詳細情報:
OAuth ポリシーの設定: AWS Secrets Manager Control を使用した外部クライアントアプリケーションの OAuth ログイン情報の管理
このセキュリティインテグレーションにより、Salesforce は外部クライアントアプリケーション OAuth コンシューマーの秘密を自動的に同期して、一元的な AWS Secrets Manager ヴォールト内に直接保存できます。
コントロール名
外部クライアントアプリケーション: OAuth ポリシーの設定: AWS Secrets Manager を使用した外部クライアントアプリケーションの OAuth ログイン情報の管理
推奨設定
AWS Secrets Manager を使用して外部クライアントアプリケーションの OAuth ログイン情報を管理します。
制御の概要
このセキュリティインテグレーションにより、Salesforce は外部クライアントアプリケーション OAuth コンシューマーの秘密を Salesforce Platform 内で静的メタデータとして保持するのではなく、一元的な AWS Secrets Manager ヴォールト内で直接自動的に同期して保存できます。
設定されていない場合のセキュリティリスク
脆弱な外部管理や OAuth の秘密の分散ストレージでは、安全でないログイン情報が侵害されると、すべての統合バックエンドサービスが不正アクセスにさらされる単一点侵害のリスクがあります。
脅威のシナリオ
攻撃者は、プレーンテキストの設定ファイルまたは静的秘密を含む保護されていない管理インターフェースにアクセスし、それらのログイン情報を使用して複数の本番環境で外部クライアントアプリケーションになりすまします。
推定 CVSS スコア範囲
高 (7.0 ～ 8.9)。
リスクの影響に関する考慮事項
多くの場合、侵害された秘密は、自動循環や集中監査ログの恩恵を受けることなく長期間有効なままであるため、ハードウェアベースの保管庫または管理された保管庫を使用しないと、永続的なログイン情報が漏洩します。
より高いリスク
同じ OAuth 秘密が複数の分散クラウド環境で手動で共有されている場合、または暗号化保護を使用せずにバージョン管理システムに保存されている場合。
低リスク
秘密の取得を特定の検証済み VPC エンドポイントと実行ロールに制限する堅牢な ID ベースのアクセス管理ポリシーを AWS 内ですでに使用している場合。
ビジネスと統合に関する考慮事項
この制御を実装するには、2 つのクラウドプラットフォーム間の安全な相互認証パスを確立するために、有効な AWS アカウントと Salesforce の指定ログイン情報を設定する必要があります。
推奨される修復
秘密の Amazon リソース名を定義し、必要なクロスクラウド認証ポリシーを設定して、ログイン情報の保存に AWS Secrets Manager を使用するように外部クライアントアプリケーションを設定します。
Security Health Review Guidance (セキュリティ状態レビューガイダンス)
Security Health Review では、機密認証アーティファクトがエンタープライズクラスのヴォールトおよび自動循環ポリシーによって保護されるように、外部化された秘密管理が高保証インテグレーションで強く推奨される標準として識別されます。
