ObjectOS配置权限
记录访问
控制用户可以看到或修改哪些记录。
记录访问
记录访问控制对象权限允许某操作之后，用户可以看到或修改的具体行。
机制
| 机制 | 用途 |
|---|---|
| 行级安全 | 强制租户或组织隔离 |
| 共享规则 | 按声明式条件授予访问 |
| 记录共享 | 授予某用户、角色或组对特定记录的访问 |
| 所有权/层级 | 通过所有者或上级结构授予访问 |
默认租户隔离
security 插件通过当前用户的上下文强制租户隔离。对标准平台对象，默认规则保护那些不带常规组织字段的全局表。
客户的现实期望是：
Users only see records that belong to their organization or records
explicitly shared with them.共享规则
把共享规则用于可复用的业务策略：
- 所有大区经理可以读取本区的 account；
- 支持经理可以查看升级的 case；
- 财务可以读取已批准的发票；
- 审计员可以读取标记为审计审查的记录。
记录共享
把记录共享用于例外情况：
- 把一个 opportunity 共享给某专家；
- 在升级期间临时授予访问；
- 把某条记录的访问授予一个外部集成。
排查可见性
当用户看不到一条记录时，按顺序检查：
- 用户是否已认证并处于预期组织？
- 用户是否拥有对象
read权限？ - 行级安全是否允许该记录？
- 是否有共享规则应当生效？
- 是否存在直接的记录共享？
- 该记录是否归属于预期层级中的用户或角色？
- 用户是否在正确的项目/主机名下？