Du är här:
Konfigurera OAuth-inställningar för extern klientapp: Konfigurera ID-token
Denna kontroll definierar säkerhetsparametrarna för identitetstokens, inklusive deras livslängd, auktoriserade mottagare och de specifika användarattribut eller behörigheter som inkluderas i databelastningen.
Kontrollnamn
Externa klientappar: Konfigurera OAuth-inställningar för extern klientapp: Konfigurera ID-token
Rekommenderad konfiguration
Konfigurera ID-token - Tokenlängd i minuter (2min) | ID-tokenmålgrupper | Inkludera standardanspråk | Inkludera egna behörigheter | Egna attribut.
Kontrollöversikt
Denna kontroll definierar säkerhetsparametrarna för identitetstokens, inklusive deras livslängd, auktoriserade mottagare och de specifika användarattribut eller behörigheter som inkluderas i databelastningen.
Säkerhetsrisk om den inte är konfigurerad
Utan en begränsad tokenlängd och definierad målgrupp förblir en identitetstoken giltig under en överdriven period och kan återanvändas av oauktoriserade tredjepartsprogram för att få åtkomst till skyddade resurser.
Hotscenarier
En attackerare fångar upp en långlivad identitetstoken genom en nätverkssårbarhet och använder den för att utge sig för att vara en legitim användare i flera integrerade system som inte verifierar tokens avsedda målgrupp.
Uppskattat CVSS-betygintervall
Hög (7,0-8,9).
Att tänka på vad gäller riskpåverkan
Att inte begränsa tokenattribut och varaktighet tillåter ihållande obehörig åtkomst och oavsiktlig exponering av interna användarbehörigheter och egna profildata för externa tjänsteleverantörer.
Högre risk när
Tokens används för att underlätta enkel inloggning för program som hanterar känsliga data eller när tokens innehåller breda administrativa egna behörigheter.
Låg risk när
Om det externa programmet utför sin egen noggranna validering av tokensignaturen och utgångstidsstämpeln oavsett Salesforce-konfigurationen.
Att tänka på vad gäller affärer och integration
Att ange en mycket kort tokenlängd (till exempel två minuter) kräver att det externa programmet har en robust och automatiserad logik för att uppdatera identitetsdata för att förhindra att användarsessioner avbryts.
Rekommenderad åtgärd
Gå till OAuth-inställningarna för din externa klientapp, ställ in tokens varaktighet till två minuter, specificera de auktoriserade målgrupps-URL:erna och välj de minsta nödvändiga anspråken och attributen.
Vägledning för granskning av säkerhetshälsa
Säkerhetshälsogranskning identifierar exakt identitetstokenkonfiguration som en obligatorisk standard för så att användaridentitetsdata är kortlivade, riktade till specifika mottagare och begränsade till den minsta mängd information som krävs för autentisering.
