Du er her:
Konfigurere OAuth-policyer: Sikkerhet for tilpasset attributt
Denne sikkerhetsinnstillingen lar Salesforce-administratorer definere og begrense de spesifikke metadataene på brukernivå og firmakravene som legges inn i det kryptografisk signerte OAuth-ID-tokenet.
Navn på kontroll
Eksterne klientapper: Konfigurere OAuth-policyer: Sikkerhet for tilpasset attributt
Anbefalt konfigurasjon
Konfigurer et tilpasset attributt for eksterne klientapper.
Oversikt over kontroll
Denne sikkerhetsinnstillingen lar Salesforce-administratorer definere og begrense de spesifikke metadataene på brukernivå og firmakravene som legges inn i det kryptografisk signerte OAuth-ID-tokenet.
Sikkerhetsrisiko hvis ikke konfigurert
Uten eksplisitt definerte tilpassede attributter og tilknyttede sikkerhetspolicyer kan tredjeparts integrasjoner utføre uautorisert innhenting av organisasjonsmetadata ved å trekke ut sensitiv informasjon fra standard eller overdrevent tillatte tokenbelastninger.
Trusselscenarier
Et skadelig eller dårlig administrert tredjepartsprogram skraper programmatisk interne firmastrukturer, avdelingshierarkier eller tilpassede brukerfelt som er inkludert i ID-tokenet, for å bygge et detaljert kart over det interne firmamiljøet.
Beregnet CVSS Score-område
Høyt (7.0–8,9).
Viktige punkter om risikoinnvirkning
Den uautoriserte innsamlingen av metadata letter målrettede sosialtekniske angrep og skyggeprofilering av arbeidsstyrken, noe som potensielt viser intern forretningslogikk og administrative relasjoner til eksterne enheter.
Høyere risiko når
Integrasjonen gis brede datatilgangstillatelser eller når ID-tokenet inkluderer identifikatorer med høy entropi som kan korreleres på tvers av flere eksterne datasett.
Lav risiko når
Hvis firmaet håndhever en streng tillatelsesliste for ID-tokenkrav og bruker en herdet tokenutvekslingsbehandler til å sanisere alle utgående identitetsdeklarasjoner.
Viktige punkter om virksomheten og integrasjonen
Implementering av begrensede tilpassede attributter sikrer at eksterne partnere mottar bare de minste dataene som kreves for funksjonell godkjenning, samtidig som det opprettholdes overholdelse av corporate data residence og personvernstandarder.
Anbefalt rettelse
Gå til OAuth-policyene i den eksterne klientappen for å definere et begrenset sett av tilpassede attributter og forsikre deg om at bare nødvendige organisasjonsmetadata vises i ID-tokenet.
Veiledning for vurdering av sikkerhetstilstand
Sikkerhetstilstandsgjennomgang identifiserer detaljert kontroll av identitetskrav som et sterkt anbefalt forsvar mot metadatafangst, slik at tredjeparts integrasjoner opererer under en streng nødvendighetsmodell for alle firmadata.
