Salesforceにおけるロール、プロファイル、権限セットの理解

アクセス管理(Access management)は、Salesforce の最前線のセキュリティにおける最も重要な構成要素の一つと言っても過言ではありません——ただし、そこには パスワードポリシー だけではない多くの要素があります。アクセス管理を適切に行いたいのであれば、ロール、プロファイル、権限セットを理解する必要があります。これらの制御がどのように機能するのか、そしてそれがユーザーがプラットフォーム上で何を閲覧し、何を実行できるかにどう影響するのかを十分に可視化できていないと、数多くのセキュリティおよびコンプライアンス上のリスクにさらされる可能性があります。

プロファイル、権限セット、ロールの違いは何ですか？

Salesforce では、プロファイル（profiles）と権限セット（permission sets）が「ユーザーができること」を定義します。一方、ロール（Roles）は「ユーザーが見られるもの」を定義します。Salesforce のアクセスについて手早く理解するために、この解説クリップをご覧ください。

先に進む前に、これをもう少し分解して理解しましょう。

プロファイル（Profiles） と 権限セット（permission sets） の両方が、オブジェクト（Objects）、フィールド（fields）、ユーザー設定（user settings）、タブ設定（tab settings）、アプリ設定（app settings）、Apex クラスへのアクセス（Apex class access）、Visualforce ページへのアクセス（Visualforce page access）、ページレイアウト（page layouts）、レコードタイプ（record types）、ログイン可能時間（login hours）、ログイン IP 範囲（login IP ranges）に対する CRED（Create, Read, Edit, Delete）の権限を制御します。すべてのユーザーは、プラットフォーム上で作成される際に プロファイル（profile） を割り当てられている必要があります。さらに、ユーザーごとにプロファイルは 1 つだけにすることができます。つまり、ユーザーのプロファイルは組織（Org）へのアクセスに関する基本的な認可（baseline authorization）です。

権限セット（Permission sets） は、名前のとおり、異なるプロファイルに適用できる追加の CRED 権限のセットです。通常、タスク（task-based）に基づいており、さまざまなオブジェクト（Objects）や管理パッケージ（managed packages）に関連しています。たとえば、営業担当（Sales）のユーザーには、見積もり（quotes）を生成するための CPQ アプリへのアクセスを可能にする権限セットが割り当てられることがあります。

ユーザーには複数の権限セット（permission sets）が割り当てられることもあれば、まったく割り当てられないこともあり、プロファイルよりもはるかに動的で柔軟な権限モデルになります。権限セットは、組み合わせて使えるように（mixed and matched）導入され、職務（job role）に応じて異なるユーザーに付与されます。家を想像してみてください。権限セットは、同じ一人の客に渡される「別々の部屋の鍵」のようなものです。

最後に、しかし決して重要度が低いわけではないのが roles です。ロールと共有設定は、レコードやフォルダーへのアクセスを管理することで、ユーザーが何を参照できるかを制御します。プロファイルとは異なり、ロールは必要なデータ・アクセスのレベルに基づいて階層構造になっています。たとえば、CEO や部門長は、明らかな理由から、アソシエイト級の従業員よりも多くの情報を確認する必要があるでしょう。

階層型のロール構造を作る最大のメリットは、組織が成長してもスケーラビリティを確保できることです。特定の機密データに対して段階的なアクセス権を設定すれば、「誰が何を見られるか」を厳密に管理しながら、より多くのスタッフを追加したり、社内で昇進させたりすることが容易になります。

Salesforce のプロファイルに関する問題

プロファイルはユーザーアクセスのベースラインではあるものの、かなり複雑になり得ます。先ほども触れたとおり、ユーザーはプロファイルを「正確に1つ」だけ割り当てられます。しかし、時間の経過とともに職務上の責任が変わっていくため、組織の変化するアクセス要件を反映する目的で、プロファイルが複製され（clone）、編集されることがよくあります。

その結果、成熟した組織（Org）であっても、プロファイル（profiles）が厳格なセキュリティ設計ではなく、従業員のニーズによって左右されてしまうことが少なくありません。ユーザーのプロファイルに、もう必要がない古い権限が残っているケースも珍しくありません。さらに、スタッフが役割に出入りするたびに古いプロファイルが使われずに放置されると、対応（クリーンアップ）すべき作業量が管理不能な規模になり、固有のセキュリティリスクとなり得る未授权アクセスの可能性も高まります。

プロファイルから Permission Sets へ移行する

では、「プロファイルの混乱（‘profile chaos’）」という問題はどう管理すればよいのでしょうか。私たちがおすすめするベストプラクティスは——そして Salesforce の推奨でもあります。——可能な限りプロファイルをシンプルで制約の強い状態に保ち、Permission Sets を使って、職務ごとに必要となるアクセス権のニュアンスを管理することです。プロファイルの混乱状態からそこへ到達するには、4ステップのプロセスが必要です。:

1. システム内の各プロファイルが何を行っているかを特定する
2. プロファイルを比較して、それらの違いを抽出します
3. これらの違いを権限セットにまとめます
4. プロファイルを統合し、冗長なものは無効化します

これは難しいプロジェクトになり得ます。特に、プロファイルが多い長年運用されている組織（Org）ではなおさらです。幸いなことに、物事を自動化するのに役立つ無料ツールがいくつかあります。

最小権限の原則

最小権限の原則（principle of least privilege）は、組織のセキュリティを維持するための最良の方法の1つです。この原則は、個人に対して、特定の職務または作業を実行するのに必要な最小限のアクセス権限だけを付与し、それ以上は付与しないという考えに基づいています。特権ユーザーの数を制限することは、five best practices の1つであり、米国のコンピュータ緊急事態対策チーム（US-CERT）傘下の国家サイバーセキュリティ・通信統合センター（NCCIC）が、あらゆる組織のサイバーセキュリティ戦略の一環として推奨しています。

良いニュースは、プロフィールを整理し、権限セットを使うように移行した後は、principle of least privilege を維持するのがかなり簡単になることです。 GearSet は ほぼすべての非管理者ユーザーに対して「minimum access」プロファイルを使用することを提案しています。

より高い可視性のために Netwrix Strongpoint を活用する

Netwrix Strongpoint は、アクセス制御を自動的に文書化し監視します。また、ロール、プロファイル、権限セット、Objects、フィールド間の接続関係を可視化するためのツールも提供します。これにより、重要な Objects とフィールドに誰がアクセスできるのかを調査し、クリーンアップ（cleanup）プロジェクトを実行し、ユーザーのアクセスに対する変更を継続的に追跡できます。