詳細情報:
メタデータ API を使用した外部クライアントアプリケーションの作成: メタデータ API 制御を使用した外部クライアントアプリケーションの作成の制限
このセキュリティ設定では、メタデータ API を使用して外部クライアントアプリケーションのメタデータを定義およびリリースする機能を、承認された開発者と管理者のみに制限します。
コントロール名
外部クライアントアプリケーション: メタデータ API を使用した外部クライアントアプリケーションの作成: メタデータ API を使用した外部クライアントアプリケーションの作成の制限
推奨設定
Salesforce の [設定] で、またはメタデータ API を使用してプログラムで外部クライアントアプリケーションを作成できる開発者を制限します。
制御の概要
このセキュリティ設定では、メタデータ API を使用して外部クライアントアプリケーションのメタデータを定義およびリリースする機能を、承認された開発者と管理者のみに制限します。
設定されていない場合のセキュリティリスク
開発者向けの外部クライアントアプリケーションをプログラムで無秩序に作成すると、確立されたセキュリティガバナンスや会社のアーキテクチャレビューをスキップする監視されていないシャドウインテグレーションが拡大します。
脅威のシナリオ
開発者は正式なセキュリティ評価を受けることなく、高権限 OAuth 範囲を使用する新しいインテグレーションを本番環境にプログラムでリリースし、データアクセス用の永続的な非表示バックドアを作成します。
推定 CVSS スコア範囲
高 (7.0 ～ 8.9)。
リスクの影響に関する考慮事項
メタデータ駆動型アプリケーションの作成を制限しないと、未管理アプリケーションエコシステムの成長を促進し、セキュリティチームはサードパーティアクセスポイントの正確なインベントリを維持できなくなります。
より高いリスク
広範なメタデータ API 権限がサードパーティコントラクターに付与されている場合、または必須のセキュリティスキャンを適用する自動リリースパイプラインが組織にない場合。
低リスク
組織で、メタデータの書き込みアクセス権をデフォルトで拒否し、すべての設定変更を一元化されたバージョン管理システムに渡す必要がある制限されたプロファイルモデルを使用している場合。
ビジネスと統合に関する考慮事項
この制限を実装すると、開発者ワークフローと継続的インテグレーションスクリプトの更新が必要になる場合がありますが、すべての新しいインテグレーションが企業のコンプライアンス標準に準拠するようになります。
推奨される修復
関連するプロファイルまたは権限セット内の [システム権限] に移動し、API を使用して外部クライアントアプリケーションのメタデータを作成または更新する権限を承認されたユーザーのみが持っていることを確認します。
Security Health Review Guidance (セキュリティ状態レビューガイダンス)
セキュリティ状態レビューでは、集中監視を維持し、Salesforce インスタンス内でのシャドウインテグレーションの急増を防止するために、プログラムによるアプリケーション作成の制限が強く推奨されます。
