Ensembles d'autorisations Salesforce : 5 conseils pour les admins

Une nouvelle responsable commerciale arrive lundi. Pour lui donner les bons accès, l'administrateur clone un profil, ajoute quatre ensembles d'autorisations un par un, oublie l'accès aux rapports et corrige le tout mercredi après un ticket au support. Multipliez cela par chaque arrivée, changement d'équipe et départ : la gestion des accès devient l'une des tâches les plus chronophages de Salesforce. Les ensembles d'autorisations Salesforce, regroupés en groupes d'ensembles d'autorisations, règlent l'essentiel du problème : vous regroupez les autorisations par métier, attribuez un seul groupe et maîtrisez les exceptions. Voici cinq conseils pratiques à appliquer dès aujourd'hui dans la Configuration (Setup). Les libellés de l'interface sont indiqués en anglais, tels qu'ils apparaissent dans la plupart des organisations.

Ce que changent les groupes d'ensembles d'autorisations Salesforce

Un ensemble d'autorisations (permission set) donne accès à des objets, des champs, des applications et des autorisations système. Un groupe d'ensembles d'autorisations (permission set group) réunit plusieurs ensembles autour d'une fonction, par exemple « Responsable commercial » ou « Agent du service client ». Comme l'explique le module Trailhead Premiers pas avec les groupes d'ensembles d'autorisations, le groupe cumule toutes les autorisations de ses ensembles, et un même ensemble peut appartenir à plusieurs groupes.

Concrètement :

• Une seule attribution par persona au lieu de quatre ou cinq ensembles par utilisateur.
• Des briques petites et réutilisables : un ensemble « Rapports et tableaux de bord » peut figurer à la fois dans les groupes ventes, service client et finance.
• Le moindre privilège par défaut : les profils restent minimaux, les accès s'ajoutent par les groupes.
• Un recalcul automatique : quand vous modifiez un ensemble, chaque groupe qui le contient est recalculé. Tant que le recalcul n'est pas terminé, les utilisateurs conservent les autorisations du dernier calcul abouti.

Conseil 1 : construire les groupes par persona, pas par personne

L'erreur la plus fréquente consiste à créer un groupe par utilisateur, ce qui déplace simplement le désordre. Partez plutôt des fonctions métier.

1. Listez vos personas : par exemple commercial, responsable commercial, agent du service client, utilisateur marketing, lecteur finance.
2. Pour chaque persona, listez les tâches réalisées, pas les objets manipulés.
3. Créez de petits ensembles d'autorisations couvrant chacun quelques tâches liées (par exemple « Gérer les devis » ou « Exporter les rapports »).
4. Dans la Configuration, recherchez Permission Set Groups dans Recherche rapide et cliquez sur New Permission Set Group. Donnez-lui le nom du persona.
5. Ouvrez Permission Sets in Group, cliquez sur Add Permission Set, sélectionnez les ensembles, puis cliquez sur Add et Done.
6. Vérifiez que le statut du groupe indique Updated, puis contrôlez les Combined Permissions avant toute attribution.

Le module Trailhead Create a Permission Set Group (en anglais) détaille ces écrans. Il signale un piège : si la licence d'un utilisateur ne prend pas en charge une autorisation du groupe, l'attribution échoue. Vérifiez donc les licences, en particulier pour les utilisateurs Platform ou partenaires.

Conseil 2 : gérer les exceptions avec un ensemble d'autorisations de désactivation

Un persona a parfois besoin de presque tout le contenu d'un groupe, à une ou deux autorisations près. Plutôt que de dupliquer un ensemble, désactivez ce que vous ne voulez pas accorder grâce à un ensemble de désactivation (muting permission set). Le module Trailhead Mute Permissions in Permission Set Groups (en anglais) décrit la marche à suivre :

1. Ouvrez le groupe et, sous Permission Sets, cliquez sur Muting Permission Set in Group.
2. Cliquez sur New, saisissez un libellé et un nom d'API, puis enregistrez.
3. Ouvrez l'ensemble de désactivation, trouvez le paramètre d'objet ou d'application (par exemple Contracts), cliquez sur Edit, cochez les autorisations à désactiver et enregistrez.

Connaissez son fonctionnement avant de vous y fier :

• Un seul par groupe : un groupe d'ensembles d'autorisations peut contenir au maximum un ensemble de désactivation.
• Limité au groupe : la désactivation ne s'applique qu'aux accès obtenus via ce groupe. Un utilisateur qui reçoit la même autorisation par un profil, un autre ensemble ou un autre groupe la conserve.
• Les dépendances suivent : désactiver la lecture d'un objet désactive aussi la création, la modification et la suppression. Lisez le message de confirmation avant d'enregistrer.

La désactivation est idéale pour une variante « Responsable commercial – stagiaires » : même groupe, mais sans Afficher tout ni Modifier tout sur les contrats.

Conseil 3 : donner une date d'expiration aux accès temporaires

Les accès projet, les remplacements pendant les congés et les audits sont souvent accordés « pour deux semaines » et jamais retirés. Salesforce permet de fixer une date de fin à l'attribution d'un ensemble ou d'un groupe. Le module Trailhead Get Hands-On With Permission Set Expiration (en anglais) donne la procédure :

1. Dans User Management Settings, activez Permission Set & Permission Set Group Assignments with Expiration Dates.
2. Ouvrez l'ensemble ou le groupe, cliquez sur Manage Assignments, puis sur Add Assignment.
3. Sélectionnez les utilisateurs et cliquez sur Next.
4. Choisissez une date précise, via une durée prédéfinie ou une date personnalisée, et sélectionnez un fuseau horaire.
5. Cliquez sur Assign.

L'attribution expire à 23 h 59 à la date choisie, dans le fuseau horaire sélectionné. Une règle simple pour l'équipe : tout accès accordé pour un projet ou un remplacement reçoit une date d'expiration, sans exception.

Conseil 4 : automatiser les attributions avec les User Access Policies

Une fois vos groupes en place, inutile de les attribuer à la main. Les User Access Policies (stratégies d'accès utilisateur) accordent ou retirent des groupes d'ensembles d'autorisations, des ensembles, des licences, des groupes publics et des files d'attente dès qu'un utilisateur remplit des critères. Selon le module Trailhead Create a User Access Policy (en anglais), la mise en place est la suivante :

1. Dans User Management Settings, activez User Access Policies.
2. Ouvrez User Access Policies depuis Recherche rapide et cliquez sur New User Access Policy. Saisissez un nom, un numéro d'ordre et une description.
3. Cliquez sur Edit Criteria et ajoutez des filtres, par exemple Rôle égal à votre équipe commerciale et Actif égal à vrai. L'utilisateur doit remplir tous les filtres.
4. Dans les actions, choisissez Grant ou Revoke et sélectionnez le groupe d'ensembles d'autorisations, le groupe public ou la licence.
5. Cliquez sur Automate Policy, choisissez le déclencheur (création, mise à jour de l'utilisateur, ou les deux), puis Activate.

Les limites à connaître : jusqu'à trois filtres sur les profils, rôles, ensembles, licences ou groupes, jusqu'à dix filtres sur les champs utilisateur et jusqu'à 20 actions par stratégie. L'article du blog Salesforce Admins sur l'avenir de la gestion des utilisateurs (en anglais) précise que les stratégies sont disponibles de manière générale depuis Summer '24, avec jusqu'à 200 stratégies actives par organisation. Trailhead les indique pour les éditions Enterprise et Unlimited : vérifiez la vôtre. Après activation, l'onglet Recent User Access Changes de la stratégie montre quels utilisateurs ont été mis à jour, et quand.

Conseil 5 : auditer les accès avec les synthèses, pas avec des tableurs

Quand on vous demande « pourquoi cet utilisateur voit-il cela ? », plus besoin d'ouvrir chaque profil et chaque ensemble. Deux vues en lecture seule suffisent :

• User Access Summary : dans la Configuration, ouvrez Users, sélectionnez un utilisateur et cliquez sur View Summary. La synthèse regroupe ses autorisations, ses accès aux objets et aux champs, ses autorisations personnalisées, ses groupes publics et ses files d'attente.
• Synthèse d'un ensemble ou d'un groupe : sur n'importe quel ensemble ou groupe, View Summary affiche les autorisations d'objet, de champ, utilisateur et personnalisées activées, ainsi que les groupes qui contiennent un ensemble.

Les deux synthèses tiennent compte de la désactivation : elles montrent l'accès réel de l'utilisateur. C'est aussi le meilleur support pour une revue trimestrielle des accès avec les managers, et un prolongement naturel du filtrage des profils présenté dans notre guide des mises à jour de version Salesforce avant Spring '27.

Que faire maintenant : une semaine pour remettre les accès au propre

1. Lundi : exportez les utilisateurs avec leur profil et leurs ensembles d'autorisations, et listez les personas réels.
2. Mardi : créez ou découpez les ensembles pour que chacun couvre quelques tâches liées.
3. Mercredi : construisez un groupe par persona dans une sandbox et ajoutez des ensembles de désactivation pour les exceptions.
4. Jeudi : testez avec de vrais utilisateurs de chaque persona, en comparant ancien et nouvel accès avec View Summary.
5. Vendredi : déployez, attribuez les groupes, ajoutez des dates d'expiration aux accès temporaires et automatisez un persona avec une User Access Policy.

Avant et après, en bref :

• Avant : profils clonés, quatre ou cinq ensembles par utilisateur, accès temporaires sans fin et aucune réponse claire à « qui voit quoi ».
• Après : un groupe par persona, des exceptions documentées, des dates de fin sur les accès temporaires, des nouveaux utilisateurs configurés automatiquement et une page de synthèse pour chaque question d'audit.

Les groupes simplifient aussi d'autres contrôles. Une autorisation personnalisée servant à contourner les règles de validation, comme dans nos conseils sur les règles de validation Salesforce, peut vivre dans un ensemble dédié au sein du groupe de votre utilisateur d'intégration. Et les utilisateurs d'intégration méritent le même soin que les personnes, comme le montre notre article sur les échéances d'authentification des intégrations Salesforce.

Conclusion

Les ensembles d'autorisations Salesforce, organisés en groupes, transforment la gestion des accès : on passe d'une suite de corrections ponctuelles à un modèle explicable, avec des personas, de petits ensembles, la désactivation pour les exceptions, des dates de fin pour les accès temporaires et des stratégies pour l'automatisation. Commencez par une équipe, mesurez la durée d'intégration d'un nouvel utilisateur avant et après, puis étendez le modèle. Si votre organisation accumule des années de profils clonés et d'ensembles dispersés, nos consultants Salesforce Sales Cloud et notre équipe Salesforce Service Cloud peuvent concevoir le modèle d'accès et mener la migration avec vous.