使用角色层次结构控制访问权限

控件名称

使用角色层次结构、小组和共享规则控制访问权限

推荐配置

使用层次结构授予访问权限 - 在“共享设置”页面上选中：

设置>共享设置>组织范围内的共享默认设置编辑>选定对象启用“使用层次结构授予访问权限”。

控制概览

在角色层次结构中，用户可以访问其下方角色中的用户拥有或共享的记录。层次结构中的角色会影响对组件（例如记录和报表）的访问。

安全风险（如果未配置）

不为自定义对象启用“使用层次结构授予访问权限”设置会阻止经理和上级自动继承对其下属拥有的记录的访问权限，从而导致严重的数据孤岛和分散的可见性。

这种缺乏自动访问权限的情况迫使管理员依赖复杂的手动共享规则来维护监督，这增加了配置错误和过度配置“查看所有”或“修改所有”权限的风险，而这是恢复必要可见性的一种有风险的解决方法。

威胁场景

管理员尝试生成紧急合规报表，但被阻止，因为自定义对象的层次结构访问权限被禁用，提示管理员授予“查看所有”权限，作为快速解决方法。

这种过度的权限允许经理（或危及客户的威胁行为者）绕过所有行级安全性，访问整个公司中他们从未想看到的敏感记录。

估计的 CVSS 得分范围

关键 (9.0–10.0)。

风险影响注意事项

风险增加取决于公司结构、用户数量以及组织中的角色和简档。

高风险

禁用层次结构访问权限的风险由于缺乏精细的权限集治理而进一步加剧，这通常促使管理员向管理员授予广泛的“查看所有”或“修改所有”权限，作为一种快速但不安全的可见性解决方法。

此外,缺乏自动共享策略(例如动态共享规则或 Apex 共享 ) , 以及没有定期的访问审查来确保手动"一次性"共享分配变得不可管理,最终导致权限过大和数据过度泄露。

低风险或无风险

为了最大限度地减少禁用层次结构访问权限时出现数据孤岛的风险，公司可以实施基于条件的共享规则或手动共享，以根据业务需求向特定经理或公共小组明确授予记录可见性。

此外，对于复杂场景使用 Apex 受管共享或使用公用小组和团队，可确保通过精细、有记录的异常来维护监督，而不是依赖宽泛和危险的“查看所有”管理权限。

业务和集成注意事项

基于角色的用户访问和权限。

建议的补救措施

实施定期访问权限审查，并使用层次结构启用访问权限。

安全健康审查指导

不适用 - 当前未由安全运行状况审查工具检查。