この文章は Salesforce 機械翻訳システムを使用して翻訳されました。詳細はこちらをご参照ください。
英語に切り替える

Salesforce セキュリティガイド

Salesforce セキュリティガイド
Salesforce のセキュリティの基本
ユーザの認証
ユーザ認証の要素
ユーザ認証の設定
ユーザが Salesforce にログインできる範囲と時間帯の制限
パスワードポリシーの設定
すべてのユーザのパスワードのリセット
セッションセキュリティ設定の変更
組織および Experience Cloud サイトの ID 検証設定の定義
機密情報の操作への高保証セッションセキュリティの要求
カスタムログインフロー
ログインフローの設定とプロファイルへの接続
ログインフローの例
多要素認証のカスタマイズ
サードパーティの SMS ベースの多要素認証のリリース
ログインフローによる同時セッション数の制限
接続アプリケーション
ユーザへのデータアクセス権の付与
オブジェクトと項目の共有
Shield Platform Encryption でのデータのセキュリティの強化
組織のセキュリティの監視
リアルタイムイベント監視
Apex および Visualforce 開発のセキュリティガイドライン
PDF

セッションセキュリティ設定の変更

[セッションの設定] 画面を使用してセッションのセキュリティを設定します。悪意のある攻撃から保護するために、セッション接続種別、タイムアウト制限、IP アドレス範囲などの設定を定義できます。
使用可能なインターフェース: Lightning Experience および Salesforce Classic (使用できない組織もあります)

[ログイン時の IP アドレスとセッションをロックする] 設定を使用可能なエディション: Enterprise Edition、Performance Edition、Unlimited Edition、Developer Edition、および Database.com Edition

他のすべての設定を使用可能なエディション: Essentials Edition、Personal Edition、Contact Manager Edition、Group Edition、Professional Edition、Enterprise Edition、Performance Edition、Unlimited Edition、Developer Edition、および Database.com Edition

必要なユーザ権限
セキュリティ設定を変更する 「アプリケーションのカスタマイズ」
[セッションの設定] ページで次の設定を定義できます。

ID 検証設定は、[ID 検証] ページにもあります。ID 検証設定は、どちらの場所でも変更できます。これらの設定の定義についての詳細は、「組織および Experience Cloud サイトの ID 検証設定の定義」を参照してください。

メモ

セッションタイムアウト設定の定義

  1. [設定] から、[クイック検索] ボックスに「セッションの設定」と入力し、[セッションの設定] を選択します。
  2. [タイムアウト値] に、無効なユーザをシステムがログアウトするまでの時間���選択します。ポータルユーザの場合、実際のタイムアウトが 10 分から 24 時間の場合でも、選択できるのは 15 分から 24 時間の値のみです。機密情報についてより厳格なセキュリティを適用する場合は、タイムアウト期間を短くします。

    タイムアウト期間の半分が過ぎるまで、最終アクティブセッション時間値は更新されません。そのため、タイムアウトが 30 分の場合、15 分後に操作があるかどうかがチェックされます。20 分後にレコードを更新した場合、アクティブセッション時間のチェックから 5 分経過しているため、タイムアウトはリセットされます。このシナリオでは、ログアウトされるまであと 30 分 (計 50 分) あります。ただし、10 分後にレコードを更新した場合、過去 15 分以内に活動がなかったため、20 分 (計 30 分) 後にログアウトされます。

    メモ

  3. 操作のないユーザにタイムアウト時の警告メッセージを表示するには、[セッションタイムアウト時の警告ポップアップを無効にする] を選択します。ユーザには、タイムアウト値で指定されたとおりに、タイムアウトの 30 秒前に注意を促すメッセージが表示されます。
  4. 操作のないユーザのタイムアウトセッションを無効にするには、[セッションタイムアウト時に強制的にログアウト] を選択します。ブラウザが更新されてログインページに戻ります。ユーザがアクセスするには、再度ログインする必要があります。

    この設定を使用する場合は、[セッションタイムアウト時の警告ポップアップを無効にする] を選択しないでください。

    メモ

セッションの設定の定義

  1. [設定] から、[クイック検索] ボックスに「セッションの設定」と入力し、[セッションの設定] を選択します。
  2. ユーザのログイン元の IP アドレスをロックするには、[ログイン時の IP アドレスとセッションをロックする] を選択します。IP アドレスをロックすることで、未承認ユーザによる有効なセッションの乗っ取りを防止できます。

    この設定は、さまざまなアプリケーションやモバイルデバイスの機能を妨げる可能性があります。

    メモ

  3. エクスペリエンスサイトユーザなどのユーザの現在の UI セッションを特定のドメインに関連付けるには、[セッションを最初に使用したドメインにセッションをロックする] を選択します。この設定は、別のドメインでのセッション ID の不正使用防止に役立ちます。この設定は、Spring '15 リリース以降に作成された Salesforce 組織ではデフォルトで有効になっています。

セキュアな接続 (HTTPS) 設定の定義

デフォルトで、Salesforce には HTTPS 接続が必要であり、HSTS ヘッダーを使用して HTTP 要求が自動的に HTTPS にアップグレードされます。HTTPS は、サードパーティドメインへの接続にも必要です。

  1. [設定] から、[クイック検索] ボックスに「セッションの設定」と入力し、[セッションの設定] を選択します。
  2. 別のユーザとしてログインしているシステム管理者が他のユーザとしてログアウトした後にもう一度ログインするように要求するには、[ユーザとしてログインしてから再ログインを強制する] を選択します。この設定は、デフォルトで有効になっています。
  3. セッション ID Cookie アクセスを制限するには、[HttpOnly 属性が必要] を選択します。HttpOnly 属性を持つ Cookie は、JavaScript からのコールなど、非 HTTP メソッドではアクセスできません。

    JavaScript を使用してセッション ID の Cookie にアクセスするカスタムアプリケーションまたはパッケージアプリケーションを使用している場合は、[HttpOnly 属性が必要] を選択するとアプリケーションが停止します。これは、Cookie へのアプリケーションのアクセスが拒否されるためです。また、この設定を選択すると、AJAX Toolkit のデバッグウィンドウも使用できなくなります。

    メモ

  4. クロスドメイン交換の GET 要求ではなく POST 要求を使用してセッション情報を送信するには、[クロスドメインセッションで POST 要求を使用] を選択します。たとえば、Visualforce ページを使用している場合、セッション情報が要求の本文に保持されるため、POST 要求のセキュリティが強化されます。ただし、この設定を有効にすると、画像など、別のドメインから埋め込まれたコンテンツが表示されないことがあります。
  5. ユーザがアクセスできる IP アドレスを [ログイン IP アドレスの制限] での IP アドレス定義のみに制限するには、[すべての要求でログイン IP アドレスの制限を適用] を選択します。
    • この設定をオンにすると、クライアントアプリケーションからの要求を含め、各ページ要求でログイン IP アドレスの制限が適用されます。
    • この設定をオフにすると、ユーザがログインする場合にのみログイン IP アドレスの制限が適用されます。この設定は、ログイン IP アドレスが制限されたすべてのユーザプロファイルに影響します。
  6. [ログイン IP アドレスの制限] (Contact Edition、Manager Edition、Group Edition、および Professional Edition のみ) で [すべての要求でログイン IP アドレスの制限を適用] を選択した場合、ユーザのログイン元の IP アドレスの範囲 (両端を含む) を指定します。範囲を指定するには、[新規] をクリックし、開始 IP アドレスと終了 IP アドレスを入力して、開始値と終了値を含む範囲を定義します。

    この項目は、Enterprise Edition、Unlimited Edition、Performance Edition、および Developer Edition では使用できません。これらのエディションでは、有効な [ログイン IP アドレスの制限] をユーザプロファイル設定に指定できます。

    メモ

キャッシュ設定の定義

  1. [設定] から、[クイック検索] ボックスに「セッションの設定」と入力し、[セッションの設定] を選択します。
  2. ユーザのブラウザでユーザ名を保存できるようにするには、[ログインページでキャッシングとオートコンプリート機能を有効にする] を選択します。オンにすると、初回ログインの後、ユーザ名がログインページの [ユーザ名] 項目に自動入力されます。ユーザがログインページで [ログイン情報を保存する] を選択した場合、セッションが期限切れになったりユーザがログアウトしたりした後でも、ユーザ名が保持されます。ユーザ名は、スイッチャにも表示されます。この設定は、デフォルトで有効になっています。

    セキュリティを強化するには、この設定をオフにすることをお勧めします。この設定をオフにすると、[ログイン情報を保存する] オプションは、ログインページにもスイッチャにも表示されません。

    メモ

  3. ブ���ウザでの安全なデータキャッシュを有効にするには、[パフォーマンスを向上させるためにブラウザの安全で永続的なキャッシュを有効にする] を選択します。この設定をオンにすると、サーバとの往復処理の増加を避けることでページの再読み込みパフォーマンスが向上します。この設定は、デフォルトで有効になっています。

    ブラウザの安全で永続的なキャッシュを無効にすると、Lightning Experience のパフォーマンスに対して重大な悪影響があります。次のような場合にのみ無効にします。

    • データが暗号化されている場合でも、会社のポリシーによりブラウザのキャッシュが許可されていない。
    • コード変更の影響を確認するために Sandbox 組織または Developer Edition 組織で開発しており、安全なキャッシュを空にする必要がない。

    警告

  4. ユーザがプロファイル写真を選択したときにスイッチャを表示するには、[ユーザの切り替えを有効化] を選択します。組織が他の組織のスイッチャに表示されないようにするには、この設定をオフにします。これにより、ユーザがプロファイル写真を選択したときも、スイッチャが表示されなくなります。この設定は、デフォルトで有効になっています。

    [ユーザの切り替えを有効化] 設定をオンにするには、[ログインページでキャッシングとオートコンプリート機能を有効にする] 設定もオンにする必要があります。

    メモ

  5. ユーザが明示的にログアウトした場合のみキャッシュされたユーザ名を削除するには、[ログアウトするまでログイン情報を保存します] を選択します。セッションがタイムアウトすると、ユーザ名はスイッチャに無効として表示されます。そのため、ユーザは自分のコンピュータを操作していてセッションがタイムアウトになった場合、ユーザ名を選択して再認証できます。ただし、ユーザが共有コンピュータを操作している場合、ユーザがログアウトすると、ユーザ名はただちに削除されます。この設定は、すべてのユーザに適用されます。

    この設定をオンにしない場合 (デフォルト)、ユーザ名はセッションが有効になっている間、またはユーザが [ログイン情報を保存する] を選択した場合にのみキャッシュされます。このオプションはシングルサインオンセッションでは使用できません。セッションが期限切れになると、ユーザ名は、ログインページとスイッチャに表示されなくなります。認証プロバイダをログインページで公開しない場合は、この設定を無効のままにしておきます。

  6. Lightning コンポーネントフレームワークの静的コンテンツを提供する Akamai のコンテンツ配信ネットワーク (CDN) を有効にして、Lightning Experience やその他のアプリケーションをよりすばやく読み込みことができるようにするには、[Lightning コンポーネントフレームワークのコンテンツ配信ネットワーク (CDN) を有効化] を選択します。 通常、CDN を使用するとページの読み込み時間が短縮されますが、ファイルを提供する取得元ドメインも変わります。会社で Salesforce から提供されるコンテンツの IP 範囲を制限している場合、この設定を有効にする前に徹底的にテストします。 CDN では、複数の地理的な場所でキャッシュバージョンが保存され、静的コンテンツの読み込み時間が短縮されます。この設定により、Lightning コンポーネントフレームワークの静的な JavaScript や CSS の CDN 配信が有効になります。CDN では、Salesforce データまたはメタデータは配信されません。

クリックジャック保護設定の定義

Salesforce UI のクリックジャック保護設定を定義します。クリックジャックは、ユーザインターフェース着せ替え攻撃とも呼ばれます。[設定ページのクリックジャック保護を有効化] 設定と [設定以外の Salesforce ページのクリックジャック保護を有効化] 設定は、Salesforce UI をクリックジャック攻撃から保護するためにデフォルトで有効になっています。これらの機能を無効にするには、Salesforce サポートにご連絡ください。

  1. [設定] から、[クイック検索] ボックスに「セッションの設定」と入力し、[セッションの設定] を選択します。
  2. ヘッダーが有効になっている Visualforce ページでクリックジャック攻撃に対して保護するには、[標準ヘッダーがある Visualforce ページのクリックジャック保護を有効化] を選択します。

    信頼済み外部ドメインで iframe を許可するには、サイトの [インラインフレームの信頼済みドメイン] リストに次のドメインを追加します。

  3. ヘッダーが無効になっている (showHeader="false" がページに追加されている) Visualforce ページでクリックジャック攻撃に対して保護するには、[ヘッダーが無効化された Visualforce ページのクリックジャック保護を有効化] を選択します。
  4. 信頼済み外部ドメインで iframe を許可する手順は、次のとおりです。
    1. このページの [インラインフレームの信頼済みドメイン] セクションで、[ドメインを追加] をクリックします。
    2. 信頼済み外部ドメインを入力します。
    3. iframe 種別として [Visualforce ページ] を選択します。
    4. 変更内容を保存します。

クロスサイトリクエストフォージェリ保護

Salesforce は、クロスサイトリクエストフォージェリ (CSRF) 攻撃に対して自動的に保護されます。設定以外のページでランダムな文字列を URL パラメータに挿入するか、非表示のフォーム項目として追加します。GET および POST 要求が実行されるたびに、アプリケーションがこの文字列の有効性をチェックします。期待される値に一致する値が見つからない限り、アプリケーションはコマンドを実行しません。

コンテンツセキュリティポリシー保護の設定

  1. [設定] から、[クイック検索] ボックスに「セッションの設定」と入力し、[セッションの設定] を選択します。
  2. Internet Explorer から Salesforce Classic でのメールテンプレートへのアクセスに関する特定のセキュリティ制限を上書きするには、[Internet Explorer を使用した Salesforce Classic のメールテンプレートへのアクセスに対する制限を上書き] を選択します。

    この設定はオンにしないことを強くお勧めします。Internet Explorer は、Salesforce で要求されるブラウザのセキュリティ保護のレベルに達していません。この設定をオンにすると、ユーザはサードパーティによる悪意のあるデータアクセス試行に対して脆弱な状態になります。

    警告

  3. script-src ディレクティブでの unsafe-inline 提供元の使用を禁止するには、[より厳格なコンテンツセキュリティポリシーを有効化] を選択します。

    Lightning コンポーネントフレームワークでは、W3C 標準のコンテンツセキュリティポリシー (CSP) を使用して、ページに読み込むことができるコンテンツのソースを制御します。この設定により、クロスサイトスクリプティング攻撃のリスクが軽減します。現在のリリースではこの設定が常に有効で、この設定が無効と思われる場合でも unsafe-inline が常に禁止されています。安全でないインライン JavaScript には常に制限が適用されるため、今後のリリースで [セッションの設定] からこの設定が削除される予定です。

セッションの追加の保護の設定

  1. [設定] から、[クイック検索] ボックスに「セッションの設定」と入力し、[セッションの設定] を選択します。
  2. クロスサイトスクリプティング攻撃から保護するには、[XSS 保護を有効化] を選択します。反射型クロスサイトスクリプティング攻撃が検出されると、コンテンツのない空白のページがブラウザに表示されます。
  3. ブラウザがドキュメントコンテンツから MIME タイプを推定しないようにするには、[コンテンツ盗聴保護を有効化] を選択します。また、この設定により、ブラウザで悪意のあるファイルが動的コンテンツ (JavaScript、スタイルシート) として実行されないようにします。
  4. ページの読み込み時に参照されるヘッダーで URL 全体ではなく Salesforce.com のみを表示するには、[このサイトの URL を他の Web サイト (Visualforce ページを含む) に表示されないようにする] を���択します。この設定により、完全な URL だと公開されてしまう可能性のある機密情報 (組織 ID など) が参照元ヘッダーに表示されなくなります。この設定は、Chrome と Firefox でのみ動作します。
  5. ユーザが salesforce.com ドメイン外に移動するリンクをクリックしたときに警告メッセージを表示するには、[Salesforce の外部にユーザをリダイレクトする前にユーザに警告する] を選択します。この警告メッセージには、外部 URL への完全なリンクとドメイン名が含まれます。この機能を使用して、ユーザを悪意のある URL やフィッシングから保護してください。Lightning Experience では、警告メッセージは Web タブにのみ適用されます。

セッションセキュリティレベルの設定

ユーザの現在のセッションに対する認証メソッドに関連付けられたセキュリティレベルに基づいて、特定のタイプのリソースへのアクセスを制限できます。デフォルトで、各 login メソッドには [標準] または [高保証] という 2 つのセキュリティレベルのいずれかが設定されています。セッションセキュリティレベルを変更してポリシーを定義すると、指定したリソースの使用を高保証レベルが割り当てられたユーザに限定することができます。

機密情報の操作には、必ず高保証レベルのセキュリティが必要であり、これがない場合、ユーザはブロックされます。ログイン後にすでに高保証セッションがユーザに割り当てられている場合は、同じセッションで ID の再検証が促されることはありません。これらの操作に高保証が必要な場合でも、この要件が適用されます。

ログイン方法に関連付けられたセキュリティレベルを変更する手順は、次のとおりです。
  1. [設定] から、[クイック検索] ボックスに「セッションの設定」と入力し、[セッションの設定] を選択します。
  2. [セッションセキュリティレベル] で、ログイン方法を選択します。
    種別 デフォルトのセッションセキュリティレベル 説明
    ユーザ名パスワード 標準 ユーザは、ログインページにユーザ名とパスワードを入力してログインします。
    代理認証 標準 ユーザは、代理認証エンドポイントへのコールアウトを使用して検証されるユーザ名とパスワードを入力してログインします。
    有効化 標準 ユーザは、新しいブラウザまたはデバイスから Salesforce にアクセスするときに ID を検証します。
    Lightning Login 標準 内部ユーザは、パスワードの代わりに Salesforce Authenticator を使用してログインします。
    パスワードなしのログイン 標準 Experience Cloud ユーザは、パスワードの代わりに検証コードを入力してログインします。
    多要素認証 高保証 ユーザは、多要素認証 (MFA) チャレンジを完了するとリソースにアクセスできます。たとえば、セッションレベルポリシーを高保証レベルに上げる必要があるレポートにアクセスする場合、MFA を完了する必要があります。

    MFA のセキュリティレベルを標準に変更するときには注意が必要です。MFA のセキュリティレベルが標準であっても、ユーザプロファイル設定の [ログインに必要なセッションセキュリティレベル] で高保証セッションセキュリティレベルが要求されている場合、ユーザはログインできません。[高保証] 要件が満たされない場合、ユーザアクセスはブロックされます。

    警告
    認証プロバイダ 標準 ユーザは、サードパーティサービスプロバイダのログイン情報を使用して、Salesforce ログインします。
    SAML 標準 ユーザは、シングルサインオンに SAML プロトコルを使用して認証されます。

    SAML セッションに対するセキュリティレベルも、ID プロバイダによって送信される SAML アサーションの SessionLevel 属性を使用して指定できます。属性は、STANDARD または HIGH_ASSURANCE という 2 つの値のいずれかに設定できます。

    メモ
  3. メソッドを適切なカテゴリに移動するには、[追加] または [削除] をクリックします。

レポート、ダッシュボード、接続アプリケーションの高保証セッションの設定

レポート、ダッシュボード、および接続アプリケーションで高保証が必要なポリシーを設定することもできます。また、リソースへのアクセスに使用されるセッションが高保証でない場合に実行するアクションを指定できます。次のアクションがサポートされます。
  • ブロックする — 権限が不十分であるというエラーを表示して、リソースへのアクセスを防止します。
  • セッションレベルを上げる — MFA の完了を促すメッセージをユーザに表示します。ユーザが認証に成功すると、リソースにアクセスできます。レポートおよびダッシュボードの場合、ユーザがレポートまたはダッシュボードにアクセスするとき、あるいはレポートまたはダッシュボードをエクスポートして印刷するときに、このアクションを適用できます。

Lightning Experience では、ユーザをリダイレクトして MFA を完了し、セッションレベルを高保証に上げることは、サポートされていません。Lightning Experience を有効化していて、レポートとダッシュボードへのアクセスに高保証セッションが必要なポリシーをユーザが設定している場合、標準セッションの Lightning Experience ユーザはレポートとダッシュボードからブロックされます。また、ナビゲーションメニューにはこれらのリソースのアイコンが表示されません。回避策として、標準保証セッションのユーザはログアウトしてから、組織で高保証として定義された認証方法を使用して再度ログインできます。その後ユーザはレポートやダッシュボードにアクセスできます。または、Salesforce Classic に切り替えることができます。この場合、レポートとダッシュボードにアクセスするときに、セッションレベルを上げるように促されます。

警告

セッションレベルは、セキュリティポリシーが定義された接続アプリケーション、レポート、およびダッシュボードを除き、アプリケーションのリソースに影響を及ぼしません。

接続アプリケーションへのアクセス時の高保証の要求についての詳細は、「接続アプリケーションのセッションポリシーの管理」を参照してください。

レポートおよびダッシュボードへのアクセス時に高保証ポリシーを要求する手順は、次のとおりです。
  1. [設定] の [クイック検索] ボックスに「アクセスポリシー」と入力し、[アクセスポリシー] を選択します。
  2. [高保証セッションが必要です] を選択します。
  3. レポートとダッシュボードへのアクセスをブロックするか、セッションレベルを高保証に引き上げるオプションを選択します。
  4. 変更内容を保存します。

詳細は、「機密情報の操作への高保証セッションセキュリティの要求」を参照してください。

ログアウトページ設定の定義

  1. [設定] から、[クイック検索] ボックスに「セッションの設定」と入力し、[セッションの設定] を選択します。
  2. [ログアウト URL] に、ユーザが Salesforce からログアウトした後にリダイレクトするページの URL を入力します。たとえば、認証プロバイダのページまたは顧客がブランド設定したページの URL を入力します。

    このリダイレクトログアウト URL は、ID プロバイダ、SAML シングルサインオン、またはサードパーティ認証プロバイダの設定でログアウト URL が指定されていない場合にのみ使用されます。ログアウト URL を指定していない場合、[私のドメイン] が有効でなければ https://login.salesforce.com がデフォルトになります。[私のドメイン] が有効な場合のデフォルトは https://MyDomainName.my.salesforce.com です。

  3. ブラウザの期限が切れたすべてのタブをカスタムログアウト URL にリダイレクトするには、[ローカルブラウザにリダイレクトログアウト URL を保存] を選択します。この設定をオンにする前に、次の考慮事項を確認してください。
    • この設定を使用するには、最初に [私のドメイン] を有効にする必要があります。
    • この設定では、ブラウザのローカルストレージを使用してカスタムログアウト URL を保存します。
    • この設定がカスタムログインインテグレーションと干渉しないことを確認します。

新規ユーザメールのセッションの設定の定義

  1. [設定] から、[クイック検索] ボックスに「セッションの設定」と入力し、[セッションの設定] を選択します。
  2. [リンク有効期限] に、新規ユーザへのお知らせメールでアカウントの確認リンクが有効な期間を選択します。1 日、7 日、または 180 日を選択できます。デフォルトでは、アカウントの確認リンクの有効期限は 7 日間です。

    この設定を更新すると、その変更はすでに送信されたお知らせメールのリンクに適用されます。たとえば、2 日前にお知らせメールを送信し、リンクの有効期限が 7 日間に設定されているとします。設定を更新して、リンクの有効期間を 1 日にすると、2 日前に送信したメールのリンクは有効ではなくなります。