위치:
API(OAuth 설정 활성화): OAuth 설정 활성화
Salesforce 연결된 앱에서 OAuth 설정을 활성화하면 응용 프로그램이 보안 토큰 기반 권한 부여 프로토콜 및 세분화된 범위를 사용할 수 있습니다.
제어 이름
연결된 앱: API(OAuth 설정 활성화): OAuth 설정 활성화
권장 구성
OAuth 설정 활성화 - 선택됨.
제어 개요
Salesforce 연결된 앱에서 OAuth 설정을 활성화하면 응용 프로그램이 안전하지 않은 레거시 자격 증명 공유 방법에 의존하지 않고 토큰 기반 권한 부여 프로토콜 및 세분화된 범위를 사용할 수 있습니다.
구성되지 않은 경우 보안 위험
연결된 앱은 OAuth 2.0을 사용할 수 없으므로 레거시 세션 ID 또는 하드 코딩된 자격 증명과 같은 안전하지 않은 메서드를 사용해야 합니다. 표준화된 인가가 부족하면 세분화된 액세스 제어가 적용되지 않으므로 범위, 새로 고침 토큰 정책 또는 다단계 인증의 보호 계층이 없는 통합이 남아 있게 됩니다.
위협 시나리오
공격자는 Man-in-the-Middle 공격을 통해 정적 자격 증명을 수집할 수 있습니다.
예상 CVSS 점수 범위
중요(9.0~10.0)
위험 영향 고려 사항
OAuth 설정이 활성화되지 않으면 관리 가시성 및 취소 제어가 손실됩니다(예: OAuth 세션).
위험이 높은 경우
OAuth 보호가 없으므로 가로채기된 자격 증명이 사용자의 전체 권한에 대한 제한 없이 액세스할 수 있음을 의미하므로 공개 앱에서 중요한 데이터에 액세스해야 하는 경우
낮은 위험 시기
앱이 엄격하게 비API 기능에 사용되는 경우(예: SAML 기반 싱글사인온) 인증이 별도의 보안 ID 공급자 핸드셰이크를 통해 처리됩니다.
비즈니스 및 통합 고려 사항
레거시 시스템에 대해 더 간단하게 설정할 수 있지만 이러한 설정을 비활성화하면 헤드리스 ID 및 REST API와 같은 확장 가능한 최신 Salesforce 기능을 사용하지 못하게 하는 상당한 기술적 차단이 생성됩니다.
권장 수정
연결된 앱 내에서 "OAuth 설정"을 활성화하여 인가 코드 또는 JWT 전달자 플로를 사용하여 보안 핸드샷을 설정하여 모든 API 트래픽이 세분화된 범위 및 PKCE에 따라 관리되도록 합니다.
보안 상태 검토 지침
보안 상태 검토에서는 연결된 앱에 대한 기본 설정으로 이를 권장합니다.
