【Salesforce】共有ルールで権限不足になる場合の管理者が見るべき原因

Salesforceを運用していると、「共有ルールを設定したのに、なぜかユーザーがレコードにアクセスできない」という問い合わせを受けることがあります。共有ルールは、組織全体の共有設定(OWD)では制御しきれない部分を補完するための機能ですが、設定が正しくても権限不足が発生するケースは少なくありません。原因を特定するには、共有ルールの動作原理を理解し、いくつかのポイントを順に確認する必要があります。本記事では、管理者が共有ルールによる権限不足の原因を切り分けるための具体的な手順と観点を解説します。

1. 共有ルールの基本と権限不足の発生メカニズム

共有ルールは、特定の条件に基づいてレコードの共有を自動的に追加する機能です。例えば「同じ地区の営業担当者同士で商談を参照可能にする」といった目的で使用されます。しかし、共有ルールが機能していても、ユーザーがレコードにアクセスできない原因はいくつかあります。

まず、共有ルールはOWD(組織全体の共有設定)で「非公開」または「公開/参照のみ」になっているオブジェクトに対してのみ効果を発揮します。OWDが「公開/参照・更新可能」などの公開レベルであれば、そもそも共有ルールは不要です。逆に、OWDが「非公開」であっても、共有ルールが正しく設定されていればアクセスできるはずです。

権限不足が発生する主なメカニズムは以下の3つです。

• 共有ルール自体が無効または条件不一致:ルールが無効化されている、または条件(フィルタ)が期待と異なる。
• プロファイルや権限セットによる制限:共有ルールでアクセス権を追加しても、プロファイルや権限セットで「レコードの参照」が許可されていないとアクセス不可。
• OWDや階層権限との競合:OWDの設定が想定より厳しい、または階層権限が意図しない形で上書きしている。

これらの要因が複合している場合もあるため、系統立てて確認することが重要です。

2. 共有ルールの設定ミスを見つける

2-1. ルールの有効状態と基本設定

最初に確認すべきは、共有ルールが有効になっているかどうかです。設定 > セキュリティ > 共有設定 の「共有ルール」一覧で、目的のルールが「有効」になっているかを確認します。無効になっている場合は有効化します。また、ルールの「共有するオブジェクト」と「共有先」が正しいかも見直します。

2-2. 条件フィルタの正確性

共有ルールには、レコードをフィルタリングする条件(例えば「商談の地域 = ‘東京’」)を設定できます。この条件が厳しすぎると、対象となるレコードがなくなり、結果としてユーザーに権限が付与されません。条件フィルタは、実際のレコードデータと照らし合わせて確認してください。また、条件に使用する項目が標準項目かカスタム項目か、ルックアップ関係の正しさも確認します。

2-3. 共有ルールのタイプと優先順位

共有ルールには「ユーザー単位」「グループ単位」「ロール単位」など複数のタイプがあります。例えば、グループ単位のルールでグループ内のユーザー全員に共有しているつもりが、グループメンバーシップが正しく設定されていないケースがよくあります。また、複数の共有ルールが同一オブジェクトに適用される場合、最も緩いルールが優先されるわけではなく、ルールごとに独立して権限が追加されます。ただし、後から設定したルールが前のルールを上書きするわけではありません。

3. プロファイルや権限セットとの競合

3-1. プロファイルでレベルの許可が不足

共有ルールは「レコードへのアクセス権」を付与するものであり、オブジェクトや項目へのアクセス権(オブジェクト権限)とは別です。つまり、共有ルールでレコードへの参照権限を追加しても、プロファイルでそのオブジェクトの「参照」権限が許可されていなければ、ユーザーはレコードを表示できません。この場合は、プロファイルまたは権限セットで該当オブジェクトの参照権限を付与する必要があります。

3-2. 権限セットによる上書き

権限セットはプロファイルの権限を追加・上書きできますが、共有ルールで付与されたアクセス権を打ち消すことは原則としてありません。ただし、権限セットで特定のレコードタイプや項目へのアクセスを制限する設定(例えば「参照のみ」から「編集不可」への変更)が影響する可能性はあります。また、権限セットで「表示する項目の制限」などを設定している場合、レコード自体は共有されていても項目が表示されないことがあります。

3-3. 共有設定の継承とロール階層

Salesforceのロール階層は、上位ロールのユーザーが下位ロールのユーザーが所有するレコードを自動的に参照できるようにする機能です。共有ルールで「上位ロールにも共有」する設定になっている場合、意図せず広範囲に権限が付与されることがあります。逆に、ロール階層が不適切で、必要なユーザーが上位ロールに含まれていないと、共有ルールが機能してもアクセスできないことがあります。

4. OWD(組織全体の共有設定)の影響

OWDは各オブジェクトのデフォルトのアクセスレベルを定義します。例えば「商談」オブジェクトのOWDが「公開/参照のみ」であれば、すべてのユーザーがすべての商談を参照できます。この状態では共有ルールを追加しても効果はありません(既にアクセス可能だからです)。逆に、OWDが「非公開」であれば、共有ルールでアクセス権を追加する必要があります。

権限不足の原因として、OWDを「非公開」に変更したにもかかわらず、共有ルールをまだ設定していないケースや、逆に「公開/参照のみ」であるのに共有ルールが機能しないと思い込んでいるケースがあります。必ずOWDの設定値を確認しましょう。

5. 確認手順とトラブルシューティング

権限不足の原因を特定するには、以下の手順で順に確認することをお勧めします。

1. STEP1: 該当ユーザーのアクセス権を確認 – 該当のレコード詳細画面で「共有」ボタンから現在の共有ユーザー一覧を表示し、そのユーザーが含まれているか確認します。含まれていなければ共有ルールが適用されていません。
2. STEP2: 共有ルールの設定を確認 – 設定 > 共有設定 > 共有ルール で該当ルールが有効か、条件が正しいかを確認します。ルールの適用範囲をテストするには、条件に合致するレコードが存在するか実際のデータで確認します。
3. STEP3: OWD設定を確認 – 該当オブジェクトのOWDが「非公開」または「公開/参照のみ」になっているか確認します。「公開/参照・更新可能」の場合は共有ルールがなくてもアクセス可能です。
4. STEP4: プロファイル/権限セットのオブジェクト権限を確認 – ユーザーのプロファイルまたは権限セットで、該当オブジェクトの「参照」権限が有効になっているか確認します。
5. STEP5: ロール階層とグループメンバーシップを確認 – 共有ルールの共有先がロールやグループの場合、該当ユーザーが正しいロールまたはグループに属しているか確認します。
6. STEP6: 監査ログやデバッグモードを利用 – 設定 > 監査ログ で共有ルールの変更履歴を確認します。また、権限のシミュレーションツール(権限セットアナライザーなど)を使ってユーザーの実効権限を確認します。

6. よくある失敗パターンと対策

現場でよく見られる失敗パターンを表にまとめました。

失敗パターン	原因	対策
共有ルールを設定したのにユーザーがレコードを見れない	ルールが無効、条件不一致、またはOWDが公開すぎる	ルールの有効化、条件の見直し、OWDを非公開に変更
特定のユーザーだけアクセスできない	プロファイルでオブジェクト権限が不足、またはグループに未所属	プロファイル/権限セットで参照権限を追加、グループメンバーシップを確認
共有ルールを増やしたらアクセス権が広がりすぎた	ロール階層やグループが想定以上に広い	共有先をロールではなくグループに絞る、階層設定を見直す
条件フィルタを変更したのに反映されない	共有ルールの再計算が行われていない	手動で共有ルールを再計算する(設定 > 共有設定 > 共有ルールの再計算)

7. 管理者が確認すべき設定項目

7-1. 共有ルールの再計算

共有ルールの条件や対象を変更した場合、Salesforceは自動的に再計算を行いますが、大量のレコードがあると反映に時間がかかることがあります。手動で「共有ルールの再計算」を実行することで、即座に権限を反映できます。設定 > 共有設定 > 共有ルール の画面に「再計算」ボタンがあるので、定期的に実行することをお勧めします。

7-2. 監査ログの活用

誰がいつ共有ルールを変更したかは監査ログ(設定 > 監査ログ > 監査証跡)で確認できます。権限不足の原因が意図しない変更にある場合、このログが役立ちます。

7-3. 権限セットアナライザー

設定 > クイック検索で「権限セットアナライザー」を開き、特定のユーザーの実効権限を確認できます。オブジェクト権限、項目権限、さらには共有ルールによるアクセス権も表示されるため、原因特定の強力なツールです。

8. よくある質問(FAQ)

Q1: 共有ルールを削除したのに、まだユーザーがレコードにアクセスできます。なぜですか?
共有ルールを削除しても、既に付与された共有権限は自動的には削除されません。手動で共有権限を削除するか、OWDを変更する必要があります。設定 > 共有設定 > 共有ルールの再計算 を実行すると、削除されたルールの影響が除去されます。

Q2: 共有ルールで「読み取り/書き込み」を選択したのに、ユーザーが編集できません。
共有ルールで「読み取り/書き込み」を設定しても、ユーザーのプロファイルまたは権限セットで該当オブジェクトの「編集」権限が許可されていなければ編集できません。プロファイルのオブジェクト権限で「編集」を有効にしてください。

Q3: 複数の共有ルールが競合した場合、どちらが優先されますか?
共有ルールは競合しません。それぞれのルールが独立してアクセス権を追加します。ただし、結果としてユーザーに付与されるアクセスレベルは、各ルールのうち最も強い権限が適用されます(例えば、あるルールが「参照のみ」、別のルールが「読み取り/書き込み」なら、最終的にユーザーは「読み取り/書き込み」権限を持ちます)。

9. まとめ

共有ルールで権限不足が発生した場合、まずルールの有効状態と条件を確認し、次にOWDやプロファイル権限をチェックするという手順が基本です。共有ルールはあくまでレコードへのアクセス権を追加するものであり、オブジェクト権限や項目権限とは独立していることを理解しておきましょう。また、ロール階層やグループ構成が影響するケースも多いため、組織全体の設定を見直す機会として捉えるとよいです。トラブルシューティングの際は、権限セットアナライザーや監査ログを活用し、原因を効率的に特定してください。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。