Profiler, permission sets och sharing rules i Salesforce

“Profiles vs permission sets vs sharing rules” ställer ofta till det för folk, eftersom de tre inte är alternativ till varandra — de besvarar olika frågor och fungerar tillsammans. Profiler och permission sets avgör vad du kan göra med ett objekt; sharing rules avgör vilka poster du kan göra det med. Så här kombineras de.

Tvåkontrollsmodellen

All poståtkomst i Salesforce passerar två oberoende kontroller:

Objekt- och fältkontroll — från profiler och permission sets: har användaren CRUD på objektet, och field-level security på fälten?
Postkontroll — från delningsmodellen: beviljar org-wide defaults, rollhierarkin eller en sharing rule just den här posten?

Objektbehörigheten är grinden. Delningen avgör vilka poster som passerar genom den. Båda måste passera.

Det här är grunden för hela modellen för poståtkomst.

Profiler och permission sets: “vad du kan göra”

Dessa styr åtkomst på objektnivå och mer:

CRUD per objekt (Read / Create / Edit / Delete).
Field-level security — vilka fält som är synliga/redigerbara.
Systembehörigheter, app- och flikars synlighet, samt de åtkomstkringgående View All / Modify All.

Profil kontra permission set

En användare har exakt en profil — historiskt sett baslinjen för behörigheter.
En användare kan ha många permission sets (och permission set groups) staplade ovanpå.

Det moderna, rekommenderade tillvägagångssättet är permission-set-lett: håll profilen minimal och bevilja åtkomst via permission sets, eftersom de är enklare att tilldela, återanvända och granska än en uppsjö av profiler. (Roller driver däremot delningshierarkin — en separat axel från profiler.)

Sharing rules rör överhuvudtaget inte objekt- eller fältåtkomst. De vidgar endast åtkomst på postnivå — utifrån ägarskap eller kriterier — ovanpå org-wide default. För hur de förhåller sig till hierarkin, se sharing rules kontra rollhierarki.

Avgörande: en sharing rule kan inte rädda en saknad objektbehörighet. Ingen Read på Opportunities betyder inga opportunities, oavsett hur många sharing rules som pekar på användaren.

Där behörigheter åsidosätter delning

Det finns ett ställe där lagren korsar varandra: View All och Modify All (objektnivå), samt View All Data / Modify All Data (systemövergripande). Dessa kringgår delningsmodellen helt — en användare med dem ser varje post oavsett OWD, hierarki eller regler. Eftersom de är så kraftfulla är de det första att kontrollera när åtkomsten ser fel ut. Se View All / Modify All — kringgåendet att hålla koll på.

Att sätta ihop det

Fråga	Besvaras av
Kan användaren öppna det här objektet överhuvudtaget?	Profil / permission set (CRUD)
Kan de se det här fältet?	Field-level security
Vilka poster av objektet kan de se?	Delningsmodellen
Kan de kringgå delning?	View All / Modify All

För att se varför en användare kan eller inte kan nå en post läser du båda axlarna tillsammans — objekt-/fältbehörigheter och den delning som gäller för den posten.

Att läsa båda axlarna samtidigt

Friktionen är att dessa ligger i olika delar av setup — profiler och permission sets på ett ställe, delningsmodellen på ett annat — och du måste mentalt korsa dem. AgentForceAccess gör den korsningen åt dig: fråga vad en användare kan göra med en post så tar verktyget hänsyn till objektbehörigheter, field-level security och delningsmodellen tillsammans, och citerar exakt vad som beviljar eller blockerar åtkomsten.

Vanliga frågor

Vad är skillnaden mellan objektåtkomst och poståtkomst?

Objektåtkomst (från profiler och permission sets) avgör om en användare överhuvudtaget får röra ett objekt — Read, Create, Edit, Delete — och vilka fält de ser. Poståtkomst (delningsmodellen) avgör vilka specifika poster av det objektet de kan se. Du behöver båda.

Profiler eller permission sets — vilket ska jag använda?

Båda finns, men det moderna tillvägagångssättet är permission-set-lett: håll profiler minimala som en baslinje och bevilja ytterligare åtkomst via permission sets och permission set groups. En användare har en profil men kan ha många permission sets, vilket gör åtkomsten enklare att tilldela och granska.

Beviljar sharing rules objektåtkomst?

Nej. Sharing rules vidgar endast åtkomst på postnivå. Om en användare inte har Read-behörighet på ett objekt via sin profil eller ett permission set kommer ingen sharing rule att visa dem en enda post. Objektbehörigheten är grinden; delningen avgör vilka poster som passerar genom den.

Hur kan en profil åsidosätta en sharing rule?

Genom View All och Modify All. Dessa behörigheter — på objektnivå, eller "View All Data"/"Modify All Data" systemövergripande — låter en användare se eller redigera varje post oavsett delning. De ligger ovanför delningsmodellen, så en behörighet kan åsidosätta det som delningen skulle begränsa.