控制存取的階層安全性
階層安全性模型是使用業務單位、資訊安全角色、共用和團隊的既有安全性模型的延伸模組。 可與其他現有安全性模型一起使用。 階層安全性提供更細微的組織記錄存取權和有助於減少維護成本。
例如，在複雜案例，您可以一開始建立數個業務單位，然後新增階層安全性。 這種增加的安全性提供了更細微的資料存取，同時大大減少了大量業務單位可能需要的維護成本。
經理階層和職位階層安全性模型
兩個安全性模型可用於階層：經理階層和職位階層。 在經理階層，經理必須與下屬位在相同的業務單位內，或是下屬的業務單位的上層業務單位，才能存取下屬的資料。 職位階層允許跨業務單位間的資料存取。 如果是財務組織，您可能偏好經理階層模型，避免經理存取其業務單位外部的資料。 不過，如果您是客戶服務組織的一部分，而且想要經理存取不同的業務單位所處理的服務案例，職位階層對您比較合適。
注意
雖然階層安全性模型提供資料的某個存取等級，使用其他形式的安全性，例如資訊安全角色，可取得其他存取權。
經理階層
經理階層安全性模型以管理鏈或直屬結構為基礎，其中使用系統使用者資料表的經理欄位來建立經理與下屬的關係。 使用此安全性模型，經理可存取其下屬有權存取的資料。 他們可代表其直接下屬執行工作或存取需要核准的資訊。
注意
在經理階層安全性模型，經理可存取由使用者或使用者所屬團隊擁有的記錄，以及與使用者或使用者所屬團隊直接共用的記錄。 當記錄是由具備唯讀存取權之直接下屬使用者的管理鏈結以外使用者所分享時，直接下屬的經理對所分享的記錄也只有唯讀存取權。
當您啟用業務單位中的記錄擁有權選項時，經理可以擁有來自不同業務單位的直接報表。 您可以使用下列環境資料庫設定來移除業務單位限制。
ManagersMustBeInSameOrParentBusinessUnitAsReports
預設值 = True
您可以將它設定為 False，且經理的業務單位不需要與直接報表的業務單位相同。
除了經理階層安全性模型之外，經理必須至少有資料表的使用者層級讀取權限，以查看下屬的資料。 例如，若經理沒有案例資料表的讀取權限，經理無法查看其下屬可存取的案例。
如果是在經理同一個管理鏈結中的非直接下屬，經理對非直接下屬的資料有唯讀存取權。 針對直接下屬，經理有下屬資料的讀取、寫入、附加、附加至存取權。 若要說明經理階層安全性模型，讓我們查看下圖。 CEO 可以讀取或更新業務副總的資料以及服務副總的資料。 不過，CEO 只可以讀取銷售經理資料及服務經理資料，以及銷售與支援資料。 您可以用深度進一步限制經理可以存取的資料量。 深度用來限制經理對其下屬資料所擁有唯讀存取權的深度層級數目。 例如，如果深度設定為 2，CEO 可以看見業務副總、服務副總、銷售經理及服務經理的資料。 不過，CEO 看不到銷售資料或支援資料。
務請特別注意，直接下屬比他們的經理有更深層的資料表安全性存取，經理可能無法看到直接下屬可存取的所有記錄。 下列範例說明這點。
單一業務單位有三個使用者：使用者 1、使用者 2，以及使用者 3。
使用者 2 是使用者 1 的直接下屬。
使用者 1 和使用者 3 有客戶資料表的使用者等級讀取權限。 此存取層級可讓使用者存取其所擁有的記錄、與使用者共用的記錄，以及與使用者所屬團隊共用的記錄。
使用者 2 有客戶資料表的業務單位讀取權限。 此存取權可讓使用者 2 檢視該業務單位的所有客戶，包括使用者 1 和使用者 3 擁有的所有客戶。
使用者 1 身為使用者 2 的直屬經理，有權存取使用者 2 所擁有或共用的客戶，包括與其他使用者 2 團隊共用或擁有的客戶。 不過，使用者 1 無法存取使用者 3 的客戶，即使其直接下屬可以存取使用者 3 的客戶。
職位階層
職位階層不是像經理階層依據直屬結構。 使用者不必是其他使用者的實際經理，以存取使用者的資料。 身為系統管理員，您會定義組織中的各種工作職位並在職位階層中安排它們。 然後，將使用者新增至任何特定職位，或用另一個說法，以特定職位標示使用者。 使用者在特定階層中只可以標示一個職位，但是，職位可用於多位使用者。 階層中較高職位的使用者可存取在較低職位的使用者資料 (在直接上階路徑)。 直接較高職位有直接上階路徑中較低職位資料的讀取、寫入、附加、附加至存取權。 非直接較高職位有直接上階路徑中較低職位資料的唯讀存取權。
為說明直接上階路徑的概念，讓我們檢視下圖。 銷售經理職位可存取銷售資料，但不可以存取支援資料，因為這是在其他上階路徑。 服務經理職位也是如此。 它無法存取銷售資料，因為這是在銷售路徑。 如同經理階層，您可以用深度限制較高職位可以存取的資料量。 深度會限制較高職位對直接上階路徑中較低職位資料所擁有唯讀存取權的深度層級數目。 例如，如果深度設定為 3，CEO 職位可以看到業務副總、服務副總職位，一直到銷售與支援職位的資料。
注意
在職位階層安全性模型，較高職位的使用者可存取由較低職位的使用者或使用者所屬團隊擁有的記錄，以及與使用者或使用者所屬團隊直接共用的記錄。
除了職位階層安全性模型之外，較高職位的使用者必須至少有資料表的使用者層級讀取權限，以查看較低職位的使用者可存取的記錄。 例如，若較高職位的使用者沒有案例資料表的讀取權限，該使用者無法查看較低職位的使用者可存取的案例。
設定階層安全性
若要設定階層安全性，確定您擁有更新設定的「系統管理員」權限。
- 請依照檢視使用者設定檔中的步驟進行。
- 沒有正確的權限嗎？ 請連絡您的系統管理員。
階層安全性預設為停用。 若要啟用階層安全性，請完成下列步驟。
選取環境，然後前往 設定>使用者 +權限>階層資訊安全角色。
在階層模型底下，選取啟用經理階層模型或根據您的需求來啟用職位階層模型。
重要
若要在階層安全性中進行任何變更，您必須具有變更階層安全性模型設定權限。
在階層資料表管理區域中，預設會啟用所有系統資料表的階層安全性，但您可以從階層中排除選擇性資料表。 若要從階層模型中排除特定資料表，請清除要排除的資料表的核取方塊並儲存變更。
將 深度 設定為所需的值，以限制經理對其下屬資料所擁有唯讀存取權的深度層級數目。
例如，如果深度等於 2，經理只能存取其帳戶以及兩個等級深度的下屬帳戶。 在我們的範例中，如果您以非管理員銷售副總裁的身分登入客戶互動應用程式，您只能看到使用者的活動帳戶，如下所示：
注意
雖然階層安全性授與業務副總對紅色方形中之記錄的存取權，但是根據業務副總擁有的資訊安全角色也可以使用額外的存取權。
在階層資料表管理區段中，預設會為所有系統資料表啟用階層安全性。 若要從階層模型中排除特定的資料表，請清除資料表名稱旁邊的核取記號，然後儲存變更。
重要
- 這是預覽功能。
- 預覽功能不供生產時使用，而且可能功能受限。 這些功能應受補充使用規定規範，並且是在正式發行前先行推出，讓客戶可以搶先體驗並提供意見反應。
設定經理和職位階層
使用系統使用者記錄的經理關係，可輕鬆建立經理階層。 使用經理 (ParentsystemuserID) 查詢欄位指定使用者的經理。 如果您已建立職位階層，您也可以使用職位階層的特定職位來標記使用者。 在下列範例中，銷售人員在經理階層中是銷售經理的下屬，也有職位階層的銷售職位：
若要新增使用者至職位階層的特定位置，請在使用者記錄表單上使用職位查詢欄位。
重要
若要新增使用者到職位或變更使用者職位，您必須具有 指派使用者的職位 權限。
若要變更使用者記錄表單上的職位，請在瀏覽列上選擇更多 (…)，然後選擇其他職位。
若要建立職位階層：
選取環境，然後前往 設定>使用者 + 權限>位置。
在每個職位，請提供職位的名稱、職位的上層，以及描述。 使用在這個職位的使用者查詢欄位，新增使用者到此職位。 下圖是具有使用中職位的職位階層範例。
已啟用使用者和其對應職位的範例，如下圖所示。
包含或排除具有停用使用者狀態的直接下屬所擁有的記錄
經理可以查看 2024 年 1 月 31 日之後啟用階層安全性之環境的停用狀態直接下屬記錄。 對於其他環境，停用狀態直接下屬的記錄不包含在經理的檢視中。
若要包含已停用狀態直接下屬的記錄：
- 安裝 OrganizationSettingsEditor 工具。
- 將 AuthorizationEnableHSMForDisabledUsers 設定更新為 True。
- 停用階層模型。
- 再次重新啟用。
若要排除已停用狀態直接下屬的記錄：
- 安裝 OrganizationSettingsEditor 工具。
- 將 AuthorizationEnableHSMForDisabledUsers 設定更新為 False。
- 停用階層模型。
- 再次重新啟用。
注意
- 當您停用並重新啟用階層模型時，更新可能需要一些時間，因為系統需要重新計算經理記錄存取權。
- 如果您看到逾時，請減少階層資料表管理清單下的資料表數量，以僅包含需要由經理查看的資料表。 如果仍然逾時，請提交支援票證以尋求協助。
- 如果與其他活躍的直接下屬共用記錄，則將包括停用狀態直接下屬的記錄。 您可以透過移除共用來排除這些記錄。
效能考量
若要提高效能，我們建議：
在經理或職位下保持有效階層安全性在 50 個使用者以內。 您的階層中，經理或職位底下可能有超過 50 個使用者，但是您可以使用深度設定減少唯讀存取權的層級數目，以及加上此限制將經理或職位底下有效的使用者數目減至 50 個使用者以內。
將階層安全性模型與其他現有的安全性模型一起使用，以應對更複雜的情境。 避免建立大量的業務單位，因此建立較少的業務單位並新增階層安全性。