breadcrumbDescription
Identitetsudbyder
Konfigurer Salesforce som en identitetsudbyder, når du ønsker, at Salesforce skal være "kilden til sandheden".
Konfiguration af Salesforce som en IdP giver brugere mulighed for at logge på Salesforce en gang og derefter få adgang til andre eksterne applikationer uden at logge ind igen. Du kan konfigurere SSO (single sign-on), så brugere kan logge på en ekstern serviceudbyder eller afhængig partner med deres Salesforce-legitimationsoplysninger. Du kan aktivere din Salesforce-organisation som en SAML IdP og integrere en serviceudbyder som en ekstern SAML-klientapp eller tilsluttet app. Du kan også bruge OpenID Connect til at integrere en afhængig partner med din organisation.
Når den implementeres korrekt, bliver din Salesforce-organisation til en pålidelig IdP, der hjælper brugere med at logge på Salesforce en gang og derefter få adgang til de andre eksterne applikationer uden at logge ind igen. Når de er forkert konfigurerede, står firmaer over for øget risiko for legitimationsoplysningskompromittering, uautoriseret adgang, sidepåvirkning og reduceret synlighed i identitetstilstand. Trusselaktører har ikke kun adgang til din Salesforce-organisation, de logges automatisk på hver tilsluttet app, der har tillid til Salesforce.
Sikkerhedstilstandscheck giver oplysninger om, om din Salesforce-forekomst er konfigureret som IdP ved brug af konfigurationssignaler, der er i overensstemmelse med de bedste fremgangsmåder, der anbefales af Salesforce, og fremhæver mangler, der udgør den højeste sikkerheds- og forretningsrisiko.
Kontrolnavn
Identitetsudbyderkonfiguration og validering
Anbefalet konfiguration
Konfigurer, valider og gennemse regelmæssigt opsætning af Salesforce-identitetsudbyder for at sikre, at de er tilpasset korrekt og integreret sikkert.
Kontroller oversigt
Identitetsudbyderopsætning gør det muligt for Salesforce at være IdP, der tillader brugere at logge på Salesforce og derefter få adgang til de andre eksterne applikationer, der er angivet som serviceudbydere, uden at logge ind igen. Korrekt konfiguration sikrer, at godkendelsespåstande sendes sikkert gennem sikre signeringsalgoritmer, og adgangsomfang konfigureres med den rigtige adgangskontrol på plads.
Sikkerhedsrisiko, hvis den ikke er konfigureret
Forkert konfigureret IdP-opsætning kan tillade Salesforce at levere overdreven adgang, ufuldstændig offboarding, der fører til uautoriseret kontoovertagelse eller adgang for de tilsluttede serviceudbydere og også Salesforce gennem sideløbende bevægelser.
Trusselscenarier
Accept af forfalskede eller afspilte godkendelsestokener, uautoriseret brugerprovisionering via ukonfigurerede IdP-tilknytninger, Trust med udfasede eller kompromitterede IdP'er, misbrug af overdrevent tilladende udbyderkonfigurationer.
Estimeret CVSS-scoringsinterval
Kritisk (9,0-10,0).
Overvejelser i forbindelse med risikopåvirkning
Risikostyring afhænger af antallet af eksterne applikationer, der er tilsluttet som serviceudbydere konfigureret, brugerpopulationstørrelse, adgangsrettigheder, der er tildelt ved login, og om udbydere er eksternt administrerede eller er rettet mod forbrugere.
Højere risiko når
Identitetsudbyderopsætning er ikke konfigureret med en stærk påstandssikkerhedsalgoritme og overdreven tilladelsesomfang.
Lav eller ingen risiko når
Denne kontrol kan betragtes som lav risiko, når et eller flere af følgende implementeres:
- Periodisk gennemgang af serviceudbydere: Gennemse applikationer, der er tilsluttet til Salesforce som serviceudbydere, og forstå risiciene.
- Certifikatstyring: Gennemse regelmæssigt det certifikat, der bruges til at gøre det muligt for din organisation at kommunikere med serviceudbyderen, og brug betroet CA til certifikatet.
- Gennemtvunget godkendelse konfigureret: Sikring af, at brugere, der allerede er logget på Salesforce, kan angive deres legitimationsoplysninger igen, når de forsøger at få adgang til serviceudbyderen.
- Sikker attributtilknytning: Brugerattributter og klargørelsesregler er nøje tilpasset for at håndhæve mindste rettighed.
- Login-timeout: Log automatisk brugere ud af serviceudbyderen, når de logger ud af Salesforce.
- Metadata Management: Metadataopdagelsesslutpunkter bevares opdateret og gennemses regelmæssigt.
- MFA-håndhævelse: MFA håndhæves for Salesforce-brugere
- IP-loginbegrænsning: Begrænsning af IP-login for brugere med rettigheder til at redigere opsætningen
- Styringskontroller: Salesforce-opsætninger administreres centralt, dokumenteres og gennemses som en del af administration af identitetslivscyklus.
Overvejelser i forbindelse med forretning og integration
Kunder bør evaluere forretningsjustering for hver godkendelsesudbyder, især forbrugeridentitetsplatforme, og sikre justering med adgangspolitikker, bestemmelseskrav og forventninger til brugeroplevelsen.
Anbefalet rettelse
Gennemse alle konfigurerede IdP-opsætninger, tilsluttede serviceudbydere, inaktiver ikke-anvendte eller usikrede udbydere, valider udbydermetadata og certifikater, begræns attributtilknytninger, håndhæv MFA og etabler periodiske styringsgennemgange.
Vejledning til sikkerhedstilstandsgennemgang
Sikkerhedstilstandscheck identificerer en IdP-opsætning, der er konfigureret i Salesforce for at hjælpe kunder med at reducere risikoen for identitetsfederation, forhindre uautoriseret adgang med Salesforce-anbefalede sikkerhedsbasislinjer og Trust ved at identificere tilsluttede serviceudbydere og IdP-opsætning.
