OAuth 2 トークン付与でリソース所有者のパスワード認証情報 (ROPC) を無効にする (Security Center 7.0 の新機能)

  • リリースバージョン: Zurich
  • 更新日 2025年07月31日
  • 所要時間：2分

    • リソース所有者のパスワード認証情報 (ROPC) が OAuth 2 トークンを付与しないようにします。

    デフォルトでは、クライアントアプリケーションがユーザー名とパスワードを使用してアクセストークンを直接要求するときに、リソース所有者のパスワード認証情報 (ROPC) でインスタンスに OAuth 2 トークンを付与できます。glide.oauth.inbound.ropc.grant_type.disabled が true に設定されている場合、ROPC は非アクティブになり、OAuth 2 トークンを付与するために使用することはできません。

    glide.oauth.inbound.ropc.grant_type.disabled システムプロパティが true に設定されていることを確認します。システムプロパティ [sys_properties] テーブルにプロパティが存在しない場合、デフォルト値は false です。このプロパティがそのテーブルに存在する場合、デフォルトは false です。

    詳細情報

    属性 説明
    構成名 glide.oauth.inbound.ropc.grant_type.disabled
    構成タイプ システムプロパティ (/sys_properties_list.do)
    データタイプ ブーリアン
    推奨値 true
    デフォルト値 false
    フォールバック値 false
    カテゴリ 認証
    セキュリティリスク
    • 重大度スコア:3.3
    • CVSS スコア：低
    • プロパティが false に設定されている場合、ROPC を使用して OAuth 2 トークンを付与することは許可されます。ROPC は、ユーザーの認証情報がアプリケーションに公開されるため、他の認証フローよりも安全性が低いと見なされます。これにより、クライアントが侵害され、ベーシック認証と同様の弱点に悩まされる状況で脆弱性が発生する可能性があります。OAuth 2.1 は ROPC を廃止しました。
    機能への影響

    このプロパティが true に設定されている場合、ROPC は非アクティブになり、OAuth 2 トークンの付与に使用することはできません。これにより、ROPC を使用して OAuth 2 トークンを付与することでプラットフォームにアクセスするアプリケーションが防止されます。
    依存関係と前提条件 OAuth 2.0 (com.snc.platform.security.oauth) プラグインがアクティブである必要があります。

    システムプロパティの追加または作成の詳細については、「Add a system property」を参照してください。