Identificando o e-mail do usuário original no Salesforce ao “fazer login como” outro usuário

Compreendendo a representação do usuário em aplicativos Salesforce

No domínio do desenvolvimento do Salesforce, um cenário comum envolve usuários com permissões elevadas fazendo login como outros usuários para executar determinadas ações ou revisar dados. Esse recurso, embora inestimável para supervisão e suporte administrativo, apresenta complexidades quando se trata de rastrear as ações do usuário original, especialmente em classes Lightning Web Components (LWC) ou Apex personalizadas. A capacidade de distinguir entre o usuário real e a conta personificada é crucial para registro, auditoria e até mesmo para experiências de usuário personalizadas em aplicativos Salesforce.

O desafio geralmente surge quando os desenvolvedores desejam capturar o endereço de e-mail do usuário “logado como”, e não apenas o e-mail do usuário personificado. O Salesforce fornece vários métodos para acessar informações do usuário, como utilizar o campo User.Email no LWC ou consultar detalhes do usuário no Apex. No entanto, extrair o e-mail específico do usuário que realiza a representação, em vez do amplo conjunto de e-mails da sessão, requer uma abordagem diferenciada. Resolver esse problema não apenas melhora a funcionalidade do aplicativo, mas também garante um nível mais alto de auditabilidade e gerenciamento de usuários nos ambientes Salesforce.

Compreendendo a mecânica do script de representação do Salesforce

Os scripts fornecidos desempenham uma função crucial na estrutura do Salesforce, especialmente ao lidar com a personificação do usuário — uma prática comum em ambientes onde as funções administrativas precisam agir em nome de outro usuário. O primeiro script, uma classe do Apex chamada ImpersonationUtil, foi projetado para identificar e retornar o endereço de e-mail do usuário que está realizando a representação. Isso é feito por meio de uma consulta SOQL no método getImpersonatorEmail, que pesquisa no objeto AuthSession sessões marcadas como 'SubstituteUser'. Este tipo de sessão específico indica uma sessão de representação. Ao ordenar os resultados por CriadoDate e limitar a consulta à sessão mais recente, o script pode identificar a sessão exata onde ocorreu a representação. Uma vez identificada, outra consulta recupera o endereço de e-mail do usuário que iniciou esta sessão, capturando efetivamente o e-mail do imitador.

O segundo script se concentra na integração dessa funcionalidade em um Lightning Web Component (LWC). Ele demonstra como conectar o método getImpersonatorEmail do Apex a uma propriedade em um LWC. Essa configuração permite que o componente exiba dinamicamente o endereço de e-mail do usuário que está se representando na IU do Salesforce, aumentando a transparência e a auditabilidade. O uso do decorador @wire é fundamental aqui, pois permite o provisionamento de propriedades reativas com dados retornados por um método Apex, garantindo que a exibição do componente seja atualizada em tempo real conforme os dados mudam. Essa abordagem metodológica garante que os desenvolvedores do Salesforce tenham um mecanismo robusto para rastrear ações de representação, o que é particularmente valioso em estruturas organizacionais complexas, onde vários usuários podem ter autoridade para fazer login como outros.

public with sharing class ImpersonationUtil {
    public static String getImpersonatorEmail() {
        String query = 'SELECT CreatedById FROM AuthSession WHERE UsersId = :UserInfo.getUserId() AND SessionType = \'SubstituteUser\' ORDER BY CreatedDate DESC LIMIT 1';
        AuthSession session = Database.query(query);
        if (session != null) {
            User creator = [SELECT Email FROM User WHERE Id = :session.CreatedById LIMIT 1];
            return creator.Email;
        }
        return null;
    }
}

import { LightningElement, wire, api } from 'lwc';
import getImpersonatorEmail from '@salesforce/apex/ImpersonationUtil.getImpersonatorEmail';
export default class ImpersonatorInfo extends LightningElement {
    @api impersonatorEmail;
    @wire(getImpersonatorEmail)
    wiredImpersonatorEmail({ error, data }) {
        if (data) {
            this.impersonatorEmail = data;
        } else if (error) {
            console.error('Error retrieving impersonator email:', error);
        }
    }
}

Técnicas avançadas para identificação de usuários no Salesforce

Ao explorar a personificação e identificação do usuário no Salesforce, um aspecto essencial a considerar é o modelo de segurança abrangente que o Salesforce emprega para proteger o acesso aos dados e as atividades do usuário. Esse modelo de segurança está intimamente ligado à capacidade de “fazer login como” outro usuário, exigindo um conhecimento profundo dos conjuntos de permissões e do gerenciamento de sessões do Salesforce. As permissões no Salesforce são refinadas, permitindo que os administradores especifiquem exatamente quais ações um usuário que se faz passar por uma pessoa pode executar. Isto garante que mesmo quando um usuário age em nome de outro, o princípio do menor privilégio seja mantido, minimizando assim possíveis riscos de segurança associados à representação.

Além disso, os recursos robustos de registro de eventos do Salesforce oferecem uma camada adicional de visibilidade das ações executadas durante uma sessão de representação. Ao aproveitar o objeto EventLogFile, os desenvolvedores podem consultar e analisar programaticamente logs relacionados a eventos de login, incluindo aqueles iniciados por meio da funcionalidade "Login As". Isso não apenas ajuda nos esforços de auditoria e conformidade, mas também fornece informações valiosas sobre o comportamento do usuário e o desempenho do aplicativo. Compreender como aproveitar esses logs pode melhorar significativamente a capacidade de uma organização monitorar e revisar as ações tomadas pelos usuários, garantindo responsabilidade e transparência no ambiente Salesforce.