Restriction rules, scoping rules e sharing rules a confronto

La maggior parte del modello di condivisione di Salesforce sa solo come aprire l’accesso. Le restriction rules e le scoping rules sono gli strumenti più recenti che cambiano questo scenario, ma fanno cose molto diverse ed è facile confonderle. Ecco come si relazionano tra loro tutte e tre.

La mappa in una riga

• Sharing rules — aprono l’accesso. Concedono record agli utenti che altrimenti non li vedrebbero.
• Restriction rules — riducono l’accesso. Filtrano i record che un utente avrebbe altrimenti il permesso di vedere.
• Scoping rules — focalizzano la vista. Cambiano quali record vengono mostrati per impostazione predefinita, senza modificare l’accesso.

Due di queste incidono sulla sicurezza; una no. È questa la distinzione da tenere a mente.

Sharing rules: aprire l’accesso

Le sharing rules si appoggiano sopra l’org-wide default e concedono accesso aggiuntivo in base alla proprietà o a criteri. Possono solo ampliare l’accesso, mai restringerlo. Se ti serve un ripasso su come si confrontano con la gerarchia, vedi sharing rules e gerarchia dei ruoli a confronto.

È il comportamento additivo, in cui vince il più permissivo, che sta al cuore del modello di accesso ai record.

Restriction rules: ridurre l’accesso

Le restriction rules sono l’eccezione alla regola “la condivisione di Salesforce apre soltanto l’accesso”. Una restriction rule definisce quali record un utente è autorizzato a vedere e viene applicata sopra tutto ciò che il modello di condivisione ha concesso, filtrando di fatto il risultato.

Se l’org-wide default, la gerarchia dei ruoli e le sharing rules insieme mostrerebbero a un utente 10.000 record, una restriction rule può restringerli al sottoinsieme che corrisponde ai suoi criteri.

Esempio. Gli agenti del supporto hanno un ampio accesso ai Case tramite una sharing rule, ma i contractor tra di loro dovrebbero vedere solo i case non riservati. Una restriction rule su Case — Confidential = false per il permission set dei contractor — rimuove quelli riservati da ciò che possono vedere, anche se tecnicamente la condivisione glieli aveva concessi.

È lo strumento a cui rivolgersi quando la domanda è “come faccio a togliere l’accesso”.

Scoping rules: concentrazione, non sicurezza

Le scoping rules controllano quali record compaiono per impostazione predefinita nelle viste elenco, nelle ricerche e nei report, in base a condizioni come proprietario, ruolo o area geografica. Aspetto fondamentale:

Le scoping rules non limitano l’accesso. Un utente può cambiare l’ambito su “tutti i record a cui posso accedere” e vedere tutto ciò che la condivisione gli concede.

Sono una funzionalità di produttività: mostrano per primi a un rappresentante impegnato i record della sua area, senza imporli. Se un utente deve essere impedito dal vedere certi record, le scoping rules sono lo strumento sbagliato: usa le restriction rules.

Confronto diretto

	Sharing rules	Restriction rules	Scoping rules
Effetto sull’accesso	Lo amplia	Lo riduce	Nessuno
Controllo di sicurezza?	Sì	Sì	No (solo concentrazione)
L’utente può scavalcarle?	No	No	Sì (cambia ambito)
Direzione	Aggiunge accesso	Rimuove accesso	Filtra la vista predefinita
Limite tipico	Molte	~2 attive/oggetto	~2 attive/oggetto

Metterle insieme

Un oggetto realistico potrebbe usarle tutte e tre: un OWD Private, delle sharing rules per dare ai team l’accesso di cui hanno bisogno, una restriction rule per escludere un sottoinsieme sensibile dai contractor e una scoping rule affinché ogni utente atterri sulla propria area per impostazione predefinita. Ciascuna svolge un compito; insieme modellano sia ciò che gli utenti possono vedere, sia ciò che vedono per primo.

Il tranello: l’accesso effettivo è la somma

Sovrapporre strumenti che aprono, riducono e focalizzano rende la domanda “che cosa può davvero vedere questo utente?” genuinamente difficile da rispondere a colpo d’occhio: gli accessi concessi dalla condivisione meno i filtri delle restriction rules, ignorando lo scoping. È esattamente il calcolo che AgentForceAccess esegue per te: chiedi a che cosa un utente può realmente accedere e tiene conto sia della condivisione che lo concede sia delle restriction rules che lo limitano, in un linguaggio chiaro.

Domande frequenti

Qual è la differenza in una riga?

Le sharing rules concedono un accesso che l'utente non aveva, le restriction rules tolgono un accesso che l'utente aveva e le scoping rules si limitano a pre-filtrare le viste elenco e le ricerche senza incidere in alcun modo sull'accesso.

Una restriction rule può prevalere su una sharing rule o sulla gerarchia dei ruoli?

Sì. Le restriction rules si applicano sopra il modello di condivisione e filtrano i record che un utente può vedere, anche quelli che l'org-wide default, la gerarchia dei ruoli o le sharing rules esporrebbero altrimenti. Sono il modo per ridurre realmente l'accesso in Salesforce.

Le scoping rules nascondono i record per motivi di sicurezza?

No. Le scoping rules cambiano solo l'insieme predefinito di record mostrati nelle viste elenco, nelle ricerche e nei report. Un utente può cambiare l'ambito su "tutti i record a cui posso accedere", quindi riguardano la concentrazione e la produttività, non la sicurezza. Usa le restriction rules quando l'accesso deve essere davvero limitato.

Esistono limiti per queste regole?

Sì. Le restriction rules e le scoping rules sono in genere limitate a un massimo di 2 regole attive per oggetto e sono disponibili per gli oggetti personalizzati e per una selezione di oggetti standard come Account, Case, Contact, Event, Lead, Opportunity e Task. Verifica i limiti attuali per la tua edition.