Winter’22のリリースノートを確認してた中で、実際にリリースされたら権限設定の方法が増えることになるので、把握しておかなければと思っていた制限ルール。プレリリース組織で確認しようとしたのですが試すことができませんでした。
無事に Winter'22がリリースされたようなので、Developer Editionで試してみました。ヘルプページなどでも記載が少なく、また検索しても開発系の話ばかりで謎が多いのですが、今日確認した内容と謎をそのまま皆さまに共有させていただきます。
もし「こういう意味でしたよ！」「こういう使い方がありましたよ！」などありましたら、コメントでお知らせいただけると助かります。

※chirosukeさんによる検証記事「共有設定と制限ルールの検証をしてみました」もあわせてお読みください。

よりアクセスできるユーザを絞り込むのが制限ルール

これまでリリースノートを読んでもイメージがつかなかったのですが、いくつか設定してみてやっと理解しました。制限ルールはレコードの共有に特例を設けるのではなく、組織の共有設定や共有ルールで絞り込まれたアクセス権限に、さらに細かな制限を加える機能です。そのため、最終的にアクセス権を許可したいユーザが、最終的に制限ルールで絞り込まれる前に共有ルールなどで除外されてしまうと、正しく設定がされません。イメージとしては、段々アクセスできるユーザをマイナスしていく感じでしょうか。

以前公開したこちらの記事で、英語でかかれた制限ルールの機能紹介の文章を紹介しましたが、こちらの図（設定画面でも最初に表示されます）と文章がわかりやすいかと思います。

◇ Salesforce Developers ＞Docs ＞Atlas ＞Restriction_rules ＞Restriction Rules Developer Guide (Beta)

※以前の記事作成時より、若干内容が更新されたようです。

制限ルールはどのような場合に使用するのですか？

制限ルールは、特定のユーザに特定のレコードのみを閲覧させたい場合に使用します。制限ルールを使用すると、機密情報を含むレコードへのアクセスを簡単に制御できます。契約、ToDo、および行動へのアクセスは、組織全体のデフォルトを使用して本当の意味で非公開にすることが難しいため、制限ルールはこの可視性を設定するための最良の方法です。

「活動のアクセス権周りについてつづってみました。」の記事でうどんさんが書いてくださっていましたが、ToDoおよび行動を含む活動は確かにアクセスの制御が難しいのです。それでも、機密性を守らなければならない性質の情報は存在するわけで、そこへの救済措置（？）がこの機能なんですね。ドメインやMFAといい、Salesforce はこれまで以上にデータアクセスの制御に注意を払っていくようですね。