【Salesforce】Salesforce Filesの共有で権限不足になる場合の監査ログと履歴で追う方法

Salesforce Filesは、ファイルをレコードに添付したり、ユーザー間で共有したりする便利な機能です。しかし、特定のユーザーがファイルにアクセスできない「権限不足」のエラーに遭遇することがあります。この問題の原因を特定するには、Salesforceが提供する監査ログやファイル履歴を活用するのが効果的です。本記事では、権限不足が発生した際の原因の切り分け方と、監査ログやファイル履歴を使って詳細を追跡する具体的な手順を解説します。

1. 権限不足の原因を切り分けるための基本的な考え方

Salesforce Filesの権限不足は、ファイルそのものの共有設定だけでなく、ファイルが関連づけられたレコードの権限や、ユーザー自身のプロファイル設定が影響します。原因を切り分けるには、以下の3つの視点で確認します。

ファイルの共有レベル

ファイルは「プライベート(所有者のみ)」「ユーザーまたはグループで共有」「公開(組織全体)」のいずれかの状態です。共有設定が「公開」でなければ、明示的に共有されたユーザーやグループ以外はアクセスできません。

親レコードの参照権限

ファイルが特定のレコード(商談やケースなど)に添付されている場合、そのレコードを参照できる権限が必要です。レコードの共有ルールや組織のセキュリティ設定により、ユーザーがレコードを見られないとファイルにもアクセスできません。

ユーザーのプロファイル権限

ファイルオブジェクト自体に対する権限(参照、作成、編集、削除)がプロファイルや権限セットで付与されているか確認します。「ファイル」オブジェクトの「参照」権限がないと、共有設定があってもファイル一覧に表示されません。

2. Salesforce Filesの権限構造と共有設定の仕組み

Salesforce Filesにはいくつかの種類があり、それぞれ権限の振る舞いが異なります。代表的なファイルタイプとして、個人ファイル(My Files)、レコード添付ファイル(Notes & Attachments)、そして統合ファイル(Salesforce Files)があります。本記事で扱うのは主にSalesforce Files(ファイルオブジェクト)です。

共有設定はファイルごとに以下の表のように管理されます。

共有範囲	アクセス可能なユーザー	設定変更者
プライベート	ファイル所有者のみ	所有者
ユーザー共有	指定ユーザー・グループ	所有者・管理者
公開(組織全体)	全社員(ログインユーザー)	所有者・管理者
外部ユーザー(コミュニティ)	承認されたコミュニティユーザー	所有者・管理者

ファイルが「公開」以外の設定の場合、共有の追加や削除はファイルの所有者またはシステム管理者のみが行えます。

3. 監査ログで権限不足の記録を確認する手順

Salesforceの監査ログには、ファイルアクセスに関するイベントが記録されます。権限不足のエラーが発生した場合、その記録から原因を特定できます。

1. システム管理者としてSalesforceにログインし、[設定] メニューを開きます。
2. 左側のメニューで [監査ログ] → [イベント監査ログ] をクリックします。
3. 「イベントタイプ」で [ファイルアクセス] を選択し、[開始] をクリックしてイベント一覧を表示します。
4. フィルタ条件を設定します。権限不足のユーザーがわかっている場合は「ユーザー名」、ファイルが特定できる場合は「ファイルID」で絞り込みます。ファイルIDはファイルのURL末尾に含まれています。
5. 表示されたイベントの中で、「結果」が「拒否」または「エラー」になっているものを探します。イベントの詳細には、拒否された理由(例:共有設定なし、レコード権限なし)が表示されます。

補足として、監査ログは一定期間(通常90日)で自動的に削除されるため、問題発生後なるべく早く確認してください。大量のログがある場合はCSVでダウンロードしてExcelでフィルタリングすると効率的です。

4. ファイル履歴で共有設定の変更を追う方法

監査ログで権限不足の発生は確認できても、その原因となった共有設定の変更までは追跡できないことがあります。その場合は、ファイル自体の履歴機能を使います。

1. 該当のファイル詳細ページを開きます。ファイルを直接検索するか、関連レコードの「ファイル」関連リストからアクセスします。
2. 画面上部の [共有] タブをクリックし、現在の共有設定を確認します。誰にどの権限(閲覧・編集)が与えられているか一覧表示されます。
3. 次に [履歴] タブをクリックします。ここでは、誰がいつ共有設定を変更したか、追加・削除の記録が時系列で表示されます。
4. 履歴の各行をクリックすると、変更前と変更後の共有設定の差分が表示されます。例えば「Aさんが2024/01/15 10:30にBさんの共有を追加」といった情報が得られます。
5. この履歴をもとに、権限不足が発生したタイミングで共有設定が変更されていないか確認します。外部共有リンクの作成・削除も履歴に残ります。

履歴はファイル所有者およびシステム管理者のみが参照できます。一般ユーザーは履歴タブが表示されない場合があります。

5. 失敗パターン:よくある権限不足の事例とその回避策

実務で頻発する権限不足のパターンをいくつか紹介します。これらを事前に把握しておくことで、トラブルシューティングがスムーズになります。

パターン1: グループ共有の見落とし

ファイルを特定のグループに対して共有している場合、そのグループにユーザーが含まれていなければアクセスできません。グループのメンバーシップは定期的に変わるため、ファイルの共有設定をグループ単位で行う場合は、グループの構成員を都度確認する必要があります。

パターン2: 親レコードの権限不足

ファイルが商談やケースなどのレコードに添付されているケースでは、ユーザーがそのレコードを参照できる権限を持っていないと、ファイルも表示されません。レコードの共有ルールや組織のOWD(組織全体のデフォルト共有設定)を確認しましょう。

パターン3: 外部共有リンクの期限切れ

外部ユーザーやパートナー向けに共有リンクを作成した場合、リンクに有効期限が設定されていると期限切れでアクセスできなくなります。また、パスワード保護がかけられている場合は、パスワードが共有されていないことも原因です。

パターン4: プロファイル権限の不足

ユーザーのプロファイルで「ファイル」オブジェクトの「参照」権限が外れていると、すべてのファイルが表示されません。システム管理者が誤って権限を変更していないか、権限セットで上書きされていないかを確認します。

6. 問題解決のために管理者へ伝えるべき情報

権限不足の問題を管理者にエスカレーションする際、以下の情報を整理して伝えると解決が早まります。

• ファイルの特定情報: ファイル名、ファイルID(URLの末尾にある18桁の識別子)、ファイルのURL。
• アクセスできないユーザー: ユーザー名、ユーザーID(参考)、該当ユーザーが利用しているプロファイル名。
• エラー発生の日時: 問題が発生した正確な日時とタイムゾーン。監査ログ参照の手がかりになります。
• エラーメッセージ: 画面に表示されたエラーメッセージ全文とスクリーンショット。
• 監査ログのイベントID: 監査ログで該当の拒否イベントを見つけた場合、そのイベントIDを記録しておきます。

これらの情報をあらかじめ収集しておくことで、管理者がログ検索や権限設定の確認を迅速に行えます。

7. よくある質問(Q&A)

Q1: 監査ログを表示する権限がない場合はどうすればよいですか。

監査ログの表示には「監査ログの表示」権限が必要です。自分に権限がない場合は、所属組織のシステム管理者に依頼してログを確認してもらうか、権限セットで一時的に権限を付与してもらってください。

Q2: ファイルの履歴は一般ユーザーでも見られますか。

ファイルの所有者とシステム管理者のみが履歴タブを表示できます。それ以外のユーザーには履歴タブ自体が表示されません。

Q3: 過去の共有設定に戻したい場合、履歴から直接復元できますか。

履歴は参照のみで、直接以前の設定にロールバックする機能はありません。履歴の情報を元に、手動で同じ共有設定を再構成する必要があります。

Q4: 監査ログの保存期間はどのくらいですか。

Standardエディションでは90日間、Enterprise Edition以上では180日間程度保持されます。それより前のログは参照できませんので、問題発生後は早めに確認しましょう。

まとめ

Salesforce Filesの権限不足は、監査ログのファイルアクセスイベントとファイルの履歴を組み合わせることで原因を特定できます。まず監査ログで実際に拒否されたイベントを探し、その前後のファイル履歴で共有設定の変更を確認します。原因が親レコードの権限やプロファイル設定にある場合は、それらも併せて調査します。適切な情報を管理者に伝えれば、問題解決までの時間を大幅に短縮できるでしょう。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。