accesso più facile da assegnare e verificare.

Le sharing rule concedono l'accesso all'oggetto?

No. Le sharing rule ampliano soltanto l'accesso a livello di record. Se un utente non ha il permesso Read su un oggetto tramite il profilo o un permission set, nessuna sharing rule gli mostrerà un solo record. Il permesso sull'oggetto è il cancello; la condivisione decide quali record vi passano attraverso.

Come può un profilo prevalere su una sharing rule?

Tramite View All e Modify All. Questi permessi — a livello di oggetto, oppure "View All Data"/"Modify All Data" a livello di sistema — consentono a un utente di vedere o modificare ogni record indipendentemente dalla condivisione. Si collocano al di sopra del modello di condivisione, quindi un permesso può prevalere su ciò che la condivisione limiterebbe.