组织中最常见的错误之一就是拥有太多具有系统管理员简档的用户。不幸的是，这在某些行业中非常普遍。

实际上这存在着很大的潜在风险。拥有这些权限的用户可能会暴露、窃取或删除组织中的数据，甚至影响到其他用户。防止过多的管理员访问权限是保护Salesforce组织的第一步。但是，仅将用户从系统管理员简档中移除是不够的，需要彻底审查所有简档及其包含的权限。

不仅仅是系统管理员简档拥有扩展的权限，任何自定义简档都可能有过多的权限。尤其是那些最初从系统管理员简档克隆而来的简档，或者创建时没有注意到它们包含哪些权限的简档。

此外，简档的名称（尤其是自定义简档）并不表示该简档中包含哪些权限。因此，即使一个简档被命名为“Benign Friendly User Profile”，它也可能包含你不希望用户拥有的各种权限。

01

查看简档

在“Setup”中，导航到“User Management Settings”部分，确保已启用增强的简档列表视图。

02

创建简档列表视图

接下来，导航到Profiles。创建简档列表视图的过程与构建传统列表视图略有不同。你可以像常规列表视图一样筛选此列表。但是，在初始审查期间，最好只审查你拥有的所有个人资料。

此外，还需要选择在列表视图中查看的列，也就是权限。下面的列表包括用户可以拥有的一些最高级别的权限：

• 自定义应用程序Customize Application：允许用户进入设置，以及创建字段、对象、更改选项列表值和验证规则等。
• 修改所有数据Modify All Data：允许用户编辑所有对象上的字段。这包括“只读”字段，或记录中属于任何用户的字段，即使未共享。
• 查看所有数据View All Data：允许用户查看所有字段中的数据，甚至是已从页面布局中删除的字段、“只读”字段或未与其共享的记录。
• 查看设置和配置View Setup & Configuration：允许用户进入设置区域。
• 密码永不过期Password Never Expires：允许用户拥有永不过期的密码。这种许可甚至可能使公司违反PCI或SOC合规规则。
• 批量API硬删除Bulk API Hard Delete：允许用户删除记录并跳过回收站。
• 分配权限集Assign Permission Sets：允许用户将权限集分配给用户，从而将该权限集中包含的所有内容授予该用户。
• 管理自定义权限集Manage Custom Permission Sets：允许用户更改自定义权限集的内容，这可以授予用户额外的权限。
• 编辑只读字段Edit Read Only Fields：允许用户更改“只读”字段的值。
• 管理内部用户Manage Internal Users：允许用户更改、激活或停用任何内部用户。

现在有了要查找的权限列表，就可以自定义列表视图了。

点击保存后，导航到新的列表视图。

03

每个简档的用户报告

本质上，每个人都是管理员，即使是“Benign Friendly User Profile”中的用户也可以在Salesforce中更改元数据系统。虽然BDR简档不允许用户在设置中编辑任何内容，但仍然可以查看所有内容。

当我们将其与用户报告结合起来时，可以看到问题的严重性：

如果这个组织中的85人可以自由支配，基本上可以不受限制地做任何他们想做的事。当务之急是将所有这些用户迁移到更适合他们在Salesforce中实际需求的简档。这种情况在缺乏安全考虑的组织中比较常见，甚至有些组织根本不知道存在这些问题。

增强的简档列表视图可以帮助管理员快速轻松地查看所有简档及其包含的权限。

04

需要注意的其他权限

上面列出的10个权限是一些最重要的检查权限，但还有一些其他非管理员级别的权限可能存在潜在风险。通常包含“管理”或“公共”一词，如下所示：

• 管理公共列表视图Manage Public List Views
• 管理公共文件夹中的报告Manage Reports in Public Folders
• 管理公共文件夹中的仪表板Manage Dashboards in Public Folders

作者：自由侠部落

👉：Salesforce学习资料、高薪岗位、考证攻略，$140考试优惠券

本文欢迎转载，但未经作者同意必须保留此段声明，且在文章页面明显位置给出原文连接

如果文章的内容对你有帮助，欢迎点赞~