認証プロバイダー制御

コントロール名

認証プロバイダーの設定と検証

推奨設定

すべての認証プロバイダーを設定、検証し、定期的にレビューして、信頼済みで、範囲が正しく、安全に統合されていることを確認します。

制御の概要

認証プロバイダーを使用すると、Salesforce はユーザー認証を Apple、Google、Microsoft、OpenID Connect プロバイダー、その他のサポート対象サービスなどの信頼できるサードパーティ ID プラットフォームに委任できます。適切に設定することで、検証済みのソースからのみ認証アサーションを受け入れ、ユーザーのプロビジョニングとアクセスを安全に制御できます。

設定されていない場合のセキュリティリスク

未検証または誤った設定の認証プロバイダーは、Salesforce が不正な認証アサーションを受け入れることを許可し、不正なユーザーの作成、アカウントの乗っ取り、信頼できないアイデンティティソースからのアクセスを引き起こす可能性があります。

脅威のシナリオ

偽造または再生された認証トークンの受け入れ、誤った設定のIdP(IDプロバイダー)マッピングによる未承認のユーザー プロビジョニング、非推奨または侵害されたIdPとのTrustリレーション、過度に許可されたプロバイダー構成の悪用。

推定 CVSS スコア範囲

重大 (9.0 ～ 10.0)。

リスクの影響に関する考慮事項

リスクの重要度は、設定されている認証プロバイダーの数、ユーザー母集団の規模、ログイン時に付与されるアクセス権限、プロバイダーが外部で管理されているか消費者向けであるかによって異なります。

より高いリスク

認証プロバイダーが正式に検証されていない、プロバイダーメタデータが古い、属性の対応付けが許容範囲を超えている、ガバナンス制御なしで複数のコンシューマーグレードプロバイダーが有効になっている。

Low or No Risk When (低リスクまたは無リスクの場合)

この制御は、次のいずれか 1 つ以上を実装する場合、低リスクと見なすことができます。

• Trusted Provider Validation (信頼済みプロバイダー検証): 認証プロバイダーは、承認済みで信頼できる ID プラットフォームでのみ有効になります。
• Secure Attribute Mapping (セキュアな属性の対応付け): ユーザー属性とプロビジョニングルールの範囲が厳密に設定され、最小限の権限が適用されます。
• メタデータ管理: 提供者の証明書、エンドポイント、メタデータは最新の状態に保たれ、定期的に確認されます。
• MFA の適用: MFA は認証プロバイダーで適用されるか、Salesforce 高保証ポリシーを介して適用されます。
• ガバナンス管理: 認証プロバイダーは、ID ライフサイクル管理の一環として一元管理、文書化、レビューされます。

ビジネスと統合に関する考慮事項

顧客は、各認証プロバイダー (特にコンシューマー ID プラットフォーム) のビジネス上の正当性を評価し、アクセスポリシー、規制要件、ユーザーエクスペリエンスの期待と一致していることを確認する必要があります。

推奨される修復

すべての設定済み認証プロバイダーを確認し、未使用または信頼できないプロバイダーを無効にして、プロバイダーのメタデータと証明書を検証し、属性の対応付けを制限して、MFA を適用し、定期的なガバナンスレビューを確立します。

Security Health Review Guidance (セキュリティ状態レビューガイダンス)

Security Health Reviewでは、接続された認証プロバイダーを特定することで、お客様がIDフェデレーションのリスクを軽減し、不正アクセスを防止し、Salesforceが推奨するセキュリティ ベースラインとZero Trustの原則にサードパーティ認証インテグレーションを適合できるように、Salesforceで設定された認証プロバイダーを特定します。