您在此处：
配置 OAuth 策略：配置客户端凭据流策略
这种安全状况不鼓励使用客户端凭据流，而支持更安全、基于用户的身份验证方法。
控件名称
外部客户端应用程序：配置 OAuth 策略：配置客户端凭据流策略
推荐配置
配置客户端凭据流策略。
控制概览
这种安全状况不鼓励使用客户端凭据流，而支持更安全、基于用户的身份验证方法，以确保所有数据访问都与特定的可识别个人相关联。客户端凭据流管理外部客户端应用程序使用客户端 ID 和密码进行身份验证和获取访问令牌的能力，而无需人为干预。
安全风险（如果未配置）
使用此流会产生很高的数据滥用风险，因为它绕过了用户级授权，允许后端服务帐户以对整个组织数据集的持续、自主访问来操作。
威胁场景
受威胁的外部服务器使用其存储的客户端凭据以编程方式泄露大量记录或修改关键系统配置，而无需任何交互式登录或多重身份验证挑战。
估计的 CVSS 得分范围
高 (7.0–8.9)。
风险影响注意事项
如果与外部客户端应用程序关联的静态凭据被拦截或泄露，使用过度特权的服务身份会导致个人责任缺失，并导致全面的数据泄露。
高风险
客户端凭据流被映射到具有广泛管理权限的执行用户，或者当集成缺少 IP 地址限制和请求速率限制时。
低风险
如果公司使用唯一的数字证书将客户端凭据流替换为 JWT 不记名流，或将服务帐户限制为高度缩小的权限集和特定的网络范围。
业务和集成注意事项
虽然此流对于自动化服务器到服务器流程更容易实施，但它需要严格的内部治理流程来管理服务帐户的生命周期及其相关权限。
建议的补救措施
评估集成架构，以从客户端凭据流过渡到更安全的方法，例如 JWT 不记名流，并确保将任何剩余的服务帐户分配给具有绝对最低要求访问权限的专用执行用户。
安全健康审查指导
安全健康审查根据集成用例将这些策略确定为强烈建议的策略，因为避免或严格强化这些自动化流程有助于确保后端系统以受限的身份运行，以防止大规模数据滥用。
另请参阅：
本文章是否解决您的问题？
请与我们共享您的想法，以便我们进行改进！
