Dreamforce'2014で参加したセッションの簡単な報告

1. Dreamforce’2014
Secure Coding:
External App Integration
TerraSky Power Night
Copyright © 2012 TerraSky Co.,Ltd. All Rights Reserved.

2.  株式会社テラスカイ
取締役ソリューション本部部長今岡純二
 salesforcec.com認定資格ほか
 主な業務 著書
Copyright © 2012 TerraSky Co.,Ltd. All Rights Reserved.
自己紹介
2
 導入コンサル
 アーキテクチャーデザイン
 Apex、VF開発
 テクニカルライティング

3. SFDCと連携する
外部アプリ開発経験ありますか？
3
Copyright © 2012 TerraSky Co.,Ltd. All Rights Reserved.

4. 外部アプリのSFDCへの接続情報は
安全に管理されていますか？
4
Copyright © 2012 TerraSky Co.,Ltd. All Rights Reserved.

5. 連携の目的＆ポイント
外部アプリと連携してSFDCの機能を拡張
SFDCユーザとの対応付けが必要
SFDCのセキュリティモデルに準じたACL
5
Copyright © 2012 TerraSky Co.,Ltd. All Rights Reserved.

6. 外部アプリと連携する時
どうしてます？
IDとパスワードを保持してません？
6
Copyright © 2012 TerraSky Co.,Ltd. All Rights Reserved.

7. OAuthを使いましょう！
7
Copyright © 2012 TerraSky Co.,Ltd. All Rights Reserved.

8. API ／ OAuth
OAuthでアクセストークンを受け取る
トークンはパスワードを扱うのと同等に大事
8
Copyright © 2012 TerraSky Co.,Ltd. All Rights Reserved.

9. Consumer Secretは
安全に保存されてます？
9
Copyright © 2012 TerraSky Co.,Ltd. All Rights Reserved.

10. カスタム設定を使いましょう
Secure Credential Storage
カスタム設定で保護できる
外部システムのAPIキーのようなものの設定に使う
10
Copyright © 2012 TerraSky Co.,Ltd. All Rights Reserved.

11. SFDCの重要な情報の扱い
OAuthで統合する場合、トークンを厳重に管理
外部アプリでID、パスワードを保存しない
OAuthのスコープは最小限にする
11
セキュアストレージを使う
トークンをログに出力しない
Copyright © 2012 TerraSky Co.,Ltd. All Rights Reserved.

12. その他は？
12
Copyright © 2012 TerraSky Co.,Ltd. All Rights Reserved.

13. 外部アプリもセキュアに
安全なコーディングガイドラインに従うこと
Webアプリケーションの脆弱性を知る
• Cross-Site Scripting(XSS)
• SOQL Injection
• Cross-Site Request Forgery（CSRF）
• Remote Code Execution（RCE） など
13
Copyright © 2012 TerraSky Co.,Ltd. All Rights Reserved.

14. ありがとうございました
14
Copyright Copyright © ©2 021021 2T eTrerraraSSkkyy C Coo.,.L,Ltdtd. .A Alll lR Rigighhttss RReesseerrvveedd..