Sie befinden sich hier:
Erstellen von externen Client-Anwendungen mit der Metadaten-API: Einschränken der Erstellung externer Client-Anwendungen mithilfe der Metadaten-API-Steuerung
Diese Sicherheitseinstellung schränkt die Möglichkeit ein, Metadaten der externen Client-Anwendung über die Metadaten-API nur für autorisierte Entwickler und Administratoren zu definieren und bereitzustellen.
Steuerelementname
Externe Client-Anwendungen: Erstellen von externen Client-Anwendungen mit der Metadaten-API: Einschränken der Erstellung externer Client-Anwendungen mithilfe der Metadaten-API
Empfohlene Konfiguration
Schränken Sie Entwickler ein, die externe Client-Anwendungen im Salesforce-Setup oder programmgesteuert mithilfe der Metadaten-API erstellen können.
Steuerelementübersicht
Diese Sicherheitseinstellung schränkt die Möglichkeit ein, Metadaten der externen Client-Anwendung über die Metadaten-API nur für autorisierte Entwickler und Administratoren zu definieren und bereitzustellen.
Sicherheitsrisiko, wenn nicht konfiguriert
Die unkontrollierte programmgesteuerte Erstellung externer Client-Anwendungen für Entwickler führt zur Erweiterung nicht überwachter Schattenintegrationen, die etablierte Sicherheits-Governance- und Unternehmensarchitekturüberprüfungen umgehen.
Bedrohungsszenarien
Ein Entwickler stellt programmgesteuert eine neue Integration mit OAuth-Geltungsbereichen mit hohen Berechtigungen in einer Produktionsumgebung bereit, ohne eine formale Sicherheitsbewertung durchlaufen zu müssen, wodurch eine persistente und ausgeblendete Hintertür für den Datenzugriff geschaffen wird.
Geschätzter CVSS-Bewertungsbereich
Hoch (7,0–8,9).
Überlegungen zu Risikoauswirkungen
Wenn die Erstellung metadatengesteuerter Anwendungen nicht eingeschränkt wird, kann ein nicht verwaltetes Anwendungsökosystem wachsen, sodass Sicherheitsteams kein genaues Inventar der Drittanbieter-Zugriffspunkte führen können.
Höheres Risiko, wenn
Wenn Drittanbietern umfassende Metadaten-API-Berechtigungen erteilt werden oder wenn in der Organisation keine automatisierte Bereitstellungs-Pipeline vorhanden ist, die eine obligatorische Sicherheitsüberprüfung erzwingt.
Geringes Risiko, wenn
Wenn die Organisation ein eingeschränktes Profilmodell verwendet, das standardmäßig den Schreibzugriff auf Metadaten verweigert und alle Konfigurationsänderungen ein zentralisiertes Versionskontrollsystem durchlaufen muss.
Überlegungen zu Unternehmen und Integration
Durch das Implementieren dieser Einschränkung wird sichergestellt, dass alle neuen Integrationen mit den Compliance-Standards des Unternehmens übereinstimmen, obwohl möglicherweise Aktualisierungen an Entwickler-Workflows und Skripts für die kontinuierliche Integration erforderlich sind.
Empfohlene Sanierung
Wechseln Sie zu den Systemberechtigungen in den entsprechenden Profilen oder Berechtigungssätzen und stellen Sie sicher, dass nur autorisierte Benutzer über die Berechtigung zum Erstellen oder Aktualisieren von Metadaten der externen Client-Anwendung über die API verfügen.
Anleitung zur Sicherheitsintegritätsprüfung
Die Sicherheitsintegritätsprüfung identifiziert die Einschränkung der Erstellung programmgesteuerter Anwendungen als dringend empfohlenen Standard, um die zentrale Aufsicht zu behalten und die Verbreitung von Schattenintegrationen innerhalb der Salesforce-Instanz zu verhindern.
