Administrator 練習問題 Q55

解説

前提知識

プロファイルとは

ユーザー1人1人に必ず1つ割り当てる、基本的な権限の土台です。「この人はどのオブジェクトを作成・参照・編集・削除できるか」だけでなく、「いつ、どこからログインできるか」というセキュリティ設定もプロファイルが持っています。ここが本問の核心です。 プロファイルが持つログイン関連の設定は主に2つです。

• ログイン時間帯の制限: 曜日ごとに、何時から何時までログインを許すかを指定する
• ログインIPアドレスの制限: 許可するIPアドレスの範囲を登録する

ロール（ロール階層）との違い

初学者が一番混乱するのがここです。役割を一言で分けると次のとおりです。

仕組み	決めること
プロファイル	何ができるか（オブジェクト権限、項目レベルセキュリティ、システム権限、ログイン時間帯とIP制限）
ロール	誰のレコードを見られるか（上司は部下のレコードを見られる、というデータの見え方）
権限セット	プロファイルの上に追加で権限を与える（引き算はできない）

ロールはあくまでデータの見える範囲の話であって、ログインの可否には一切関与しません。

設問の状況を分解する

要求を分解すると、制約は2つです。

1. ログインできる時間帯を限定したい
2. ログインできるIPアドレスを限定したい この2つを同じ場所でまとめて設定できるのは、プロファイルだけです。選択肢を見るときは、「両方の要求を一つで満たせるのはどれか」という目で絞り込んでください。 なお、IP制限には組織全体にかける「信頼できるIP範囲」（［設定］→［ネットワークアクセス］）と、プロファイル単位の「ログインIPアドレスの制限」の2種類があります。前者は範囲外からのログインに確認コードを求めるだけですが、後者は範囲外からのログインを完全に拒否します。「不正侵入者のリスクを最小限にする」という今回の目的には、プロファイル側の制限が合致します。

---

選択肢の検討

A. 会社設定 → ✕

［会社情報］や会社単位の設定で扱うのは、組織名、デフォルトのタイムゾーンや通貨、ロケール、ライセンス保有状況です。ユーザー別のログイン可能時間をここで決めることはできません。

B. ユーザーのロール → ✕

ロールはレコードの可視性（上司が部下のデータを見られるか）を決める仕組みです。ロールの設定画面には、ログイン時間帯もIP範囲も存在しません。 これが正解になるのは、問題が「部下の商談を上司に見せたい」などの可視性を聞いている場合です。

C. ユーザーのプロファイル → ⭕ 正解

Salesforce公式は、ログインIPアドレスの制限について「［設定］から［プロファイル］を検索して選択し、このプロファイルのIPアドレスを制限するには許可されるIP範囲を追加する」と手順を示しています。またログイン時間帯についても、公式のTrailheadが「プロファイルごとにユーザーがログインできる時間帯を指定できる」と明記しています。 つまり、今回の2つの要求はどちらもプロファイルの設定画面で完結します。

D. カスタム権限セット → ✕

権限セットは、プロファイルに権限を足すための仕組みです。足し算専用であり、ログイン時間帯やIPアドレスのような「制限をかける」設定は持ちません。「使える範囲を狭めたい」ときに権限セットを選ぶのは、試験でも実務でも典型的な誤りです。

---

管理者としての対処手順

ログイン時間帯の制限

1. ［設定］のクイック検索で［プロファイル］を選択する。
2. 対象のプロファイルを開く。
3. ［ログイン時間帯の制限］で［編集］をクリックする。
4. 曜日ごとに開始時刻と終了時刻を設定して保存する。特定の曜日を丸ごと禁止したい場合は、開始時刻と終了時刻に同じ値を設定する。 ログインIPアドレスの制限
5. 同じプロファイルの詳細画面で［ログインIPアドレスの制限］を開く。
6. ［新規］で、許可するIPの開始アドレスと終了アドレスを登録する。
7. 保存する。 実務上の注意点として、自分自身のプロファイルに厳しいIP制限をかけて、管理者がログインできなくなる事故が頻発します。先にサンドボックスで検証し、システム管理者プロファイルには慎重に適用してください。

---

あわせて覚えておきたいポイント

IP制限には2種類あり、効果が全く違います。違いを押さえておきましょう。

設定場所	名前	範囲外からログインしたとき
［設定］→［ネットワークアクセス］	信頼できるIP範囲（組織全体）	ログインはできるが、確認コードの入力を求められる
プロファイルの［ログインIPアドレスの制限］	ログインIP制限（プロファイル単位）	ログイン自体が拒否される

ログイン時間帯は、プロファイルで最初に設定した時点の組織のデフォルトタイムゾーンを基準に保存されます。その後に組織のデフォルトタイムゾーンを変更しても既存のプロファイル設定は自動では変わらず、ユーザーが別のタイムゾーンにいても時間帯は変換されません。海外拠点で使う場合は、基準時刻を確認してプロファイルごとに設定してください。 なお、セッション中にログイン許可時間を過ぎた場合、ユーザーは引き続き現在の画面を見られますが、新しいデータを要求する操作（レコードの保存やタブの移動）はできなくなります。

---

出典（Salesforce公式）

• プロファイルでのログイン IP アドレスの制限 — 「［設定］から［プロファイル］を検索して選択し、対象のプロファイルの［ログイン IP アドレスの制限］で許可される IP 範囲を追加する」（IP制限がプロファイル単位であることの根拠）
• 組織へのアクセスの制御（Trailhead） — 「プロファイルごとに、ユーザーがログインできる時間帯を指定できる」「プロファイルの詳細ページで［ログイン時間帯の制限］の［編集］をクリックする」（ログイン時間帯がプロファイル単位であることの根拠）
• プロファイルのログイン時間帯の参照と編集 — 初回設定時は会社情報の組織デフォルトタイムゾーンを基準にし、その後の組織タイムゾーン変更やユーザー所在地では自動変更されない
• プロファイル — プロファイルがオブジェクト権限・項目権限に加えてログイン関連の制限を保持することの根拠
• 信頼できる IP 範囲の設定 — 組織全体の信頼できるIP範囲と、プロファイル単位のログインIP制限が別の仕組みであることの根拠

Salesforce公式ドキュメント↗