Salesforce セキュリティを深く知る：認証と認可を解説
Salesforce セキュリティを総合的に探るシリーズの始まりです。まずは基盤となる認証と認可から始めます。この記事は、Salesforce のセキュリティの仕組みという網の目を解きほぐすシリーズの第1回です。
基本：認証と認可
認証とは、エンティティ（ブラウザのユーザーであれ、システムにアクセスするマシンであれ）が本当に名乗るとおりの存在であるかを検証するプロセスです。一方、認可は、認証されたエンティティが Salesforce の中でどの操作を実行できるかを決めます。どちらも、Salesforce のデータを安全に保ち、許可されたユーザーとエンティティだけがアクセスできるようにするために欠かせません。
ブラウザから API まで：入口を理解する
Salesforce は、すべての受信トラフィックが安全なデータ転送のために SSL と TLS を使うようにしています。（これらの用語は今後の記事で詳しく取り上げます。）
データが Salesforce に入ってくる様子を思い描くと、主に二つの経路があります。
- ユーザーがブラウザから直接
- モバイルアプリや別のサーバーなど、API クライアントアプリケーションを通じて
どちらの経路も、まず Salesforce の認証サーバーとやり取りするところから始まります。
[caption id="" align=“alignnone” width=“1800”]
外部システムが Salesforce Core にアクセスするさまざまな方法を示す図 [/caption]
さらに詳しく見ていきましょう。
ブラウザからのアクセス
ブラウザを通じて Salesforce を操作する人間の場合：
[caption id="" align=“alignnone” width=“1840”]
Salesforce へのブラウザ認証フロー [/caption]
- 認証に加わるセキュリティの層： 多要素認証（MFA）、IP 範囲、クライアント側の証明書。
- ID プロバイダー： Salesforce が ID プロバイダー（IDP）としてユーザーの真正性を検証できます。認証されると、Salesforce のサーバーが該当するクライアントの組織インスタンスにセッショントークンを提供します。
- サードパーティの IDP： Salesforce の代わりに、Salesforce と SSO 関係で設定されたサードパーティの IDP が認証を担うこともできます。この場合、IDP が Salesforce に SAML アサーションを送り、Salesforce は検証後にセッショントークンを発行します。
その後、認可の仕組みがページとリソースへのアクセスを制御します。
API クライアントからのアクセス
Salesforce にアクセスしようとするマシンの場合：
[caption id="" align=“alignnone” width=“1820”]
Salesforce API に認証するクライアントプロセス [/caption]
OAuth フロー： マシンは複数ある OAuth フローのいずれかを使ってアクセスを得ます。外部 Web サーバー向けの Web サーバーフローからクライアント認証情報フロー、その間にある多くのフローまで、それぞれに固有の手順と目的があります。
セッションの確立： 認証後、Salesforce の認証サーバーがセッショントークンを渡し、API クライアントは Salesforce のリソースにアクセスできるようになります。
その後、認可のルールが働きます。
まとめ：すべてがどうつながるか
入口がブラウザでも API クライアントでも、プロセスには次のものが含まれます。
トランスポート層のセキュリティ： TLS を使い、必要に応じて IP の許可リストやクライアント側の証明書などの層を加えてセキュリティを高めます。
認証： ユーザーやシステムを識別する段階です。MFA やサードパーティの IDP などが関わるのはここです。
セッショントークンの発行： 認証されると、エンティティはセッショントークンを受け取ります。Salesforce のリソースへのパスポートのようなものです。
認可： 最後の関門です。有効なセッショントークンがあっても、エンティティがどのリソースにアクセスできるかはここで決まります。
この基礎知識をもとに、今後の記事で Salesforce セキュリティの細かな点をさらに掘り下げていきます。上で触れた各要素を、さらに詳しく検討する予定です。お楽しみに。
お読みいただきありがとうございました。参考になれば幸いです。Salesforce セキュリティのさらなる知見は、次回の記事でお届けします。
お楽しみに
自信を持って Salesforce Identity の旅に出かけましょう！ さらなる知見やヒントは、この www.SteveTechArc.com と YouTube チャンネル @SteveTechArc (opens in a new tab) で。チャンネル登録して、Salesforce Identity の理解を深めてください。
アーキテクト仲間やアーキテクトを目指す人たちと統合の知識を共有して、世界を変える手助けを！
STA 3.1