認可リストの場所
GitLabは、あなたが認可したアプリをアカウントレベルの1つのリストで管理しています。プロフィール設定を開き、「プロフィールを編集」→「アクセス」→「アプリケーション」と進んでください。このページがあなたのOAuthインベントリ（OAuth inventory）です。あなたの代わりに動作できるサードパーティアプリケーションと、それぞれが保持するスコープが表示されます。
GitLabは認可済みアプリケーションを「プロフィールを編集」→「アクセス」→「アプリケーション」に一覧表示します。出典
これはプロジェクトアクセストークンやデプロイキーとは異なります。それらはリポジトリやプロジェクトに紐づく認証情報です。一方、認可済みアプリケーションはあなたのユーザーアカウントに紐づき、アカウント全体にアクセスできる可能性があります。別々に監査することで、OAuthリストがきれいでもプロジェクトの認証情報について誤った安心感を得ることはなくなります。
スコープからわかること
スコープ（scope）は、アプリがどこまでアクセスできるかを示します。すべてが同等ではなく、すべてのアプリが読み取り専用だと仮定すべきではありません。プロフィールを読むだけのアプリと、アカウント全体で書き込みや操作ができる広範なAPIアクセスを持つアプリではリスクが異なります。
認可済みアプリケーションは取り消すことができ、そのスコープはプロフィールの読み取りから広範なAPIアクセスまで及びます。出典
実践的なポイントは、判断する前にスコープの行を読むことです。アプリがなぜそのアクセスを必要とするのか説明できなければ、それが最初に疑うべきアプリです。
認可済みアプリごとの判断表
| 表示内容 | 意味 | 推奨アクション |
|---|---|---|
| 認識しているアプリで、スコープが目的に合致し、まだ使用中 | 想定内の認可 | 保持する。後で確認できるようスコープを記録しておく |
| 認識しているが、もう使用していないアプリ | 古い認可 | 取り消す |
| まったく認識していないアプリ | 不明な認可 | 取り消す前に調査する。同僚や連携機能が追加したかどうかを確認する |
| 正当化できない広範なAPIスコープを持つアプリ | 過剰なアクセス | 取り消すか縮小する。読み取り専用だと仮定しない |
| 侵害された疑いのあるアプリ | アクティブなリスク | 速やかに取り消し、その後アカウントのアクティビティを確認する |
セルフレビューチェックリスト
- 「プロフィールを編集」→「アクセス」→「アプリケーション」を開き、認可済みのアプリをすべてリストアップする。
- 各アプリについて、それが何か、なぜアクセス権があるのか、スコープは何かを1行で書く。
- 正当化できないものは取り消す。
- もう使用していない古いアプリは取り消す。
- 数週間後にリストを再確認する。気づかないうちに新しい認可が追加されていることがある。
- この監査はプロジェクトアクセストークンのレビューとは別に保つ。
正直な限界
アプリケーションを取り消すと、その認可を通じた将来のアクセスは終了します。しかし、アプリ自身のシステムに踏み込んで、すでにコピー・エクスポート・キャッシュされたデータを削除するわけではありません。アプリがあなたのプロフィール情報を保存していた場合、取り消しは削除リクエストではありません。取り消しはドアを閉めることであり、部屋を掃除することではないと捉えてください。
また、取り消しによってGitLabプロフィールが非公開になるわけでもありません。プロフィールの公開範囲とアプリの認可は別々の設定であり、一方を変更しても他方は変わりません。
取り消した後に
あなたの公開フットプリントは、1つのプラットフォームのOAuthリストより広いものです。どのハンドルが公開されているかを知ることは、次にどこを調べるべきかを判断する助けになります。TraceSeekはユーザー名を3,000+のプラットフォームでチェックし、20–30秒で公開されている一致を返します。初回スキャンは無料で、登録は不要です。これらの一致は手がかりであり、身元の証明ではなく、アプリはプラットフォームの設定を変更したり、非公開情報を見たりすることはありません。より広範な調査については忘れられたオンラインアカウントを見つけるをご覧ください。結果の位置づけについては方法論をお読みください。
重要な事実
- GitLabは認可済みアプリケーションを「プロフィールを編集」→「アクセス」→「アプリケーション」に一覧表示します。
- 認可済みアプリケーションは取り消すことができ、そのスコープはプロフィールの読み取りから広範なAPIアクセスまで及びます。
- 認可済みアプリケーションを取り消しても、アプリがすでにコピーしたデータは削除されません。
- 認可済みアプリケーションはアカウントレベルの認可であり、プロジェクトアクセストークンとは別です。
- TraceSeekはユーザー名を3,000+のプラットフォームでチェックし、20–30秒で公開されている一致を返します。