Controlar el acceso a los objetos

Objetivos de aprendizaje

Después de completar esta unidad, podrá:

• Explicar la diferencia entre perfiles, conjuntos de permisos y grupos de conjuntos de permisos.
  
• Modificar el acceso a objetos.
  
• Duplicar y asignar un perfil.
  
• Crear y asignar conjuntos de permisos nuevos.
  
• Crear y asignar grupos de conjuntos de permisos nuevos.
  

Nota

¿Es su idioma de aprendizaje español (LATAM)? Comience el reto en un Trailhead Playground en español (LATAM) y copie y pegue los valores en español (LATAM). Si no aprueba el reto en su organización en español (LATAM), recomendamos que (1) cambie la configuración local a Estados Unidos, (2) cambie el idioma a inglés (según estas instrucciones) y, luego, (3) haga clic en el botón “Check Challenge” (Comprobar el reto) nuevamente.

Consulte la insignia Trailhead en su idioma para obtener más información sobre cómo aprovechar la experiencia de Trailhead en otros idiomas.

Gestionar permisos de objetos

La manera más sencilla de controlar el acceso a los datos es mediante la configuración de permisos para un tipo de objeto determinado. (Un objeto es una colección de registros como, por ejemplo, prospectos o contactos.) Es posible controlar si los usuarios pueden crear, leer, modificar o eliminar registros de un objeto.

Se recomienda establecer permisos de objeto con conjuntos de permisos y grupos de conjuntos de permisos, pero también es posible configurar los permisos de objeto en los perfiles. ¿Cuál es la diferencia entre estas funciones?

• Conjuntos de permisos: se utilizan para asignar permisos de usuario, objeto y campo a los usuarios. Se recomienda organizar los conjuntos de permisos con todos los permisos necesarios para una tarea finita, como el trabajo con prospectos. Se pueden asignar varios conjuntos de permisos a los usuarios.
  
• Grupos de conjuntos de permisos: se utilizan para agrupar varios conjuntos de permisos y simplificar la gestión. Piense en los grupos de conjuntos de permisos como un “perfil” dentro de la organización, por ejemplo, un representante de ventas. Los usuarios que se asignan al grupo de conjuntos de permisos reciben todos los permisos incluidos en los conjuntos de permisos. Se pueden asignar varios grupos de conjuntos de permisos a los usuarios. Además, los conjuntos de permisos se pueden reutilizar en diversos grupos de conjuntos de permisos, lo que facilita la gestión del acceso.
  
• Perfiles: se utilizan para configurar los ajustes predeterminados de los usuarios, como las aplicaciones asignadas, los tipos de registros y los formatos de página. Se asigna un perfil a cada usuario.
  

Para obtener más información, consulte Directrices para la creación de conjuntos de permisos y grupos de conjuntos de permisos en la Ayuda de Salesforce. Como se puede ver, estas funciones proporcionan mucha flexibilidad para especificar el acceso a nivel de objeto. En esta unidad, se explica cómo configurar estas funciones en una aplicación de contratación para garantizar que los usuarios tengan el acceso correcto s los objetos.

Permisos de objetos para la aplicación de Contratación

Exploremos la forma de configurar el acceso de nivel de objeto en la aplicación de contratación. La aplicación tiene cuatro tipos principales de usuarios: gestores de contratación, contratadores, entrevistadores y empleados estándar. ¿Qué acceso a los objetos necesita cada tipo de usuario?

Gerentes de contratación

Ben, un gerente de contratación, debe tener acceso a los registros de contratación relacionados con las posiciones vacantes, pero no debe tener acceso a otros registros de contratación (a menos que sean propiedad de otros gerentes de contratación subordinados a Ben). Además, existen algunos campos confidenciales que no necesita ver, como el campo de número de seguridad social. Considere los permisos que necesita Ben para cada uno de los objetos personalizados clave en la aplicación.

• Posición: Ben debe poder publicar nuevas posiciones, así como actualizar y ver todos los campos de las posiciones en las que es el gerente de contratación, pero solo debe poder ver las posiciones de otros gerentes.
  
• Prospecto: Ben solo debe poder ver los prospectos que se postularon a una posición en la que es el gerente de contratación. Además, como Ben no tiene motivos para ver el número de la seguridad social de un prospecto, este campo debe ser restringido en su vista.
  
• Solicitud de empleo: Ben necesita poder actualizar el estado de las solicitudes de empleo para especificar qué prospectos se deben seleccionar o rechazar. Sin embargo, no debe poder cambiar el prospecto indicado en la solicitud de empleo, ni la posición para la que se postula el prospecto. Para eso, es necesario encontrar una forma de evitar que Ben actualice los campos de búsqueda en las solicitudes de empleo.
  
• Revisión: para tomar una decisión acerca de los prospectos que se postulan, Ben necesita ver las revisiones publicadas por los entrevistadores, así como realizar comentarios acerca de ellos si cree que el entrevistador estuvo demasiado parcial en su revisión. Asimismo, Ben necesita poder crear revisiones de modo que pueda recordar sus propias impresiones de los prospectos que entrevista.
  

Contratadores

Mario, un contratador, necesita poder crear, ver y modificar cualquier posición, prospecto, solicitud de empleo o revisión que se encuentre en el sistema. También necesita ver y modificar los registros de contratación de todos los contratadores de los que es responsable, ya que estos trabajan en conjunto para encontrar un candidato para cada posición, independientemente de quién la haya creado.

Es necesario garantizar que un contratador nunca pueda eliminar por accidente un registro con información sobre un prospecto. ya que las leyes estatales y federales de EE.UU. exigen que los registros de contratación se conserven durante un número de años determinado con el fin de poder defender ante un tribunal las decisiones de contratación en caso de que se vean cuestionadas.

Entrevistadores

Melissa es ingeniero y realiza entrevistas a candidatos para puestos de elevado nivel técnico. Debe poder ver solo los prospectos y las solicitudes de empleo en los que se la asignó como entrevistadora. Además, no debe poder ver los valores de bonificación mínima y máxima de ninguna posición ni el número de la seguridad social de ningún prospecto, ya que esa es información confidencial que no tiene nada que ver con su trabajo.

Empleados estándar

Los empleados, como Harry, son generalmente los mejores recursos para realizar nuevas contrataciones, incluso si no son entrevistadores o gerentes de contratación activos. Por este motivo, es necesario garantizar que esos empleados puedan ver las posiciones vacantes, pero que no puedan ver los valores de los campos de bonificación mínima y máxima de las posiciones. Harry tampoco debe poder ver otros registros en la aplicación de contratación.

A continuación se detallan los permisos necesarios para cada uno de los cuatro tipos de usuarios.

* Solo para los registros asociados con posiciones que se asignaron al gerente de contratación o al entrevistador.

** Solo para los registros que son propiedad del entrevistador.

En el resto de este módulo, obtendrá información acerca de cómo puede utilizar la plataforma para implementar estos requisitos en la aplicación de contratación. Para eso, es necesario configurar controles de seguridad en los tres niveles: objetos, campos y registros.

Configurar perfiles

Como aprendió anteriormente, cada usuario tiene un solo perfil asociado con una licencia de usuario. La plataforma incluye un conjunto de perfiles estándar con parámetros predefinidos. Algunos ejemplos:

• Usuario estándar
  
• Usuario de marketing
  
• Administrador del contrato
  
• Administrador del sistema
  
• Acceso mínimo - Salesforce
  

Cada perfil estándar incluye un conjunto de permisos predeterminado para los objetos estándar disponibles en la plataforma. Por ejemplo, un usuario estándar puede crear y modificar registros mientras que un usuario de Acceso mínimo - Salesforce puede ver registros, pero no crearlos o modificarlos. El perfil Administrador del sistema tiene el acceso más amplio a los datos y la mejor capacidad para configurar y personalizar Salesforce. Específicamente, el perfil Administrador del sistema incluye dos permisos especiales: Ver todos los datos y Modificar todos los datos. Estos permisos sustituyen todas las demás configuraciones de colaboración, por lo que tenga cuidado al utilizarlos en cualquier perfil que no sea Administrador del sistema.

Es probable que el acceso de algunos perfiles estándar sea de nivel superior al que los usuarios necesitan, especialmente si se sigue la mejor práctica de seguridad de usar conjuntos de permisos y grupos de conjuntos de permisos para configurar el acceso. Asegúrese de revisar qué permisos y parámetros contiene cada perfil antes de asignarlo a los usuarios.

No podrá modificar los permisos de objetos de perfiles estándar. Sin embargo, podrá duplicar cualquier perfil existente y utilizar ese como la base de un nuevo perfil, luego de ajustar la configuración según sea necesario. Siempre que sea posible, se recomienda utilizar el perfil Acceso mínimo Salesforce (o un duplicado de este) y, a continuación, usar conjuntos de permisos y grupos de conjuntos de permisos para otorgar a los usuarios solo los permisos que necesiten. Por ejemplo, en la aplicación de contratación, puede asignar a los contratadores, entrevistadores y gerentes de contratación el perfil Acceso mínimo - Salesforce, independientemente de las diferentes funciones de trabajo. Este perfil concede habilidades y permisos muy limitados en Salesforce Platform, pero permite otorgar acceso adicional a través de los conjuntos de permisos y los grupos de conjuntos de permisos.

Se recomienda configurar estas funciones en los perfiles.

• Aplicaciones y tipos de registros predeterminados
  
• Intervalos de IP
  
• Horas de inicio de sesión
  
• Asignación de formatos de página
  

Crear y asignar un perfil

La forma más sencilla de crear un perfil es duplicar un perfil existente similar al que desea crear y luego modificarlo. Por ejemplo, desea utilizar una versión ligeramente modificada del perfil Acceso mínimo - Salesforce con otras aplicaciones predeterminadas visibles.

Salesforce dispone de una interfaz de usuario de perfiles mejorada que facilita la búsqueda y la modificación de la configuración de perfiles. Eso es lo que utilizará para este ejercicio.

[Texto alternativo: Una lista de perfiles de usuario donde se indica: En los perfiles personalizados, puede modificar cualquier atributo. En los perfiles estándar, debe aceptar la configuración de permisos tal como se muestra].

1. En Setup (Configuración), en el cuadro Quick Find (Búsqueda rápida), busque y seleccione User Management Settings (Configuración de gestión de usuarios).
   
2. Habilite Interfaz de usuario de perfil mejorado.
   
3. En Setup (Configuración), en el cuadro Quick Find (Búsqueda rápida), busque y seleccione Profiles (Perfiles).
   
4. Haga clic en Duplicar junto a un perfil similar al que desea crear.
   
5. Asigne un nombre al nuevo perfil y haga clic en Save (Guardar).
   
6. Modifique los ajustes predeterminados del perfil según sea necesario y haga clic en Save (Guardar).
   
7. En Setup (Configuración), en el cuadro Quick Find (Búsqueda rápida), busque y seleccione Users (Usuarios).
   
8. Haga clic en Modificar junto al usuario al que desea asignar el perfil.
   
9. En el menú desplegable Perfil, seleccione el perfil que acaba de configurar.
   
10. Haga clic en Save (Guardar).
    

Utilizar conjuntos de permisos y grupos de conjuntos de permisos para otorgar acceso

Anteriormente, aprendió que los conjuntos de permisos y los grupos de conjuntos de permisos son el método preferido para gestionar los permisos y el acceso de los usuarios. Ahora veamos detenidamente el motivo de eso.

Un conjunto de permisos es una recopilación de configuraciones y permisos que ofrece a los usuarios acceso a varias herramientas y funciones. Los grupos de conjuntos de permisos son lo que parecen: grupos con conjuntos de permisos. Debido a su flexibilidad y capacidad de reutilización, los conjuntos de permisos facilitan la concesión de acceso a distintos objetos y aplicaciones de una organización (así como la cancelación del acceso si este deja de ser necesario). Al poder reutilizar los componentes fundamentales de conjuntos de permisos más pequeños, puede evitar crear docenas o incluso cientos de perfiles para cada usuario y puesto de trabajo.

Cree conjuntos de permisos donde se incluyan todos los permisos necesarios para un trabajo o una tarea. Luego, combine estos conjuntos de permisos con los grupos de conjuntos de permisos correspondientes a los perfiles de usuario. Si diversos perfiles realizan algunas de las mismas tareas, puede reutilizar esos conjuntos de permisos en grupos de conjuntos de permisos diferentes.

Por ejemplo, supongamos que tanto los representantes de ventas como los especialistas en marketing deben eliminar y transferir prospectos. Puede crear un conjunto de permisos basado en la gestión de prospectos. Luego, puede incluir el conjunto de permisos dentro de los grupos de conjuntos de permisos “Representantes de ventas” y “Especialistas en marketing” según los roles de los usuarios. Para otorgar permisos adicionales relacionados únicamente con Ventas o Marketing, puede crear conjuntos de permisos para incluir en sus respectivos grupos de conjuntos de permisos.

Configure estos permisos y funciones en los conjuntos de permisos.

• Clases de Apex
  
• Acceso a aplicaciones conectadas
  
• Permisos personalizados
  
• Permisos de campo
  
• Permisos de objeto
  
• Permisos de usuario (permisos de aplicaciones y sistema)
  
• Configuración de fichas
  
• Páginas de Visualforce
  

Para borrar un permiso, debe eliminarlo del perfil base del usuario y de los conjuntos de permisos que tenga configurado el usuario. O bien, si se asignó un grupo de conjuntos de permisos al usuario, puede utilizar una interrupción de conjuntos de permisos para silenciar los permisos seleccionados. Para obtener más información, consulte Interrupción de conjuntos de permisos en Ayuda de Salesforce.

Conjuntos de permisos y grupos de conjuntos de permisos en la aplicación de contratación

Ahora que conoce los conjuntos de permisos y los grupos de conjuntos de permisos, piense en cómo configurar el acceso a nivel de objeto para la aplicación de contratación de ejemplo. La aplicación tiene cuatro tipos principales de usuarios: contratadores, gestores de contratación, entrevistadores y empleados estándar.

Contratadores

Representan una función de trabajo claramente definida, por lo que es razonable crear un grupo de conjuntos de permisos con este nombre. Para el acceso a los datos de contratación (revisiones, prospectos, posiciones y solicitudes de empleo), puede crear conjuntos de permisos separados que se relacionen con las tareas de cada uno de estos objetos.

Gerentes de contratación

Es posible que un gerente de contratación de Ventas necesite acceso a distintos tipos de datos que un gerente de contratación de Ingeniería. Sin embargo, todos los gerentes de contratación siguen necesitando el mismo tipo de acceso a los datos de contratación a través de los permisos de objeto. Por este motivo, se recomienda crear un grupo de conjuntos de permisos llamado Gerente de contratación que se pueda asignar a varios tipos de usuarios. Más delante, nos ocuparemos de las restricciones más específicas, como la seguridad a nivel de campo y el acceso a registros.

Entrevistadores

Las entrevistas las pueden realizar empleados de cualquier departamento y con cualquier función. Por lo tanto, estos empleados necesitan acceso solo a la información de contratación durante un periodo limitado. La definición de un grupo de conjuntos de permisos para los entrevistadores es razonable a fin de poder asignar y quitar usuarios según sea necesario.

Para las revisiones, los contratadores, gerentes de contratación y entrevistadores necesitan permisos de lectura, creación y modificación en el objeto de revisión. Para reducir esfuerzos, puede reutilizar el mismo conjunto de permisos en todos los grupos de conjuntos de permisos de estas funciones de trabajo.

Empleados estándar

Recuerde que los empleados no involucrados en la contratación deben poder ver igualmente las posiciones. Como este es un requisito para toda la compañía, considere crear un conjunto de permisos de referencia para otorgar un acceso de lectura más limitado a las posiciones. Luego, incluya este conjunto de permisos en grupos de conjuntos de permisos específicos de cada perfil a fin de que todos los usuarios reciban este acceso de alguna manera.

Con todos estos escenarios de permisos en mente, la mejor forma de configurar permisos de objeto para la aplicación de contratación es la siguiente:

• Crear tres grupos de conjuntos de permisos: Contratadores, Gerentes de contratación y Entrevistadores
  
• Crear conjuntos de permisos relacionados con el trabajo con revisiones, prospectos, posiciones y solicitudes de empleo. Reutilizar los conjuntos de permisos en grupos de conjuntos de permisos cuando sea posible, pero asegurarse de no conceder demasiados permisos a los usuarios.
  

Crear un conjunto de permisos

Cree un conjunto de permisos para controlar el acceso al objeto de revisión en la aplicación de contratación.

1. En Setup (Configuración), en el cuadro Quick Find (Búsqueda rápida), busque y seleccione Permission Sets (Conjuntos de permisos).
   
2. Haga clic en New (Nuevo).
   
3. Ingrese la etiqueta y la descripción del conjunto de permisos. Asigne el nombre Access and Manage Reviews (Acceder y gestionar revisiones).
   
4. De manera opcional, puede elegir asignar este conjunto de permisos solo a usuarios con licencias específicas. Seleccione –None– (Ninguna).
   
5. Haga clic en Save (Guardar).
   
6. Para agregar permisos de objeto, en el cuadro Find Settings (Configuración de búsqueda), busque y seleccione Reviews (Revisiones).
   
7. Haga clic en Edit (Modificar).
   
8. Habilite los permisos Read (Leer), Create (Crear) y Edit (Modificar).
   
9. Haga clic en Save (Guardar).
   

Puede asignar conjuntos de permisos directamente a los usuarios. Sin embargo, en lugar de eso, cree un grupo de conjuntos de permisos primero e incluya este conjunto de permisos.

Crear un grupo de conjuntos de permisos

En su aplicación de contratación, determinó que los tres grupos de conjuntos de permisos basados en perfiles contienen los mismos permisos de objeto para las revisiones. Cree el grupo de conjuntos de permisos para Contratadores.

1. En Setup (Configuración), en el cuadro Quick Find (Búsqueda rápida), busque y seleccione Permission Set Groups (Grupos de conjuntos de permisos).
   
2. Haga clic en Nuevo grupo de conjuntos de permisos.
   
3. Ingrese la descripción y la etiqueta del grupo de conjuntos de permisos (en este caso, Recruiters [Contratadores]).
   
4. Haga clic en Save (Guardar).
   
5. Haga clic en el grupo de conjuntos de permisos Recruiting (Contratación) recién creado y haga clic en Permission Sets in Group (Conjuntos de permisos en el grupo).
   
6. Haga clic en Add Permission Set (Agregar conjunto de permisos) y seleccione la casilla de verificación para el conjunto de permisos Access and Manage Reviews (Acceder y gestionar revisiones).
   
7. Haga clic en Add (Agregar) y, a continuación, en Done (Listo).
   

El grupo de conjuntos de permisos Contratadores quedó configurado y otorga acceso a las revisiones. El paso final es asignarlo a los usuarios.

1. En la página de visión general del grupo de conjuntos de permisos Access and Manage (Acceder y gestionar), haga clic en Manage Assignments (Gestionar asignaciones) y, a continuación, en Add Assignment (Agregar asignación).
   
2. Seleccione los usuarios que desea asignar al grupo y, a continuación, haga clic en Next (Siguiente).
   
3. De manera opcional, puede seleccionar una fecha de caducidad en la que expire la asignación del usuario. Esta opción puede ser útil si desea asignar el grupo de conjuntos de permisos a los usuarios de manera temporal.
   
4. Haga clic en Assign (Asignar).
   

Revisar el acceso mediante resúmenes

Mientras configura el acceso para todos los objetos, es posible que descubra que esto implica demasiado seguimiento. ¿Qué conjuntos de permisos otorgan acceso a las cuentas? ¿Juan Pérez tiene la habilidad de eliminar prospectos? Para revisar y gestionar los permisos, puede utilizar los resúmenes de Salesforce sobre el acceso a objetos, el acceso de usuario, los conjuntos de permisos y los grupos de conjuntos de permisos.

Por ejemplo, en el Gestor de objetos, puede ver información sobre los conjuntos de permisos, los grupos de conjuntos de permisos y los perfiles que conceden acceso a un objeto, así como el nivel de acceso otorgado.

1. Desde Setup (Configuración), vaya a Object Manager (Gestor de objetos).
   
2. Seleccione un objeto que admita permisos de objeto.
   
3. En la barra lateral, haga clic en Object Access (Acceso a objetos).
   

También puede ver todos los permisos de objeto, campo y usuario que se asignaron a un usuario y la forma en que se otorgó el acceso.

1. En Setup (Configuración), en el cuadro Quick Find (Búsqueda rápida), busque y seleccione Users (Usuarios).
   
2. Seleccione un usuario.
   
3. Haga clic en View Summary (Ver resumen).
   

Por último, puede ver fácilmente todos los permisos incluidos en un conjunto de permisos o un grupo de conjuntos de permisos desde sus páginas de resumen.

1. En Setup (Configuración), en el cuadro Quick Find (Búsqueda rápida), busque y seleccione Permission Sets (Conjuntos de permisos). O bien, en el cuadro Quick Find (Búsqueda rápida), busque y seleccione Permission Set Groups (Grupos de conjuntos de permisos).
   
2. Seleccione un conjunto de permisos o un grupo de conjuntos de permisos.
   
3. Haga clic en View Summary (Ver resumen).
   

¡Bien hecho! Al asignar permisos de objeto, dio el primer paso hacia la gestión del acceso a los datos. En las próximas unidades, configurará restricciones sobre los campos y los registros para ajustar este acceso a los datos.

Recursos

• Ayuda de Salesforce: Gestionar usuarios y acceso a los datos
• Ayuda de Salesforce: Permisos de objeto
• Ayuda de Salesforce: Configurar los valores predeterminados en los perfiles
• Ayuda de Salesforce: Configurar los permisos y el acceso en los conjuntos de permisos
• Ayuda de Salesforce: Grupos de conjuntos de permisos
• Ayuda de Salesforce: Ver el acceso a objetos en el Gestor de objetos
• Ayuda de Salesforce: Ver el resumen de acceso de un usuario
• Ayuda de Salesforce: Ver los permisos habilitados en un conjunto de permisos o un grupo de conjuntos de permisos