外部クライアントアプリケーションの OAuth 設定の定義: OAuth 範囲の最小権限制御

コントロール名

外部クライアントアプリケーション: 外部クライアントアプリケーションの OAuth 設定の定義: OAuth 範囲の最小権限

推奨設定

OAuth 範囲 - OAuth 範囲は、外部クライアントアプリケーションの権限を定義します。

制御の概要

ECA では、ECA の権限を制御する非常に詳細な OAuth 範囲を使用できます。これらを制限すると、「ブラスト半径」が最小になります。

設定されていない場合のセキュリティリスク

OAuth 範囲を制限しないと、過剰な特権アクセスが発生し、外部アプリケーションに機能に必要以上の広範な権限が付与されます。侵害されたアプリケーションは、機密の PII に不必要にアクセスされます。

脅威のシナリオ

攻撃者が Full 範囲でトークンを制御できるようになると、UI 制限をスキップして、プログラムでレコードを削除したり、顧客データベース全体をエクスポートしたり、システム設定を変更したりできます。

さらに、安全でないクライアント側の実装を介した「トークンの漏洩」により、悪意のあるアクターが外部アプリケーション向けの特定の機能だけでなく、任意の Salesforce API でユーザーになりすましてしまう可能性があります。

推定 CVSS スコア範囲

重大 (9.0 ～ 10.0)。

リスクの影響に関する考慮事項

ログイン情報の盗難イベント時に爆発半径が大幅に拡大するため、小規模な侵害が会社のデータ損失につながる可能性があります。

より高いリスク

アプリケーションにはデフォルトで「フルアクセス」が割り当てられます。アプリケーションが「すべてのユーザーは自己承認可能」に設定されている場合、すべての従業員または顧客が未審査のサードパーティツールに広範な権限を付与できるようにします。

低リスク

トークンを特定の非破壊アクションに制限する狭い範囲またはカスタム範囲を使用します。OAuth 2.0 ポリシー「管理者が承認したユーザーは事前承認済み」を実装すると、要求された範囲に関係なく、特定のプロファイルまたは権限セットのみがアプリケーションを使用できるため、リスクがさらに軽減されます。

ビジネスと統合に関する考慮事項

範囲を厳密に定義するには、すべての API コールを必要な権限に対応付けるために開発者とアーキテクト間の緊密な調整が必要であり、初期開発時間が増加する可能性があります。ただし、この先行作業により、インテグレーションの負債を回避できます。インテグレーションの負債では、粒度が低いと、単純なツールへの無制限のアクセス権が過度に付与され、長期的なセキュリティ上の責任が生じ、後で解決することが困難になります。

推奨される修復

ECA の OAuth 設定を確認し、ビジネス機能に必要な特定の範囲 (api、openid など) のみを選択します。

Security Health Review Guidance (セキュリティ状態レビューガイダンス)

セキュリティ状態レビューでは、[最小権限の原則] が強調されています。アプリケーション要件を評価して、小さな侵害が重大なデータ損失イベントになる可能性がある範囲 (「フルアクセス」など) を制限します。