詳細情報:
ID プロバイダー
Salesforce を「情報源」にする場合は、Salesforce を ID プロバイダー (IdP) として設定します。
Salesforce を IdP として設定すると、ユーザーは Salesforce に 1 回ログインするだけで、再ログインすることなく他の外部アプリケーションにアクセスできます。ユーザーが Salesforce ログイン情報を使用して外部サービスプロバイダーまたは証明書利用者にログインできるようにシングルサインオン (SSO) を設定できます。Salesforce 組織を SAML IdP として有効化し、サービスプロバイダーを SAML 外部クライアントアプリケーションまたは接続アプリケーションとして統合できます。また、OpenID Connect を使用して、証明書利用者と組織を統合することもできます。
適切に実装されると、Salesforce 組織は信頼性の高い IdP になり、ユーザーは Salesforce に 1 回ログインするだけで、再ログインすることなく他の外部アプリケーションにアクセスできます。設定を誤ると、企業はログイン情報侵害、不正アクセス、ラテラル移動、ID 体制の可視性低下のリスクが高まります。脅威アクターは、Salesforce 組織へのアクセス権だけでなく、Salesforce を信頼するすべての接続アプリケーションに自動的にログインされます。
セキュリティ状態レビューでは、Salesforce が推奨するベストプラクティスに沿った設定シグナルを使用して Salesforce インスタンスが IdP として設定されているかどうかに関する情報が提供され、セキュリティとビジネスのリスクが最も高いギャップが強調表示されます。
コントロール名
ID プロバイダーの設定と検証
推奨設定
Salesforce ID プロバイダーの設定を設定、検証し、定期的にレビューして、正しく範囲が設定され、安全に統合されていることを確認します。
制御の概要
ID プロバイダーの設定により、Salesforce を IdP として使用し、ユーザーが Salesforce にログインした後、再度ログインすることなくサービスプロバイダーとしてリストされている他の外部アプリケーションにアクセスできます。適切な設定により、認証アサーションが安全な署名アルゴリズムを介して安全に送信され、適切なアクセス制御を使用してアクセス範囲が設定されます。
設定されていない場合のセキュリティリスク
誤った IdP 設定により、Salesforce が過剰なアクセスを提供したり、不完全なオフボーディングによって不正なアカウント乗っ取りを行ったり、ラテラルムーブメントを介して接続済みサービスプロバイダーや Salesforce にアクセスしたりする場合があります。
脅威のシナリオ
偽造または再生された認証トークンの受け入れ、誤った設定のIdPマッピングによる未承認のユーザー プロビジョニング、非推奨または侵害されたIdPとのTrustリレーション、過度に許可されたプロバイダー構成の悪用。
推定 CVSS スコア範囲
重大 (9.0 ～ 10.0)。
リスクの影響に関する考慮事項
リスクの重要度は、サービスプロバイダーとして設定されている外部アプリケーションの数、ユーザー母集団の規模、ログイン時に付与されるアクセス権限、プロバイダーが外部で管理されているか消費者向けであるかによって異なります。
より高いリスク
ID プロバイダーの設定が強力なアサーションセキュリティアルゴリズムを使用して設定されておらず、権限範囲が多すぎる。
Low or No Risk When (低リスクまたは無リスクの場合)
この制御は、次のいずれか 1 つ以上が実装されている場合は、低リスクとみなすことができます。
- Periodic Review of Service Providers (サービスプロバイダーの定期レビュー): サービスプロバイダーとして Salesforce に接続されているアプリケーションを確認し、リスクを把握します。
- 証明書管理: 組織がサービスプロバイダーと通信できるようにするために使用する証明書を定期的に確認し、証明書に信頼できる CA を使用します。
- Forced Authentication Configured (強制認証を設定済み): すでに Salesforce にログインしているユーザーがサービスプロバイダーにアクセスしようとしたときにログイン情報を再入力するようにします。
- Secure Attribute Mapping (セキュアな属性の対応付け): ユーザー属性とプロビジョニングルールの範囲が厳密に設定され、最小限の権限が適用されます。
- ログインタイムアウト: ユーザーが Salesforce からログアウトすると、サービスプロバイダーから自動的にログアウトされます。
- メタデータ管理: メタデータ検出エンドポイントは最新の状態に保たれ、定期的に確認されます。
- MFA の適用: Salesforce ユーザーに MFA が適用されます。
- IP ログイン制限: 設定を変更する権限を持つユーザーの IP ログイン制限
- ガバナンス管理: Salesforce の設定は、ID ライフサイクル管理の一環として一元的に管理、文書化、レビューされます。
ビジネスと統合に関する考慮事項
顧客は、各認証プロバイダー (特にコンシューマー ID プラットフォーム) のビジネス上の正当性を評価し、アクセスポリシー、規制要件、ユーザーエクスペリエンスの期待と一致していることを確認する必要があります。
推奨される修復
すべての設定済み IdP 設定、接続済みサービスプロバイダーの確認、未使用または信頼できないプロバイダーの無効化、プロバイダーのメタデータと証明書の検証、属性の対応付けの制限、MFA の適用、定期的なガバナンスレビューの確立を行います。
Security Health Review Guidance (セキュリティ状態レビューガイダンス)
Security Health Reviewでは、接続されたサービス プロバイダーとIdP設定を特定することで、お客様がIDフェデレーションのリスクを軽減し、Salesforceが推奨するセキュリティのベースラインとZero Trustの原則に従って不正アクセスを防止できるように、Salesforceで設定されたIdP設定を特定します。
