Salesforceが接続アプリの利用制限を強化 セキュリティモデルに関わる重大変更で管理者が取るべきアクションを詳説：シャドーITに警鐘（2/2 ページ）
Salesforceは2025年9月上旬より、組織のセキュリティ強化のため、未インストールの接続アプリケーションの利用を制限する新施策を段階的に導入することになった。この重大な変更には迅速な対応が必要だ。Salesforce MVP Hall of Fameの鈴木貞弘氏が、管理者に求められるアクションを詳説する。
Salesforce管理者（Admin）の対応策
Salesforceの管理者は、組織のセキュリティゲートキーパーとして、積極的な対応計画を策定・実行する必要がある。
サードパーティー製AppExchange製品への影響と対応
今回の新施策は、AppExchangeからインストールされた「パッケージ化された（Managed Package）アプリケーション」には、直接的な影響を与えない見込みである。
AppExchangeを通じて提供される製品は、通常、組織に正式に「インストール済み」の接続アプリケーションとして扱われるため、引き続き中断なく機能すると考えられる。
しかし、サードパーティー製のツールやアプリケーションの中には、ユーザーがAppExchangeを経由せず、直接API認証を通じて利用を開始しているケースが存在する。これらは、組織にとっては「未インストール」の接続アプリケーションと見なされるため、このようなアプリケーションは、Data Loaderと同様に、今回の変更によって新規ユーザーの利用がブロックされる可能性がある。
従って、管理者は以下の手順を通じて、全てのサードパーティー製アプリケーションが適切に管理されていることを確認する必要がある。
ステップ1：現状の監査と評価
まず、Salesforceの[設定]メニューから「接続アプリケーションのOAuth利用状況」ページにアクセスし、組織内の未インストールアプリケーションを特定する。この監査により、どの未インストールアプリが、どのユーザーによって、どの程度の頻度で利用されているかを把握できる。
ステップ2：信頼できるアプリケーションの特定と対処
監査で特定した未インストールアプリのうち、業務に不可欠であると判断された信頼できるアプリケーションは、正式に組織にインストールする。この際、アプリのOAuthポリシーにある「許可されるユーザー」の設定を「管理者承認済みのユーザーは事前承認済み」に変更することが、ガバナンス強化のベストプラクティスである。これにより、アクセス権限をプロファイルや権限セットを通じて管理でき、特定のユーザーグループにのみアクセスを許可できる。
ステップ3：不要・不明なアプリケーションのブロック
現状の監査で不要となったアプリ、または出所不明で信頼性が確立できないアプリが発見された場合、それらを「ブロック」する必要がある。この操作は、そのアプリへのアクティブなセッションを全て即座に終了し、以降の新規接続も完全にブロックされる。これにより、組織のセキュリティリスクを迅速に低減させることができる。
ステップ4：Data Loader利用ユーザーへの対応
今回の変更で特に影響が大きいのが、OAuth 2.0デバイスフローを利用している「Data Loader」ユーザーである。
Salesforce管理者は、これらのユーザーを特定し、2025年9月上旬の施策実施日までに、認証方法をパスワード認証またはOAuth Web Serverフローに切り替えるよう促す必要がある。Salesforceは、デバイスフローのサポートを削除した新しいバージョンのData Loaderを施策実施日までにリリースする予定であるため、最新版の利用を推奨することが望ましい。
一般ユーザー向けの対応と留意点
一般的なSalesforceのユーザーは、今回の変更によって予期せぬエラーメッセージに遭遇する可能性がある。Salesforce管理者は、この変更の背景にあるセキュリティの重要性を説明し、アプリが突然利用できなくなった場合の連絡フローを事前に周知する必要がある。
ユーザーは、管理者から指示された情報伝達の経路を理解しておくことが求められるだろう。アプリへのアクセスがブロックされた場合、ユーザーは、そのアプリ名と業務上アクセスが必要な理由を添えて、管理者やIT部門に連絡する必要がある。また、不審なアプリの接続要求に対しては、安易に自己承認せず、警戒を強めることが、組織のセキュリティを守る上で不可欠である。
Salesforce Admin向け推奨アクション一覧
以下の表は、Salesforce管理者が施策に備えて実行すべき具体的なアクションを、フェーズ別にまとめたものである。
| フェーズ | 推奨アクション | ベストプラクティスと留意点 |
|---|---|---|
| 監査（Audit） | 「接続アプリケーションのOAuth利用状況」ページで、未インストールアプリを特定する | 「インストール」と表示されているアプリが「未インストール（自己承認済み）」であることに注意する |
| 対応（Act） | 務に不可欠な未インストールアプリを正式にインストールする | OAuthポリシーの「許可されるユーザー」を「管理者承認済みのユーザーは事前承認済み」に設定する |
| ガバナンス（Govern） | 不明・不要なアプリ、長期間利用されていないアプリを「ブロック」する | ブロックは即座にセッションを終了させるため、影響範囲を事前に確認する |
| 教育（Educate） | 新施策の概要と影響、問題発生時の連絡フローをユーザーに周知する | アプリ名と必要性を管理者に伝えるよう、具体的な連絡方法を明確にする |
| 表2 Salesforce Admin向け推奨アクション一覧 | ||
今回のSalesforceによる新施策は、単なる技術的なアップデートに留まらず、より大きな意味合いを持つ。この変更は、ユーザーの利便性と組織のセキュリティガバナンスの間のギャップを埋めるための、プラットフォームレベルでの対応である。
これまで、接続アプリケーションは、ユーザーの自己承認によって組織の管理外に拡大する可能性を秘めていたが、今回の変更により全てのAPI連携が、管理者の明示的な統制下に置かれることになる。これは、Salesforceが提供する「強固なプラットフォームセキュリティ」と、顧客が担うべき「厳格な運用とガバナンス」という、セキュリティの共有責任モデルを強化するものだろう。
この施策は、組織内の「シャドーIT」に警鐘を鳴らし、全てのAPI連携を管理者が統制することの重要性を改めて促すものであり、今後Salesforceは、ユーザー主導の利便性よりも、管理者主導の統制と透明性を重視する方向へさらに進んでいくことが示唆される。
今回の変更を契機に、継続的なセキュリティ監査とユーザー教育体制を構築することが、組織の安全を維持するために不可欠な要素となる。
Copyright © ITmedia, Inc. All Rights Reserved.