セッションセキュリティ設定の変更

セッションタイムアウト設定の定義

1. [設定] で、[クイック検索] ボックスに「セッションの設定」と入力して、[セッションの設定] を選択します。
2. [タイムアウト値] に、無効なユーザーをシステムがログアウトするまでの時間を選択します。ポータルユーザーの場合、実際のタイムアウトが 10 分から 24 時間の場合でも、選択できるのは 15 分から 24 時間の値のみです。機密情報についてより厳しいセキュリティを適用する場合は、短めのタイムアウト期間を選択してください。
   

   メモ Salesforce では、5 分ごとに最後の有効なセッション時間の値が更新されます。そのため、30 分のタイムアウトが設定されており、3 分の時点でレコードを更新すると、Salesforce によって活動がチェックされ、5 分の時点でセッションが更新されます。他の更新を行わない場合、セッションの合計時間は 35 分になります。
3. 操作のないユーザーのタイムアウト時の警告メッセージを無効にするには、[セッションタイムアウト時の警告ポップアップを無効にする] を選択します。この設定が選択されていない場合、タイムアウトの 30 秒前に、またはタイムアウト値で指定されたとおりに、タイムアウト時の警告メッセージで無効なユーザーに注意を促すメッセージが表示されます。
   

   メモ 別のユーザーとしてログインしている場合、セッションタイムアウト警告ポップアップは常に無効になります。[セッションタイムアウト警告ポップアップを無効化] 設定をオフにしても、ポップアップは無効のままです。
4. セッションがタイムアウトしたときにユーザーをログインページに自動的にリダイレクトするには、[セッションタイムアウト時に強制的にログアウトする(Force logout on session timeout)] を選択します。ブラウザーが更新されてログインページに戻ります。ユーザーがアクセスするには、再度ログインする必要があります。
   この設定を選択解除すると、セッションがタイムアウトしてもブラウザーは同じページに留まります。ユーザーがログインを要求する操作を実行するまで、ログインページにリダイレクトされません。たとえば、ユーザーが [取引先] ページを表示している間にセッションがタイムアウトした場合、ブラウザーはこのページに留まります。その後、ユーザーがボタンをクリックしてアカウントを更新すると、ブラウザーはログインページにリダイレクトします。
   

   メモ この設定を有効にする場合は、[セッションタイムアウト時の警告ポップアップを無効にする] を選択しないでください。

セッションの設定の定義

1. [設定] から、[クイック検索] ボックスに「セッションの設定」と入力し、[セッションの設定] を選択します。
2. ユーザーがログインした IP アドレスをロックするには、[ログイン時の IP アドレスとセッションをロックする] を選択します。IP アドレスをロックすると、未承認ユーザーによる有効なセッションの乗っ取りを防止できます。
   

   メモ この設定は、さまざまなアプリケーションやモバイルデバイスの機能を妨げる可能性があります。
3. 必要に応じて、[システム管理者がこのユーザーのパスワードをリセットしたときに、ユーザーのすべてのセッションを終了する] を有効にします。この設定は、パスワードの盗難やクレデンシャルスタッフィング攻撃などのセキュリティインシデントを軽減するのに役立ちます。ユーザーのパスワードが侵害されたと思われる場合は、そのユーザーのパスワードをリセットし、すべての UI セッションを同時に終了できます。この設定は、複数のユーザーのパスワードを一度にリセットする場合にも適用されます。
4. ユーザーの現在の UI セッションを特定のドメインに関連付けるには、[セッションを最初に使用したドメインにセッションをロックする] を選択します。たとえば、Experience Cloud サイトユーザーをサイトドメインに関連付けます。この設定は、別のドメインでのセッション ID の不正使用防止に役立ちます。この設定は、Spring '15 リリース以降に作成された Salesforce 組織ではデフォルトで有効になっています。
5. 必要に応じて、[従業員に Experience Cloud サイトへの直接ログインを許可] を有効にします (推奨)。この設定により、内部ユーザーはサイトログインページで内部ユーザー名およびパスワードを使用できるようになります。従業員がサイトログインページから直接ログインするには、サイトのメンバーである必要があります。内部ユーザーがログインすると、サイトホームページが表示されます。
6. 必要に応じて、[Lightning アプリケーションをサードパーティのサイトに埋め込む場合、セッション Cookie の代わりにセッショントークンを使用します] を有効にします。この設定では、Lightning アプリケーションが Lightning Out などのサードパーティコンテキスト内にあるときに認証 Cookie をセッショントークンに置き換えます。ブラウザーではサードパーティクッキーの使用が制限されています。その結果、サードパーティ Cookie を使用する Lightning アプリケーションでは、ブラウザーとサーバー間でセッション識別子を維持するために異なる方法を使用する必要があります。この設定では、ユーザーは Safari の [サイト越えトラッキングを防ぐ] 設定などのブラウザー設定を無効にする必要はありません。

セキュアな接続 (HTTPS) 設定の定義

1. [設定] から、[クイック検索] ボックスに「セッションの設定」と入力し、[セッションの設定] を選択します。
2. [ユーザーとしてログインしてから再ログインを強制する] 設定はデフォルトで有効になっています。この設定が有効になっていると、別のユーザーとしてログインしているシステム管理者は他のユーザーとしてログアウトした後にもう一度ログインすることになります。ユーザー活動の追跡と記録をより簡単に行うために、この設定を有効にしておくことをお勧めします。
3. セッション ID Cookie のアクセスを制限するには、[HttpOnly 属性が必要] を選択します。HttpOnly 属性を持つ Cookie は、JavaScript からのコールなど、非 HTTP メソッドではアクセスできません。
   

   メモ JavaScript を使用してセッション ID の Cookie にアクセスするカスタムアプリケーションまたはパッケージアプリケーションを使用している場合は、[HttpOnly 属性が必要] を選択するとアプリケーションが停止します。これは、Cookie へのアプリケーションのアクセスが拒否されるためです。また、この設定を選択すると、AJAX Toolkit のデバッグウィンドウも使用できなくなります。
4. クロスドメイン交換の GET 要求ではなく POST 要求を使用してセッション情報を送信するには、[クロスドメインセッションで POST 要求を使用] を選択します。たとえば、Visualforce ページを使用している場合、セッション情報が要求の本文に保持されるため、POST 要求のセキュリティが強化されます。ただし、この設定を有効にすると、画像など、別のドメインから埋め込まれたコンテンツが表示されないことがあります。
5. ユーザーがアクセス権を取得できる IP アドレスを [ログイン IP アドレスの制限] で定義された IP アドレスのみに制限するには、[すべての要求でログイン IP アドレスの制限を適用] を選択します。

   この設定をオンにすると、クライアントアプリケーションからの要求を含め、各ページ要求でログイン IP アドレスの制限が適用されます。この設定をオフにすると、ユーザーがログインする場合にのみログイン IP アドレスの制限が適用されます。この設定は、ログイン IP アドレスが制限されたすべてのユーザープロファイルに影響します。

6. [ログイン IP アドレスの制限] (Contact Edition、Manager Edition、Group Edition、および Professional Edition のみ) で [すべての要求でログイン IP アドレスの制限を適用] を選択した場合、ユーザーのログイン元の IP アドレスの範囲 (両端を含む) を指定します。範囲を指定するには、[新規] をクリックし、開始 IP アドレスと終了 IP アドレスを入力して、開始値と終了値を含む範囲を定義します。
   

   メモ この項目は、Enterprise Edition、Unlimited Edition、Performance Edition、および Developer Edition では使用できません。これらのエディションでは、有効な [ログイン IP アドレスの制限] をユーザープロファイル設定に指定できます。

キャッシュ設定の定義

1. [設定] から、[クイック検索] ボックスに「セッションの設定」と入力し、[セッションの設定] を選択します。
2. ユーザーのブラウザーでユーザー名を保存できるようにするには、[ログインページでキャッシングとオートコンプリート機能を有効にする] を選択します。オンにすると、初回ログインの後、ユーザー名がログインページの [ユーザー名] 項目に自動入力されます。ユーザーがログインページで [ログイン情報を保存する] を選択した場合、セッションが期限切れになったりユーザーがログアウトしたりした後でも、ユーザー名が保持されます。ユーザー名は、スイッチャーにも表示されます。この設定は、デフォルトで有効になっています。
3. ブラウザーでの安全なデータキャッシュを有効にするには、[パフォーマンスを向上させるためにブラウザーの安全で永続的なキャッシュを有効にする] を選択します。この設定をオンにすると、サーバーとの往復処理の増加を避けることでページの再読み込みパフォーマンスが向上します。この設定は、デフォルトで有効になっています。
   

   警告 ブラウザーの安全で永続的なキャッシュを無効にすると、Lightning Experience のパフォーマンスに対して重大な悪影響があります。次のようなシナリオでのみ無効にしてください。

   • データが暗号化されている場合でも、会社のポリシーによりブラウザーのキャッシュが許可されていない。
   • コード変更の影響を確認するために Sandbox 組織または Developer Edition 組織で開発しており、安全なキャッシュを空にする必要がない。
4. ユーザーがプロファイル写真を選択するときにスイッチャーを表示するには、[ユーザーの切り替えを有効化] を選択します。この設定により、ユーザーがプロファイル写真を選択するときにも、スイッチャーが表示されなくなります。この設定は、デフォルトで有効になっています。他の組織のスイッチャーに組織が表示されないようにするには、この設定を無効にします。
   

   メモ [ユーザーの切り替えを有効化] 設定をオンにするには、[ログインページでキャッシングとオートコンプリート機能を有効にする] 設定もオンにする必要があります。
5. ユーザーが明示的にログアウトした場合にのみキャッシュされたユーザー名を削除するには、[ログアウトするまでログイン情報を保存] を選択します。セッションがタイムアウトすると、ユーザー名はスイッチャーに無効として表示されます。そのため、ユーザーは自分のコンピューターを操作していてセッションがタイムアウトになった場合、ユーザー名を選択して再認証できます。ただし、ユーザーが共有コンピューターを操作している場合、ユーザーがログアウトすると、ユーザー名はただちに削除されます。この設定は、すべてのユーザーに適用されます。

   この設定をオンにしない場合 (デフォルト)、ユーザー名はセッションが有効になっている間、またはユーザーが [ログイン情報を保存する] を選択した場合にのみキャッシュされます。このオプションはシングルサインオンセッションでは使用できません。セッションが期限切れになると、ユーザー名は、ログインページとスイッチャーに表示されなくなります。認証プロバイダーをログインページで公開しない場合は、この設定を無効のままにしておきます。

6. Lightning コンポーネントフレームワークの静的コンテンツを提供するコンテンツ配信ネットワーク (CDN) を有効にして、Lightning Experience やその他のアプリケーションの読み込みを高速化するには、[Lightning コンポーネントフレームワークのコンテンツ配信ネットワーク (CDN) を有効化] を選択します。通常、CDN を使用するとページの読み込み時間が短縮されますが、ファイルを提供する取得元ドメインも変わります。会社で Salesforce から提供されるコンテンツの IP 範囲を制限している場合、この設定を有効にする前に徹底的にテストします。CDN では、複数の地理的な場所でキャッシュバージョンが保存され、静的コンテンツの読み込み時間が短縮されます。この設定により、Lightning コンポーネントフレームワークの静的な JavaScript や CSS の CDN 配信が有効になります。CDN では、Salesforce データまたはメタデータは配信されません。

クロスサイトリクエストフォージェリ保護

コンテンツセキュリティポリシー保護の設定

1. [設定] から、[クイック検索] ボックスに「セッションの設定」と入力し、[セッションの設定] を選択します。
2. Internet Explorer から Salesforce Classic でのメールテンプレートへのアクセスに関する特定のセキュリティ制限を上書きするには、[Internet Explorer を使用した Salesforce Classic のメールテンプレートへのアクセスに対する制限を上書き] を選択します。
   

   警告 この設定はオンにしないことを強くお勧めします。Internet Explorer は、Salesforce で要求されるブラウザーのセキュリティ保護のレベルに達していません。この設定をオンにすると、ユーザーはサードパーティによる悪意のあるデータアクセス試行に対して脆弱な状態になります。
3. script-src ディレクティブでの unsafe-inline 提供元の使用を禁止するには、[より厳格なコンテンツセキュリティポリシーを有効化] を選択します。

   Lightning コンポーネントフレームワークでは、W3C 標準のコンテンツセキュリティポリシー (CSP) を使用して、ページに読み込むことができるコンテンツのソースを制御します。この設定はクロスサイトスクリプティング攻撃のリスクを軽減させるもので、デフォルトで有効になっています。

   

   重要 この設定は有効なままにしておくことを強くお勧めします。Lightning Locker と Lightning Web セキュリティでは、この設定を利用して Lightning コンポーネントのセキュリティを強化しています。

Lightning Locker API バージョン設定の定義

1. [設定] から、[クイック検索] ボックスに「セッションの設定」と入力し、[セッションの設定] を選択します。
2. [API バージョンでセキュリティの機能強化を使用] で、コンポーネントが正常に機能していた最新の API バージョンを選択します。コンポーネント開発者が現在の Lightning Locker セキュリティ機能でコンポーネントが機能するように更新したら、最大限の保護を得られるようにこの設定を現在の API バージョンに戻してください。

Lightning Web セキュリティの設定

1. [設定] から、[クイック検索] ボックスに「セッションの設定」と入力し、[セッションの設定] を選択します。
2. [Lightning Web コンポーネント用および Aura コンポーネント用 Lightning Web セキュリティの使用] を選択します。

セッションの追加の保護の設定

1. [設定] から、[クイック検索] ボックスに「セッションの設定」と入力し、[セッションの設定] を選択します。
2. 組織 ID や口座番号など、URL 内の機密情報を保護するには、HTTP リファラーポリシーを選択します。「URL 内の機密情報の保護」を参照してください。
3. ユーザーを悪意のある URL やフィッシングから保護するには、信頼できる外部ドメインを指定し、[外部リダイレクト] 設定を選択します。こうしたリダイレクトをブロックしたり、リンク先が Salesforce ドメイン外であることをユーザーにアラート通知したりできます。詳細は、Salesforce ヘルプの「外部 URL へのリダイレクトの管理」を参照してください。Lightning Experience では、警告メッセージは Web タブにのみ適用されます。

メモ [コンテンツ盗聴保護を有効化] は有効になっており、無効にできません。この設定により、ブラウザーでドキュメントコンテンツから MIME タイプが推測されないようにすることで、悪意のあるファイル (JavaScript、スタイルシート) が動的コンテンツとして実行されないようにできます。問題の修復を目的としてこの機能を一時的に無効にするには、Salesforce カスタマーサポートにご連絡ください。

セッションセキュリティレベルの設定

1. [設定] から、[クイック検索] ボックスに「セッションの設定」と入力し、[セッションの設定] を選択します。
2. [セッションセキュリティレベル] で、次の表からログイン方法を選択します。
3. メソッドを適切なカテゴリに移動するには、[追加] または [削除] をクリックします。

レポート、ダッシュボード、接続アプリケーションの高保証セッションの設定

レポート、ダッシュボード、および接続アプリケーションで高保証が必要なポリシーを設定することもできます。また、リソースへのアクセスに使用されるセッションが高保証でない場合に実行するアクションを指定できます。次のアクションがサポートされます。

• ブロックする — 権限が不十分であるというエラーを表示して、リソースへのアクセスを防止します。
• セッションレベルを上げる — MFA の完了を促すメッセージをユーザーに表示します。ユーザーが認証に成功すると、リソースにアクセスできます。レポートおよびダッシュボードの場合、ユーザーがレポートまたはダッシュボードにアクセスするとき、あるいはレポートまたはダッシュボードをエクスポートして印刷するときに、このアクションを適用できます。

警告 Lightning Experience では、ユーザーをリダイレクトして MFA を完了し、セッションレベルを高保証に上げることは、サポートされていません。Lightning Experience を有効化し、高保証セッションポリシー要件を設定している場合、標準セッションの Lightning Experience ユーザーはレポートとダッシュボードからブロックされます。また、ナビゲーションメニューにはこれらのリソースのアイコンが表示されません。回避策として、標準保証セッションのユーザーはログアウトしてから、組織で高保証として定義された認証方法を使用して再度ログインできます。その後ユーザーはレポートやダッシュボードにアクセスできます。または、Salesforce Classic に切り替えることができます。この場合、レポートとダッシュボードにアクセスするときに、セッションレベルを上げるように促されます。

セッションレベルは、セキュリティポリシーが定義された接続アプリケーション、レポート、およびダッシュボードを除き、アプリケーションのリソースに影響を及ぼしません。

接続アプリケーションへのアクセス時の高保証の要求についての詳細は、「接続アプリケーションのセッションポリシーの管理」を参照してください。

レポートおよびダッシュボードへのアクセス時に高保証ポリシーを要求する手順は、次のとおりです。

1. [設定] の [クイック検索] ボックスに「アクセスポリシー」と入力し、[アクセスポリシー] を選択します。
2. [高保証セッションが必要です] を選択します。
3. レポートとダッシュボードへのアクセスをブロックするか、セッションレベルを高保証に引き上げるオプションを選択します。
4. 変更内容を保存します。

ログアウトページ設定の定義

1. [設定] から、[クイック検索] ボックスに「セッションの設定」と入力し、[セッションの設定] を選択します。
2. [ログアウト URL] に、ユーザーが Salesforce からログアウトした後にリダイレクトするページの URL を入力します。たとえば、認証プロバイダーのページまたは顧客がブランド設定したページの URL を入力します。

   このリダイレクトログアウト URL は、ID プロバイダー、SAML シングルサインオン、またはサードパーティ認証プロバイダーの設定でログアウト URL が指定されていない場合にのみ使用されます。ログアウト URL を指定していない場合、https://MyDomainName.my.salesforce.com がデフォルトになります。

3. ブラウザーの期限が切れたすべてのタブをカスタムログアウト URL にリダイレクトするには、[ローカルブラウザーにリダイレクトログアウト URL を保存] を選択します。この設定をオンにする前に、次の考慮事項を確認してください。

   この設定では、ブラウザーのローカルストレージを使用してカスタムログアウト URL を保存します。この設定がカスタムログインインテグレーションと干渉しないことを確認します。

新規ユーザーメールのセッションの設定の定義

1. [設定] から、[クイック検索] ボックスに「セッションの設定」と入力し、[セッションの設定] を選択します。
2. [リンク有効期限] に、新規ユーザーへのお知らせメールでアカウントの確認リンクが有効な期間を選択します。1 日、7 日、または 180 日を選択できます。デフォルトでは、アカウントの確認リンクの有効期限は 7 日間です。

   この設定を更新すると、その変更はすでに送信されたお知らせメールのリンクに適用されます。たとえば、2 日前にお知らせメールを送信し、リンクの有効期限が 7 日間に設定されているとします。設定を更新して、リンクの有効期間を 1 日にすると、2 日前に送信したメールのリンクは有効ではなくなります。