Steuern des Zugriffs auf Datensätze

Lernziele

Nachdem Sie diese Lektion abgeschlossen haben, sind Sie in der Lage, die folgenden Aufgaben auszuführen:

• Auflisten der vier Möglichkeiten, den Zugriff auf Datensätze zu steuern
  
• Beschreiben einer Situation für die Verwendung jeder der vier Sicherheitssteuerungen auf Datensatzebene
  
• Erläutern der Interaktion zwischen den unterschiedlichen Datensatzsteuerungen
  
• Festlegen organisationsweiter Freigabestandardeinstellungen zum Steuern des Datensatzzugriffs
  

Hinweis

Lernen Sie auf Deutsch? Beginnen Sie die Aufgabe in einem Trailhead Playground in der Sprache Deutsch und verwenden Sie für die Navigation die in Klammern angegebenen Übersetzungen. Kopieren und fügen Sie nur die Angaben in Englisch ein, da zur Überprüfung der Aufgabe Daten in Englisch benötigt werden. Wenn Sie die Aufgabe in Ihrer deutschen Organisation nicht bestehen, empfehlen wir Ihnen folgende Vorgehensweise: (1) Stellen Sie das Gebietsschema auf USA um, (2) legen Sie Englisch als Sprache fest (Anweisungen dazu finden Sie hier) und (3) klicken Sie erneut auf die Schaltfläche "Check Challenge" (Aufgabe überprüfen).

Weitere Details dazu, wie Sie die übersetzte Trailhead-Umgebung optimal nutzen können, finden Sie unter dem Badge "Trailhead in Ihrer Sprache".

Sicherheit auf der Datensatzebene

Um den Datenzugriff präzise zu steuern, können Sie bestimmten Benutzern die Anzeige bestimmter Felder in einem bestimmten Objekt gestatten, aber dann die einzelnen Datensätze einschränken, die sie sehen können. Der Datensatzzugriff bestimmt, welche einzelnen Datensätze Benutzer in den einzelnen Objekten, auf die sie Zugriff haben, anzeigen und bearbeiten können. Stellen Sie sich zunächst die folgenden Fragen:

• Sollen die Benutzer offenen Zugriff auf alle Datensätze haben oder nur auf eine Teilmenge davon?
  
• Wenn nur auf eine Teilmenge, welche Regeln sollen festlegen, ob der Benutzer Zugriff hat?
  

Für unsere Personalbeschaffungs-Beispielanwendung haben Sie eine neue Berechtigungssatzgruppe namens "Recruiter" (Personalbeschaffung) erstellt, damit Sie Personalbeschaffungsmitarbeitern die für sie nötigen Berechtigungen auf Objektebene geben können. Sie haben die Fähigkeit zum Löschen von Objekten eingeschränkt, die mit der Personalbeschaffung zu tun haben, daher sind Personalbeschaffungsmitarbeiter nicht in der Lage, diese Objekte zu löschen. Wenn Sie jedoch Personalbeschaffungsmitarbeitern die Berechtigung zum Erstellen, Lesen oder Bearbeiten von Objekten im Zusammenhang mit der Personalbeschaffung erteilen, bedeutet dies nicht notwendigerweise, dass die Personalbeschaffungsmitarbeiter jeden Objektdatensatz im Personalbeschaffungsobjekt lesen oder bearbeiten dürfen. Dieses Verhalten ist darauf zurückzuführen, dass der Zugriff, den Benutzer auf Datensätze haben, die sich nicht in ihrem Besitz befinden, mithilfe von Sicherheit auf Datensatzebene gesteuert wird.

Funktionen auf Datensatzebene bieten von Schicht zu Schicht mehr Zugriff. Daher ist es wichtig zu wissen, welche Berechtigungen auf Datensatzebene konfiguriert wurden, um den Grad des Zugriffs zu verstehen, den ein Benutzer hat.

Der Zugriff auf Datensatzebene kann mit vier Methoden gesteuert werden. Diese Methoden werden nach zunehmendem Zugriff aufgeführt. Mithilfe organisationsweiter Standardeinstellungen sperren Sie die Daten auf der restriktivsten Ebene und verwenden dann die Tools für die Sicherheit auf Datensatzebene, um bestimmten Benutzern nach Bedarf Zugriff zu gewähren.

• Organisationsweite Standardeinstellungen legen den Standardzugriff fest, den Benutzer auf Datensätze haben, die sich nicht in ihrem Besitz befinden.
  
• Mit Rollenhierarchien können Sie sicherstellen, dass ein Vorgesetzter immer Zugriff auf dieselben Datensätze hat wie die ihm unterstellten Personen. Jede Rolle in der Hierarchie stellt eine Datenzugriffsebene dar, die ein Benutzer oder eine Benutzergruppe benötigt.
  
• Freigaberegeln sind automatische Ausnahmen von den organisationsweiten Standardeinstellungen für bestimmte Benutzergruppen, um ihnen Zugriff auf Datensätze zu gewähren, deren Inhaber sie nicht sind oder die sie normalerweise nicht sehen können.
  
• Durch die manuelle Freigabe können Datensatzinhaber oder Benutzer mit ausreichenden Berechtigungen Benutzern, die keinen anderweitigen Zugriff auf den Datensatz haben, Lese- und Bearbeitungsberechtigungen erteilen.
  

Auf der Grundlage der folgenden Prinzipien werden Sichtbarkeit und Zugriff für Daten durch die Interaktion der oben genannten Sicherheitssteuerungen bestimmt:

• Die Basisberechtigungen eines Benutzers für ein beliebiges Objekt werden durch die Kombination aus Berechtigungssätzen, Berechtigungssatzgruppen und seinem Profil bestimmt.
  
• Der Zugriff eines Benutzers auf Datensätze, deren Inhaber er nicht ist, wird in erster Linie von den organisationsweiten Standardeinstellungen gesteuert.
  
• Gewähren die organisationsweiten Standardeinstellungen weniger Zugriff als Öffentlicher Lese-/Schreibzugriff, können Sie über die Rollenhierarchie den Zugriff für bestimmte Rollen ausweiten.
  
• Mit Freigaberegeln können Sie den Zugriff auf weitere Benutzergruppen ausweiten.
  
• Jeder Datensatzinhaber kann über die Schaltfläche "Freigabe" des Datensatzes einzelne Datensätze manuell für andere Benutzer freigeben.
  

Salesforce bietet zusätzliche Funktionen für die Verwaltung des Zugriffs auf Datensätze, die je nach den Anforderungen Ihres Unternehmens nützlich sein können. Weitere Informationen finden Sie unter Einrichten des Datensatzzugriffs für Ihre Benutzer in der Salesforce-Hilfe.

Im weiteren Verlauf dieses Moduls erfahren Sie mehr über die Steuerung des Zugriffs auf Datensätze. In dieser Lektion befassen Sie sich mit der Konfiguration von organisationsweiten Standardeinstellungen.

Organisationsweite Standardeinstellungen

Organisationsweite Standardeinstellungen legen die Basisebene des Zugriffs fest, den Benutzer auf Datensätze haben, die sich nicht in ihrem Besitz befinden. Die Einstellung sollte den Zugriff darstellen, den der Benutzer mit den meisten Einschränkungen haben sollte. Verwenden Sie organisationsweite Standardeinstellungen, um Ihre Daten zu sperren. Anschließend weiten Sie den Zugriff mithilfe der anderen Sicherheits- und Freigabetools auf der Datensatzebene (Rollenhierarchien, Freigaberegeln und manuelle Freigabe) für Benutzer aus, die Zugriff benötigen.

Objektberechtigungen bestimmen die Basisebene des Zugriffs für alle Datensätze in einem Objekt, und organisationsweite Standardeinstellungen ändern diese Berechtigungen für Datensätze, die sich nicht im Besitz eines Benutzers befinden. Es ist nicht möglich, Benutzern mit organisationsweiten Standardeinstellungen mehr Zugriffsrechte als mit ihren Objektberechtigungen zu gewähren. Organisationsweite Standardeinstellungen können für jeden Objekttyp sowie für interne und externe Benutzer getrennt festgelegt werden.

Sie ermitteln die für Ihre Anwendung notwendigen organisationsweiten Standardeinstellungen, indem Sie für jedes Objekt die folgenden Fragen klären:

1. Für welche Benutzer dieses Objekts gelten die strengsten Einschränkungen?
   
2. Kann es jemals eine Instanz dieses Objekts geben, die dieser Benutzer nicht sehen können soll?
   
3. Kann es jemals eine Instanz dieses Objekts geben, die dieser Benutzer nicht bearbeiten können soll?
   

Anhand der Antworten legen Sie das Freigabemodell für das betreffende Objekt auf eine der folgenden Einstellungen fest:

• Privat: Nur der Inhaber und Benutzer über dieser Rolle in der Hierarchie können diese Datensätze anzeigen, bearbeiten und in Berichten verwenden.
  
• Öffentlicher Lesezugriff: Alle Benutzer können Datensätze anzeigen und in Berichten verwenden, doch nur der Inhaber und Benutzer über dieser Rolle in der Hierarchie können diese Datensätze bearbeiten.
  
• Öffentlicher Lese-/Schreibzugriff: Alle Benutzer können alle Datensätze anzeigen, bearbeiten und in Berichten verwenden.
  
• Gesteuert durch übergeordnetes Element: Ein Benutzer kann einen Datensatz anzeigen, bearbeiten oder löschen, wenn er dieselbe Aktion für das Objekt durchführen kann, zu dem er gehört.
  

Wenn die organisationsweite Freigabeeinstellung für ein Objekt Privat oder Öffentlicher Lesezugriff lautet, kann ein Administrator den Benutzern weiteren Zugriff auf Datensätze gewähren, indem er eine Rollenhierarchie einrichtet oder Freigaberegeln definiert. Freigaberegeln können nur zur Gewährung von weitergehendem Zugriff verwendet werden. Sie können damit den Zugriff auf Datensätze nicht weiter einschränken als ursprünglich durch organisationsweite Freigabestandardwerte angegeben wurde.

Beantworten Sie übungsweise die oben angegebene Liste der Fragen für das Objekt "Position" in der Personalbeschaffungsanwendung:

1. Für welche Benutzer dieses Objekts gelten die strengsten Einschränkungen?
   

Ein Standardmitarbeiter, dem lediglich die Anzeige von Stellen erlaubt ist.

2. Kann es jemals eine Instanz dieses Objekts geben, die dieser Benutzer nicht sehen können soll?
   

Nein. Zwar sind die Werte für Mindest- und Höchstbonus für Standardmitarbeiter ausgeblendet, sie dürfen jedoch alle Stellendatensätze anzeigen.

3. Kann es jemals eine Instanz dieses Objekts geben, die dieser Benutzer nicht bearbeiten können soll?
   

Ja. Standardmitarbeiter dürfen keine Stellendatensätze bearbeiten.

Da wir Frage 3 mit "Ja" beantwortet haben ist, sollte das Freigabemodell für das Objekt "Position" auf "Öffentlicher Lesezugriff" gesetzt werden. Wenn Sie diese Schritte für die anderen Personalbeschaffungsobjekte wiederholen, können Sie ganz leicht die für sie geeigneten organisationsweiten Standardeinstellungen feststellen. Standardmitarbeiter sind für jedes Objekt der Benutzertyp mit den strengsten Einschränkungen und es gibt Bewerber-, Stellenbewerbungs- und Review-Datensätze, die bestimmte Mitarbeiter nicht anzeigen können. Folglich sollte das Freigabemodell für die Objekte "Bewerber", "Stellenbewerbung" und "Review" jeweils auf Privat gesetzt sein.

Für das Objekt "Review" können Sie die organisationsweiten Standardeinstellungen nicht festlegen. Dies liegt daran, dass sich dieses Objekt auf der Detailseite einer Master-Detail-Beziehung befindet und ein Detaildatensatz automatisch die Freigabeeinstellung des zugehörigen übergeordneten Elements übernimmt. In Ihrer Anwendung ist das Objekt "Review" daher automatisch auf Privat eingestellt.

Festlegen der organisationsweiten Freigabestandardeinstellungen

Verwenden Sie organisationsweite Standardeinstellungen, um den Basiszugriff festzulegen, der für die Benutzer mit den strengsten Einschränkungen gelten soll.

1. Geben Sie in Setup im Feld der Schnellsuche den Text Freigabeeinstellungen ein und wählen Sie diesen Eintrag dann aus.
   
2. Klicken Sie im Bereich "Organisationsweite Standardeinstellungen" auf Bearbeiten.
   

3. Wählen Sie für sämtliche Objekte den gewünschten internen und externen Standardzugriff. Wie Sie bereits gelernt haben, legen Sie den internen Standardzugriff für "Position" auf öffentlichen Lesezugriff und für Bewerber, Stellenbewerbung und Review auf privat fest. Sie legen den externen Standardzugriff für alle vier Objekte auf privat fest.
   

Für manche Standardobjekte werden andere organisationsweite Standardeinstellungen verwendet. Zu den organisationsweiten Standardeinstellungen für benutzerdefinierte Objekte gehören "Privat", "Öffentlicher Lesezugriff" und "Öffentlicher Lese-/Schreibzugriff".

4. Um den automatischen Zugriff über die Rollenhierarchie zu deaktivieren, deaktivieren Sie Zugriff mithilfe von Hierarchien gewähren für alle benutzerdefinierten Objekte, die nicht den Standardzugriff "Gesteuert durch übergeordnetes Element" aufweisen. Wenn Sie dieses Kontrollkästchen deaktivieren, erhalten nur der Datensatzinhaber und Benutzer, denen durch die Freigabefunktionen Zugriff gewährt wird, Zugriff auf die Datensätze.
   
5. Klicken Sie auf Speichern, wenn Sie das Festlegen des Zugriffs abgeschlossen haben.
   

Bei der Aktualisierung der organisationsweiten Standardeinstellungen wird automatisch eine Neuberechnung der Freigabe durchgeführt, um etwaige Zugriffsänderungen auf Ihre Datensätze anzuwenden. Sie erhalten eine Benachrichtigungs-E-Mail, wenn die Neuberechnung abgeschlossen wurde und Sie die Seite "Freigabeeinstellungen" aktualisieren können, um Ihre Änderungen anzuzeigen. Um den Aktualisierungsstatus anzuzeigen, suchen Sie in Setup im Feld der Schnellsuche Setup-Aktivierungsprotokoll anzeigen und wählen den Eintrag dann aus.

Manchmal zeigt sich nach der Sicherung der Daten durch organisationsweite Standardeinstellungen, dass diese Festlegungen für manche Benutzer zu restriktiv sind. Sie können dann auf andere Sicherheitssteuerungen auf Datensatzebene wie Rollenhierarchien, Freigaberegeln und manuelle Freigabe zurückgreifen, um den Datensatzzugriff selektiv für diejenigen Mitarbeiter auszuweiten, die ihn benötigen.

Ressourcen

• Salesforce-Hilfe: Einrichten des Datensatzzugriffs für Ihre Benutzer
• Salesforce-Hilfe: Organisationsweite Freigabestandardeinstellungen
• Salesforce-Hilfe: Überlegungen zur Freigabe