Identifizieren der E-Mail-Adresse des ursprünglichen Benutzers in Salesforce, wenn Sie sich als ein anderer Benutzer anmelden

Grundlegendes zum Benutzeridentitätswechsel in Salesforce-Anwendungen

Im Bereich der Salesforce-Entwicklung kommt es häufig vor, dass sich Benutzer mit erhöhten Berechtigungen als andere Benutzer anmelden, um bestimmte Aktionen auszuführen oder Daten zu überprüfen. Diese Funktion ist zwar für die administrative Überwachung und Unterstützung von unschätzbarem Wert, führt jedoch zu Komplexitäten bei der Verfolgung der Aktionen des ursprünglichen Benutzers, insbesondere in benutzerdefinierten Lightning Web Components (LWC) oder Apex-Klassen. Die Fähigkeit, zwischen dem echten Benutzer und dem imitierten Konto zu unterscheiden, ist für die Protokollierung, Prüfung und sogar für individuelle Benutzererlebnisse in Salesforce-Anwendungen von entscheidender Bedeutung.

Die Herausforderung entsteht oft, wenn Entwickler die E-Mail-Adresse des „Angemeldet als“-Benutzers erfassen möchten, und nicht nur die E-Mail-Adresse des imitierten Benutzers. Salesforce bietet verschiedene Methoden für den Zugriff auf Benutzerinformationen, z. B. die Verwendung des Felds „User.Email“ in LWC oder die Abfrage von Benutzerdetails in Apex. Das Extrahieren der spezifischen E-Mail-Adresse des Benutzers, der den Identitätswechsel vornimmt, und nicht der breiten Palette von Sitzungs-E-Mails erfordert jedoch einen differenzierten Ansatz. Die Behebung dieses Problems verbessert nicht nur die Anwendungsfunktionalität, sondern gewährleistet auch ein höheres Maß an Überprüfbarkeit und Benutzerverwaltung in Salesforce-Umgebungen.

Grundlegendes zur Mechanik von Salesforce-Identitätswechselskripten

Die bereitgestellten Skripte erfüllen eine entscheidende Funktion innerhalb des Salesforce-Frameworks, insbesondere beim Umgang mit Benutzeridentitätswechseln – eine gängige Praxis in Umgebungen, in denen Administratorrollen im Namen eines anderen Benutzers handeln müssen. Das erste Skript, eine Apex-Klasse namens ImpersonationUtil, soll die E-Mail-Adresse des Benutzers identifizieren und zurückgeben, der den Identitätswechsel durchführt. Dies wird durch eine SOQL-Abfrage innerhalb der getImpersonatorEmail-Methode erreicht, die das AuthSession-Objekt nach Sitzungen durchsucht, die als „SubstituteUser“ markiert sind. Dieser bestimmte Sitzungstyp weist auf eine Identitätswechselsitzung hin. Indem das Skript die Ergebnisse nach Erstellungsdatum sortiert und die Abfrage auf die letzte Sitzung beschränkt, kann es genau die Sitzung ermitteln, in der der Identitätswechsel stattgefunden hat. Nach der Identifizierung ruft eine weitere Abfrage die E-Mail-Adresse des Benutzers ab, der diese Sitzung initiiert hat, und erfasst so effektiv die E-Mail-Adresse des Imitators.

Das zweite Skript konzentriert sich auf die Integration dieser Funktionalität in eine Lightning Web Component (LWC). Es zeigt, wie die Apex-Methode getImpersonatorEmail mit einer Eigenschaft innerhalb eines LWC verbunden wird. Durch dieses Setup kann die Komponente die E-Mail-Adresse des Benutzers, der sich als Benutzer ausgibt, dynamisch auf der Salesforce-Benutzeroberfläche anzeigen und so die Transparenz und Überprüfbarkeit verbessern. Die Verwendung des @wire-Dekorators ist hier von entscheidender Bedeutung, da er eine reaktive Bereitstellung von Eigenschaften mit von einer Apex-Methode zurückgegebenen Daten ermöglicht und sicherstellt, dass die Anzeige der Komponente in Echtzeit aktualisiert wird, wenn sich die Daten ändern. Dieser methodische Ansatz stellt sicher, dass Salesforce-Entwickler über einen robusten Mechanismus zur Verfolgung von Identitätswechselaktionen verfügen, was besonders in komplexen Organisationsstrukturen wertvoll ist, in denen mehrere Benutzer möglicherweise die Berechtigung haben, sich als andere anzumelden.

public with sharing class ImpersonationUtil {
    public static String getImpersonatorEmail() {
        String query = 'SELECT CreatedById FROM AuthSession WHERE UsersId = :UserInfo.getUserId() AND SessionType = \'SubstituteUser\' ORDER BY CreatedDate DESC LIMIT 1';
        AuthSession session = Database.query(query);
        if (session != null) {
            User creator = [SELECT Email FROM User WHERE Id = :session.CreatedById LIMIT 1];
            return creator.Email;
        }
        return null;
    }
}

import { LightningElement, wire, api } from 'lwc';
import getImpersonatorEmail from '@salesforce/apex/ImpersonationUtil.getImpersonatorEmail';
export default class ImpersonatorInfo extends LightningElement {
    @api impersonatorEmail;
    @wire(getImpersonatorEmail)
    wiredImpersonatorEmail({ error, data }) {
        if (data) {
            this.impersonatorEmail = data;
        } else if (error) {
            console.error('Error retrieving impersonator email:', error);
        }
    }
}

Erweiterte Techniken zur Benutzeridentifizierung in Salesforce

Bei der Untersuchung des Benutzeridentitätswechsels und der Benutzeridentifizierung innerhalb von Salesforce ist das umfassende Sicherheitsmodell, das Salesforce zum Schutz des Datenzugriffs und der Benutzeraktivitäten einsetzt, ein wesentlicher zu berücksichtigender Aspekt. Dieses Sicherheitsmodell ist eng mit der Möglichkeit verbunden, sich als ein anderer Benutzer anzumelden, was ein tiefes Verständnis der Berechtigungssätze und der Sitzungsverwaltung von Salesforce erfordert. Die Berechtigungen in Salesforce sind fein abgestuft, sodass Administratoren genau festlegen können, welche Aktionen ein sich als Benutzer ausgebender Benutzer ausführen kann. Dadurch wird sichergestellt, dass das Prinzip der geringsten Rechte gewahrt bleibt, selbst wenn ein Benutzer im Namen eines anderen handelt, wodurch potenzielle Sicherheitsrisiken im Zusammenhang mit Identitätswechsel minimiert werden.

Darüber hinaus bieten die robusten Ereignisprotokollierungsfunktionen von Salesforce eine zusätzliche Ebene der Transparenz der während einer Identitätswechselsitzung durchgeführten Aktionen. Durch die Nutzung des EventLogFile-Objekts können Entwickler Protokolle im Zusammenhang mit Anmeldeereignissen programmgesteuert abfragen und analysieren, einschließlich solcher, die über die Funktion „Anmelden als“ initiiert wurden. Dies hilft nicht nur bei Audits und Compliance-Bemühungen, sondern liefert auch unschätzbare Einblicke in das Benutzerverhalten und die App-Leistung. Wenn Sie verstehen, wie diese Protokolle genutzt werden können, kann die Fähigkeit eines Unternehmens, von Benutzern durchgeführte Aktionen zu überwachen und zu überprüfen, erheblich verbessert werden, wodurch Verantwortlichkeit und Transparenz innerhalb der Salesforce-Umgebung gewährleistet werden.