Conjuntos de permisos de Salesforce: explicación, ejemplos y mejores prácticas
Los conjuntos de permisos de Salesforce otorgan acceso adicional a los usuarios sin cambiar sus perfiles. Cada usuario tiene un perfil y puede recibir varios conjuntos de permisos, ya sea directamente o mediante grupos de conjuntos de permisos. Estos permisos se suman al acceso que el usuario ya tiene.
Para un equipo pequeño de Salesforce, el objetivo es dar a cada usuario el acceso que necesita y confirmar que no tenga más de lo necesario. Esta guía explica paso a paso cómo crear y asignar un conjunto de permisos, describe los grupos y la desactivación de permisos, y muestra cómo resolver problemas de acceso.
Qué hacen los conjuntos de permisos y cómo se acumula el acceso
Un conjunto de permisos es una colección de configuraciones y permisos: acceso a objetos y campos, permisos de usuario, visibilidad de aplicaciones y pestañas, acceso a clases de Apex y páginas de Visualforce, entre otros. Lo asignas a los usuarios que necesitan ese acceso, además de lo que ya permite su perfil.
El acceso es acumulativo: los conjuntos de permisos pueden otorgar acceso, pero no pueden quitarlo. Dejar un permiso sin marcar en un conjunto no elimina el acceso otorgado por un perfil, otro conjunto o un grupo de conjuntos de permisos. Para quitar el acceso, busca todas las fuentes que otorgan el permiso y ajusta esos permisos o asignaciones. Revisa el efecto en otros usuarios antes de cambiar un perfil o conjunto compartido.
Salesforce recomienda mantener los perfiles con el mínimo acceso posible y luego agregar conjuntos de permisos reutilizables y agruparlos según el tipo de usuario, como agente de soporte o representante de ventas.
Perfiles, conjuntos de permisos y grupos de conjuntos de permisos
| Perfil | Conjunto de permisos | Grupo de conjuntos de permisos | |
|---|---|---|---|
| Por usuario | Exactamente uno, obligatorio | Cero o más | Cero o más |
| Propósito | Configuraciones básicas como horarios de inicio de sesión, rangos de IP de inicio de sesión, asignaciones de formatos de página y tipos de registro predeterminados | Agrega acceso específico para una tarea o función | Agrupa varios conjuntos en una sola asignación para un tipo de usuario |
| ¿Puede quitar acceso? | Quitar un permiso de un perfil solo elimina el acceso si ninguna otra fuente lo otorga | No | La desactivación de permisos solo suprime los permisos otorgados dentro de este grupo |
| Ejemplo típico | Un perfil de acceso mínimo para todos los usuarios internos | Soporte - Editar casos | Agente de soporte, que contiene conjuntos de casos, conocimiento e informes |
En la práctica, mantén el perfil con lo mínimo e incluye el acceso a funciones o tareas específicas en conjuntos de permisos. Usa un grupo cuando varios usuarios necesiten la misma combinación de conjuntos.
Los cinco tipos de conjuntos de permisos y cuándo usar cada uno
Salesforce enumera cinco tipos de conjuntos de permisos. Los grupos reúnen varios conjuntos de permisos; se explican por separado más adelante.
| Tipo | Qué es | Cuándo usarlo |
|---|---|---|
| Personalizado | Creado por tus administradores para una tarea y reutilizable entre distintos roles | Para la mayor parte del diseño de acceso diario |
| Estándar | Preconfigurado por Salesforce para una sola función y vinculado a una licencia de conjunto de permisos | Cuando los usuarios necesitan el acceso estándar correspondiente a la licencia de esa función |
| Gestionado | Se instala con un paquete gestionado e incluye el espacio de nombres del paquete. Las organizaciones suscriptoras no pueden editar sus permisos | Para otorgar acceso a una aplicación instalada. Clónalo para obtener una copia editable o agrega un conjunto personalizado para dar acceso adicional |
| Integración | Proporcionado por Salesforce para integraciones específicas. Solo se pueden editar algunos tipos de permisos, según el caso de uso | Para usuarios de integración y servicios conectados |
| Basado en sesión | Otorga acceso solo mientras está activado para una sesión específica | Para acceso elevado o sensible que debe activarse para una tarea en lugar de permanecer activo todo el día |
Licencias y acceso a registros
Un conjunto de permisos funciona dentro de los límites de las licencias del usuario y las reglas de acceso a registros de Salesforce.
Licencias. El usuario necesita una licencia de usuario o de conjunto de permisos que admita el permiso que le otorgas. Al crear un conjunto de permisos, puedes elegir una licencia o seleccionar Ninguna. Ninguna te permite usar el conjunto con distintos tipos de licencia, pero no omite los requisitos de licencia. Cada usuario debe tener derecho a todos los permisos incluidos para que puedas asignarle el conjunto.
Acceso a registros. Los permisos de objeto controlan acciones como leer o editar casos. Los permisos de campo controlan qué campos puede ver o cambiar un usuario. La configuración de uso compartido, como los valores predeterminados de toda la organización, la jerarquía de roles y las reglas de uso compartido, generalmente determina a qué registros individuales puede acceder un usuario. Si un usuario tiene el permiso Editar en Casos, pero no puede editar un caso específico, revisa su acceso compartido a ese registro. Los permisos amplios, como Ver todos los registros o Modificar todos los registros, pueden prevalecer sobre la configuración de uso compartido de un objeto.
Cómo crear y asignar un conjunto de permisos
La tarea: tres agentes de soporte necesitan editar casos. Un cuarto agente, aún en capacitación, debe conservar el acceso de solo lectura. Los cuatro comparten el mismo perfil.
Revisa el acceso existente. Confirma que los cuatro agentes tengan permiso de lectura en Casos y que el agente en formación no tenga acceso de edición mediante un perfil, conjunto de permisos o grupo. Si el perfil compartido ya otorga el permiso de edición, agregar un conjunto de permisos no eliminará el acceso del agente en formación. Revisa quién depende de ese perfil antes de trasladar el permiso de edición a un conjunto de permisos para los agentes que lo necesitan.
Revisa las licencias. Confirma que la licencia de usuario de cada agente admita acceso de edición a Casos.
Crea el conjunto de permisos. En Configuración, ingresa Conjuntos de permisos en el cuadro Búsqueda rápida y haz clic en Nuevo. Ingresa la etiqueta Soporte - Editar casos y el nombre de API Support_Edit_Cases. Para este ejemplo, deja Licencia en Ninguna, confirma que la licencia de cada usuario asignado admita los permisos incluidos y guarda.
Otorga el acceso mínimo. Abre Configuración de objetos, selecciona Casos y haz clic en Editar. Activa Leer y Editar. Deja Crear, Eliminar, Ver todos los registros y Modificar todos los registros sin seleccionar, a menos que la tarea los requiera. Otorga acceso de lectura a los campos que los agentes necesitan ver y acceso de edición solo a los que necesitan actualizar, como Estado y Prioridad. Guarda.
Asígnalo. Haz clic en Administrar asignaciones y luego en Agregar asignaciones. Selecciona a los tres agentes y haz clic en Siguiente. Elige una fecha de vencimiento si el acceso es temporal, o selecciona Sin fecha de vencimiento, y haz clic en Asignar.
Verifica el acceso de un agente. Abre el registro de usuario de uno de los agentes y consulta su Resumen de acceso de usuario (los pasos están en la sección de solución de problemas más abajo). Confirma que aparezca el permiso Editar en Casos, otorgado por Soporte - Editar casos. Luego, comprueba que el agente pueda actualizar Estado o Prioridad en un caso al que tenga acceso.
Verifica el acceso del agente en formación. Repite la comprobación para el agente en formación. Confirma que pueda leer un caso, pero no editarlo. El permiso Editar en Casos no debe aparecer en el resumen. Si aparece, usa Acceso otorgado por para encontrar el perfil, conjunto o grupo responsable.
Comprobar ambos usuarios permite detectar si un perfil o un conjunto de permisos anterior otorga más acceso del previsto.
Cómo los grupos y la desactivación de permisos cambian los permisos efectivos
Un grupo de conjuntos de permisos reúne varios conjuntos de permisos para que puedas asignarlos juntos a usuarios con las mismas responsabilidades. El usuario asignado recibe los permisos combinados, excepto los silenciados dentro del grupo.
Un conjunto de permisos de silenciamiento suprime determinados permisos dentro de un grupo sin modificar los conjuntos que contiene. El silenciamiento solo afecta a su propio grupo. El usuario conserva el permiso si se lo otorga un perfil, un conjunto de permisos asignado por separado u otro grupo.
Ejemplo. Un grupo Agente de soporte contiene Soporte - Editar casos y un conjunto de informes que otorga el permiso Exportar informes. Creas un grupo Soporte de contratistas con los mismos conjuntos y luego silencias Exportar informes dentro de ese grupo.
| Fuentes de acceso del contratista | Exportar informes antes del silenciamiento | Exportar informes después del silenciamiento |
|---|---|---|
| Solo el grupo de contratistas | Sí | No |
| Grupo de contratistas más un conjunto de informes asignado por separado | Sí | Sí, otorgado por el conjunto separado |
| Grupo de contratistas más un perfil que otorga Exportar informes | Sí | Sí, otorgado por el perfil |
Después de agregar un conjunto de permisos de silenciamiento, abre el Resumen de acceso de usuario de un usuario afectado para confirmar que ya no se le otorgue Exportar informes. Si aún aparece, revisa Acceso otorgado por para identificar otra fuente.
Vencimiento de asignaciones y activación por sesión
Ambos otorgan acceso temporal, pero funcionan de manera diferente.
| Vencimiento de la asignación | Conjunto de permisos basado en sesión | |
|---|---|---|
| Qué es temporal | La asignación del usuario a un conjunto o grupo | El acceso en sí, por sesión |
| Cómo comienza | Asigna como de costumbre y elige una fecha de vencimiento | Asigna el conjunto y luego actívalo para una sesión mediante Flow (la acción Activar conjunto de permisos basado en sesión) o la API (SessionPermSetActivation) |
| Cómo termina | El acceso de la asignación vence en la fecha elegida; la asignación sigue apareciendo en la lista | La sesión termina o el conjunto de permisos se desactiva explícitamente |
| Ideal para | Un contratista que necesita acceso durante un proyecto | Acceso activado para una tarea que requiere privilegios elevados y limitado a la sesión actual |
Asignar un conjunto de permisos basado en sesión no lo activa. El usuario recibe acceso solo después de activarlo para su sesión actual. Ese acceso puede continuar después de que termine el flujo que lo activó; desactívalo explícitamente si debe terminar antes. Los conjuntos de permisos basados en sesión no admiten procesos asíncronos.
Cómo resolver problemas de acceso inesperado o faltante
Comienza con el Resumen de acceso de usuario integrado. En Configuración, ingresa Usuarios en el cuadro Búsqueda rápida, selecciona Usuarios, abre el registro del usuario y haz clic en Ver resumen. Actualiza la página para ver los datos vigentes. Necesitas el permiso Ver instalación y configuración para consultarlo.
Acceso inesperado. Busca el permiso, abre el menú de acciones de su fila y haz clic en Acceso otorgado por. Revisa los perfiles, conjuntos de permisos y grupos que lo otorgan. Elimina las asignaciones innecesarias del usuario o cambia los permisos otorgados; antes de editar una fuente compartida, revisa quién más depende de ella.
Falta de acceso. Confirma que el permiso aparezca en el resumen. Si no aparece, comprueba que la asignación esté activa y no haya vencido, que el usuario tenga las licencias necesarias y que ningún silenciamiento de grupo suprima el permiso. Si es un conjunto basado en sesión, revisa también la activación. Si el permiso del objeto aparece, pero un registro específico no se abre, revisa la configuración de colaboración del registro. Si el registro se abre, pero no se puede editar un campo, revisa los permisos de campo.
Para una revisión más amplia de varios conjuntos y grupos, la aplicación opcional User Access and Permissions Assistant de Salesforce incluye Permissions Analyzer. Puedes instalarla desde AppExchange siguiendo las instrucciones de instalación de Salesforce. Para conocer más soluciones, consulta nuestra guía para solucionar problemas de permisos de Salesforce.
Mejores prácticas para gestionar conjuntos de permisos
- Otorga los privilegios mínimos. Otorga solo lo que requiere la tarea, como en el ejemplo práctico: Leer y Editar en Casos, sin Eliminar, Ver todos los registros ni Modificar todos los registros.
- Mantén los perfiles al mínimo. Traslada el acceso a funciones a conjuntos de permisos para que puedas administrar el acceso a tareas mediante asignaciones. Revisa otras fuentes antes de asumir que eliminar una asignación elimina el permiso.
- Usa nombres claros. Nombra los conjuntos según la tarea, como Support_Edit_Cases o Sales_Data_Read, y los grupos según el rol del usuario.
- Asigna según el perfil de usuario. Usa un grupo de conjuntos de permisos para los usuarios que necesitan la misma combinación de accesos. Asigna conjuntos adicionales solo para tareas fuera de ese grupo.
- Revisa periódicamente. Elimina el acceso al proyecto cuando termine y establece fechas de vencimiento para las asignaciones temporales. Recuerda que el acceso otorgado por otras fuentes sigue vigente.
Cómo un equipo pequeño puede revisar e implementar cambios de permisos
Las diferencias de permisos entre un entorno de pruebas y producción pueden dar a los usuarios accesos inesperados. Un flujo de trabajo breve y repetible ayuda a un equipo de una a cinco personas a revisar los cambios y verificar el resultado:
Configura y prueba en un entorno de pruebas. Realiza el cambio y prueba tanto con un usuario que necesita el acceso como con uno que no debería tenerlo, como en el ejemplo desarrollado.
Compara el entorno de pruebas y producción. Usa la herramienta gratuita de Blue Canvas Perfiles y permisos para comparar el conjunto de permisos entre organizaciones. Filtra por objeto para revisar las diferencias de permisos a nivel de objeto y de campo.
Revisa el cambio previsto. Revisa todas las diferencias y luego selecciona solo los cambios que quieres implementar. Si puedes, pide a otra persona que los revise.
Implementa. Agrega los elementos revisados e impleméntalos en producción. Si la implementación falla, revisa el error, corrige la causa y vuelve a intentarlo. Si excluyes un elemento, confirma que los cambios restantes sigan cumpliendo los requisitos de acceso previstos.
Verifica el acceso después. Revisa el Resumen de acceso del usuario y repite ambas pruebas de usuario en producción.
Para hacer un seguimiento de los cambios de permisos a lo largo del tiempo, consulta nuestra publicación sobre gestión de cambios de permisos en Salesforce.
¿Quieres ayuda para establecer un proceso de revisión e implementación de cambios de permisos en tu organización? Agenda una consulta con el equipo de Blue Canvas.
Preguntas frecuentes
¿Puede un conjunto de permisos quitar un acceso que un usuario ya tiene? No. Los conjuntos de permisos solo agregan acceso. Para quitarlo, elimina o modifica cada fuente que se lo otorga al usuario. La desactivación de permisos solo funciona dentro de su grupo y solo quita el permiso del usuario si ninguna otra fuente lo otorga.
¿Por qué un usuario todavía puede ver un campo después de que lo desmarqué en su conjunto de permisos? Otra fuente sigue otorgando ese acceso. Usa Acceso otorgado por en el Resumen de acceso del usuario para encontrar el perfil, conjunto o grupo responsable.
¿Debo usar el vencimiento de asignaciones o un conjunto de permisos basado en sesión para un contratista? Usa el vencimiento de asignaciones cuando el acceso deba durar lo que dure un proyecto. Usa un conjunto de permisos basado en sesión cuando el acceso deba activarse para una sesión específica. Si el acceso debe terminar al finalizar una tarea, planifica su desactivación explícita.
¿Puedo editar un conjunto de permisos incluido en un paquete gestionado? No. Las organizaciones suscriptoras no pueden editar sus permisos. Clónalo para crear una copia editable o agrega un conjunto personalizado para otorgar acceso adicional. Agregar un conjunto personalizado no restringirá los permisos otorgados por el conjunto gestionado.
Un usuario tiene permiso de edición en un objeto, pero no puede editar un registro. ¿Por qué? El permiso de edición en el objeto no garantiza acceso de edición a todos los registros. Revisa el acceso del usuario a ese registro mediante las reglas de colaboración. Si solo está bloqueado un campo, revisa los permisos de campo; si no se puede guardar, revisa el error para identificar reglas de validación o un bloqueo del registro.
