驗證提供者

控制名稱

驗證提供者組態和驗證

建議組態

設定、驗證並定期檢閱所有驗證提供者,以確保其可信任、範圍正確且整合安全。

控制概觀

驗證提供者允許 Salesforce 將使用者驗證委派給受信任的第三方身分識別平台,例如 Apple、Google、Microsoft、OpenID Connect 提供者和其他支援的服務。適當的組態可確保僅接受來自已驗證來源的驗證判斷式,並安全地控制使用者提供和存取。

未設定安全性風險

未驗證或設定錯誤的驗證提供者可能允許 Salesforce 接受詐欺式驗證判斷式,進而導致未經授權的使用者建立、帳戶接管或從不受信任的身分來源存取。

威脅情況

接受偽造或重新執行的驗證權杖、透過設定錯誤的身分提供者 (IdP) 對應進行未經授權的使用者提供、使用已淘汰或入侵的 IdP 的 Trust 關係,以及濫用過度允許的提供者組態。

估計 CVSS 分數範圍

嚴重 (9.0–10.0)。

風險影響考量事項

風險嚴重性取決於已設定的驗證提供者數目、使用者族群大小、登入時授與的存取權限,以及提供者是由外部管理還是面向消費者。

風險愈高時機

驗證提供者未經正式驗證、提供者中繼資料已過期、屬性對應過度允許,或啟用多個取用者層級提供者而無須監管控制。

低風險或無風險的時機

實作下列一或多個項目時,可將此控制視為低度風險:

• 信任提供者驗證:驗證提供者僅適用於已批准和信任的身分平台。
• 安全屬性對應:使用者屬性和佈建規則會密切限定範圍,以強制執行最低權限。
• 中繼資料管理:提供者憑證、端點和中繼資料會維持最新狀態並定期檢閱。
• MFA 強制執行:MFA 會在驗證提供者或透過 Salesforce 高度保證原則強制執行。
• 監管控制:驗證提供者會集中管理、記錄和檢閱,作為身分週期管理的一部分。

業務與整合考量事項

客戶應評估每個驗證提供者的業務理由,特別是消費者身分識別平台,並確保符合存取原則、法規需求和使用者體驗期望。

建議的補救措施

檢閱所有設定的驗證提供者、關閉未使用或不受信任的提供者、驗證提供者中繼資料和憑證、限制屬性對應、強制執行 MFA,以及建立定期監管審查。

安全性健康檢閱指南

Security Health Review 會識別在 Salesforce 中設定的驗證提供者,以協助客戶減少身分識別聯合風險、防止未經授權的存取,並透過識別連線的驗證提供者,使第三方驗證整合符合 Salesforce 建議的安全性基準和Trust原則。