Gestion des accès¶

La sauvegarde Afi pour Salesforce comporte un modèle de rôles flexible et précis qui vous permet :

de désigner des utilisateurs de confiance comme Administrators et de déléguer l’administration des sauvegardes aux Backup Operators ;
de créer des groupes d’accès personnalisés dotés des autorisations et du périmètre nécessaires à des tâches précises ;
d’accorder un accès temporaire dans le cadre d’un audit ou d’une enquête.

Les administrateurs peuvent accorder un ensemble limité d’autorisations adapté à leurs exigences de sécurité et à leurs besoins métier. Par exemple, le groupe Backup Operators peut gérer les stratégies SLA de sauvegarde et effectuer des opérations de restauration sur demande, tandis que l’exportation des données reste désactivée.

Modèle d’accès Afi¶

Afi adopte un modèle d’organisation et d’accès multilocataire, ce qui vous permet d’ajouter et de gérer plusieurs locataires (sources de données), notamment Salesforce, Microsoft 365, Google Workspace et d’autres services pris en charge, dans un même compte (organisation) Afi. L’accès est configuré explicitement au niveau de l’organisation et des locataires. Les groupes d’accès par défaut du locataire, Administrators et Backup Operators, s’appliquent au périmètre All resources, qui comprend l’organisation Salesforce et ses sandbox connectées, tandis que les groupes d’accès personnalisés peuvent être limités à des ressources sélectionnées, par exemple à certaines sandbox.

L’accès à l’échelle de l’organisation Afi est géré dans l’onglet Configuration → Admins et donne accès à l’organisation et à ses sources de données. L’accès propre à chaque locataire est géré dans l’onglet Service → Settings → Access groups.

Par défaut, un compte d’organisation Afi est créé avec un seul administrateur : l’utilisateur qui a configuré le compte. Les administrateurs de l’organisation peuvent être ajoutés ou supprimés dans le groupe Organization Administrators de l’onglet Configuration → Admins et disposent d’un accès complet à l’organisation et à tous ses locataires. Les paramètres au niveau de l’organisation sont décrits dans cet article, tandis que le présent article porte sur les paramètres d’accès au niveau du locataire propres aux locataires Salesforce.

Groupes d’accès¶

Inviter un membre à un groupe¶

Un administrateur Afi disposant de l’autorisation de gérer les accès peut inviter un utilisateur dans un groupe d’accès en cliquant sur la vignette du groupe, en saisissant l’adresse e-mail principale de l’utilisateur dans le champ de la section Group members, en cliquant sur l’icône +, puis sur Save.

Une fois l’utilisateur invité, le service Afi lui envoie par e-mail une invitation à rejoindre le groupe d’accès correspondant au moyen du lien fourni. Chaque lien est valable 7 jours ; si vous retirez un utilisateur du groupe, puis l’y ajoutez de nouveau, l’ancien lien d’invitation n’est plus valable. Pour rejoindre le groupe, l’utilisateur doit suivre le lien et se connecter au portail Afi avec le compte indiqué dans l’invitation.

Information

Afi s’appuie sur l’authentification unique (SSO) de Google Workspace et de Microsoft 365 ; vous pouvez donc inviter dans le groupe d’accès d’un locataire Salesforce n’importe quel utilisateur Google (compte personnel, professionnel ou éducatif) ou n’importe quel utilisateur professionnel de Microsoft 365.

Groupe Administrators¶

Les Administrators du locataire disposent d’un accès complet au locataire Salesforce. À lui seul, ce rôle ne donne pas accès aux paramètres de l’organisation tels que les licences, la gestion des accès de l’organisation ou le journal d’audit Afi de l’organisation.

Information

L’accès des administrateurs de l’organisation et du locataire aux données de sauvegarde Salesforce peut être entièrement restreint en désactivant l’autorisation Browse backup data, ou partiellement restreint en désactivant l’autorisation Data export, dans le groupe Administrators du locataire.

Groupe Backup Operators¶

Le groupe Backup Operators est un groupe d’accès par défaut de chaque locataire Salesforce. Il fournit, à l’échelle du locataire, un accès configurable à la gestion des sauvegardes, à la navigation dans les données, à la restauration et à l’exportation.

L’exemple ci-dessous montre un groupe comptant un seul membre, qui peut configurer et attribuer des stratégies SLA de sauvegarde, lancer des sauvegardes, parcourir les données sauvegardées et effectuer des restaurations.

Groupes d’accès personnalisés¶

Les groupes d’accès personnalisés vous permettent de créer des groupes d’administrateurs supplémentaires disposant d’autorisations limitées pour un locataire Salesforce, soit pour l’ensemble du locataire, soit pour des ressources sélectionnées. Les membres sont invités par e-mail et se connectent avec leur compte Microsoft 365 ou Google. Il est également possible de définir une durée de vie limitée pour les groupes personnalisés ; par défaut, ils n’expirent pas.

Pour configurer un groupe d’accès personnalisé, procédez comme suit :

Accédez à l’onglet Service → Settings → Access groups.
Cliquez sur + Group pour ajouter un groupe, ou sélectionnez un groupe existant pour le modifier.
Saisissez un nom explicite dans le champ Group name.
Sélectionnez le périmètre d’accès dans Access scope :
- All resources : accorde l’accès à l’organisation Salesforce et à toutes ses sandbox connectées dans le locataire.
- Custom : accorde l’accès uniquement aux ressources que vous sélectionnez. Cliquez sur + Resource et sélectionnez l’organisation Salesforce ou les sandbox.
Configurez les autorisations à accorder aux membres du groupe.
Dans Group members, saisissez l’adresse e-mail d’un membre et cliquez sur +. Répétez l’opération pour chaque personne que vous souhaitez inviter.
Configurez éventuellement une date d’expiration dans Expiration date, puis cliquez sur Save.

Les invitations sont envoyées lors de l’enregistrement du groupe. Les invitations en attente apparaissent sous Group members jusqu’à ce que leurs destinataires les acceptent. Dans l’exemple ci-dessous, le groupe CRM Recovery Operators, dont le périmètre est All resources, est autorisé à parcourir, restaurer et exporter les données de sauvegarde Salesforce.

Groupes d’accès à durée limitée¶

Utilisez une durée de vie limitée pour accorder l’accès pendant une période donnée, par exemple pendant un audit, une enquête ou un exercice de restauration. Définissez le paramètre Expiration date au bas de la boîte de dialogue du groupe d’accès personnalisé, puis cliquez sur Save. L’accès accordé par l’intermédiaire du groupe prend fin automatiquement à l’expiration de celui-ci. Le paramètre par défaut, Never, laisse le groupe sans date d’expiration.

Explication des autorisations¶

Explication des autorisations des groupes d’accès¶

Autorisation	Description
Manage access	Tout membre du groupe d’accès peut modifier les paramètres d’accès du locataire en créant des groupes d’accès ou en modifiant les paramètres et la composition des groupes existants.
Configure SLA	Tout membre du groupe d’accès peut créer, modifier ou supprimer des stratégies SLA de sauvegarde dans le locataire, depuis l’onglet Service → Settings → SLA.
Assign SLA and initiate backup	Un membre du groupe d’accès peut attribuer des stratégies SLA de sauvegarde à l’organisation Salesforce et aux sandbox comprises dans le périmètre du groupe, et lancer des sauvegardes.
Browse backup data	Un membre du groupe d’accès peut parcourir les données de toutes les sauvegardes comprises dans le périmètre du groupe, y compris les SObjects, les enregistrements et les valeurs des champs, mais ne peut pas restaurer ni exporter ces données sans autorisations supplémentaires.
Data recovery	Un membre du groupe d’accès peut restaurer les données sauvegardées dans leur organisation Salesforce ou leur sandbox d’origine, ou dans une autre organisation ou sandbox connectée.
Data export	Un membre du groupe d’accès peut télécharger les données de toutes les sauvegardes comprises dans le périmètre du groupe, y compris des sauvegardes complètes ou des SObjects et enregistrements sélectionnés.