Controle o acesso aos objetos

Objetivos de aprendizagem

Após concluir esta unidade, você estará apto a:

• Explicar a diferença entre perfis, conjuntos de permissões e grupos de conjuntos de permissões.
  
• Modificar o acesso a objetos.
  
• Clonar e atribuir um profile.
  
• Criar e atribuir novos conjuntos de permissões.
  
• Criar e atribuir novos grupos do conjunto de permissões.
  

Nota

Deseja aprender em português (Brasil)? Comece o desafio em um Trailhead Playground de português (Brasil) e copie e cole os valores de português (Brasil). Se você não passar no desafio em sua organização de português (Brasil), recomendamos que (1) mude o local para os Estados Unidos, (2) mude o idioma para inglês, seguindo as instruções aqui, e (3) clique novamente no botão “Validar o desafio”.

Consulte o emblema Trailhead no seu idioma para saber mais sobre como aproveitar a experiência de Trailhead em outros idiomas.

Gerenciar permissões de objeto

A maneira mais simples de controlar o acesso a dados é definindo permissões em um determinado tipo de objeto. (Um objeto é um conjunto de registros, como leads ou contatos.) Você pode controlar se os usuários podem criar, ler, editar ou excluir qualquer registro desse objeto.

Recomendamos que você defina permissões de objeto com conjuntos de permissões e grupos de conjuntos de permissões, embora também seja possível configurar permissões de objeto em perfis. Qual é a diferença entre esses recursos?

• Conjuntos de permissões: Usados para atribuir permissões de objeto, campo e usuário aos usuários. Recomendamos organizar seus conjuntos de permissões incluindo todas as permissões necessárias para uma tarefa específica, como trabalhar com leads. Os usuários podem receber vários conjuntos de permissões.
  
• Grupos de conjuntos de permissões: Usados para agrupar vários conjuntos de permissões para facilitar o gerenciamento. Pense nos grupos de conjuntos de permissões como a representação de uma “personalidade” na sua organização, como um representante de vendas. Usuários atribuídos ao grupo de conjuntos de permissões recebem todas as permissões dos conjuntos de permissões incluídos. Os usuários podem receber vários grupos de conjuntos de permissões. E os conjuntos de permissões podem ser reutilizados em diferentes grupos de conjuntos de permissões, facilitando o gerenciamento do acesso.
  
• Perfis: Usados para definir as configurações padrão do usuário, como aplicativos atribuídos, tipos de registro, layouts de página. Os usuários recebem um perfil.
  

Para obter mais informações, consulte Diretrizes para criar conjuntos de permissões e grupos de conjuntos de permissões na Ajuda do Salesforce. Como pode ver, esses recursos oferecem uma grande flexibilidade ao especificar o acesso em nível de objeto. Nesta unidade, você verá como configurar esses recursos para seu aplicativo Recruiting para garantir que seus usuários tenham o acesso correto aos objetos.

Permissões de objeto para o aplicativo Recruiting

Vamos explorar a forma como você configura o acesso em nível de objeto no aplicativo Recruiting. O aplicativo tem quatro tipos principais de usuários: gerentes de contratação, recrutadores, entrevistadores e funcionários padrão. Qual acesso a objetos cada tipo de usuário precisa?

Gerentes de contratação

Ben, gerente de contratação, deve ser capaz de acessar os registros de recrutamento relacionados às suas vagas em aberto, mas não deve ter acesso a outros registros de recrutamento (exceto os registros pertencentes a outros gerentes de contratação que são seus subordinados). Além disso, ele não deve visualizar determinados campos confidenciais, como o campo de número de segurança social. Considere as permissões que Ben precisa para cada um dos principais objetos personalizados no aplicativo.

• Vaga: Ben deve ser capaz de publicar novas vagas e também atualizar e visualizar todos os campos de vagas nas quais ele é o gerente de contratação, mas deve apenas visualizar as vagas dos outros gerentes.
  
• Candidato: Ben deve ser capaz de visualizar somente os candidatos que se candidataram para uma vaga em que ele é o gerente de contratação. Além disso, como não há necessidade de Ben visualizar o número de CPF do candidato, ele não deve ter permissão para visualizar esse campo.
  
• Formulário de emprego: Ben precisa atualizar o status dos formulários de emprego para especificar quais candidatos devem ser selecionados ou rejeitados. No entanto, ele não deve ser capaz de alterar o candidato listado no formulário de emprego e a vaga para qual o candidato está se candidatando, então você precisa encontrar uma forma de evitar que Ben atualize os campos de pesquisa nos formulários de emprego.
  
• Revisão: Para tomar uma decisão sobre os candidatos que estão se candidatando, Ben precisa visualizar as revisões publicadas pelos entrevistadores e fazer comentários se achar que o entrevistador foi tendencioso em sua revisão. Da mesma forma, Ben precisa criar revisões para que possa se lembrar das suas impressões sobre os candidatos que ele entrevistou.
  

Recrutadores

Mario, um dos recrutadores, precisa conseguir criar, visualizar e modificar as vagas, candidatos, formulários de emprego ou as revisões disponíveis no sistema. Ele também precisa visualizar e modificar os registros de recrutamento de todos os outros recrutadores, visto que todos os recrutadores trabalham juntos para preencher todas as posições, independentemente de quem as criou.

Você precisa garantir que um recrutador jamais excluirá acidentalmente um registro com informações sobre um candidato. Isso porque as leis estaduais e federais exigem que os registros relacionados ao recrutamento sejam guardados durante alguns anos para que, se uma decisão de contratação for questionada, ela poderá ser defendida em tribunal.

Entrevistadores

Melissa é engenheira e entrevista candidatos para posições altamente técnicas. Ela deve ser capaz de visualizar somente os candidatos e formulários de emprego para os quais ela é designada como entrevistadora. Além disso, ela não deve conseguir visualizar os valores de bônus mínimo e máximo de qualquer uma das vagas ou o número da segurança social de qualquer candidato, já que são informações confidenciais que não têm relação com seu trabalho.

Funcionários padrão

Geralmente, os funcionários, como Harry, são os melhores recursos para o recrutamento de novos funcionários, mesmo que eles não sejam gerentes de contratação ou entrevistadores ativos. Por essa razão, você precisa garantir que esses funcionários possam visualizar as vagas em aberto, mas não possam ver os valores dos campos de bônus mínimo e máximo das vagas. Harry também não deve poder visualizar nenhum outro registro no aplicativo Recruiting.

Veja as permissões necessárias para cada um dos quatro tipos de usuários.

*Somente para registros associados a uma vaga à qual o gerente de contratação ou entrevistador foi atribuído.

**Somente para registros de propriedade do entrevistador.

No restante do módulo, você saberá como pode usar a plataforma para implementar esses requisitos no aplicativo Recruiting. Isso exigirá a configuração de controles de segurança nos três níveis: objetos, campos e registros.

Configuração de perfis

Como você viu anteriormente, cada usuário tem um único perfil, que está associado a uma licença de usuário. A plataforma inclui um conjunto de perfis padrão com configurações predefinidas. Algumas exceções são:

• Usuário padrão
  
• Usuário do Marketing
  
• Gerente do contrato
  
• Administrador de sistemas
  
• Acesso mínimo - Salesforce
  

Todos os perfis padrão incluem um conjunto padrão de permissões para objetos padrão disponíveis na plataforma. Por exemplo, um Usuário padrão pode criar e editar registros; já um usuário Acesso mínimo - Salesforce pode visualizar registros, mas não pode criá-los nem editá-los. O perfil do Administrador do sistema oferece o acesso mais amplo a dados e a maior capacidade de configurar e personalizar o Salesforce. Especialmente, o perfil de Administrador do sistema inclui duas permissões especiais, View All Data (Ver todos os dados) e Modify All Data (Modificar todos os dados). Essas permissões substituem todas as outras configurações de compartilhamento; por isso, tome cuidado ao atribuí-las a qualquer perfil que não seja o de Administrador do sistema.

É provável que alguns perfis padrão contenham mais acesso do que o necessário para seus usuários, especialmente se você estiver seguindo a prática recomendada de segurança de usar conjuntos de permissões e grupos de conjuntos de permissões para configurar o acesso. Não se esqueça de analisar as permissões e configurações que cada perfil contém antes de atribuí-lo aos usuários.

Você não poderá editar as permissões de objeto em um perfil padrão. No entanto, você pode clonar um perfil existente e usar isso como base para um novo perfil, ajustando as configurações conforme precisar. Sempre que possível, recomendamos que você use o perfil Minimum Access Salesforce (Acesso mínimo – Salesforce) ou um clone dele e, em seguida, use conjuntos de permissões e grupos de conjuntos de permissões para conceder aos usuários apenas as permissões necessárias. Por exemplo, no aplicativo Recruiting, você pode atribuir aos recrutadores, entrevistadores e gerentes de contratação o perfil Minimum Access - Salesforce (Acesso mínimo - Salesforce), apesar dos diferentes cargos. Esse perfil concede permissões e habilidades muito limitadas na Salesforce Platform, mas você pode conceder acesso adicional usando conjuntos de permissões e grupos de conjuntos de permissões.

Recomendamos configurar esses recursos nos perfis.

• Aplicativos padrão e tipos de registro
  
• Intervalos de IP
  
• Horas de login
  
• Atribuição de layout de página
  

Criar e atribuir um perfil

A maneira mais fácil de criar um perfil é clonando um perfil existente que seja semelhante àquele que você deseja criar e, em seguida, modificando-o. Por exemplo, você quer uma versão ligeiramente modificada do perfil Minimum Access - Salesforce (Acesso mínimo - Salesforce) com vários aplicativos padrão visíveis.

O Salesforce tem uma interface de usuário de perfil avançada que facilita localizar e alterar configurações de perfil. Você vai usar isso neste exercício.

[Alt text: Uma lista dos perfis de usuário com anotações: Para perfis de clientes, você pode editar qualquer um dos atributos. Para os perfis padrão, você tem que aceitar as permissões como elas são.]

1. Em Setup (Configuração), na caixa Quick Find (Busca rápida), pesquise e selecione User Management Settings (Configurações de gerenciamento de usuário).
   
2. Ative Interface de usuário de perfil aprimorada.
   
3. Em Setup (Configuração), na caixa Quick Find (Busca rápida), pesquise e selecione Profiles (Perfis).
   
4. Clique em Clonar ao lado de um perfil que seja semelhante ao que você deseja criar.
   
5. Nomeie seu novo perfil e clique em Save (Salvar).
   
6. Edite as configurações padrão do perfil, conforme necessário, e clique em Save (Salvar).
   
7. Em Setup (Configuração), na caixa Quick Find (Busca rápida), pesquise e selecione Users (Usuários).
   
8. Clique em Editar ao lado do usuário a que deseja atribuir o perfil.
   
9. No menu suspenso Perfil, selecione o perfil que você acabou de configurar.
   
10. Clique em Save (Salvar).
    

Usar conjuntos de permissões e grupos dos conjuntos de permissões para atribuir acesso

Anteriormente, você viu que os conjuntos de permissões e os grupos de conjuntos de permissões são as formas preferidas de gerenciar as permissões e o acesso dos usuários. Vamos ver melhor os motivos.

Um conjunto de permissões é um conjunto de configurações e permissões que dão aos usuários acesso a várias ferramentas e funções. Os grupos de conjuntos de permissões são o que parecem: grupos de conjuntos de permissões! Os conjuntos de permissões facilitam a concessão de acesso aos diversos aplicativos e objetos da sua organização (e revogar o acesso se este já não for necessário) devido à sua flexibilidade e reutilização. Por poder reutilizar blocos de construção de conjuntos de permissões menores, você pode evitar a criação de dezenas ou até centenas de perfis para cada usuário e função de trabalho.

Crie conjuntos de permissões que incluam todas as permissões necessárias para um trabalho ou tarefa. Em seguida, agrupe esses conjuntos de permissões em grupos de conjuntos de permissões que correspondam às personalidades de usuários. Se diferentes personalidades executarem algumas dessas mesmas tarefas, você poderá reutilizar esses conjuntos de permissões em diferentes grupos de conjuntos de permissões.

Por exemplo, digamos que você tenha representantes de vendas e especialistas em marketing que precisam excluir e transferir leads. Você pode criar um conjunto de permissões baseado no gerenciamento de leads. Em seguida, inclua o conjunto de permissões nos grupos de conjuntos de permissões “Sales Reps” (Representantes de vendas) e “Marketing Specialists” (Especialistas em marketing) com base nas funções dos usuários. Para obter mais permissões relacionadas apenas com Vendas ou Marketing, você pode criar conjuntos de permissões para incluir nos respectivos grupos de conjuntos de permissões.

Configure essas permissões e recursos em conjuntos de permissões.

• Classes do Apex
  
• Acesso a aplicativos conectados
  
• Permissões personalizadas
  
• Permissões de campo
  
• Permissões de objeto
  
• Permissões de usuário (permissões de aplicativos e permissões de sistema)
  
• Configurações de guia
  
• Páginas do Visualforce
  

Para retirar uma permissão, você precisa removê-la do perfil básico do usuário e de todos os conjuntos de permissões que este usuário possa ter. Ou, se o usuário for atribuído a um grupo de conjunto de permissões, você poderá usar um conjunto de permissões de silenciamento para silenciar permissões selecionadas. Para saber mais, consulte Conjunto de permissões de silenciamento na Ajuda do Salesforce.

Conjuntos de permissões e grupos dos conjuntos de permissões para o aplicativo Recruiting

Agora que você já está familiarizado com conjuntos de permissões e grupos de conjuntos de permissões, pense na forma de configurar o acesso em nível de objeto para o exemplo do aplicativo Recruiting. O aplicativo possui quatro tipos de usuários principais: recrutadores, gerentes de contratação, entrevistadores e funcionários padrão.

Recrutadores

Eles representam uma função claramente definida, por isso faz sentido criar um grupo de conjuntos de permissões chamado Recruiters (Recrutadores). Para ter acesso aos dados de recrutamento (avaliações, candidatos, vagas e formulários de emprego), crie conjuntos de permissões separados relacionados às tarefas de cada um desses objetos.

Gerentes de contratação

É possível que um gerente de contratação do departamento de Vendas precise acessar um tipo de dados diferente dos dados acessados por um gerente de contratação do departamento de Engenharia. No entanto, todos os gerentes de contratação ainda precisam do mesmo tipo de acesso a dados de recrutamento por meio de permissões de objeto. Por isso, recomendamos criar um grupo de conjuntos de permissões de Gerente de contratação que possa ser atribuído a vários tipos de usuários. Trate posteriormente das restrições mais específicas, como a segurança em nível de campo e o acesso aos registros.

Entrevistadores

Um funcionário de qualquer departamento e em qualquer função de trabalho pode ser convidado a realizar uma entrevista, que exige acesso a informações de recrutamento apenas por um determinado período de tempo. Faz sentido definir um grupo de conjunto de permissões para Entrevistadores e atribuir e remover usuários conforme necessário.

Especialmente no caso das revisões, os recrutadores, gerentes de contratação e entrevistadores precisam das permissões Read (Leitura), Create (Criação) e Edit (Edição) para o objeto Review (Revisão). Para reduzir as dificuldades, reutilize o mesmo conjunto de permissões em todos os grupos de conjuntos de permissões dessas funções!

Funcionários padrão

Lembre-se que os funcionários não envolvidos no recrutamento ainda deverão poder ver as vagas. Como se trata de um requisito para toda a empresa, considere a possibilidade de criar um conjunto de permissões básico que conceda um acesso de leitura mais limitado às vagas. Em seguida, inclua este conjunto de permissões em grupos de permissões específicos para cada personalidade, garantindo que todos os usuários recebam acesso de alguma forma.

Com todos esses cenários de permissões em mente, a melhor maneira de configurar as permissões de objeto do aplicativo Recruiting é a seguinte:

• Crie três grupos de conjuntos de permissões: Recrutadores, Gerentes de contratação e Entrevistadores
  
• Crie conjuntos de permissões relacionados ao trabalho com revisões, candidatos, vagas e formulários de emprego. Reutilize conjuntos de permissões em grupos de conjuntos de permissões sempre que possível, mas não conceda muitas permissões aos usuários.
  

Criar um conjunto de permissões

Crie um conjunto de permissões para controlar o acesso ao objeto Review (Revisão) para seu aplicativo Recruiter.

1. Em Setup (Configuração), na caixa Quick Find (Busca rápida), pesquise por e selecione Permission Sets (Conjuntos de permissões).
   
2. Clique em New (Novo).
   
3. Insira o rótulo e a descrição do seu conjunto de permissões. Dê a ele o nome Access and Manage Reviews (Acessar e gerenciar revisões).
   
4. Uma outra alternativa é selecionar se apenas usuários com determinadas licenças receberão esse conjunto de permissões. Selecione –None– (–Nenhum–).
   
5. Clique em Save (Salvar).
   
6. Para adicionar permissões de objeto, na caixa Find Settings (Localizar configurações), pesquise e selecione Reviews (Revisões).
   
7. Clique em Edit (Editar).
   
8. Habilite as permissões Read (Leitura), Create (Criação) e Edit (Edição).
   
9. Clique em Save (Salvar).
   

Você pode atribuir conjuntos de permissões diretamente aos usuários. Mas, em vez disso, crie primeiro um grupo de conjuntos de permissões e inclua este conjunto de permissões.

Criar um grupo de conjuntos de permissões

No aplicativo Recruiter, você determinou que todos os três grupos de conjuntos de permissões baseados em personalidades tenham as mesmas permissões de objeto para revisões. Crie o grupo de conjuntos de permissões para Recrutadores.

1. Em Setup (Configuração), na caixa Quick Find (Busca rápida), pesquise por e selecione Permission Set Groups (Grupos de conjuntos de permissões).
   
2. Clique em New Permission Set Group (Novo grupo de conjuntos de permissões).
   
3. Insira o rótulo (neste caso, Recruiters [Recrutadores]) e a descrição do seu grupo de conjuntos de permissões.
   
4. Clique em Save (Salvar).
   
5. Clique no grupo de conjuntos de permissões Recruiting (Recrutamento) que você acabou de criar e clique em Permission Sets in Group (Conjuntos de permissões no grupo).
   
6. Clique em Add Permission Set (Adicionar conjunto de permissões) e marque a caixa de seleção do conjunto de permissões Access and Manage Reviews (Acessar e gerenciar revisões).
   
7. Clique em Add (Adicionar) e, em seguida, em Done (Concluído).
   

O grupo de permissões Recruiters (Recrutadores) está configurado e concede acesso às revisões. A última etapa é atribuí-lo aos usuários.

1. Na página de visão geral do grupo de conjuntos de permissões de Access and Manage (Acessar e gerenciar), clique em Manage Assignments (Gerenciar atribuições) e, em seguida, em Add Assignments (Adicionar atribuição).
   
2. Selecione os usuários aos quais atribuir o grupo e clique em Next (Avançar).
   
3. Uma outra alternativa é selecionar uma data de vencimento para a atribuição do usuário expirar. Esta opção pode ser útil se você quiser que o grupo de conjuntos de permissões seja atribuído temporariamente aos usuários.
   
4. Clique em Assign (Atribuir).
   

Analisar o acesso usando resumos

À medida que você configura o acesso para todos os objetos, talvez ache que seja muito difícil manter o controle. Que conjuntos de permissões concedem acesso às contas? Joe Smith pode excluir leads? Para ajudar você a revisar e gerenciar permissões, é possível usar os resumos do Salesforce sobre acesso a objetos, acesso de usuários, conjuntos de permissões e grupos de conjuntos de permissões.

Por exemplo, no Gerenciador de objetos, é possível ver os conjuntos de permissões, grupos de conjuntos de permissões e perfis que concedem acesso a um objeto e o nível de acesso concedido.

1. Em Setup (Configuração), vá até Gerenciador de objetos.
   
2. Selecione um objeto compatível com permissões de objeto.
   
3. Na barra lateral, clique em Object Access (Acesso a objetos).
   

Você também pode ver todas as permissões de objeto, campo e usuário que são atribuídas a um usuário e como esse acesso é concedido.

1. Em Setup (Configuração), na caixa Quick Find (Busca rápida), pesquise e selecione Users (Usuários).
   
2. Selecione um usuário.
   
3. Clique em View Summary (Exibir resumo).
   

Por fim, você pode ver facilmente todas as permissões incluídas em um conjunto de permissões ou grupo de conjuntos de permissões nas páginas de resumo.

1. Em Setup (Configuração), na caixa Quick Find (Busca rápida), pesquise por e selecione Permission Sets (Conjuntos de permissões). Ou, na caixa Quick Find (Busca rápida), pesquise por e selecione Permission Set Groups (Grupos de conjuntos de permissões).
   
2. Selecione um conjunto de permissões ou um grupo de conjuntos de permissões.
   
3. Clique em View Summary (Exibir resumo).
   

Muito bem! Ao atribuir permissões de objetos, você deu o primeiro passo para gerenciar o acesso aos dados. Nas unidades seguintes, você aperfeiçoará este acesso aos dados, definindo restrições para campos e registros.

Recursos

• Ajuda do Salesforce: Gerenciar usuários e o acesso aos dados
• Ajuda do Salesforce: Permissões de objeto
• Ajuda do Salesforce: Definir configurações padrão em perfis
• Ajuda do Salesforce: Configurar permissões e o acesso em conjuntos de permissões
• Ajuda do Salesforce: Grupos de conjuntos de permissões
• Ajuda do Salesforce: Visualizar o acesso a objetos no Gerenciador de objetos
• Ajuda do Salesforce: Exibir o resumo de acessos de um usuário
• Ajuda do Salesforce: Exibir permissões ativadas em um conjunto de permissões ou grupo de conjuntos de permissões