Sharing rules vs. role hierarchy in Salesforce: het verschil

Role hierarchy en sharing rules zijn de twee mechanismen waar admins het vaakst naar grijpen — en de twee die het vaakst door elkaar worden gehaald. Beide verbreden recordtoegang, maar in verschillende richtingen en om verschillende redenen. Het verschil goed begrijpen is het verschil tussen een schoon deelmodel en een wirwar van overlappende regels.

Het verschil in één regel

Role hierarchy — verleent toegang automatisch en verticaal: iedereen boven de eigenaar van het record in het organigram erft de toegang van die eigenaar.
Sharing rules — verlenen toegang bewust en horizontaal: aan collega’s, andere teams of groepen die de hiërarchie nooit zou verbinden, op basis van eigendom of veldcriteria.

Beide bouwen voort op de org-wide default en kunnen toegang alleen openen, nooit beperken. (Zie de volledige gelaagdheid in wie kan een record zien.)

Role hierarchy: toegang rolt omhoog

Wanneer Grant Access Using Hierarchies is ingeschakeld voor een object, erven managers automatisch toegang tot records die eigendom zijn van — of gedeeld zijn met — gebruikers onder hen. Geen regel, geen configuratie per record.

Voorbeeld. Een Private org-wide default op Opportunities. Een rep is eigenaar van een deal. Hun manager, en de VP van die manager, kunnen die deal automatisch zien omdat ze boven de rep in de hiërarchie staan. Dat is de role hierarchy die zijn werk doet.

Dit is perfect voor manager-ziet-team-zichtbaarheid, en het is ook de meest voorkomende bron van “waarom kunnen zij dit zien?”-verrassingen — omdat niemand het per record heeft geconfigureerd.

Sharing rules verbreden toegang dwars door de hiërarchie heen, naar gebruikers die het organigram gescheiden houdt. Twee smaken:

Op basis van eigendom — deel records die eigendom zijn van één groep (rol, public group, territory) met een andere groep.
Op basis van criteria — deel records die overeenkomen met veldwaarden (bijv. Region = EMEA) met een groep, rol of territory.

Voorbeeld. EMEA- en APAC-sales zijn aparte takken van de hiërarchie, dus geen van beide ziet de deals van de ander. Een criteria-based regel — Region = EMEA → deel Read met de APAC Leadership-groep — opent precies die toegang tussen takken zonder de hiërarchie aan te raken.

Wanneer welke gebruiken

Behoefte	Gebruik
Managers zien de records van hun team	Role hierarchy
Toegang volgt automatisch de rapportagelijnen	Role hierarchy
Twee gelijkwaardige teams moeten elkaars records zien	Sharing rule (op basis van eigendom)
Records delen die aan veldcriteria voldoen (regio, type, stage)	Sharing rule (op basis van criteria)
Delen met een public group of territory	Sharing rule
Eenmalige toegang tot één enkel record	Manual share (geen van beide)

Ze stapelen — en daar zit de valkuil

Omdat toegang additief is en meest-permissief-wint, combineren de role hierarchy en sharing rules zich. Een gebruiker kan tegelijk via de hiërarchie én via twee sharing rules toegang krijgen tot hetzelfde record. Geen ervan overschrijft de andere; één enkele is al voldoende.

Daarom sluipt te brede deling er ook in: elke regel lijkt op zichzelf redelijk, maar de optelsom van hiërarchie + regels + manual shares is wat een gebruiker daadwerkelijk ziet — en niemand heeft dat hele plaatje in zijn hoofd.

Geen van beide beperkt — by design

Als je toegang moet verminderen, kunnen sharing rules en de role hierarchy niet helpen. Verscherp dan de org-wide default, of gebruik restriction rules. Een extra sharing rule toevoegen kan alleen maar méér toegang openen.

Het gecombineerde effect zien

Het lastige is niet het ene of het andere mechanisme — het is hun som. Om te weten waarom een gebruiker een record ziet, moet je de hiërarchie én elke toepasselijke sharing rule én manual shares samen evalueren.

AgentForceAccess berekent die optelsom voor je: vraag waarom een gebruiker een record kan zien en het vertelt je of het de role hierarchy is, een specifieke sharing rule, of beide — in gewone taal, met het mechanisme erbij vermeld.

Veelgestelde vragen

Wat is het kernverschil in één zin?

De role hierarchy opent toegang omhoog en automatisch langs rapportagelijnen, terwijl sharing rules toegang zijdelings en doelbewust openen, naar gebruikers die een hiërarchie nooit zou verbinden.

Als beide toegang tot hetzelfde record zouden verlenen, welke wint dan?

Dat maakt niet uit — toegang in Salesforce is additief en meest-permissieve-wint. Als de role hierarchy óf een sharing rule toegang verleent, heeft de gebruiker die toegang. Je hebt nooit beide nodig om het ergens over "eens" te zijn.

Kan een sharing rule toegang wegnemen?

Nee. Sharing rules en de role hierarchy kunnen toegang alleen verbreden boven de org-wide default. Om toegang te beperken wijzig je de org-wide default, of gebruik je restriction rules — geen sharing rules.

Heb ik nog sharing rules nodig als mijn role hierarchy goed is opgezet?

Meestal wel. Een hiërarchie drukt alleen verticale toegang uit, van manager naar ondergeschikte. Zodra twee gelijkwaardige teams, of een rol in een andere tak, elkaars records moeten zien, kan alleen een sharing rule dat uitdrukken.