共有継承の制限および考慮事項

共有継承の制限

• すべてのオブジェクトレコードにそれぞれ 400 個未満の共有記述子がある場合、サポートされるオブジェクトからの共有継承を適用できます。共有継承でサポートされるオブジェクトは次のとおりです。
  • 取引先
  • ケース
  • 取引先責任者
  • リード
  • 商談

メモ オブジェクトはローカルであり、sfdcDigest 変換を使用して抽出される必要があります。「共有継承の有効化」の手順に従って、各オブジェクトの共有継承を有効にします。[共有継承の対象範囲の評価] レポート (こちらを参照) では、サポート対象外のオブジェクトに対してすべてのユーザーが UNSUPPORTED としてリストされます。

• 共有継承は、「すべてのデータの参照」権限を持つユーザー、または 3,000 個未満の共有記述子でレコードアクセス権が付与されているユーザーが対象となります。この数よりも多くの共有記述子があり、「すべてのデータの参照」権限を持たないユーザーの場合、バックアップセキュリティ述語が有効になります。共有記述子は、次のようなさまざまな方法で付与されるレコードアクセス権です。
  • レコードの所有
  • ロール階層
  • 共有ルール
  • 共有の直接設定
  • Apex による共有管理

メモ ユーザーまたはレコードに関連付けられた共有記述子の数は、開発者のサポートなしでは簡単に数えられません。代わりに、[共有継承の対象範囲の評価] レポートを使用して、共有継承の対象範囲外のレコードまたはユーザーのリストを取得します。3,000 個を超える共有記述子を持つユーザーが対象範囲外となる原因は、HIGH_VISIBILITY です。

• 共有継承は Salesforce ユーザーでのみ機能します。Experience Cloud サイトユーザーおよびログインでは使用できません。Experience Cloud サイトでセキュリティを提供するには、セキュリティ述語を使用する必要があります。
• 追加または更新/挿入出力ノードで生成されたレシピデータセットでは、共有継承はサポートされません。

一般的な考慮事項

• ベストプラクティスとして、継承された共有を使用するデータセットにはセキュリティ述語を定義することをお勧めします。セキュリティ述語がない場合、共有継承の対象範囲外のユーザーにはデータセット行レベルアクセス権がないため、データセットのデータは表示されません。
• 共有がデータセットに自動的に適用されることはありません。共有を各データセットに手動で適用できます。
• 共有継承がクエリ、データフロー、およびデータプレップレシピのパフォーマンスに影響を及ぼすことがあります。最良のパフォーマンスを得ることが要件に含まれる場合、共有継承ではなくセキュリティ述語を使用します。そうでない場合、共有継承を使用すると便利です。
• データフローでの rowLevelSharingSource または rowLevelSecurityFilter セキュリティ設定の変更は、変更の保存後に作成されたデータセットにのみ影響します。同様に、データプレップレシピの出力ノードの [共有ソース] 項目と [セキュリティ述語] 項目の変更は、変更の保存後に作成されたデータセットにのみ影響します。既存のデータセットに対するこれらの設定は、データセット編集ページで更新します。
• オブジェクトをセキュリティ共有の変換元リストに表示するには、カスタムオブジェクトの主キーがデータセット内の項目でなければなりません。外部キーはこの要件を満たしません。たとえば、データセットに Opportunity.AccountId があり、Account.Id がない場合、Account オブジェクトから共有を継承することはできません。
• 共有継承では、Salesforce 組織の共有設定が使用されます。Salesforce 組織の不完全な共有設定を CRM Analytics に適用したくない場合は、共有継承を使用しないでください。
• 共有継承は従来のデータプレップレシピでは使用できません。

情報漏洩の考慮事項

共有継承を使用する場合、アクセスできてはならないユーザーにデータが漏洩することを回避するには、次の点を考慮してください。

• データセットの作成に使用された変換元オブジェクトの数に関係なく、データセットの共有設定は 1 つのオブジェクトからのみ継承できます。データセットは多数のオブジェクトから構成されているため、各オブジェクトで異なるセキュリティモデルが使用されている可能性があります。
• computeRelative および delta データフロー変換では、異なるセキュリティのレコードから情報がマージされる可能性があります。
• 計算項目は通常の項目として扱われます。Salesforce での計算時に適用された行レベルのセキュリティは無視されます。
• $User 情報を参照するセキュリティ述語では、新しい値が認識される前に新しいユーザーセッションが必要です。

重要 データフローの各実行でフル抽出を行わない場合、CRM Analytics に取り込むデータセットで「セキュリティドリフト」がリスクになるかどうかを評価します。定期的な完全同期の使用を検討してください。詳細は、「セキュリティメタデータドリフト」を参照してください。