Comment utiliser les ensembles d'autorisations dans Salesforce ?

Un ensemble d'autorisations ajoute des droits à un utilisateur sans modifier son profil. Le profil donne la base, chaque ensemble ajoute un besoin précis, et un groupe d'ensembles réunit ceux d'un même métier. Salesforce présente cette méthode comme la façon recommandée de gérer les autorisations.

Profil, ensemble, groupe : qui fait quoi

Selon Salesforce, un ensemble peut être attribué à n'importe quel utilisateur, quel que soit son profil. Un même ensemble peut aussi appartenir à plusieurs groupes : une modification se répercute alors dans tous.

Étape 1 : partir d'un profil au plus juste

Le profil « Minimum Access - Salesforce » donne, d'après la documentation, les privilèges les plus réduits de la plateforme. Il contient quatre autorisations : Access Activities, Chatter Internal User, Lightning Console User et View Help Link. Salesforce recommande de l'attribuer, puis d'ajouter les droits par ensembles et groupes d'ensembles.

Avant de changer des profils existants, listez ce que chaque utilisateur fait réellement. Testez d'abord sur un compte de test.

Étape 2 : créer un ensemble d'autorisations

Il faut l'autorisation « Manage Profiles and Permission Sets ».

1. Dans Configuration (Setup), tapez « Permission Sets » dans la zone de recherche rapide, puis cliquez sur Permission Sets.
2. Cliquez sur New.
3. Saisissez le nom et la description.
4. Choisissez la licence : une licence d'utilisateur, une licence d'ensemble d'autorisations, ou None.
5. Enregistrez, puis ajoutez les autorisations. Sur la page Permission Set Overview, les pages App Permissions et System Permissions regroupent les réglages.

Une licence précise limite l'ensemble aux droits qu'elle permet. Avec « None », l'utilisateur doit déjà avoir ces droits par sa licence d'utilisateur ou par une licence d'ensemble attribuée séparément. Un nouvel ensemble n'a aucune licence sélectionnée.

Un conseil de la documentation : construisez l'ensemble autour d'une tâche, pas d'un intitulé de poste. Son exemple : un ensemble pour les utilisateurs qui doivent supprimer et transférer des pistes.

Étape 3 : attribuer l'ensemble

Il faut « Assign Permission Sets » et « View Setup and Configuration ».

Pour un utilisateur

1. Dans Configuration, ouvrez Users, puis l'utilisateur.
2. Dans la liste associée Permission Set Assignments, cliquez sur Edit Assignments.
3. Sous Available Permission Sets, sélectionnez l'ensemble, cliquez sur Add, puis Save.

Pour plusieurs utilisateurs

1. Ouvrez Permission Sets, puis l'ensemble.
2. Cliquez sur Manage Assignments, puis Add Assignments.
3. Cochez les utilisateurs, puis cliquez sur Next.
4. Si vous le souhaitez, choisissez une date d'expiration de l'attribution.
5. Cliquez sur Assign.

Salesforce affiche un message si un utilisateur n'a pas la licence nécessaire. Les utilisateurs invités, en libre-service, d'intégration et système n'apparaissent pas dans Manage Assignments : il faut passer par l'objet d'API PermissionSetAssignment. Salesforce déconseille d'attribuer des ensembles à des utilisateurs inactifs.

Étape 4 : regrouper dans un groupe d'ensembles

Quand plusieurs ensembles vont toujours ensemble, un groupe simplifie l'attribution.

1. Dans Configuration, ouvrez Permission Set Groups.
2. Cliquez sur New Permission Set Group, saisissez un nom et une description, puis enregistrez.
3. Ajoutez les ensembles au groupe.
4. Attribuez le groupe aux utilisateurs.

Si le nouveau groupe n'apparaît pas dans la liste, choisissez la vue « All Permission Set Groups ». Le groupe calcule les autorisations combinées de ses ensembles ; son statut indique si ce calcul est à jour. Un ensemble « muting » permet de désactiver certaines autorisations dans un groupe, quand vous voulez la plupart des droits d'un ensemble, mais pas tous. Lisez la documentation officielle sur ce point avant de l'employer.

Diagnostiquer un accès refusé

1. Notez l'objet, le champ ou l'action concernés et le message exact.
2. Ouvrez le profil de l'utilisateur et la liste de ses ensembles attribués.
3. Dans chaque ensemble, cherchez l'autorisation dans les pages App Permissions et System Permissions.
4. Si elle manque, attribuez (ou créez) l'ensemble qui la donne plutôt que de modifier le profil.
5. Vérifiez aussi la licence et, pour un rapport ou un tableau de bord, les droits du dossier : voir le guide sur le tableau de bord commercial.

Certaines autorisations dépendent d'autres : à l'enregistrement, Salesforce vérifie si des autorisations liées doivent être activées.

Les erreurs fréquentes

• Un profil par poste : la liste devient impossible à tenir. Préférez un profil de base et des ensembles.
• Un ensemble nommé d'après une personne : on ne sait plus à quoi il sert. Nommez-le d'après la tâche.
• Un ensemble fourre-tout : il ouvre plus que nécessaire. Un ensemble, un besoin.
• Oublier la licence : l'attribution échoue pour les utilisateurs qui n'ont pas la licence requise.
• Ne pas retirer l'ensemble au changement de poste : les droits s'accumulent.
• Modifier un ensemble partagé sans mesurer l'impact : s'il est dans plusieurs groupes, tous les utilisateurs concernés sont touchés.

Quand demander de l'aide

Si les droits sont déjà enchevêtrés, avec beaucoup de profils et des accès que personne ne sait expliquer, un administrateur peut faire l'inventaire et proposer un plan. Voir notre service profils et permissions Salesforce. Pour budgéter ce travail, consultez la page tarifs. Si un rapport n'affiche pas toutes les données, vérifiez d'abord les droits de l'utilisateur.

Références officielles

• Permission Sets (aide Salesforce) (nouvel onglet)
• Create a Permission Set (aide Salesforce) (nouvel onglet)
• Assign Permission Sets (aide Salesforce) (nouvel onglet)
• Permission Set Groups (aide Salesforce) (nouvel onglet)
• Create a Permission Set Group (aide Salesforce) (nouvel onglet)
• User Permissions and Access (aide Salesforce) (nouvel onglet)
• Standard Profiles (aide Salesforce) (nouvel onglet)

Questions fréquentes