Usted está aquí:
Configurar políticas de OAuth: Configurar políticas de flujo de credenciales de cliente
Esta postura de seguridad desalienta el uso del flujo Credenciales de cliente en favor de métodos de autenticación basados en contexto de usuario más seguros.
Nombre de control
Aplicaciones cliente externas: Configurar políticas de OAuth: Configurar políticas de flujo de credenciales de cliente
Configuración recomendada
Configure políticas de flujo de credenciales de cliente.
Descripción general de control
Esta postura de seguridad desalienta el uso del flujo Credenciales de cliente en favor de métodos de autenticación basados en contexto de usuario más seguros para asegurarse de que todo el acceso a los datos está vinculado a un individuo identificable específico. El flujo Credenciales de cliente gestiona la capacidad de Aplicaciones cliente externas para autenticar y obtener tokens de acceso utilizando un Id. de cliente y un secreto sin intervención humana.
Riesgo de seguridad si no está configurado
El uso de este flujo crea un alto riesgo de abuso de datos porque omite la autorización a nivel de usuario, permitiendo a las cuentas de servicio backend operar con acceso persistente y autónomo a todo el conjunto de datos organizativo.
Escenarios de amenazas
Un servidor externo comprometido utiliza sus credenciales de cliente almacenadas para exfiltrar de forma programática volúmenes masivos de registros o modificar configuraciones críticas del sistema sin ningún reto de autenticación de múltiples factores o inicio de sesión interactivo.
Intervalo de puntuación de CVSS estimado
Alto (7,0–8,9).
Consideraciones sobre el impacto del riesgo
El uso de identidades de servicio con privilegios excesivos da como resultado una falta de responsabilidad individual y puede llevar a una brecha de datos a escala completa si se interceptan o se filtran las credenciales estáticas asociadas con la aplicación cliente externa.
Riesgo más alto cuando
El flujo de credenciales de cliente se asigna a un usuario de ejecución con amplios permisos administrativos o cuando la integración carece de restricciones de dirección IP y límite de velocidad de solicitud.
Bajo riesgo cuando
Si la empresa sustituye el flujo de credenciales de cliente por un flujo de soporte de JWT utilizando un certificado digital exclusivo o restringe la cuenta de servicio a un conjunto de permisos altamente restringido e intervalos de red específicos.
Consideraciones comerciales y de integración
Aunque este flujo es más fácil de implementar para procesos automatizados de servidor a servidor, requiere un proceso de gobernanza interno riguroso para gestionar el ciclo de vida de la cuenta de servicio y sus permisos asociados.
Remediación recomendada
Evalúe la arquitectura de integración para realizar la transición del flujo de credenciales de cliente a un método más seguro como el flujo de soporte de JWT y asegúrese de que cualquier cuenta de servicio restante está asignada a un usuario de ejecución exclusivo con el acceso mínimo absoluto requerido.
Directrices de revisión del estado de seguridad
Security Health Review identifica estas políticas como altamente recomendadas dependiendo del caso de uso de integración, ya que evitar o endurecer estrictamente estos procesos automatizados ayuda a garantizar que los sistemas backend funcionan con una identidad restringida para evitar el abuso de datos a gran escala.
