Вы находитесь здесь:
Настройка параметров OAuth приложения внешнего клиента: Наименьшие привилегии области OAuth
ECA позволяют использовать высокодетализированные области OAuth, контролирующие полномочия для ECA.
Управление именем
Приложения внешних клиентов: Настройка параметров OAuth приложения внешнего клиента: Наименьшие привилегии области OAuth
Рекомендованная конфигурация
Области OAuth - Области OAuth определяют полномочия для приложения внешнего клиента.
Общие сведения о контроле
ECA позволяют использовать высокодетализированные области OAuth, контролирующие полномочия для ECA. Ограничение их минимизирует "радиус взрыва".
Риск безопасности, если он не настроен
Отсутствие ограничения областей OAuth приводит к чрезмерному привилегированному доступу, когда внешнему приложению предоставляются более широкие полномочия, чем необходимо для работы. Компрометированные приложения получают доступ к конфиденциальным персональным данным без необходимости.
Сценарии угроз
Злоумышленник, получивший контроль над маркером с областью Full, может пропустить ограничения пользовательского интерфейса для программного удаления записей, экспорта целых баз данных клиентов или изменения конфигураций системы.
Кроме того, «утечка маркера» посредством небезопасной клиентской реализации позволяет вредоносным субъектам изображать пользователя в любом Salesforce API, а не только в определенных функциях, предназначенных для внешнего приложения.
Примерный диапазон оценки CVSS
Критические (9,0-10,0).
Рекомендации по влиянию риска
Массовое расширение радиуса взрыва во время кражи регистрационных данных, потенциально превращая незначительное локальное нарушение в общую потерю данных компании.
Повышенный риск при
По умолчанию приложениям назначается статус «Полный доступ». Если приложение настроено на «Все пользователи могут авторизовываться самостоятельно», что позволяет любому сотруднику или клиенту предоставлять широкие полномочия непроверенным сторонним инструментам.
Низкий риск при
Используйте узкие или настраиваемые области, ограничивающие маркер определенными неразрушающими действиями. Внедрение политики OAuth 2.0 «Пользователи, допущенные администратором, предварительно авторизованы» еще больше уменьшает риск, убедившись, что приложение доступно только определенным профилям или наборам полномочий, вне зависимости от запрошенных областей.
Рекомендации по бизнесу и интеграции
Строгое определение областей требует глубокой координации между разработчиками и архитекторами для соотнесения каждого вызова API с нужным полномочием, что может увеличить начальное время разработки. Однако, эти первоначальные усилия предотвращают интеграционный долг, когда отсутствие детализации вынуждает вас предоставить чрезмерный неограниченный доступ к простым инструментам, создавая долгосрочную ответственность за безопасность, которую сложно распутать позже.
Рекомендованное исправление
Просмотрите параметры OAuth ECA и выберите только определенные области (например, api, openid), необходимые для бизнес-функции.
Руководство по проверке состояния безопасности
Обзор состояния безопасности подчеркивает принцип наименьших привилегий. Оцените требования к приложению для ограничения областей (например: «Полный доступ»), которая может превратить небольшое нарушение в катастрофическое событие потери данных.
