控制对记录的访问权限

• 用户需要访问每个记录还是一部分记录？
• 如果需要访问部分记录，应该用什么样的规则来确定是否可以访问？

以我们的“招聘”应用程序为例，假设您创建了一个名为 Recruiter 的新简档，向招聘人员提供其所需的对象级权限。您限制了删除招聘相关对象的权限，因此招聘人员永远无法删除这些对象。但是，向招聘人员授予创建、读取或编辑招聘对象的权限并不一定意味着招聘人员可以读取或编辑招聘对象中的每个记录。这是由两个重要概念造成的结果：

• 组织范围默认设置指定了用户对彼此记录的默认访问权限级别。
• 角色层次结构确保经理对相同的记录具有和其下属相同的访问权限。层次结构中的每个角色代表一个用户或一组用户需要的数据访问权限级别。
• 共享规则让您可以自动允许特定用户组采用例外的组织范围默认设置，使他们能够访问其他人的记录或通常情况下无法查看的记录。
• 手动共享允许记录所有者向无法通过其他方式访问记录的用户提供读取和编辑权限。

您已了解如何使用简档和权限集配置对象级和字段级访问权限。接下来，我们将详细了解各种记录级安全性控制。

1. 哪个用户是该对象最想限制的用户？
2. 该对象中是否会有此用户不可以查看的实例？
3. 该对象中是否会有此用户不可以编辑的实例？

根据您的答案，您可以将该对象的共享模型设置为这些设置中的一项。

专用
只有记录的所有者以及层次结构中该角色以上的用户可以查看、编辑和报告这些记录。

公用只读

所有用户可查看和报告记录，但只有所有者以及层次结构中该角色以上的用户可以编辑这些记录。

公用读/写
所有用户可以查看、编辑和报告所有记录。

由父级控制
如果用户可以查看、编辑或删除某个记录的父级记录，便可以查看、编辑或删除该记录。

当对象的组织范围共享设置为专用或公用只读时，管理员可通过设置角色层次结构或定义共享规则授予用户对记录的其他访问权限。共享规则仅可用于授予其他访问权限，不可用于在组织范围共享默认设置以外限制对记录的访问权限。

接下来，我们将针对“招聘”应用中的“职位”对象回答上面的问题。

该对象最受限制的用户是谁？
“普通员工”简档成员。他们只能查看职位。

该对象中是否会有此用户不可以查看的实例？
没有。尽管最低工资和最高工资字段的值对普通员工隐藏，但其仍然可以查看所有职位记录。

该对象中是否会有此用户不可以编辑的实例？
有的。普通员工不可以编辑任何职位记录。

由于存在普通员工不可以编辑的实例，因此“职位”对象的共享模型应该设置为“公用只读”。通过对其他招聘对象重复进行这一步骤，可以轻松得出合适的组织范围默认设置。“普通员工”简档用户是每个对象最希望限制的用户，并且存在特定员工无法查看的候选人、职位申请和评价记录。因此，“候选人”、“职位申请”和“评价”对象的共享模型应设置为专用。

1. 在“设置”中的“快速查找”框内输入共享设置，然后选择共享设置。
2. 单击“组织范围默认设置”区域中的编辑。注意：一些标准对象使用不同的组织范围默认选项。自定义对象组织范围默认选项包括“专用”、“公用只读”或“公用读/写”。
3. 为每个对象选择默认内部访问权限和默认外部访问权限。
4. 要使用层次结构禁用自动访问权限，为没有“由父级控制”默认访问权限的所有自定义对象取消选择使用层次结构授予访问权限。

Apex 托管共享允许开发人员以编程方式共享与自定义对象关联的记录。当您对任何自定义对象使用 Apex 托管共享时，只有拥有“修改所有数据”权限的用户可以添加或更改该自定义对象记录的共享，即使记录所有者进行更改，共享访问权限仍保持不变。有关详细信息，请参阅 Apex 共享。

• 共享设置
• 共享注意事项
• 组织范围共享默认设置
• 安全执行指南