6_オブジェクトへのアクセス権の拡張

今回からは応用です。オブジェクトへのアクセス権は、プロファイルで設定する事になっています。ユーザーは必ず一つだけのプロファイルを持ちます。今回はこのオブジェクトへの権限を追加する方法を学びたいと思います。

今回学ぶ所は、全体像では以下の箇所です。

以下のようにマーケティング部、営業部、サポート部、人事部があるとします。それぞれアクセスできるオブジェクトが異なるので、それぞれプロファイルを作りました。各部のユーザはそれぞれの部門用のプロファイルが割り当てられています。

今後、各部のマネージャーのみ採用候補者というオブジェクトに参照権限でアクセスできるようにしたいと思います。

やり方は二つあります。一つはプロファイルを使う方法です。もう一つは権限セットを使う方法です。

これまで学んだプロファイルを使う方法で考えてみます。割り当てられてるプロファイルに採用候補者オブジェクトへの参照アクセス権を追加する事は出来ません。そうすると、マネージャーではない部員まで採用候補者オブジェクトへアクセスできてしまうからです。

プロファイルを新規に作る事になります。マーケティング部で考えてみます。マーケティングプロファイルと同じ内容で「マーケティングマネージャー」というプロファイルを新規で作ります。このプロファイルに採用候補者オブジェクトへの参照権限を設定します。そして、マーケティング部のマネージャーにこのプロファイルを割り当てます。

この作業を営業部とサポート部でも同等の作業を繰り返します。そうすると、プロファイルが新規に三つ作成されることになります。

もうひとつのやり方として権限セットを使う方法を考えてみます。

権限セットの基本的な考え方は以下の通りです。

・プロファイルとほとんど同じ。

・ユーザはプロファイルは一つしか持てないが、権限セットは複数持てる。

・つまり、ユーザーに複数のプロファイルを設定するようなもの。

まず新規に権限セットを作ります。設定内容として「採用候補者」オブジェクトへの参照権限を設定します。そしてこれをマーケティング部・営業部・サポート部のマネージャーに割り当てます。

この場合、権限セットを一つ追加しただけになります。プロファイルで対応する場合は、プロファイルを三つ作成しましたが、権限セットで対応する場合、権限セットを一つだけ作成すればOKです。

実際に権限セットで要件を実現するまでの流れを見てみます。

最初は、マネージャーは採用候補者オブジェクトへアクセスできません。

人事部のユーザは採用候補者オブジェクトとそのレコードにアクセス可能です。

「マネージャー」という名前の権限セットを作成して、採用候補者オブジェクトへの参照アクセス権を設定します。

作成した「マネージャー」という名前の権限セットを各部のマネージャーに割り当てます。

マネージャーは採用候補者オブジェクトへアクセスできるようになります。

採用候補者オブジェクトのレコードにもアクセスできます。採用候補者オブジェクト対しては参照権限しか与えていないので、編集ボタンや削除ボタンは表示されません。

全体像を纏めると以下の通りです。

プロファイルと権限セットという用語を一旦わきに置いておいて、オブジェクトへのアクセス権という観点では、今回学んだ事の本質は以下の通りです。

・プロファイルとはオブジェクトへの権限の事である。

・そして、ユーザーはプロファイルを複数持てる（事と同じ事を実現している）。

実際にプロファイルではオブジェクトへのアクセス権は全て無くしておき、権限セットでオブジェクトへのアクセス権を管理している会社もあります。通常、複数のプロファイルで同じオブジェクトへのアクセス権を設定する事が多いと思います。例えばマーケティングプロファイルも営業プロフィルもサポートプロファイルも取引先へのアクセス権の内容が同じのような場合です。この場合、オブジェクトへのアクセス権を変更する場合、それが設定されている全てのプロファイルで漏れなく間違えなく変更する必要があります。しかし、権限セットでオブジェクトへのアクセス権を管理する運用の場合、アクセス権の変更管理は権限セットの一か所だけで済みます。

最後までお読みいただきありがとうございました。私も自分の考え方の整理になりました。

資料