Steuern des Zugriffs auf Datensätze

Lernziele

Nachdem Sie diese Lektion abgeschlossen haben, sind Sie in der Lage, die folgenden Aufgaben auszuführen:

• Auflisten der vier Möglichkeiten, den Zugriff auf Datensätze zu steuern
  
• Beschreiben einer Situation für die Verwendung jeder der vier Sicherheitssteuerungen auf Datensatzebene
  
• Erläutern der Interaktion zwischen den unterschiedlichen Datensatzsteuerungen
  
• Festlegen organisationsweiter Freigabestandardeinstellungen zum Steuern des Datensatzzugriffs
  

Hinweis

Lernen Sie auf Deutsch? Beginnen Sie die Aufgabe in einem Trailhead Playground in der Sprache Deutsch und verwenden Sie für die Navigation die in Klammern angegebenen Übersetzungen. Kopieren und fügen Sie nur die Angaben in Englisch ein, da zur Überprüfung der Aufgabe Daten in Englisch benötigt werden. Wenn Sie die Aufgabe in Ihrer deutschen Organisation nicht bestehen, empfehlen wir Ihnen folgende Vorgehensweise: (1) Stellen Sie das Gebietsschema auf USA um, (2) legen Sie Englisch als Sprache fest (Anweisungen dazu finden Sie hier) und (3) klicken Sie erneut auf die Schaltfläche "Check Challenge" (Aufgabe überprüfen).

Weitere Details dazu, wie Sie die übersetzte Trailhead-Umgebung optimal nutzen können, finden Sie unter dem Badge "Trailhead in Ihrer Sprache".

Sicherheit auf der Datensatzebene

Um den Datenzugriff präzise zu steuern, können Sie bestimmten Benutzern die Anzeige bestimmter Felder in einem bestimmten Objekt gestatten, aber dann die einzelnen Datensätze einschränken, die sie sehen können.

Der Datensatzzugriff bestimmt, welche einzelnen Datensätze Benutzer in den einzelnen Objekten, auf die sie laut ihrem Profil Zugriff haben, anzeigen und bearbeiten können. Stellen Sie sich zunächst die folgenden Fragen:

• Sollen die Benutzer offenen Zugriff auf alle Datensätze haben oder nur auf eine Teilmenge davon?
  
• Wenn nur auf eine Teilmenge, welche Regeln sollen festlegen, ob der Benutzer Zugriff hat?
  

Für unsere Personalbeschaffungs-Beispielanwendung nehmen wir an, Sie erstellen ein neues Profil namens "Recruiter", damit Sie Personalbeschaffungsmitarbeitern die für sie nötigen Berechtigungen auf Objektebene geben können. Wenn Sie die Fähigkeit zum Löschen von Objekten, die mit der Personalbeschaffung zu tun haben, einschränken, sind Personalbeschaffungsmitarbeiter nicht in der Lage, diese Objekte zu löschen. Wenn Sie jedoch Personalbeschaffungsmitarbeitern die Berechtigung zum Erstellen, Lesen oder Bearbeiten von Objekten im Zusammenhang mit der Personalbeschaffung gewähren, bedeutet dies nicht notwendigerweise, dass die Personalbeschaffungsmitarbeiter jeden Objektdatensatz im Personalbeschaffungsobjekt lesen oder bearbeiten dürfen. Dies ist die Folge zweier wichtiger Konzepte:

• Die Berechtigungen für einen Datensatz werden stets gemäß einer Kombination aus Berechtigungen auf der Objekt-, Feld-, und Datensatzebene ausgewertet.
  
• Wenn die Berechtigungen auf der Objektebene mit denen auf der Datensatzebene in Konflikt stehen, haben die strengeren Einstellungen Vorrang.
  

Auch wenn Sie einem Profil Erstell-, Lese- und Bearbeitungsberechtigungen für die Personalbeschaffungsobjekte erteilen, gilt daher: Wenn die Berechtigungen auf der Datensatzebene für einen einzelnen Personalbeschaffungsdatensatz strenger sind, richten sich die Zugriffsmöglichkeiten des Personalbeschaffungsmitarbeiters nach diesen strengeren Regeln. Wie Sie jedoch sehen werden, bieten Berechtigungen auf Datensatzebene Ebenen mit immer mehr Zugriffsmöglichkeiten. Daher ist es wichtig zu wissen, welche Berechtigungen auf Datensatzebene beachtet werden, um den Grad des Zugriffs zu verstehen, den ein Benutzer hat.

Der Zugriff auf Datensatzebene kann mit vier Methoden gesteuert werden. Diese Methoden werden nach zunehmendem Zugriff aufgeführt. Mithilfe organisationsweiter Standardeinstellungen sperren Sie die Daten auf der restriktivsten Ebene und verwenden dann die Tools für die Sicherheit auf Datensatzebene, um bestimmten Benutzern nach Bedarf Zugriff zu gewähren.

• Organisationsweite Standardeinstellungen legen den Standardzugriff fest, den Benutzer auf die Datensätze anderer Benutzer haben.
  
• Mit Rollenhierarchien können Sie sicherstellen, dass ein Vorgesetzter immer Zugriff auf dieselben Datensätze hat wie die ihm unterstellten Personen. Jede Rolle in der Hierarchie stellt eine Datenzugriffsebene dar, die ein Benutzer oder eine Benutzergruppe benötigt.
  
• Freigaberegeln sind automatische Ausnahmen von den organisationsweiten Standardeinstellungen für bestimmte Benutzergruppen, um ihnen Zugriff auf Datensätze zu gewähren, deren Inhaber sie nicht sind oder die sie normalerweise nicht sehen können.
  
• Durch die manuelle Freigabe können Datensatzinhaber Benutzern, die keinen anderweitigen Zugriff auf den Datensatz haben, Lese- und Bearbeitungsberechtigungen erteilen.
  

Auf der Grundlage der folgenden Prinzipien werden Sichtbarkeit und Zugriff für Daten durch die Interaktion der oben genannten Sicherheitssteuerungen bestimmt:

• Die Basisberechtigungen eines Benutzers für ein Objekt werden durch sein Profil bestimmt.
  
• Wurden dem Benutzer Berechtigungssätze zugewiesen, bestimmen diese zusammen mit dem Profil ebenfalls die Basisberechtigungen.
  
• Der Zugriff eines Benutzers auf Datensätze, deren Inhaber er nicht ist, wird in erster Linie von den organisationsweiten Standardeinstellungen gesteuert.
  
• Gewähren die organisationsweiten Standardeinstellungen weniger Zugriff als Öffentlicher Lese-/Schreibzugriff, können Sie über die Rollenhierarchie den Zugriff für bestimmte Rollen ausweiten.
  
• Mit Freigaberegeln können Sie den Zugriff auf weitere Benutzergruppen ausweiten.
  
• Jeder Datensatzinhaber kann über die Schaltfläche "Freigabe" des Datensatzes einzelne Datensätze manuell für andere Benutzer freigeben.
  

Sie haben jetzt gelernt, wie Sie Zugriffsberechtigungen mit Profilen und Berechtigungssätzen auf Objekt- und Datensatzebene konfigurieren. Im Folgenden sehen wir uns die verschiedenen Sicherheitssteuerungen auf Datensatzebene im Detail an.

Organisationsweite Freigabe

Organisationsweite Standardeinstellungen legen den Basiszugriff fest, der für die Benutzer mit den strengsten Einschränkungen gelten soll. Verwenden Sie organisationsweite Standardeinstellungen, um Ihre Daten zu sperren. Anschließend weiten Sie den Zugriff mithilfe der anderen Sicherheits- und Freigabetools auf der Datensatzebene (Rollenhierarchien, Freigaberegeln und manuelle Freigabe) für Benutzer aus, die Zugriff benötigen.

Objektberechtigungen legen den Basiszugriff auf alle Datensätze in einem Objekt fest. Organisationsweite Standardeinstellungen ändern diese Berechtigungen für Datensätze, deren Inhaber der Benutzer nicht ist. Organisationsweite Standardeinstellungen können separat für jeden Objekttyp definiert werden.

Es ist nicht möglich, Benutzern mit organisationsweiten Standardeinstellungen mehr Zugriffsrechte als mit ihren Objektberechtigungen zu gewähren.

Sie ermitteln die für Ihre Anwendung notwendigen organisationsweiten Standardeinstellungen, indem Sie für jedes Objekt die folgenden Fragen klären:

1. Für welche Benutzer dieses Objekts gelten die strengsten Einschränkungen?
   
2. Kann es jemals eine Instanz dieses Objekts geben, die dieser Benutzer nicht sehen können soll?
   
3. Kann es jemals eine Instanz dieses Objekts geben, die dieser Benutzer nicht bearbeiten können soll?
   

Anhand der Antworten legen Sie das Freigabemodell für das betreffende Objekt auf eine der folgenden Einstellungen fest:

Privat 

Nur der Inhaber und Benutzer über dieser Rolle in der Hierarchie können diese Datensätze anzeigen, bearbeiten und in Berichten verwenden.

Öffentlicher Lesezugriff

Alle Benutzer können Datensätze anzeigen und in Berichten verwenden, doch nur der Inhaber und Benutzer über dieser Rolle in der Hierarchie können diese Datensätze bearbeiten.

Öffentlicher Lese-/Schreibzugriff

Alle Benutzer können alle Datensätze anzeigen, bearbeiten und in Berichten verwenden.

Gesteuert durch übergeordnetes Element 

Ein Benutzer kann einen Datensatz anzeigen, bearbeiten oder löschen, wenn er dieselbe Aktion für das Objekt durchführen kann, zu dem er gehört.

Wenn die organisationsweite Freigabeeinstellung für ein Objekt Privat oder Öffentlicher Lesezugriff lautet, kann ein Administrator den Benutzern weiteren Zugriff auf Datensätze gewähren, indem er eine Rollenhierarchie einrichtet oder Freigaberegeln definiert. Freigaberegeln können nur zur Gewährung von weitergehendem Zugriff verwendet werden. Sie können damit den Zugriff auf Datensätze nicht weiter einschränken als ursprünglich durch organisationsweite Freigabestandardwerte angegeben wurde.

Beantworten Sie nun zur Übung die obige Liste der Fragen für das Objekt "Position" in der Personalbeschaffungsanwendung:

Für welche Benutzer dieses Objekts gelten die strengsten Einschränkungen?

Mitglieder des Profils "Standardmitarbeiter". Diese Personen dürfen lediglich Stellen anzeigen.

Kann es jemals eine Instanz dieses Objekts geben, die dieser Benutzer nicht sehen können soll?

Nein. Zwar sind die Werte für Mindest- und Höchstgehalt für Standardmitarbeiter ausgeblendet, sie dürfen jedoch alle Stellendatensätze anzeigen.

Kann es jemals eine Instanz dieses Objekts geben, die dieser Benutzer nicht bearbeiten können soll?

Ja. Standardmitarbeiter dürfen keine Stellendatensätze bearbeiten.

Da wir Frage 3 mit "Ja" beantwortet haben, sollte das Freigabemodell für das Objekt "Position" auf "Öffentlicher Lesezugriff" gesetzt werden. Wenn Sie diese Schritte für die anderen Personalbeschaffungsobjekte wiederholen, können Sie ganz leicht die für sie geeigneten organisationsweiten Standardeinstellungen feststellen. Das Profil "Standard Employee" ist für jedes Objekt derjenige Benutzer mit den strengsten Einschränkungen und es gibt Bewerber-, Stellenbewerbungs- und Review-Datensätze, die bestimmte Mitarbeiter nicht anzeigen können. Folglich sollte das Freigabemodell für die Objekte "Bewerber", "Stellenbewerbung" und "Review" jeweils auf Privat gesetzt sein.

Für das Objekt "Review" können Sie die organisationsweiten Standardeinstellungen nicht festlegen. Dies liegt daran, dass sich dieses Objekt auf der Detailseite einer Master-Detail-Beziehungen befindet und ein Detaildatensatz automatisch die Freigabeeinstellung des zugehörigen übergeordneten Elements übernimmt. In unserer Anwendung ist das Objekt "Review" daher automatisch auf Privat eingestellt.

Festlegen der organisationsweiten Freigabestandardeinstellungen

Verwenden Sie organisationsweite Standardeinstellungen, um den Basiszugriff festzulegen, der für die Benutzer mit den strengsten Einschränkungen gelten soll.

1. Geben Sie unter "Setup" im Feld "Schnellsuche" Freigabeeinstellungen ein und wählen Sie dann Freigabeeinstellungen aus.
   
2. Klicken Sie im Bereich "Organisationsweite Standardeinstellungen" auf Bearbeiten. Bitte beachten Sie, dass für manche Standardobjekte andere organisationsweite Standardeinstellungen verwendet werden. Zu den organisationsweiten Standardeinstellungen für benutzerdefinierte Objekte gehören "Privat", "Öffentlicher Lesezugriff" und "Öffentlicher Lese-/Schreibzugriff".
   
3. Wählen Sie für sämtliche Objekte den gewünschten internen und externen Standardzugriff.
   
4. Um den automatischen Zugriff mithilfe Ihrer Hierarchien zu deaktivieren, deaktivieren Sie Zugriff mithilfe von Hierarchien gewähren für alle benutzerdefinierten Objekte, die nicht über den Standardzugriff "Gesteuert durch übergeordnetes Element" verfügen.
   

Standardmäßig gewährt eine Rollenhierarchie Benutzern, die in der Hierarchie über dem Datensatzinhaber stehen, automatisch Zugriff auf Datensätze. Wenn Sie ein Objekt auf Privat setzen, sind die betreffenden Datensätze nur für die Datensatzinhaber und die Personen sichtbar, die in der Rollenhierarchie über den Inhabern stehen. Mit dem Kontrollkästchen Zugriff mithilfe von Hierarchien gewähren können Sie den Zugriff auf Datensätze für Benutzer deaktivieren, die in der Hierarchie für benutzerdefinierte Objekte über dem Datensatzinhaber stehen. Wenn Sie dieses Kontrollkästchen für ein benutzerdefiniertes Objekt deaktivieren, erhalten nur der Datensatzinhaber und Benutzer, denen durch die organisationsweiten Standardeinstellungen Zugriff gewährt wird, Zugriff auf die Datensätze.

Selbst wenn Zugriff mithilfe von Hierarchien gewähren deaktiviert ist, können einige Benutzer trotzdem auf Datensätze zugreifen, deren Inhaber sie nicht sind. Dazu zählen Benutzer mit den Objektberechtigungen "Alle anzeigen" sowie "Alle ändern" und den Systemberechtigungen "Alle Daten anzeigen" sowie "Alle Daten modifizieren".

Bei der Aktualisierung der organisationsweiten Standardeinstellungen wird automatisch eine Neuberechnung der Freigabe durchgeführt, um etwaige Zugriffsänderungen auf Ihre Datensätze anzuwenden. Sie erhalten eine Benachrichtigungs-E-Mail, wenn die Neuberechnung abgeschlossen wurde und Sie die Seite "Freigabeeinstellungen" aktualisieren können, um Ihre Änderungen anzuzeigen. Um den Aktualisierungsstatus anzuzeigen, geben Sie unter "Setup" im Feld "Schnellsuche" den Text Setup-Aktivierungsprotokoll anzeigen ein und wählen dann Setup-Aktivierungsprotokoll anzeigen aus.

Manchmal zeigt sich nach der Sicherung der Daten durch organisationsweite Standardeinstellungen, dass diese Festlegungen für manche Benutzer zu restriktiv sind. Sie können dann auf die anderen Sicherheitssteuerungen auf Datensatzebene (Rollenhierarchien, Freigaberegeln und manuelle Freigabe) zurückgreifen, um den Datensatzzugriff selektiv für diejenigen Mitarbeiter auszuweiten, die ihn benötigen.

Weitere Infos

Bei von Apex verwalteten Freigaben können Entwickler mit benutzerdefinierten Objekten verknüpfte Datensätze programmgesteuert freigeben. Wenn Sie ein benutzerdefiniertes Objekt mithilfe der von Apex verwalteten Freigabe freigeben, können nur Benutzer mit der Berechtigung "Alle Daten modifizieren" die Freigabe in den Datensätzen des benutzerdefinierten Objekts hinzufügen oder ändern. Der Freigabezugriff bleibt erhalten, selbst wenn sich der Datensatzbesitzer ändert. Weitere Informationen finden Sie unter Apex-Freigabe.

Ressourcen

• Freigabeeinstellungen
  
• Überlegungen zur Freigabe
  
• Organisationsweite Freigabestandardeinstellungen
  
• Salesforce Security Guide