【Salesforce】権限セットグループが想定と違う時の監査ログと履歴で追う方法

Salesforceで権限セットグループを利用していると、ユーザーの権限が想定と異なる動作をする場面に遭遇することがあります。例えば、グループに追加した権限セットが反映されていない、逆に削除したはずの権限が残っている、といったケースです。このような問題が発生した場合、原因を特定するためには、権限セットグループ自体の構成変更履歴と、ユーザーへの割り当て履歴の両方を確認する必要があります。本記事では、監査ログや権限セット割り当て履歴を活用して、権限セットグループの変更を追跡する具体的な方法を解説します。

権限セットグループの状態確認と問題の切り分け

まずは、問題のユーザーがどの権限を持っているのかを正確に把握します。ユーザー詳細画面の「権限セットの割り当て」関連リストで、権限セットグループと直接割り当てられた権限セットの両方を確認できます。ここで注目すべきは、「割り当て元」が「権限セットグループ」になっているかどうかです。割り当て元がグループであれば、そのグループの構成を調べる必要があります。グループ経由でない直接割り当ての権限セットが原因の場合は、単純な権限セットの変更履歴を確認します。

次に、権限セットグループの詳細ページを開き、「権限セット」関連リストでグループに含まれる権限セットの一覧を確認します。このとき、想定と異なる権限セットが含まれている、または含まれていない場合は、グループ構成が変更された可能性があります。変更履歴は次のセクションで追跡します。

権限セットグループの構成変更履歴を確認する方法

権限セットグループに含まれる権限セットの追加・削除は、グループの「権限セット」関連リストからは直接履歴を見ることができません。代わりに、セットアップ監査証跡(Setup Audit Trail)を利用します。セットアップ監査証跡は、管理者がセットアップ画面で行った操作を記録するログです。以下の手順で確認してください。

1. 歯車アイコン → 「設定」をクリックし、クイック検索ボックスに「監査証跡」と入力します。
2. 「監査証跡」を選択し、「監査証跡の表示」をクリックします。
3. 表示された一覧で、操作の種類が「権限セットグループの変更」や「権限セットグループの権限セットの追加」などのレコードを探します。
4. 該当するレコードの「操作」列をクリックすると、詳細が表示されます。ここで、どの権限セットグループに対してどの権限セットが追加・削除されたか、実行したユーザーと日時が確認できます。
5. 必要に応じて、結果をCSVでエクスポートすることも可能です。

ただし、セットアップ監査証跡は180日間しか保存されないため、それより古い変更は確認できません。長期にわたる履歴が必要な場合は、カスタムオブジェクトや外部ログ管理ツールの利用を検討してください。

ユーザーへの割り当て履歴を確認する

権限セットグループ自体の構成が正しい場合、次に確認すべきは、ユーザーへのグループ割り当ての履歴です。ユーザーがグループから外されたり、再度追加されたりした可能性があります。以下の2つの方法で割り当て履歴を追跡できます。

権限セット割り当て履歴(PermissionSetAssignmentHistory)の利用

各ユーザーの権限セット割り当て履歴は、標準オブジェクト「PermissionSetAssignmentHistory」に記録されています。これは、権限セット(グループも含む)の割り当てや解除のたびに自動的に作成されるレコードです。確認手順は次の通りです。

1. 対象ユーザーの詳細ページを開き、関連リストで「権限セットの割り当て履歴」を表示します(表示されていない場合はページレイアウトに追加が必要です)。
2. リストには、割り当て日時、割り当てられた権限セット名、操作(割り当て/解除)、実行ユーザーが表示されます。
3. 「権限セット名」列に権限セットグループの名前が表示されていれば、そのグループの割り当て変更があったことを示します。
4. また、権限セットグループに属する個別の権限セットの割り当て履歴も記録されます。グループの構成変更があった場合、その変更自体が割り当て履歴に直接反映されるわけではないため、注意が必要です。
5. 必要に応じて、SOQLクエリを使用して履歴を取得することも可能です(例: SELECT Id, PermissionSet.Name, CreatedDate, IsDeleted FROM PermissionSetAssignmentHistory WHERE AssigneeId = ‘ユーザーID’ ORDER BY CreatedDate DESC)。

監査ログ(Login History)の活用

ユーザーのログイン履歴から、権限変更が行われたタイミングを特定する方法もあります。ユーザーのログイン履歴を表示し、その前後の日時で権限が変わった場合、ログイン履歴と権限変更の相関を確認できます。ただし、これは直接的な権限変更ログではないため、補助的に使用してください。

権限セットグループの監査ログと履歴の比較表

以下に、権限セットグループに関連する主なログと履歴の特徴をまとめました。

よくある失敗パターンと対処法

権限セットグループの運用で陥りがちな失敗パターンをいくつか紹介します。

• パターン1: グループに権限セットを追加したのに反映されない
  原因として、グループの割り当てがプロファイルや他の権限セットで上書きされている可能性があります。また、グループの「有効化」がされていない場合は権限が付与されません。グループ設定で「有効」のチェックが入っているか確認してください。
• パターン2: グループから権限セットを削除したのに権限が残っている
  権限セットグループから削除しても、ユーザーがその権限セットを直接割り当てられている場合は権限が残ります。ユーザーの直接割り当てを確認し、不要な権限セットがあれば解除してください。
• パターン3: 誰がいつグループを変更したか分からない
  セットアップ監査証跡が消えてしまった場合や、監査証跡に記録されない操作(API経由の変更など)があります。その場合は、カスタム監査ログの導入や変更管理プロセスの整備を検討してください。

管理者に確認すべき情報

問題の調査を進めるにあたり、Salesforce管理者に以下の情報を確認しておくとスムーズです。

• セットアップ監査証跡の保存期間(デフォルトは180日ですが、環境によって異なる場合があります)
• 権限セット割り当て履歴の保持期間(組織の設定やエディションに依存)
• ユーザーが権限セット割り当て履歴を表示するための権限(「すべてのユーザーの権限セット割り当ての表示」など)
• 外部ログ管理ツール(Splunkなど)と連携している場合は、そのツールからの確認方法

まとめ

権限セットグループが想定と違う場合の調査は、セットアップ監査証跡と権限セット割り当て履歴の2つが中心となります。まずは対象ユーザーの権限セット割り当て履歴でグループの割り当て変更を確認し、必要に応じてセットアップ監査証跡でグループ構成の変更を追跡しましょう。これらのログを組み合わせることで、誰がいつどのような変更を行ったかを特定できます。日頃からログの保存期間を把握し、必要であれば運用ルールを整備しておくと、トラブル発生時に迅速な対応が可能になります。