Controlar el acceso a los registros

Objetivos de aprendizaje

Después de completar esta unidad, podrá:

• Enumerar las cuatro maneras que existen de controlar el acceso a los registros.
  
• Describir situaciones en las que se debe usar cada uno de los cuatro controles de seguridad de nivel de registro.
  
• Explicar cómo interactúan los diferentes controles de registro entre sí.
  
• Establecer valores predeterminados de toda la organización para controlar el acceso a los registros.
  

Nota

¿Es su idioma de aprendizaje español (LATAM)? Comience el reto en un Trailhead Playground en español (LATAM) y copie y pegue los valores en español (LATAM). Si no aprueba el reto en su organización en español (LATAM), recomendamos que (1) cambie la configuración local a Estados Unidos, (2) cambie el idioma a inglés (según estas instrucciones) y, luego, (3) haga clic en el botón “Check Challenge” (Comprobar el reto) nuevamente.

Consulte la insignia Trailhead en su idioma para obtener más información sobre cómo aprovechar la experiencia de Trailhead en otros idiomas.

Seguridad a nivel de registro

Con el fin de controlar el acceso a los datos de forma precisa, puede permitir a determinados usuarios la visualización de campos específicos en objetos determinados y, sin embargo, restringir los registros individuales que están autorizados a ver.

El acceso de registros determina qué registros individuales pueden ver y modificar los usuarios en cada objeto al que tienen acceso en su perfil. En primer lugar, debe plantearse las preguntas siguientes:

• ¿Sus usuarios deben tener un acceso abierto a cada registro o solo un subconjunto?
  
• En el caso de subconjuntos, ¿qué reglas deben determinar si los usuarios pueden acceder a ellos?
  

En la aplicación de contratación de ejemplo, supongamos que crea un nuevo perfil denominado Contratador para otorgar permisos de nivel de objeto a los contratadores cuando lo necesiten. Imaginemos que restringe la capacidad para eliminar objetos de contratación. Por lo tanto, los contratadores no podrán eliminar estos objetos. Sin embargo, conceder a los contratadores permisos para crear, leer o modificar objetos de contratación no implica necesariamente que los contratadores puedan leer o modificar todos los registros del objeto de contratación. Esto se debe a dos conceptos importantes:

• Los permisos de un registro siempre se evalúan según una combinación de permisos de nivel de objeto, nivel de campo y nivel de registro.
  
• Cuando los permisos de nivel de objeto entran en conflicto con los permisos de nivel de registro, siempre prevalecen los permisos más restrictivos.
  

Esto quiere decir que pese a conceder a un perfil permisos de creación, lectura y modificación de los objetos de contratación, si los permisos de nivel de registro de los objetos de contratación de un registro individual son más restrictivos, esas serán las reglas que definan los elementos a los que tendría acceso el contratador. Sin embargo, como verá, los permisos de nivel de registro ofrecen capas de acceso cada vez mayor, por lo que es importante saber qué permisos de nivel de registro se observan para entender el nivel de acceso que tiene el usuario.

El acceso de nivel de registro se controla de cuatro maneras distintas. Estas se muestran por orden de acceso ascendente. Los valores predeterminados de la organización permiten bloquear sus datos con el nivel más restrictivo y usar el resto de herramientas de seguridad de nivel de registro para conceder un acceso selectivo a los usuarios según sea necesario.

• Los valores predeterminados de toda la organización especifican el nivel predeterminado de acceso que tienen los usuarios a los registros de otros usuarios.
  
• Las jerarquías de funciones garantizan que los gerentes tengan acceso a los mismos registros que sus subordinados. Cada función de la jerarquía de funciones representa un nivel de acceso a los datos que necesita un usuario o un grupo de usuarios.
  
• Las reglas de colaboración son excepciones automáticas de la configuración predeterminada de toda la organización para grupos de usuarios determinados para que puedan acceder a los registros que no poseen y que no pueden ver normalmente.
  
• La colaboración manual permite a los propietarios de los registros conceder permisos de lectura y modificación a los usuarios que no tienen acceso al registro de ningún otro modo.
  

La visibilidad y el acceso para cualquier tipo de datos se determinan por la interacción de los controles de seguridad anteriores basándose en estos principios clave.

• Los permisos de base de los usuarios sobre los objetos dependen de sus perfiles.
  
• Si el usuario tiene cualquier conjunto de permisos asignado, también se establecen los permisos básicos en combinación con el perfil.
  
• El acceso a registros que sean propiedad de un usuario se establece en primer lugar en los valores predeterminados para toda la organización.
  
• Si los valores predeterminados para toda la organización son inferiores a Lectura/escritura pública, podrá facilitar el acceso a determinadas funciones mediante la jerarquía de funciones.
  
• También puede usar las reglas de colaboración para ampliar el acceso a grupos de usuarios adicionales.
  
• Cada propietario de registros puede compartir de manera individual registros con otros usuarios gracias al botón Compartir del registro.
  

Ya vio cómo configurar el acceso a nivel de objeto y a nivel de campo utilizando conjuntos de permisos y perfiles. Ahora analizaremos los detalles de los distintos controles de seguridad de nivel de registro existentes.

Colaboración en toda la organización

Los valores predeterminados para toda la organización especifican el nivel de línea de base de acceso que deben tener los usuarios con mayor restricción. Use los valores predeterminados de toda la organización para bloquear sus datos. Use la seguridad de los demás niveles de registro y las otras herramientas de colaboración (jerarquía de funciones, reglas de colaboración y colaboración manual) para proporcionar acceso a los usuarios que lo necesiten.

Los permisos de objeto determinan el nivel de acceso de línea de base a todos los registros de un objeto. Los valores predeterminados de toda la organización modifican estos permisos en el caso de registros que no son propiedad de un usuario. Los valores predeterminados de toda la organización se pueden configurar de manera independiente para cada tipo de objeto.

Los valores predeterminados de toda la organización nunca deben conceder a los usuarios más acceso que el que les corresponde según sus permisos de objetos.

Para determinar los valores predeterminados de toda la organización que necesita para su aplicación, debe plantearse las siguientes preguntas para cada objeto:

1. ¿Quién es el usuario más restringido de este objeto?
   
2. ¿Existe alguno que se convierta en una instancia de este objeto que este usuario no puede ver?
   
3. ¿Existe alguno que se convierta en una instancia de este objeto que este usuario no puede modificar?
   

Dependiendo de las respuestas, podrá establecer el modelo de colaboración de dicho objeto con uno de los valores que se describe a continuación.

Privado 

Sólo el propietario del registro y los usuarios que se encuentren por encima de esa función en la jerarquía podrán visualizar, modificar e informar sobre esos registros.

Sólo lectura pública

Todos los usuarios pueden ver y crear reportes de los registros; sin embargo, solo el propietario y los usuarios por encima de su función en la jerarquía podrán modificarlos.

Lectura/escritura pública

Todos los usuarios pueden visualizar, modificar e informar sobre los registros.

Controlado por principal 

Un usuario puede ver, modificar o eliminar un registro si puede realizar la misma acción en el objeto al que pertenece dicho registro.

Cuando el valor de colaboración de toda la organización para un objeto esté definido como Privada o Sólo lectura pública, el administrador podrá otorgar a usuarios acceso adicional a registros configurando una jerarquía de funciones o definiendo reglas de colaboración. Las reglas de colaboración solo pueden usarse para conceder acceso adicional. Estas reglas no pueden usarse para restringir el acceso a registros más allá de lo especificado originalmente con los valores predeterminados de colaboración de toda la organización.

Como ejemplo, vayamos a responder la lista de preguntas siguiente para el objeto Puesto en la aplicación Contratación.

¿Quién es el usuario más restringido de este objeto?

Un miembro del perfil Empleado estándar. Lo único que pueden hacer es visualizar un puesto.

¿Existe alguno que se convierta en una instancia de este objeto que este usuario no puede ver?

No. Aunque los valores de los campos de valores de salario mínimo y máximo están ocultos para los empleados estándar, podrán ver todos los registros de posiciones.

¿Existe alguno que se convierta en una instancia de este objeto que este usuario no puede modificar?

Sí. Los empleados estándar no tienen permiso para modificar ningún registro de puesto.

Puesto que respondimos "Sí" a la tercera pregunta, el modelo de colaboración del objeto Posición debe configurarse con el valor Sólo lectura pública. Repita el mismo ejercicio con los demás objetos de contratación para determinar los valores predeterminados de toda la organización adecuados para ellos. El perfil Empleado estándar es el usuario más restringido para cada objeto y serán candidato, solicitudes de empleo y registros de revisión los que no podrán ver estos empleados concretos. En consecuencia, debe establecer el modelo de colaboración para los objetos Candidato, Solicitud de empleo y Revisión como Privado.

No es posible establecer valores predeterminados de toda la organización para el objeto Revisión, ya que este objeto pertenece a los detalles de una relación principal-detalle y, por lo tanto, hereda los parámetros de colaboración del elemento principal. En su aplicación, el objeto Revisión se establece automáticamente como Privado.

Configurar sus valores predeterminados de colaboración de toda la organización

Use valores predeterminados para toda la organización para especificar el nivel de línea de base de acceso que deben tener los usuarios con mayor restricción.

1. En Configuración, use el cuadro Búsqueda rápida para buscar Configuración de colaboración.
   
2. Haga clic en Modificar en el área de la configuración predeterminada de la organización. Tenga en cuenta que algunos objetos estándar utilizan opciones predeterminadas para toda la organización diferentes. Las opciones predeterminadas para toda la organización de un objeto personalizado incluyen Privada, Solo lectura pública o Lectura/escritura pública.
   
3. Para cada objeto, seleccione el acceso interno predeterminado y el acceso externo predeterminado.
   
4. Para desactivar el acceso automático mediante sus jerarquías, cancele la selección de Otorgar acceso con jerarquías para cualquier objeto personalizado que no tenga un acceso predeterminado Controlado por principal.
   

De forma predeterminada, la jerarquía de funciones otorga automáticamente acceso a los registros a los usuarios por encima del propietario del registro en la jerarquía. Establecer un objeto como Privado hace que esos registros sean visibles solo para los propietarios de los registros y los que se encuentren por encima de ellos en la jerarquía de funciones. Utilice la casilla de verificación Otorgar acceso con jerarquías para desactivar el acceso a registros de los usuarios que se encuentran por encima del propietario del registro en la jerarquía de objetos personalizados. Si anula la selección de esta casilla de verificación situada junto a un objeto personalizado, solo el propietario del registro y los usuarios a los que la configuración predeterminada de la organización ha concedido acceso reciben acceso a los registros.

Incluso cuando Otorgar acceso con jerarquías esté desactivada, determinados usuarios como, por ejemplo, aquellos con los permisos de objeto “Ver todos” y “Modificar todos” y los permisos del sistema “Ver todos los datos” y “Modificar todos los datos”, seguirán teniendo acceso a los registros de los que no son propietarios.

Al actualizar los valores predeterminados de toda la organización hace que se vuelva a calcular automáticamente la colaboración para aplicar los cambios de acceso a los registros. Recibe un email de notificación una vez finalizado el nuevo cálculo y podrá actualizar la página Configuración de colaboración para ver sus cambios. Para ver el estado de la actualización, en Configuración, en el cuadro Búsqueda rápida, ingrese Ver seguimiento de auditoría de configuración y seleccione Ver seguimiento de auditoría de configuración.

Una vez bloqueados los datos con los valores predeterminados de toda la organización, es posible que la configuración resultante sea demasiado restrictiva para algunos usuarios. Use el resto de controles de seguridad de nivel de registro (jerarquías de funciones, reglas de colaboración y colaboración manual) para conceder acceso a los registros de manera selectiva a los empleados que lo necesiten.

Más información...

La colaboración gestionada por Apex permite a los desarrolladores compartir registros asociados con objetos personalizados de forma programática. Cuando use la colaboración gestionada por Apex con cualquier objeto personalizado, solo los usuarios con el permiso “Modificar todos los datos” podrán agregar o cambiar la colaboración de los registros del objeto personalizado, y el acceso de colaboración se mantendrá idéntico incluso si se modifica el propietario del registro. Para obtener más información, consulte Colaboración de Apex.

Recursos

• Configuración de colaboración
  
• Sharing Considerations
  
• Valores predeterminados de colaboración para toda la organización
  
• Guía de implementación de la seguridad