Olet tässä:
Tietoturva: JWT-käyttöoikeusvaltuuksien (JSON Web Token) myöntäminen nimetyille käyttäjille
Tämä suojausasetus siirtää Salesforcen valtuutuspalvelimen antamasta läpinäkymättömiä ja viitteisiin perustuvia käyttöoikeusvaltuuksia antamaan itseään sisältäviä, kryptografisesti allekirjoitettuja JSON-verkkotunnuksia.
Ohjaimen nimi
Ulkoiset asiakassovellukset: Tietoturva: Jäsentää JSON Web Token (JWT) -pohjaisia käyttöoikeusvaltuuksia nimetylle käyttäjälle
Suositeltu kokoonpano
Myönnä nimetyille käyttäjille JSON Web Token (JWT) -pohjaisia käyttöoikeusvaltuuksia.
Ohjauksen yleiskatsaus
Tämä suojausasetus siirtää Salesforcen valtuutuspalvelimen antamasta läpinäkymättömiä, viitteisiin perustuvia käyttöoikeusvaltuuksia ja antamaan itsenäisiä, kryptografisesti allekirjoitettuja JSON-verkkotunnuksia, jotka sisältävät käyttäjän henkilöllisyyden ja käyttöoikeusvaatimukset.
Tietoturvariski, jos ei määritetty
Kun tämä ei ole käytössä, ulkoisten järjestelmien täytyy suorittaa tilainen kutsu Salesforcen introspektion päätepisteeseen jokaiselle pyynnölle valtuuden voimassaolon vahvistamiseksi, mikä kasvattaa viiveitä ja luo riippuvuuden valtuutuksen reaaliaikaisesta saatavuudesta.
Uhkien skenaariot
Ulkoinen resurssipalvelin ei voi itsenäisesti vahvistaa vanhan läpinäkymättömän valtuuden eheyttä tai vaikutusaluetta verkko-osion aikana, mikä johtaa joko palvelun täydelliseen käyttökatkokseen tai valtuuttamattomien pyyntöjen käsittelyyn, jos avauslogiikka on toteutettu väärin.
Arvioitu CVSS-pistealue
Korkea (7.0–8,9).
Riskien vaikutuksissa huomioitavia asioita
Se, että luotat läpinäkymättömiin tokeneihin hyvin jaetuissa arkkitehtuurissa, johtaa käsittelyn lisäkustannuksiin ja rajoittaa ulkoisten mikropalveluiden kykyä suorittaa hienosäätettyjä, lokalisoituja valtuutustarkistuksia JWT-vakiomuotoisten lausekkeiden perusteella.
Korkeampi riski, kun
Riski on suurempi raskaan, usean pilven ympäristöissä, joissa jatkuvien back-channel-introspektion kutsujen viive voi heikentää sovelluksen suorituskykyä ja altistaa valtuutuspalvelimen palvelun hylkäämistä koskeville ehdoille.
Matalan riskin milloin
Skenaario on pienempi riski yksinkertaisille, monoliittisille integraatioille, joissa resurssipalvelin ja valtuutuspalvelin sijaitsevat samassa luotettavassa verkostossa ja valtuuksien introspektion kokonaiskustannukset ovat vähäiset.
Liiketoiminnassa ja integraatiossa huomioitavia asioita
JWT-pohjaisten valtuuksien ottaminen käyttöön parantaa yhteensopivuutta nykyaikaisten API-yhdyskäytävien ja sovellusalustan ulkopuolisten palveluiden kanssa, jotka vaativat standardoituja, tilattomia valtuuksia, mutta vaativat, että nämä järjestelmät hallitsevat julkisia avaimia allekirjoitusten vahvistusta varten.
Suositeltu korjaus
Avaa Ulkoisen asiakassovelluksen OAuth-asetukset ja valitse valintaruutu myöntääksesi JSON Web Token (JWT) -käyttöoikeusvaltuuksia nimetylle käyttäjälle.
Tietoturvan terveystarkastuksen ohjeet
Suojauksen terveystarkastus tunnistaa JWT-käyttöoikeusvaltuuksien käytön pakollisena standardina nykyaikaisille ja yhteentoimiville arkkitehtuurille, jotta henkilöllisyyden ja valtuutustiedot voidaan vahvistaa tilatonta eri teknologiapinoissa.
