詳細情報:
OAuth ポリシーの設定: 外部クライアントアプリケーションのカスタム範囲の設定
このセキュリティ設定により、Salesforce システム管理者は、外部アプリケーションが指定された保護されたリソースのみとやりとりできるようにする特定の制限付きアクセス権限を定義できます。
コントロール名
外部クライアントアプリケーション: OAuth ポリシーの設定: 外部クライアントアプリケーションのカスタム範囲の設定
推奨設定
外部クライアントアプリケーションのカスタム範囲を設定します。
制御の概要
このセキュリティ設定により、Salesforce システム管理者は、外部アプリケーションが組織のデータセット全体ではなく、指定された保護されたリソースのみを操作できるようにする特定の制限付きアクセス権限を定義できます。
設定されていない場合のセキュリティリスク
接続クライアントのカスタム範囲が広すぎると、統合アプリケーションが過剰な権限のアクセストークンを介して過剰な制御や不正な機能を実行してしまう脆弱性につながります。
脅威のシナリオ
無制限のカスタム範囲を持つ外部アプリケーションが攻撃者によって侵害されると、攻撃者は、昇格したトークン権限を使用して管理コマンドを実行したり、元のビジネス要件を超える機密データにアクセスしたりします。
推定 CVSS スコア範囲
高 (7.0 ～ 8.9)。
リスクの影響に関する考慮事項
詳細なカスタム範囲を実装しないと、最小権限の適用ができなくなり、サードパーティツールの 1 つの脆弱性が Salesforce 環境の大規模な侵害にエスカレーションする可能性があります。
より高いリスク
カスタム範囲がグローバル権限またはワイルドカード権限に対応付けられ、外部クライアントに制限なくすべてのオブジェクトのレコードの参照、書き込み、削除権限が付与されている場合。
低リスク
会社が堅牢な OAuth 範囲検証を使用し、厳格な内部コードレビューを適用して、各インテグレーションが業務に必要な最小限の機能要求のみを要求していることを確認します。
ビジネスと統合に関する考慮事項
正確なカスタム範囲を定義すると、会社のセキュリティ体制が向上しますが、開発者は特定の API コールの制限付きトークンを要求および処理するためにアプリケーションロジックを明示的に更新する必要があります。
推奨される修復
[外部クライアントアプリケーションの OAuth 設定] に移動して特定のカスタム範囲を定義し、これらの範囲を関連するポリシーに割り当てて、すべてのクライアント要求のアクセスが制限されるようにします。
Security Health Review Guidance (セキュリティ状態レビューガイダンス)
Security Health Review では、最小権限の原則を適用し、サードパーティインテグレーションが Salesforce インスタンスを過度に制御することを防ぐために、詳細なカスタム範囲を使用することを強く推奨する標準として特定しています。
