ゲストユーザセキュリティポリシーのベストプラクティス

組織設定

リストビューが特定のグループとのみ共有されてるか、非公開に設定されていることを確認してください。
内部および外部の組織共有のデフォルトを、非公開データを持つすべてのオブジェクトで「非公開」に設定します。適切な理由で代替共有モデルが許可される場合があります。(例: [CRUD] レベルでの作成、参照、更新、削除での適切な制限)
サイトゲストユーザとデータを共有しないように、すべての共有ルールを設定します。
「ユーザプロファイルに基づくゲストユーザとポータルユーザの @AuraEnabled Apex メソッドへのアクセスの制限 (重要な更新)」を適用します。

サイトゲストユーザプロファイル

組織の共有設定 (OWD) を「非公開」に設定します。
各オブジェクトの項目レベルセキュリティを確認します - サイトゲストユーザは、ビジネス機能に必要な、公開データのみを含むカスタム/標準オブジェクトにのみアクセスできる必要があります。
カスタム/標準オブジェクトへ自由にアクセスできないように共有ルール/権限セットを設定します。
「ゲストユーザプロファイルを設定するときのベストプラクティスと考慮事項」に従って、すべての有効なプロファイルが個人情報を含む可能性のある標準オブジェクトまたはカスタムオブジェクトにアクセスできないようにします。
[すべてのユーザを参照]、オブジェクトのアクセス権、および [APIの有効化] チェックボックスが有効になっていないことを確認します。
「ゲストユーザによって作成されたレコードの組織のデフォルトユーザへの割り当て」の手順に従って、サイトゲストユーザプロファイルによって作成された機密レコードの所有権を内部ユーザに譲渡し、既存のすべてのレコードの所有権も内部ユーザに譲渡されていることを確認します。

追加の作業:

カスタム Apex コードを確認します。
- データを返す公開 API メソッドを確認し、メソッドを使用してオブジェクトのレコードを取り出せないことを確認します。
- すべての Apex クラス/メソッドに項目レベルセキュリティを適用します。
- 次のヘルプドキュメントに従って、すべてのコントローラが現在のユーザの権限を尊重していることを確認します。
with sharing、without sharing、および inherited sharing キーワードの使用
オブジェクト権限と項目権限の適用
静的リソース内の JavaScript ライブラリを最新のセキュリティパッチを継続的に更新するプロセスを維持します。
公開された API キーの認証情報をリセットします。

リソース