いつも Salesforce をご利用いただきましてありがとうございます。
Salesforce Japan サポートエンジニアの山根です。
「テクサポ 日本」グループでは Salesforce のサポートエンジニアよりサポートによくいただくお問い合わせについて解説をしております。
今回のトピックは Salesforce サポートによくいただくお問い合わせの中から
「接続アプリケーションのセキュリティのための Salesforce 製品の変更について」
ご紹介いたします。
本件についてはシステム管理者様に「製品およびサービスに関するお知らせ」のメールが送信されましたため、気にされてるお客様も多くいらっしゃるかと思います。
この更新では、大きく分けて以下の 2 つの変更があります。
・変更1: 未インストールの接続アプリの使用制限
・変更2: データローダー接続アプリ OAuth 2.0 デバイスフロー認証の削除
本投稿では、上記の 2 つの変更の内、「変更1: 未インストールの接続アプリの使用制限」について説明いたします。
※「変更2: データローダー接続アプリ OAuth 2.0 デバイスフロー認証の削除」に関する投稿も別途行なっております。そちらもご確認をいただけますと幸いです。
変更1： 未インストールの接続アプリの使用制限 について
◼︎どのような変更ですか？
2025 年 9 月上旬より、未インストールの接続アプリケーションの使用を制限します。この使用制限により、新しいユーザー権限「Approve Uninstalled Connected Apps」がないユーザーは未インストールとなる接続アプリケーションを使用できなくなります。
組織で APIアクセスコントロール機能をご利用の場合、ユーザーへ「任意の API クライアントを使用」権限が付与されていれば接続アプリケーションを従来通り使用できます。
◼︎接続アプリケーションとは何ですか？
接続アプリケーションは (Connected App) は、主に REST API 等の外部連携で利用されるものであり、Salesforce 外部のアプリケーションが API を使用して Salesforce と連携する際の、ポリシー等の情報を管理するために用いられる機能です。各アプリケーションを利用するために、個々のユーザーによって承認される (例: アプリが Salesforce データにアクセスする許可を与える) 場合や、システム管理者によって組織全体にインストールされる場合があります。
◼︎未インストールの接続アプリケーションとは何ですか？
前提として、自組織以外の別組織にて作成された接続アプリケーションを自組織で利用することが可能です。
一例を挙げると、パートナー企業様の組織で用意された接続アプリケーション定義を利用し、自社の Salesforce 環境に外部連携を行う、といったユースケースが考えられます。
別組織にて作成された接続アプリケーションを自社組織で利用した場合、「未インストール」の状態となります。これが「未インストールの接続アプリケーション」と呼ばれるものです。
未インストールの接続アプリケーションは組織にインストールして利用することも可能で、インストールをするとポリシー情報として独自にプロファイルへのアクセス制限などを設定できるようになります。
◼︎どのように確認すれば良いですか？
大きな流れとしては以下でご確認ください。
※具体的な流れについては、接続アプリケーションの使用制限変更の準備 の記事にて画面キャプチャと併せた解説をしています。“変更に向けた準備“ のセクション以降をご参考にしていただければと思います。
- 「未インストールの接続アプリケーション」の有無を確認します。
- 未インストールアプリケーションを 2 つのカテゴリにグループ化します。 a. 信頼済みアプリケーション b. 信頼されていないアプリケーション - 見覚えのないアプリケーション名や異常な使用パターンを探します。
- 信頼済みアプリケーションをインストールします。
- 信頼されていないアプリケーションをブロックします。
◼︎接続アプリケーションをインストールすると何が起きますか？
接続アプリケーションをインストールすることで、組織で接続アプリケーションのセキュリティポリシーを管理できるようになります。
インストールしていない接続アプリケーションはセキュリティポリシーの設定やアクセス権限の設定を行うことができません。
◼︎接続アプリケーションをブロックすると何が起きますか？
当該接続アプリケーションを利用したすべてのユーザーセッションが終了し、[ブロック解除] をクリックするまでセッションがブロックされます。
[設定 > 接続アプリケーションの OAuth の利用状況] のページから “ユーザー数“ のリンク等からご判断をいただき、心当たりや必要の無い接続アプリケーションはブロックするご対応をご検討ください。
◼︎対応をしなかった場合はどうなりますか？
対応をせず以下のパターンのいずれかに合致する外部連携がある場合には、エラーが発生するようになります。
パターン1:
・未インストールの接続アプリケーションを使用して、OAuth 2.0 デバイスフロー による連携を行う
パターン2 (以下両条件を満たす場合):
・ユーザーが「未インストールの接続アプリケーション」を新規に利用する
・当該ユーザーに、「Approve Uninstalled Connected Apps」の権限が付与されていない
*組織で APIアクセスコントロール機能をご利用の場合、「任意のAPIクライアントを使用」権限でもかまいません。
不正な接続アプリケーションの使用による顧客データの漏洩を防ぐための新たな予防的セキュリティ対策でございますため、必ずご確認ください。
◼︎既存の連携への影響はありますか？
以下の場合は影響ありません。
・ユーザーが以前にアプリケーションを承認している ( = 以前からの利用がある)
・アプリケーションで「OAuth 2.0 デバイスフロー」を利用していない
これ以外のケースでは影響が出る可能性がございます。
◼︎「OAuth 2.0 デバイスフロー」を利用しているかはどのように確認すれば良いですか？
「OAuth 2.0 デバイスフロー」は、ログインの際にデバイスに表示される 8 桁のコードを入力する認証フローです。
主にスマートテレビや、IoT 機器等と連携する際に利用される認証フローではありますが、一部ではデータローダー等でも利用される可能性のある認証フローです。
別途投稿いたしました、「変更2: データローダー接続アプリ OAuth 2.0 デバイスフロー認証の削除」に画面イメージを載せてます。外部連携でこのような 8 桁のコードを入力するような認証フローを利用しているかをご確認ください。
◼︎未インストールの接続アプリケーションの一覧はどの画面から確認しますか？
[設定] | [アプリケーション] | [接続アプリケーション] | [接続アプリケーションの OAuth の利用状況] 画面から確認します。
[アクション] 列に [インストール] ボタンが表示されている接続アプリケーションは、組織に未インストールの接続アプリケーションです。
◼︎未インストールの接続アプリケーションがありますが、何に使われているかがわかりません
接続アプリケーションの使用用途は、Salesforce サポートにて確認することができないため、接続アプリケーションを提供しているベンダー等の提供元へご確認をいただく必要がございます。
提供元が不明な場合、以下の手順にて接続アプリケーションを使用している詳細情報を確認します。
- [設定] | [アプリケーション] | [接続アプリケーション] | [接続アプリケーションの OAuth の利用状況] 画面を表示します。
- [インストール] が表示されている行が、「未インストール接続アプリケーション」です。該当行の [ユーザー数] をクリックします。
- [接続アプリケーションユーザーの利用状況] 画面には以下の情報が表示されます。
- ユーザー名
- Initial Connection (初回使用日)
- 最終使用日
- 使用回数
上記の情報から、該当ユーザー様に用途をご確認いただくことや、最終使用日や使用回数の情報から現在も利用している機能かどうかを確認し、インストールが必要かをご判断ください。
◼︎未インストールとなっている接続アプリケーションをすべて「インストール」すれば良いということですか？
いいえ。提供元や利用用途が明確でない接続アプリケーションを「インストール」することは推奨できません。
必要最小限の接続アプリケーションのみをインストールしてください。
◼︎未インストールの接続アプリケーションをインストールするために必要な権限はありますか？
以下の権限が必要になります。
・「アプリケーションのカスタマイズ」
および「すべてのデータの編集」または「接続アプリケーションの管理」のいずれか
◼︎自組織で直接作成した接続アプリケーションには影響ありますか？
いいえ。影響ございません。
◼︎外部クライアントアプリケーションには影響はありますか？
いいえ。 外部クライアントアプリケーションには影響ございません。
大変恐縮ですが、本件について上記の FAQ に記載のある内容以外でのご質問がある場合、本投稿へのコメントでご質問をいただくのではなく、サポートまでお問合せをいただけますと幸いです。
この投稿がお役に立てましたら【いいね】のクリックをしていただけますと幸いです。
引き続き、Salesforce をどうぞよろしくお願いいたします。
