一、添加新用户（01 Add New Users）
本单元学习用户管理的入门基础：理解什么是用户账户以及它包含哪些信息，掌握用户名、许可证、配置文件、角色、别名等关键术语，学会在 Salesforce 中添加单个或批量用户，并在需要时冻结或停用用户。学完本单元你将能够：
- 描述用户账户及其包含的信息类型；
- 添加单个或多个用户；
- 冻结或停用用户。
用户是什么（一）：员工、客户与合作伙伴（What Is a User? (1)）
所谓用户（User），就是任何登录 Salesforce 的人。用户大致分两类：
- 内部用户：公司的员工——销售代表、经理、IT 专员等，需要访问公司记录的人；
- 外部用户：最终客户、潜在客户、合作伙伴等，访问你构建的 Experience Cloud 站点的人。
作为管理员，你的用户管理任务就是创建、编辑这些账户，重置密码、授予权限、配置数据访问等。
用户是什么（二）：用户账户（What Is a User? (2)）
Salesforce 中每个用户都有一个用户账户（user account）。账户用来识别用户，其设置则决定该用户可以访问哪些功能与记录。每个用户账户至少包含：
- Username（用户名）与 Email Address（邮箱）；
- 用户的姓、名，以及 Alias（别名）和 Nickname（昵称）；
- License（许可证）与 Profile（配置文件）；
- Role（角色，可选）。
你可以在 Setup 的 Users 页面查看和管理所有用户。从用户列表中，你可以：创建一个或多个用户、为选定用户重置密码、点击名字/别名/用户名进入详情页、编辑用户详情，以及在系统权限启用或用户授予管理员登录访问权限后，以任意用户身份登录。
关键术语：用户名（Key Terms: Usernames）
每个用户同时拥有用户名（username）和邮箱地址（email address）。用户名必须格式化为邮箱地址，并且在整个 Salesforce 中唯一。它可以直接使用用户的邮箱地址——只要该地址唯一即可。
关键术语：用户许可证（Key Terms: User Licenses）
用户许可证（user license）决定用户可以在 Salesforce 中访问哪些功能。例如，标准 Salesforce 许可证让用户访问标准 Salesforce 功能与 Chatter；而如果你想只授予部分功能，则有一整套许可证可选——比如只想让某人用 Chatter 而看不到任何 Salesforce 数据，可以授予 Chatter Free 许可证。想深入了解许可证，可参考 Trailhead 上的 Salesforce Licensing 模块。
关键术语：配置文件（Key Terms: Profiles）
每个用户有一个配置文件（profile），定义其默认设置。虽然可以用配置文件授予权限，但 Salesforce 推荐的做法是：给用户授予 Minimum Access - Salesforce 配置文件，然后用权限集（permission set）和权限集组授予他们真正需要的权限。
权限集与配置文件的分工大致如下：用户/对象/字段权限、自定义权限、连接应用访问、Apex 类访问、Visualforce 页面访问、Tab 设置等放权限集；而默认记录类型、默认分配的应用、页面布局分配、登录时间、登录 IP 范围等放配置文件。这样就不必为每种岗位组合维护大量配置文件。
关键术语：角色（Key Terms: Roles）
角色（role）根据用户在角色层级（role hierarchy）中的位置决定他们能看到什么数据。层级顶端的用户能看到其下所有用户拥有的数据；下层的用户看不到上级或其它分支拥有的数据，除非共享规则授予访问权限。
角色是可选的，每个用户最多一个。在用户众多的组织中，添加用户时一并分配角色会更容易，但你也可以随时建立角色层级再分配。角色仅在 Professional、Enterprise、Unlimited、Performance 和 Developer 版本中可用。
关键术语：别名（Key Terms: Alias）
别名（alias）是在列表页、报表等放不下全名的地方用来标识用户的短名。默认别名规则是：名字的首字母 + 姓氏的前四个字母。例如 Jane Doe → Jdoe。
添加用户的准则（Guidelines for Adding Users）
添加用户前，牢记这几条准则：
- 用户名：必须在整个 Salesforce 中唯一；
- 用户名格式：必须是邮箱格式（如 jdoe@domain.com），但不必是真实邮箱；
- 邮箱：不同组织之间可以使用相同的邮箱地址；
- 密码：用户首次登录时必须修改密码；
- 登录链接：注册邮件中的登录链接只能使用一次——如果用户点开链接却没设置密码，管理员必须先重置密码才能让其登录。
添加用户（一）：逐个或批量添加（Add Users (1)）
公司成长、持续招人，你就需要不断添加用户。根据组织规模和新员工入职流程，你可以一次添加一个，也可以一次添加多个——Salesforce 两者都支持。可添加的最大用户数由你的 Salesforce 版本和购买的许可证数量决定。
- 在 Setup 的 Quick Find 框输入
Users，选择 Users； - 点击 New User 添加单个用户，或点击 Add Multiple Users 一次最多添加 10 个用户。
如上图所示，进入 Users 页面后点击 New User，即可打开"创建新用户"的界面开始录入。
添加用户（二）：填写字段并保存（Add Users (2)）
接着完成用户信息：
- 输入每个用户的姓名、邮箱地址，以及一个邮箱格式的唯一用户名（默认与邮箱相同，可覆盖）；
- 选择要关联的用户许可证——许可证决定每个用户可用的配置文件；
- 选择一个配置文件；
- 勾选 Generate password and notify user immediately，给每个新用户邮件发送登录名和临时密码；
- 点击 Save。
把用户加进 Salesforce 后，管理员的工作就结束了吗？并没有！用户管理是一项持续任务——接下来还要学习冻结、停用等其它操作。
冻结用户（Freeze a User）
场景：你收到邮件说某用户的 Salesforce 账户可能已被入侵，该怎么办？作为经验丰富的管理员，你不慌——直接去 Setup 消除风险：
- 在 Setup 的 Quick Find 框输入
Users，选择 Users； - 点击要冻结账户的用户名；
- 点击 Freeze，阻止该用户登录。
如上图所示，在用户记录页点击 Freeze 按钮即可冻结账户。现在被入侵的账户已冻结，你的组织安全了。当员工离职、你还没完成清理但又不想让他们登录时，冻结也很有用。
停用用户（Deactivate a User）
冻结和停用有什么区别？两者都能阻止用户登录，但冻结不会释放该用户的许可证。所以员工离职后，你应该停用用户：
- 在 Setup 的 Quick Find 框输入
Users，选择 Users； - 点击用户名旁的 Edit；
- 取消勾选 Active 复选框，点击 Save。
如上图所示，在 Edit User 界面取消 Active 复选框即可停用。你可以停用用户，但不能删除他们——删除用户可能导致孤立记录和关键业务信息丢失。为保留用户的记录和数据，请用停用代替删除。
查看用户可访问的内容（See What a User Can Access）
用户详情页还有一个实用功能：User Access Summary（用户访问摘要），可查看该用户被分配了哪些权限、加入了哪些记录访问功能。使用方法：
- 在 Setup 的 Quick Find 框输入
Users，选择 Users； - 点击要查看访问权限的用户名；
- 点击 View Summary；
- 浏览各 Tab，查看分配的权限或所在的公共组/队列。想知道哪个配置文件、权限集或权限集组授予了某权限，点击该权限的行级操作，再点 Access Granted By。
如上图所示，User Access Summary 汇总了用户的权限来源。至此你已学会添加用户、冻结和停用用户，以及查看用户可访问的内容。下一单元学习如何通过配置数据访问来保障数据安全。
二、控制用户可访问的内容（02 Control What Your Users Can Access）
本单元解决"用户能看什么、只看什么"的问题：介绍 Salesforce 数据访问的四个级别（组织、对象、字段、记录），学习创建权限集与权限集组，以及设置组织范围的共享默认值，确保每个用户只看到他们该看的记录。
数据安全简介（Introduction to Data Security）
添加完用户后，你自然想确保他们"能看该看的、只看该看的"。Salesforce 提供简单易配的安全控制，让你指定哪些用户可以查看、创建、编辑或删除任何记录或字段。你可以从组织、对象、字段、单条记录四个级别配置访问，组合不同级别的控制，即可为数千用户提供恰到好处的数据访问，而无需逐个设置权限。
本单元只是入门，想深入并动手实践，可参考 Trailhead 上的 Data Security 模块。
数据访问级别：组织（Levels of Data Access: Organization）
最高级别的访问控制是针对组织本身：
- 维护一份授权用户列表；
- 设置密码策略；
- 把登录访问限制在特定的时间段和地点。
这是数据安全模型的最外层防线。
数据访问级别：对象（Levels of Data Access: Objects）
对象级安全是控制"谁能访问哪些数据"最简单的方式。通过对某一对象类型设置权限，你可以阻止一组用户创建、查看、编辑或删除该对象的任何记录。例如：让面试官可以查看职位和求职申请，但不能编辑或删除它们。Salesforce 推荐用权限集和权限集组来配置对象权限。
数据访问级别：字段（Levels of Data Access: Fields）
字段级安全可限制对特定字段的访问，即使用户有权访问该对象。例如：把职位对象上的薪资（salary）字段对面试官隐藏，但对招聘经理和招聘专员可见。字段权限同样在权限集中配置。
数据访问级别：记录（一）：精确的记录控制（Records (1)）
若要更精细地控制数据，可以让用户查看某个对象，却限制他们能看到其中的哪些记录。例如：记录级访问让面试官只能看到并编辑自己的评价，而不暴露其他面试官的评价。
这个基线的设定靠的是组织范围默认值（organization-wide defaults）——它定义用户对彼此记录拥有的默认访问级别。
数据访问级别：记录（二）：开放访问（Records (2)）
基线设定好之后，你可以用以下方式开放对记录的访问：
- 角色层级（role hierarchy）；
- 共享规则（sharing rules）；
- 手动共享（manual sharing）及其它共享功能。
注意：这些功能只能增加访问权限，无法在组织范围默认值之外进一步限制访问。接下来我们重点看两个配置数据访问的功能：权限集与组织范围默认值。
权限集（Permission Sets）
权限集（permission set）是一组设置和权限的集合，决定用户在 Salesforce 中能做什么。用权限集可授予对对象、字段、Tab 及其它功能的访问，从而在不修改配置文件的前提下扩展用户权限。
权限集的好处在于可复用：你可以复用较小的权限集构建块，避免为每个用户和岗位创建几十甚至上百个配置文件。因此 Salesforce 推荐：给用户分配 Minimum Access - Salesforce 配置文件，再用权限集和权限集组管理访问。创建权限集时，应包含某岗位或任务所需的全部权限。
创建权限集（一）：创建外壳（Create a Permission Set (1)）
动手创建一个权限集：
- 在 Setup 的 Quick Find 框输入
Permission Sets，选择 Permission Sets； - 点击 New；
- 输入权限集的 Label 和 Description；
- 可选地限制只有持有某些许可证的用户才能被分配此权限集；
- 点击 Save。
权限集的概览页包含所有可配置的权限与设置分区。
创建权限集（二）：启用对象与用户权限（Create a Permission Set (2)）
接着启用对象、字段和用户权限：
- 点击 Object Settings 并选择一个对象（或用 Find Settings… 直接跳转）；
- 点击 Edit，启用你希望分配给该权限集用户的对象权限和字段权限，点击 Save；
- 点击 Permission Set Overview 返回概览页；
- 用户权限位于 App Permissions 和 System Permissions 分区，点击 App Permissions；
- 点击 Edit，勾选要启用的用户权限复选框，点击 Save。
权限集创建配置完成！现在可以直接分配……但我们有更好的方式——先创建一个包含该权限集的权限集组，以便更轻松地管理用户权限。
权限集组（Permission Set Groups）
权限集组（permission set group）顾名思义，就是权限集的组合。用它按岗位角色（job persona/role）把多个权限集打包，然后把一个组分配给用户，而不必追踪多个权限集分配。被分配权限集组的用户会获得组内所有权限集的合并权限。
权限集组的强大之处在于：一个权限集可以放进多个组；并且你可以在组内静音（mute）特定权限，让被分配用户不拥有这些权限。把这些能力结合，就能高效复用权限集，让用户只拥有工作所需的权限，而无需克隆几十甚至上百个配置文件。想深入可参考 Permission Set Groups 模块。
创建权限集组并静音权限（一）：构建组（Create Group (1)）
创建权限集组：
- 在 Setup 的 Quick Find 框输入
Permission Set Groups，选择 Permission Set Groups； - 点击 New Permission Set Group；
- 输入组的 Label 和 Description，点击 Save；
- 在概览页点击 Permission Sets in Group；
- 点击 Add Permission Set，选择要纳入的权限集，点击 Add，再点 Done。
现在这个组就合并了所有成员权限集的权限。
创建权限集组并静音权限（二）：静音与分配（Create Group (2)）
在组内静音某权限：
- 在概览页点击 Muting Permission Set in Group；
- 点击 New，保持静音权限集的名称不变，点击 Save；
- 点开你的静音权限集；
- 用 Find Settings… 直接跳转，或导航到要静音的权限所在分区；
- 点击 Edit，在 Muted 列勾选对应权限的复选框，点击 Save。
最后把组分配给用户：
- 在概览页点击 Manage Assignments，再点 Add Assignments；
- 选择要分配的用户，点击 Next；
- 可选地设置分配过期日期（适合临时分配）；
- 点击 Assign。
组织范围的共享默认值（一）：设定基线（OWD (1)）
组织范围默认值（OWD）指定用户对不归自己所有的记录拥有的基线访问级别。为每个对象回答下面三个问题，即可确定其共享模型：
- 谁是这个对象最受限的用户？
- 是否存在某个记录实例，是这位用户不应被允许查看的？
- 是否存在某个记录实例，是这位用户不应被允许编辑的？
如上图所示，通过对这三个问题的回答，你可以确定该对象应采用哪种共享模型。
组织范围的共享默认值（二）：四种设置（OWD (2)）
根据回答，把对象的共享模型设为以下四种之一：
- Private（私有）：只有记录所有者（以及角色层级中其上的用户）能查看、编辑和报表；
- Public Read Only（公共只读）：所有用户可查看和报表，但只有所有者（及其上）能编辑；
- Public Read/Write（公共读写）：所有用户都能查看、编辑和报表所有记录；
- Controlled by Parent（由父级控制）：用户能否对记录执行操作，取决于他能否对关联的父记录执行同样操作。
如果把对象设为 Private 或 Public Read Only，可用角色层级、共享规则或其它共享功能开放更多访问——但要记住，这些只能增加访问，无法在组织范围默认值之外进一步限制。
设置组织范围的共享默认值（Set OWD）
动手设置一些组织范围默认值：
- 在 Setup 的 Quick Find 框输入
Sharing Settings，选择 Sharing Settings； - 在 Organization-Wide Defaults 区域点击 Edit；
- 对每个对象，在 Default Internal Access 列选择你想要的默认访问级别；
- 要让角色层级中更高级别的员工自动访问记录，为任何默认访问不是 Controlled by Parent 的自定义对象勾选 Grant Access Using Hierarchies。
至此你已学会 Salesforce 数据访问控制的基础，并结合对象、字段、记录三个级别，为用户配置了恰到好处的访问权限。想进一步深入，记得去 Data Security 模块继续练习。