Administrator 練習問題 Q76
Cloud Kicksの分析ユーザーには、オブジェクトの読み取り、作成、および編集アクセスが必要であり、レコードの削除を制限する必要があります。この要件を満たすために、管理者は何をする必要がありますか？
左の○で回答を選択。本文を押すと横線で除外でき、もう一度押すと戻せます。
1つ選択してください（0/1）
正答：C. オブジェクトごとに削除アクセスを削除したカスタムプロファイルを作成して割り当てます。
解説
前提知識
プロファイルとは
すべてのユーザーに必ず1つ割り当てる基本設定です。オブジェクト権限を設定することもできますが、現在のSalesforceでは、オブジェクト権限は権限セットや権限セットグループで管理し、プロファイルは既定アプリ、レコードタイプ、ページレイアウト、ログイン時間帯などの基本設定に使用する設計が推奨されています。
権限セットとは
ユーザーに追加のオブジェクト権限、項目権限、システム権限などを付与する仕組みです。1人のユーザーに複数の権限セットを割り当てられます。
💡 ここがまだモヤッとする方へ：プロファイルと権限セット：Salesforceの権限は「土台」と「追加ブロック」で考える で、プロファイルと権限セットの関係を詳しく整理しています
実効権限は付与元を合算して判断する
ここが本問の急所です。ユーザーの実効権限は、プロファイル、権限セット、権限セットグループなどから付与された権限を合わせて判断します。通常の権限セットは追加権限を付与する仕組みであり、プロファイルや別の権限セットから付与された［削除］権限を明示的に拒否できません。削除を禁止するには、ユーザーに権限を付与するすべての経路を確認し、どこからも［削除］が付与されていない状態にします。
設問の状況を分解する
- 分析ユーザーに必要なのは、読み取り・作成・編集の3つのアクセス
- 一方で、レコードの削除は制限（＝させない）必要がある
- 「削除させない」ためには、プロファイル、権限セット、権限セットグループなど、すべての付与元に［削除］権限がないことを確認する必要がある
- Cはカスタムプロファイルから［削除］を外すことを明示しているため、選択肢の中では要件を最も直接的に満たす
- Dは読み取り・作成・編集を追加するだけで、既存のプロファイルや他の割り当てに［削除］がないことを保証していない
選択肢の検討
A. 標準のシステム管理者プロファイルを分析ユーザーに割り当てます。 → ✕
システム管理者プロファイルは、［すべてのデータの参照］や［すべてのデータの変更］など、非常に広いアクセスを持つ標準プロファイルです。レコード削除を制限したい分析ユーザーへの割り当ては、要件と最小権限の原則に反します。
B. ユーザーに[すべて表示]アクセス権を付与し、役割階層の最上位の役割に割り当てます。 → ✕
［すべて表示］は、そのオブジェクトのすべてのレコードを参照できるようにして共有設定を上書きするオブジェクト権限です。ただし、読み取り・作成・編集・削除の組み合わせを設定する選択肢ではありません。役割階層も主にレコードアクセスを広げる仕組みであり、［削除］オブジェクト権限を取り消せません。
C. オブジェクトごとに削除アクセスを削除したカスタムプロファイルを作成して割り当てます。 → ⭕ 正解
カスタムプロファイルでは、オブジェクトごとに［参照］［作成］［編集］［削除］を設定できます。読み取り・作成・編集を許可し、削除を許可しないカスタムプロファイルを割り当てるCは、選択肢の中で要件を明示的に満たします。ただし、別の権限セットなどから［削除］が付与されていないことも確認が必要です。
D. 読み取り、作成、および編集アクセスを含む権限セットを作成して割り当てます → △（惜しいが不正解）
権限セットで読み取り・作成・編集を付与する方法は、最小アクセスのプロファイルを使用し、他の割り当てにも［削除］がなければ実務上成立します。しかしDには基礎プロファイルや既存の権限割り当てを確認・変更する記述がなく、ユーザーの［削除］権限を制限できることが保証されません。Cは［削除］を外す操作を明示している点が違いです。
管理者としての対処手順
- 対象ユーザーの［ユーザーアクセスの概要］やオブジェクトの［オブジェクトアクセス］で、現在の［削除］権限の付与元を確認する。
- 選択肢Cを実装する場合は、既存プロファイルを複製してカスタムプロファイルを作成し、対象オブジェクトの［参照］［作成］［編集］を有効、［削除］を無効にする。標準プロファイルのオブジェクト権限は直接編集できない。
- カスタムプロファイルを分析ユーザーに割り当てる。
- 権限セット、権限セットグループ、［すべてのデータの変更］など、別の経路から削除可能な権限が付与されていないことを確認する。
- 実務の推奨設計では、最小アクセスのプロファイルを土台にし、読み取り・作成・編集を権限セットで付与する方法も検討する。
あわせて覚えておきたいポイント
「特定の権限を禁止したい」という要件では、プロファイルだけを見るのではなく、その権限を付与するすべての経路を確認します。権限セットは追加アクセスを付与する仕組みであり、別の経路から付与された権限を明示的に拒否するものではありません。
出典（Salesforce公式）
- Permissions and Access Settings — ユーザーに1つのプロファイルと複数の権限セットを割り当て、各付与元の権限を組み合わせてアクセスを決定することの根拠
- Manage Salesforce Object Access（Trailhead） — オブジェクトの参照・作成・編集・削除を制御できること、標準プロファイルのオブジェクト権限は編集できないこと、最小アクセスのプロファイルと権限セットを用いる推奨設計、および権限を取り消すにはすべての付与元を確認する必要があることの根拠