Groupe d’ensembles d’autorisations
Un groupe d’ensembles d’autorisations réunit plusieurs ensembles d’autorisations Salesforce pour les attribuer aux utilisateurs d’un seul bloc, en général par métier ou par persona. Un utilisateur affecté au groupe reçoit les autorisations cumulées de tous les ensembles qu’il contient. Un ensemble d’autorisations de désactivation peut retirer certaines autorisations au sein du groupe.
Comment un groupe combine les autorisations
Un même ensemble d’autorisations peut appartenir à plusieurs groupes, et toute modification qui lui est apportée s’applique à chacun d’eux. C’est tout l’intérêt du modèle : définir l’accès une fois par capacité, puis assembler les capacités en rôles. Salesforce recommande de gérer l’accès des utilisateurs par des ensembles et des groupes d’ensembles d’autorisations, et de réserver les profils aux réglages par défaut, comme les présentations de page, les types d’enregistrement, les heures de connexion et les plages d’adresses IP.
Les ensembles d’autorisations de désactivation
Chaque groupe peut contenir au plus un ensemble d’autorisations de désactivation. Il retire certaines autorisations, qu’elles portent sur des objets, des champs, des utilisateurs ou autre chose, mais uniquement à l’intérieur de ce groupe. Si l’utilisateur reçoit la même autorisation par un profil, un autre ensemble d’autorisations ou un autre groupe, il la conserve malgré la désactivation.
Salesforce suggère aussi la désactivation pour mettre en attente les autorisations apportées par la mise à niveau d’un package géré, le temps de les examiner.
Recalcul et statut
Les modifications d’un groupe sont recalculées de façon asynchrone, ce qui peut prendre de quelques secondes à plusieurs heures ; en attendant, les utilisateurs conservent les autorisations issues du dernier calcul terminé. Un groupe affiche un statut (à jour, obsolète, mise à jour en cours ou échec), et certaines opérations, comme la modification des affectations, sont impossibles tant qu’il n’est pas à jour.
Pourquoi c’est important pour un audit
L’accès effectif correspond à la somme du profil, des ensembles et des groupes d’ensembles d’autorisations, moins les désactivations propres à chaque groupe. Pour répondre à la question « qui peut modifier ce champ ? », il faut donc lire tous ces éléments ensemble, et non un écran après l’autre.
Ce qu’apporte aprity
aprity documente les accès à partir des métadonnées : profils, ensembles d’autorisations et sécurité au niveau du champ, en lecture seule et en termes métier. Un auditeur ou un administrateur dispose ainsi d’un seul endroit pour lire qui détient quels droits sur un objet, au lieu d’ouvrir chaque ensemble d’autorisations dans la Configuration.
Termes liés
- Sécurité au niveau du champ (FLS) — Le réglage Salesforce qui détermine, par profil ou ensemble d’autorisations, si un utilisateur peut lire ou modifier chaque champ d’un objet.
- Package géré et préfixe d’espace de noms — Un package géré est un ensemble de métadonnées distribuable et pouvant être mis à niveau ; son préfixe d’espace de noms s’ajoute au nom d’API de chacun de ses composants.
Sources
La documentation officielle de Salesforce sur laquelle cette définition a été vérifiée (pages en anglais). Le comportement de la plateforme évolue d’une version à l’autre : la page citée fait foi.