您在此处：
管理连接的应用程序的 OAuth 访问策略：管理员批准的用户已预授权
此设置将应用程序的访问策略从“所有用户可以自我授权”更改为受限模型，其中只有拥有分配给应用程序的特定简档或权限集的用户才能登录。
控件名称
连接的应用程序：管理连接的应用程序的 OAuth 访问策略：管理员批准的用户是预先授权的
推荐配置
允许的用户 - 选择“管理员批准的用户已预授权”。
控制概览
此设置将应用程序的访问策略从“所有用户可以自我授权”更改为受限模型，其中只有拥有分配给应用程序的特定简档或权限集的用户才能登录。
安全风险（如果未配置）
在未配置时，Salesforce 组织中的任何用户都可以授予外部应用程序对其数据和 CRM 环境的访问权限，而无需对应用程序的安全性进行任何管理监督或审查。
威胁场景
员工无意中授权了一个应用程序或一个恶意网络钓鱼站点，该站点请求广泛的 OAuth 范围，允许外部工具以该用户的身份静默地获取公司数据。
估计的 CVSS 得分范围
关键 (9.0–10.0)。
风险影响注意事项
允许自我授权会导致“应用程序蔓延”和数据碎片化，使安全团队无法跟踪哪些外部供应商对组织的数据拥有有效的“后门”访问权限。
高风险
用户拥有广泛的对象权限或“导出报表”功能，因为他们可能会无意中授权应用程序泄露大量 PII 或专有数据。
低风险
该公司已禁用“用户安装连接的应用程序的能力”系统权限，并严格执行“专用”共享模式，限制任何单个用户可以看到的内容。
业务和集成注意事项
实施这需要管理工作流将应用程序分配到正确的简档或权限集，这确保只有预期的业务部门可以使用集成。
建议的补救措施
编辑连接的应用程序 OAuth 策略。将允许用户下拉列表更改为“管理员批准的用户已预授权”，然后明确将授权的简档或权限集添加到应用程序的相关列表中。
安全健康审查指导
安全健康审查将“管理员预授权”识别为连接的应用程序的访问的强制网关控制。
本文章是否解决您的问题？
请与我们共享您的想法，以便我们进行改进！
