ST-SEC-008 - SecureString 変数の使用

ルール ID: ST-SEC-008

範囲: ワークフロー

説明

このルールを使用して、ワークフロー内での SecureString 型変数の使用状況を確認します。

推奨

SecureString を取得したら、UI 要素に SecureString を送信する [SecureString で文字を入力] アクティビティと、ターミナル用の [キーを安全に送信] アクティビティを使用して、アプリケーションにログインすることを推奨します。

資格情報は、意図した目的以外では決して使用しないことが重要です。そのようなセキュリティで保護された文字列を保持する変数の範囲は、できるかぎり狭く定義する必要があります。

ワークフロー間で引数を使用して資格情報を渡すことは避けるのが理想です。SecureString クラスの詳細は、Microsoft の公式ドキュメントをご覧ください。

ルールの変更

[プロジェクト設定] ウィンドウで、[Workflow Analyzer] タブを選択します。以下の画像のように、ルールを見つけてルールを選択します。

既定では、このルールは、変数の使用の深さが 1 であるものの有無を確認します。深さの最大値は 3 です。このチェックは、2 つのコンテナー アクティビティからなる階層に含まれるアクティビティ内で SecureString 型の変数が定義されていないかどうかを確認することを意味します。たとえば、Do コンテナーとシーケンス全体の中で定義された [SecureString で文字を入力] アクティビティに含まれる SecureString 型変数を検出します。

深さの変更は、このフィールドに 3 以下の数字を入力するだけで簡単に行えます。

既定値にリセット

既定では、このルールは、変数の使用の深さが 1 であるものの有無を確認します。変更後に既定値に戻すには、単にルールを右クリックして [既定値にリセット] を選択します。

[既定のアクション] も、その既定値である [エラー] にリセットされます。