Administrator 練習問題 Q105

解説

前提知識

プロファイルとは

ユーザーがSalesforceの中で何をできるかを決める基本設定のまとまりです。オブジェクトの作成・編集・削除権限、項目の可視性、［設定］へのアクセスなどを持ちます。 ユーザー1人に割り当てられるプロファイルは1つだけです。

権限セットとは

プロファイルの上に追加で重ねる権限の小包です。公式の表現では、権限セットは「既存のプロファイルを修正したり、新しいプロファイルを作成したりすることなく、特定のユーザーに追加の権限を付与する」ものです。何枚でも重ねられます。

📌 プロファイルは土台、権限セットは上に積むブロック。「この人にだけ何かを足したい」という要件が出たら、答えはほぼ常に権限セットです。

「すべて変更」と「すべてのデータの変更」

Salesforce には、範囲の異なる権限があります。

• すべて変更（Modify All Records）：特定のオブジェクトの全レコードに対して参照・編集・削除などを許可するオブジェクト権限
• すべてのデータの変更（Modify All Data）：組織内の全データに広く影響するシステム権限 設問文の「管理者と同様」という表現は曖昧ですが、選択肢Cが意図しているのは、必要な範囲の権限を権限セットで追加する考え方です。

権限	効く範囲
すべてのデータの変更	組織内の全オブジェクト。事実上の管理者権限
すべて変更（オブジェクト別）	指定した1つのオブジェクトだけ

公式は、オブジェクト別の「View All Records」「Modify All Records」は「View All Data」「Modify All Data」のより良い代替手段になりうると明記しています。必要以上に広い権限を渡すな、ということです。

📘 プロファイルと権限セットの使い分けがまだモヤッとする方へ→ プロファイルと権限セット：Salesforceの権限は「土台」と「追加ブロック」で考える

設問の要件を整理する

1. 対象は一部の経営層ユーザーだけ（全員ではない）
2. 与えたいのは**「すべて変更」権限だけ**
3. しかもこの人たちは管理者ではない（管理者チームは別にいる） つまり、土台は普通のユーザーのままで、一部の人に、一つの権限だけを追加で渡すという要件です。この形は権限セットの定義そのものです。

---

選択肢の検討

A. 標準のプラットフォームユーザープロファイルを編集する → ✕

二重に間違っています。 まず、標準プロファイルのオブジェクト権限・ユーザー権限は編集できません。変えたければ複製するか、権限セットで足す必要があります。 仮に編集できたとしても、プロファイルを編集すればそのプロファイルを持つ全員に権限が広がります。「一部のユーザーにだけ」という要件を満たせません。

B. 標準のシステム管理者プロファイルを割り当てる → ✕

確かに「すべて変更」は手に入りますが、一緒に渡してはいけないものまで全部渡ります。

• ユーザーの作成・無効化・パスワードリセット
• 項目やオブジェクトの削除
• 全データのエクスポート
• 共有設定や自動化の変更 公式も、Modify All Data は他のすべての共有設定を上書きするため、システム管理者以外のプロファイルに割り当てる際は注意せよと警告しています。

💡 「管理者と同じことがしたい」と言われても、管理者プロファイルをそのまま付与するのではなく、必要な権限だけを切り出して付与するのが原則です。選択肢では、権限セットを使うCが最も適切です。

C. 標準ユーザープロファイル＋「すべて変更」を含むカスタム権限セット → ⭕ 正解

土台（プロファイル）は普通のユーザーのままにしておいて、必要な人に、必要な権限だけをピンポイントで足す。これがSalesforceの権限設計の基本形です。

• 対象をユーザー単位で選べる
• 与える権限を最小限にできる
• 後から外すのも、割り当てを解除するだけで済む
• 誰に何を与えたかが後から追える

D. 標準ユーザープロファイルを複製し、「すべて変更」ロールを割り当てる → ✕

**「すべて変更ロール」というものは存在しません。**ここが最大の引っ掛けです。

	決めること
プロファイル・権限セット	何ができるか
ロール（ロール階層）	どのレコードが見えるか

ロールは**共有（可視性）の仕組みであって、権限を与えるものではありません。**ロールに「すべて変更」を付けることはできません。

---

管理者としての対処手順

1. ［設定］→［権限セット］→［新規］で、例えば「経営層：商談のすべて変更」というセットを作成する
2. ［オブジェクト設定］で対象オブジェクトを選び、［すべて変更］にチェックを入れる
3. 必要なオブジェクトの分だけ繰り返す（全オブジェクトには広げない）
4. ［割り当ての管理］から、対象の経営層ユーザーを選んで割り当てる
5. ［ユーザー］→対象ユーザーの**［ユーザーアクセスの確認］**で、意図した権限だけが付いているか検証する

⚠️ 同じ要件が複数の役割で発生するなら、権限セットを権限セットグループで束ねておくと、後の運用が楽になります。

---

あわせて覚えておきたいポイント

• **権限セットは権限を足すことしかできません。**制限をかけたいなら、土台のプロファイル側を狭めます。
• 「すべて変更」は共有設定を完全に上書きします。非公開のオブジェクトでも全レコードが見えて編集できるようになるので、付与は慎重に判断します。
• 現在のSalesforceは、「最小限のアクセス - Salesforce」プロファイルを土台にして、権限セットで積み上げる設計を推奨しています。

---

出典（Salesforce公式）

• 「View All」と「Modify All」権限 — 決定的根拠：「「View All」と「Modify All」権限は共有ルールと設定を無視し、管理者が組織全体で当該オブジェクトのレコードへのアクセスを付与できるようにする。「View All Records」と「Modify All Records」は、「View All Data」や「Modify All Data」より良い代替手段になりうる」
• Permission Set Types — 「権限セットは、既存のプロファイルを修正したり、新しいプロファイルを作成したりすることなく、既存のプロファイル権限の上に、特定のユーザーへ追加の権限を付与する」
• Control Who Sees What（Trailhead） — 「システム管理者プロファイルには View All Data と Modify All Data という特別な権限が2つ含まれる。これらの権限は他のすべての共有設定を上書きするため、システム管理者以外のプロファイルに割り当てる際は注意すること」
• Modify All Data Permission in Salesforce — 「システム権限として Modify All Data を有効にすると、全オブジェクトが Modify All Records / View All Records 権限を持つ状態に変わる」
• Sharing and Record Access Features — 「ロール階層は、階層上の部下が所有または共有されているレコードへのアクセスを自動的に付与する」（ロールは共有の仕組みであることの根拠）

Salesforce公式ドキュメント↗