詳細情報:
接続アプリケーションの OAuth アクセスポリシーの管理: 管理者が承認したユーザーは事前承認済み
この設定により、アプリケーションのアクセスポリシーが「すべてのユーザーは自己承認可能」から、アプリケーションに割り当てられた特定のプロファイルまたは権限セットを持つユーザーのみがログインできる制限されたモデルに変更されます。
コントロール名
接続アプリケーション: 接続アプリケーションの OAuth アクセスポリシーの管理: 管理者が承認したユーザーは事前承認済み
推奨設定
許可されているユーザー - [管理者が承認したユーザーは事前承認済み] を選択します。
制御の概要
この設定により、アプリケーションのアクセスポリシーが「すべてのユーザーは自己承認可能」から、アプリケーションに割り当てられた特定のプロファイルまたは権限セットを持つユーザーのみがログインできる制限されたモデルに変更されます。
設定されていない場合のセキュリティリスク
設定されていない場合、Salesforce 組織のすべてのユーザーは、管理監督やアプリケーションのセキュリティの審査を行うことなく、外部アプリケーションにデータと CRM 環境へのアクセス権を付与できます。
脅威のシナリオ
従業員が、広範な OAuth 範囲を要求するアプリケーションや悪意のあるフィッシングサイトを誤って承認すると、外部ツールはそのユーザーの ID で会社のデータをサイレントに収集できます。
推定 CVSS スコア範囲
重大 (9.0 ～ 10.0)。
リスクの影響に関する考慮事項
自己承認を許可すると、「アプリケーションの無秩序な増加」とデータの断片化を招き、セキュリティチームは組織のデータに有効な「バックドア」アクセス権を持つ外部ベンダーを追跡できなくなります。
より高いリスク
ユーザーは広範なオブジェクト権限または「レポートのエクスポート」機能を持っています。これは、アプリケーションが大量の PII データや独自のデータを盗取することを誤って承認してしまう可能性があるためです。
低リスク
同社では、「接続アプリケーションをインストールできるユーザー」システム権限を無効にし、1 人のユーザーしか表示できない「非公開」共有モデルを厳格に適用しています。
ビジネスと統合に関する考慮事項
これを実装するには、アプリケーションを適切なプロファイルまたは権限セットに割り当てる管理ワークフローが必要です。これにより、対象のビジネスユニットのみがインテグレーションを使用できるようになります。
推奨される修復
接続アプリケーションの OAuth ポリシーを編集します。[許可されているユーザー] ドロップダウンを「管理者が承認したユーザーは事前承認済み」に変更し、承認されたプロファイルまたは権限セットをアプリケーションの関連リストに明示的に追加します。
Security Health Review Guidance (セキュリティ状態レビューガイダンス)
セキュリティ状態レビューでは、「管理者事前承認」が接続アプリケーションアクセスの必須ゲートキーピングコントロールとして識別されます。
