Contrôle de l'accès aux objets

Objectifs de formation

Une fois cette unité terminée, vous pourrez :

• Expliquer la différence entre les profils, les ensembles d’autorisations et les groupes d’ensembles d’autorisations
  
• Modifier l’accès aux objets
  
• Cloner et associer un profil
  
• Créer et associer des ensembles d’autorisations
  
• Créer et associer des groupes d’ensembles d’autorisations
  

Remarque

Vous souhaitez apprendre en français ? Commencez le défi dans un Trailhead Playground en français et utilisez les traductions fournies entre crochets pour naviguer. Copiez et collez uniquement les valeurs en anglais, car les validations de défi reposent sur les données en anglais. Si vous ne réussissez pas le défi dans votre organisation en français, nous vous recommandons (1) de définir le paramètre régional sur les États-Unis, (2) de définir la langue sur l’anglais en suivant les instructions ici, puis (3) de cliquer à nouveau sur le bouton « Vérifier le défi ».

Consultez le badge Trailhead dans votre langue pour découvrir comment profiter de l’expérience Trailhead traduite.

Gestion des autorisations d'objet

Pour contrôler l'accès aux données, le plus simple est de définir des ensembles d'autorisations dans un type d'objet particulier (un objet est une collection d'enregistrements, par exemple des pistes ou des contacts). Vous pouvez contrôler si les utilisateurs peuvent créer, lire, modifier ou supprimer les enregistrements de cet objet.

Nous vous conseillons de définir les autorisations sur les objets avec des ensembles d’autorisations et des groupes d’ensembles d’autorisations, bien qu’il soit également possible de configurer les autorisations sur les objets dans les profils. Quelle est la différence entre ces fonctionnalités ?

• Ensembles d’autorisations : permet d’associer aux utilisateurs des autorisations relatives aux objets et aux champs, et des autorisations utilisateur. Nous vous recommandons d’organiser vos ensembles d’autorisations en incluant toutes les autorisations requises pour une tâche précise, telle que travailler avec des prospects. Les utilisateurs peuvent se voir attribuer plusieurs ensembles d’autorisations.
  
• Groupes d’ensembles d’autorisations : utilisés pour regrouper plusieurs ensembles d’autorisations afin d’en faciliter la gestion. Les groupes d’ensembles d’autorisations représentent un profil d’utilisateurs dans votre organisation, comme un représentant commercial, par exemple. Les utilisateurs associés à ce groupe d’ensembles d’autorisations reçoivent toutes les autorisations des ensembles d’autorisations inclus. Un utilisateur peut se voir attribuer plusieurs groupes d’ensembles d’autorisations. Les ensembles d’autorisations peuvent être réutilisés dans différents groupes d’ensembles d’autorisations, ce qui facilite la gestion des accès.
  
• Profils : utilisés pour configurer les paramètres par défaut de l’utilisateur, tels que les applications associées, les types d’enregistrements ou les mises en page. Un seul profil est associé à un utilisateur.
  

Pour plus d’informations, consultez la rubrique Consignes pour la création d’ensembles d’autorisations et de groupes d’ensembles d’autorisations dans l’aide Salesforce. Comme vous pouvez le constater, ces fonctionnalités offrent une grande souplesse pour définir l’accès au niveau de l’objet. Découvrez dans cette unité comment configurer ces fonctionnalités pour votre application de recrutement afin de vous assurer que vos utilisateurs bénéficient des bons accès aux objets.

Autorisations d'objet pour l'application de recrutement

Découvrons comment configurer l’accès au niveau de l’objet dans l’application de recrutement. L'application comprend quatre types principaux d'utilisateurs : les responsables du recrutement, les recruteurs, les intervieweurs et les employés standard. De quel accès aux objets chaque type d’utilisateur a-t-il besoin ?

Responsables du recrutement

Ben, un responsable du recrutement, doit pouvoir accéder aux enregistrements de recrutement associés à ses postes ouverts, mais il ne doit pas avoir accès aux autres enregistrements de recrutement (sauf s’ils appartiennent à d’autres responsables du recrutement qui sont ses subordonnés). Il existe également quelques champs confidentiels auxquels il ne doit pas avoir accès, notamment le champ de numéro de sécurité sociale. Examinons les autorisations dont Ben a besoin pour accéder à chacun des objets personnalisés clés dans l’application.

• Position : Ben doit pouvoir publier de nouveaux postes, de même que mettre à jour et afficher tous les champs des postes pour lesquels il est le responsable du recrutement, mais ne doit avoir qu’un accès en lecture seule aux postes des autres responsables.
  
• Candidat : Ben doit avoir accès uniquement aux candidats qui postulent pour une offre dont il est le responsable du recrutement. En outre, Ben n’a pas accès au champ de numéro de sécurité sociale d’un candidat, car il n’a pas besoin de cette information.
  
• Candidature : Ben doit pouvoir mettre à jour le statut des candidatures afin de préciser quels candidats sont sélectionnés ou refusés. Cependant, il ne doit pas pouvoir modifier le candidat répertorié dans la candidature, ni le poste que le candidat convoite. Vous devez donc définir un moyen d’empêcher Ben de mettre à jour les champs de référence dans les candidatures.
  
• Révision du concept de pour prendre une décision concernant les candidats qui postulent, Ben doit pouvoir consulter les appréciations publiées par les intervieweurs et publier des commentaires s’il ne partage pas leur avis. De la même façon, Ben doit pouvoir créer des appréciations afin de mémoriser ses propres impressions sur les candidats qu'il interroge.
  

Recruteurs

Mario, un recruteur, doit pouvoir créer, afficher et modifier les postes, les candidats, les candidatures ou les appréciations contenus dans le système. Il doit également afficher et modifier les enregistrements de recrutement appartenant à tous les autres recruteurs, car tous les recruteurs collaborent pour pourvoir chaque poste, quel qu'en soit le créateur.

Vous devez vous assurer qu’un recruteur ne peut pas supprimer accidentellement un enregistrement contenant des informations sur un candidat. En effet, la loi exige de sauvegarder pendant plusieurs années les données relatives à un recrutement, pour qu'elles puissent être retenues ou servir de preuve devant les tribunaux en cas de contestation d'une décision de recrutement.

Intervieweurs

Melissa est une ingénieure qui interviewe les candidats à des postes très techniques. Elle doit pouvoir afficher uniquement les candidatures et les candidats pour lesquels elle est désignée en tant qu’intervieweuse. De plus, elle ne doit pas avoir accès aux valeurs de prime minimale et maximale des postes ou au numéro de sécurité sociale des candidats, car ces informations sont confidentielles et inutiles dans le cadre de sa mission.

Employés standard

Les employés, par exemple Harry, représentent souvent la meilleure ressource de recrutement de nouveaux employés, même s’ils ne sont pas responsables du recrutement ou intervieweurs actifs. Pour cette raison, vous devez vous assurer que les employés peuvent afficher les postes ouverts, sans pouvoir afficher les valeurs des champs de primes minimale et maximale des postes. De plus, Harry ne doit avoir accès à aucun autre enregistrement dans l’application de recrutement.

Les autorisations requises pour chacun des quatre types d'utilisateur sont répertoriées ci-dessous.

* Uniquement pour les enregistrements associés à un poste auquel le responsable du recrutement ou l’intervieweur a été attribué

** Uniquement pour les enregistrements qui appartiennent à l’intervieweur

Dans le reste de ce module, vous allez apprendre à utiliser la plate-forme pour mettre en œuvre ces exigences dans l’application de recrutement. Vous devrez configurer des contrôles de sécurité à chacun des trois niveaux : objets, champs et enregistrements.

Configuration de profils

Comme vous l’avez appris précédemment, chaque utilisateur possède un profil unique, qui est associé à une licence d’utilisation. La plate-forme comprend un ensemble de profils standard avec des paramètres prédéfinis. Voici quelques exemples :

• Utilisateur standard
  
• Utilisateur marketing
  
• Responsable contrats
  
• Administrateur système
  
• Accès minimal – Salesforce
  

Chaque profil standard comprend un ensemble d’autorisations par défaut pour les objets standard disponibles sur la plate-forme. Par exemple, un utilisateur standard peut créer et modifier des enregistrements tandis qu’un utilisateur disposant d’un profil Accès minimal – Salesforce peut afficher les enregistrements, mais ne peut ni les créer, ni les modifier. Le profil Administrateur système dispose du plus grand accès aux données et de la plus grande capacité de configuration et de personnalisation de Salesforce. Le profil de l’administrateur système comprend notamment deux autorisations spéciales, View All Data (Afficher toutes les données) et Modify All Data (Modifier toutes les données). Étant donné que ces autorisations remplacent tous les autres paramètres de partage, il convient d'être prudent lorsque vous les attribuez à un autre profil que le profil Administrateur système.

Il est probable que certains profils standard contiennent plus d’accès que ce dont vos utilisateurs ont besoin, en particulier si vous suivez la bonne pratique de sécurité consistant à utiliser des ensembles d’autorisations et des groupes d’ensembles d’autorisations pour configurer l’accès. Veillez à vérifier les autorisations et les paramètres de chaque profil avant de l’associer aux utilisateurs.

Vous ne pouvez pas modifier les autorisations d'objet dans un profil standard. Cependant, vous pouvez cloner chacun des profils existants et les utiliser comme base pour un nouveau profil, en ajustant les paramètres le cas échéant. Lorsque cela est possible, nous vous recommandons d’utiliser le profil Salesforce Minimum Access (Accès minimal) ou son clone, puis d’utiliser des ensembles d’autorisations et des groupes d’ensembles d’autorisations pour accorder aux utilisateurs les autorisations dont ils ont besoin. Par exemple, dans l’application de recrutement, vous pouvez attribuer aux recruteurs, aux personnes chargées des entretiens et aux responsables de l’embauche le profil Salesforce Minimum Access (Accès minimal), même si leurs tâches sont différentes. Ce profil accorde des autorisations et des capacités très limitées dans Salesforce Platform, mais vous pouvez accorder des accès supplémentaires à l’aide d’ensembles d’autorisations et de groupes d’ensembles d’autorisations.

Nous vous conseillons de configurer ces fonctionnalités dans les profils.

• Applications et types d’enregistrements par défaut
  
• Plages d’adresses IP
  
• Heures de connexion
  
• Attribution de présentation de page
  

Création et attribution d’un profil

Pour créer un profil, le plus simple est de cloner un profil existant semblable à celui que vous souhaitez créer, puis de le modifier. Par exemple, admettons que vous souhaitiez une version légèrement modifiée du profil Salesforce Minimum Access (Accès minimal) avec différentes applications par défaut visibles.

Salesforce offre une interface utilisateur de profil avancée qui facilite la recherche et la modification des paramètres de profil. Vous allez l’utiliser pour cet exercice.

[Texte alternatif : Une liste de profils utilisateur avec les remarques suivantes : pour les profils client, vous pouvez modifier n’importe quel attribut ; pour les profils standard, vous devez accepter les paramètres d’autorisations existants.]

1. Dans Setup (Configuration), dans la zone Quick Find (Recherche rapide), recherchez et sélectionnez User Management Settings (Paramètres de gestion des utilisateurs).
   
2. Activez Enhanced Profile User Interface (Interface utilisateur de profil avancée).
   
3. Dans Setup (Configuration), dans la zone Quick Find (Recherche rapide), recherchez et sélectionnez Profiles (Profils).
   
4. Cliquez sur Clone (Cloner) en regard d’un profil semblable à celui que vous souhaitez créer.
   
5. Donnez un nom à votre nouveau profil, puis cliquez sur Save (Enregistrer).
   
6. Modifiez les paramètres par défaut du profil si nécessaire, puis cliquez sur Save (Enregistrer).
   
7. Dans Setup (Configuration), dans la zone Quick Find (Recherche rapide), recherchez et sélectionnez Users (Utilisateurs).
   
8. Cliquez sur Edit (Modifier) à côté de l’utilisateur auquel vous souhaitez attribuer le profil.
   
9. Dans la liste déroulante Profile (Profil), sélectionnez le profil que vous venez de configurer.
   
10. Cliquez sur Enregistrer.
    

Utilisation d’ensembles d’autorisations et des groupes d’ensembles d’autorisations pour l’octroi de l’accès

Vous avez appris précédemment que les ensembles d’autorisations et les groupes d’ensembles d’autorisations constituent le meilleur moyen de gérer les autorisations et l’accès de vos utilisateurs. Mais pourquoi est-ce le cas ?

Un ensemble d'autorisations est un jeu de paramètres et d'autorisations qui offre aux utilisateurs l'accès à divers outils et fonctions. Les groupes d’ensembles d’autorisations correspondent à leur appellation : il s’agit de groupes d’ensembles d’autorisations. Les ensembles d’autorisations facilitent l’octroi d’un accès à divers objets et applications dans votre organisation (et le retrait de l’accès s’il n’est plus nécessaire) grâce à leur flexibilité et à la possibilité de les réutiliser. En réutilisant des blocs de construction d’ensembles d’autorisations plus petits, vous évitez de créer des dizaines, voire des centaines de profils pour chaque utilisateur et fonction.

Créez des ensembles d’autorisations disposant de toutes les autorisations nécessaires à un poste ou une tâche. Regroupez ensuite ces ensembles d’autorisations dans des groupes d’ensembles d’autorisations correspondant à vos profils d’utilisateurs. Si différents profils d’utilisateurs effectuent des mêmes tâches, vous pouvez réutiliser ces ensembles d’autorisations dans différents groupes d’ensembles d’autorisations.

Par exemple, supposons que vous ayez des représentants commerciaux et des spécialistes du marketing qui doivent supprimer et transférer des prospects. Vous pouvez créer un ensemble d’autorisations basé sur la gestion des pistes. Ensuite, incluez l’ensemble d’autorisations dans les groupes d’ensembles d’autorisations « Sales Reps » (Représentants commerciaux) et « Marketing Specialists » (Spécialistes du marketing) en fonction des rôles des utilisateurs. Pour les autorisations supplémentaires liées uniquement aux ventes ou au marketing, vous pouvez créer des ensembles d’autorisations à inclure dans leurs groupes d’ensembles d’autorisations respectifs.

Configurez ces autorisations et fonctionnalités dans des ensembles d’autorisations.

• Classes Apex
  
• Accès à l’application connectée
  
• Autorisations personnalisées
  
• Les autorisations de champ
  
• Autorisation d’objet
  
• Autorisations utilisateur (autorisations d’application et système)
  
• Paramètres de l’onglet
  
• Pages Visualforce.
  

Pour retirer une autorisation, vous devez la supprimer du profil de base de l’utilisateur et de tout ensemble d’autorisations attribué à cet utilisateur. Si l’utilisateur est affecté à un groupe d’ensembles d’autorisations, vous pouvez également utiliser un ensemble d’autorisations de désactivation pour désactiver les autorisations sélectionnées. Pour plus d’informations, consultez l’article Ensemble d’autorisations de désactivation dans l’aide Salesforce.

Ensembles d’autorisations et groupes d’ensembles d’autorisations pour l’application de recrutement

Maintenant que vous connaissez les ensembles d’autorisations et les groupes d’ensembles d’autorisations, réfléchissez à la manière de configurer l’accès au niveau de l’objet pour l’application de recrutement donnée en exemple. L'application comprend quatre types principaux d'utilisateurs : les recruteurs, les responsables du recrutement, les intervieweurs et les employés standard.

Recruteurs

Il s’agit d’une fonction clairement définie, il est donc logique de créer un groupe d’autorisations pour les recruteurs. Pour l’accès aux données de recrutement (évaluations, candidats, postes et candidatures), vous créez des ensembles d’autorisations distincts liés aux tâches pour chacun de ces objets.

Responsables du recrutement

Il se peut qu’un responsable du recrutement d’un service commercial ait besoin d’accéder aux types de données auxquels le responsable du recrutement du service ingénierie n’a pas accès. Cependant, tous les responsables de recrutement ont besoin des mêmes types d’accès aux données de recrutement via les autorisations d’objet. Par conséquent, nous recommandons de créer un ensemble d’autorisations Hiring Manager (Responsable du recrutement), qui peut être associé à divers types d’utilisateurs. Les restrictions plus spécifiques, telles que la sécurité au niveau du champ et l’accès aux enregistrements, sont abordées ultérieurement.

Intervieweurs

Un employé d'un service ou d'une fonction peut être amené à conduire un entretien. Il doit par conséquent avoir accès aux informations de recrutement pendant une durée limitée. Il est judicieux de définir un groupe d’autorisations pour les personnes chargées des entretiens, et d’attribuer et de supprimer des utilisateurs selon les besoins.

Pour les évaluations spécifiquement, les recruteurs, les responsables du recrutement et les personnes chargées des entretiens ont tous besoin des autorisations de lecture, de création et de modification pour l’objet Review (Évaluation). Pour gagner du temps, vous pouvez réutiliser le même ensemble d’autorisations dans tous les groupes d’ensembles d’autorisations de ces fonctions professionnelles.

Employés standard

N’oubliez pas que les employés qui ne participent pas au recrutement doivent néanmoins pouvoir consulter les postes. Puisqu’il s’agit d’une exigence à l’échelle de l’entreprise, envisagez de créer un ensemble d’autorisations de base qui donne un accès en lecture plus limité aux postes. Incluez ensuite cet ensemble d’autorisations dans les groupes d’ensembles d’autorisations propres à un profil d’utilisateurs, en vous assurant que tous les utilisateurs reçoivent cet accès d’une manière ou d’une autre.

À partir de ces éléments, la meilleure façon de configurer des autorisations d’objet pour l’application de recrutement est de procéder comme suit :

• Créez trois groupes d’ensembles d’autorisations : Recruiters (Recruteurs), Hiring Managers (Responsables du recrutement) et Interviewers (Intervieweurs).
  
• Créez des ensembles d’autorisations pour travailler sur les révisions, les candidats, les postes et les demandes d’emploi. Réutilisez les ensembles d’autorisations dans des groupes d’ensembles d’autorisations lorsque cela est possible, mais veillez à ne pas accorder trop d’autorisations aux utilisateurs.
  

Création d'un ensemble d'autorisations

Créez un ensemble d’autorisations qui contrôle l’accès à l’objet Review (Évaluation) pour votre application de recrutement.

1. Dans Setup (Configuration), dans la zone Quick Find (Recherche rapide), recherchez et sélectionnez Permission Sets (Ensembles d’autorisations).
   
2. Cliquez sur Nouveau.
   
3. Saisissez l’étiquette et la description de votre ensemble d’autorisations. Nommez-le Access and Manage Reviews (Accès aux évaluations et gestion des évaluations).
   
4. Vous pouvez éventuellement choisir si seuls les utilisateurs disposant de certaines licences se voient attribuer cet ensemble d’autorisations. Sélectionnez –None– (–Aucun–).
   
5. Cliquez sur Enregistrer.
   
6. Pour ajouter des autorisations d’objets, dans la zone Quick Find (Recherche rapide), recherchez et sélectionnez Reviews (Évaluations).
   
7. Cliquez sur Modifier.
   
8. Activez les autorisations de lecture, de création et de modification.
   
9. Cliquez sur Enregistrer.
   

Vous pouvez attribuer l’ensemble d’autorisations aux utilisateurs directement. Au lieu de cela, créez d’abord un groupe d’ensembles d’autorisations et incluez-le.

Création d’un ensemble d’autorisations

Pour votre application de recrutement, vous avez déterminé que les trois groupes d’autorisations correspondant aux profils d’utilisateurs contiennent les mêmes autorisations d’objet pour les évaluations. Créez le groupe d’ensembles d’autorisations Recruiters (Recruteurs).

1. Dans Setup (Configuration), dans la zone Quick Find (Recherche rapide), recherchez et sélectionnez Permission Set Groups (Groupes d’ensembles d’autorisations).
   
2. Cliquez sur Nouveau groupe d’ensembles d’autorisations.
   
3. Saisissez l’étiquette (dans ce cas, Recruiters (Recruteurs)) et la description de votre groupe d’ensembles d’autorisations.
   
4. Cliquez sur Enregistrer.
   
5. Cliquez sur le groupe d’ensembles d’autorisations de recruteurs que vous venez de créer et cliquez sur Permission Sets in Group (Ensembles d’autorisations dans un groupe).
   
6. Cliquez sur Add Permission Set (Ajouter un ensemble d’autorisations), puis cochez la case de l’ensemble d’autorisations Access and Manage Reviews (Accès aux évaluations et gestion des évaluations).
   
7. Cliquez sur Add (Ajouter), puis sur Done (Terminé).
   

Le groupe d’autorisations des recruteurs est configuré et donne accès aux évaluations. La dernière étape consiste à l’attribuer aux utilisateurs.

1. Sur la page de présentation du groupe d’ensembles d’autorisations Access and Manage (Accès et gestion), cliquez sur Manage Assignments (Gérer les attributions), puis sur Add Assignments (Ajouter des attributions).
   
2. Sélectionnez les utilisateurs auxquels le groupe doit être attribué, puis cliquez sur Next (Suivant).
   
3. Vous pouvez sélectionner une date d’expiration pour l’attribution à l’utilisateur (facultatif). Cette option peut être utile si vous souhaitez que les utilisateurs se voient attribuer temporairement le groupe d’ensembles d’autorisations.
   
4. Cliquez sur Attribuer.
   

Examen des accès à l’aide de résumés

Au fur et à mesure que vous configurez l’accès à tous vos objets, vous vous apercevrez peut-être qu’il y a beaucoup de choses à gérer. Quels sont les ensembles d’autorisations qui permettent d’accéder aux comptes ? Joe Smith a-t-il la possibilité de supprimer des prospects ? Pour vous aider à examiner et à gérer les autorisations, vous pouvez utiliser les récapitulatifs Salesforce sur l’accès aux objets, l’accès des utilisateurs, les ensembles d’autorisations et les groupes d’ensembles d’autorisations.

Par exemple, dans le Object Manager (Gestionnaire d’objet), vous pouvez voir les ensembles d’autorisations, les groupes d’ensembles d’autorisations et les profils qui donnent accès à un objet, ainsi que le niveau d’accès accordé.

1. Dans Setup (Configuration), accédez à Object Manager (Gestionnaire d’objet).
   
2. Sélectionnez un objet qui prend en charge les autorisations d’objets.
   
3. Dans le menu latéral, cliquez sur Object Access (Accès aux objets).
   

Vous pouvez également voir toutes les autorisations d’objet, de champ et d’utilisateur attribuées à un utilisateur, ainsi que la manière dont cet accès est accordé.

1. Dans Setup (Configuration), dans la zone Quick Find (Recherche rapide), recherchez et sélectionnez Users (Utilisateurs).
   
2. Sélectionnez un utilisateur.
   
3. Cliquez sur View Summary (Afficher le résumé).
   

Enfin, vous pouvez facilement voir toutes les autorisations incluses dans un ensemble d’autorisations ou un groupe d’ensembles d’autorisations à partir de leurs pages de récapitulatif.

1. Dans Setup (Configuration), dans la zone Quick Find (Recherche rapide), recherchez et sélectionnez Permission Sets (Ensembles d’autorisations). Ou, dans la zone Quick Find (Recherche rapide), recherchez et sélectionnez Permission Set Groups (Groupes d’ensembles d’autorisations).
   
2. Spécifiez un ensemble d’autorisations ou un groupe d’ensembles d’autorisations.
   
3. Cliquez sur View Summary (Afficher le résumé).
   

Bravo ! En attribuant des autorisations aux objets, vous avez fait le premier pas vers la gestion de l’accès aux données. Dans les unités suivantes, vous approfondirez cet accès aux données en définissant des restrictions sur les champs et les enregistrements.

Ressources

• Aide Salesforce : Gestion de l’accès des utilisateurs et aux données
• Aide Salesforce : Autorisations d’objet
• Aide Salesforce : Configuration des paramètres par défaut dans les profils
• Aide Salesforce : Configuration des autorisations et des accès dans les ensembles d’autorisations
• Aide Salesforce : Groupes d’ensembles d’autorisations
• Aide Salesforce : Consultation de l’accès aux objets dans le Gestionnaire d’objets
• Aide Salesforce : Consultation du résumé d’accès d’un utilisateur
• Aide Salesforce : Consultation des autorisations activées dans un ensemble d’autorisations ou un groupe d’ensembles d’autorisations