Sie befinden sich hier:
Identitätsanbieter
Konfigurieren Sie Salesforce als Identitätsanbieter, wenn Salesforce die "Quelle der Wahrheit" sein soll.
Durch die Konfiguration von Salesforce als Identitätsanbieter können sich Benutzer einmalig bei Salesforce anmelden und dann auf andere externe Anwendungen zugreifen, ohne sich erneut anmelden zu müssen. Sie können Single Sign-On (SSO) konfigurieren, damit sich Benutzer mit ihren Salesforce-Anmeldeinformationen bei einem externen Serviceanbieter oder einer vertrauenden Seite anmelden können. Sie können Ihre Salesforce-Organisation als SAML-Identitätsanbieter aktivieren und einen Serviceanbieter als externe SAML-Client-Anwendung oder verbundene Anwendung integrieren. Sie können auch OpenID Connect verwenden, um eine vertrauende Seite in Ihre Organisation zu integrieren.
Bei ordnungsgemäßer Implementierung wird Ihre Salesforce-Organisation zu einem zuverlässigen Identitätsanbieter, der Benutzern hilft, sich einmal bei Salesforce anzumelden und dann auf die anderen externen Anwendungen zuzugreifen, ohne sich erneut anzumelden. Bei falscher Konfiguration besteht für Unternehmen ein erhöhtes Risiko von Kompromittierung von Anmeldeinformationen, nicht autorisiertem Zugriff, seitlichen Bewegungen und eingeschränkter Sichtbarkeit des Identitätsstatus. Bedrohungsakteure haben nicht nur Zugriff auf Ihre Salesforce-Organisation, sie werden auch automatisch bei jeder verbundenen Anwendung angemeldet, die Salesforce vertraut.
Die Sicherheitsintegritätsprüfung bietet Informationen darüber, ob Ihre Salesforce-Instanz mithilfe von Konfigurationssignalen, die mit den von Salesforce empfohlenen bewährten Vorgehensweisen übereinstimmen, als Identitätsanbieter konfiguriert ist, und hebt Lücken hervor, die das höchste Sicherheits- und Geschäftsrisiko darstellen.
Steuerelementname
Identitätsanbieterkonfiguration und -validierung
Empfohlene Konfiguration
Konfigurieren, validieren und überprüfen Sie das Setup des Salesforce-Identitätsanbieters regelmäßig, um sicherzustellen, dass sie richtig umgrenzt und sicher integriert sind.
Steuerelementübersicht
Mit dem Identitätsanbieter-Setup kann Salesforce der Identitätsanbieter sein, über den sich Benutzer bei Salesforce anmelden und dann auf die anderen externen Anwendungen zugreifen können, die als Serviceanbieter aufgeführt sind, ohne sich erneut anmelden zu müssen. Die richtige Konfiguration stellt sicher, dass Authentifizierungsbehauptungen sicher über sichere Signieralgorithmen gesendet werden. Zugriffsbereiche werden mit der richtigen Zugriffssteuerung konfiguriert.
Sicherheitsrisiko, wenn nicht konfiguriert
Falsch konfiguriertes IdP-Setup kann es Salesforce ermöglichen, übermäßigen Zugriff, unvollständige Einarbeitung, die zu einer nicht autorisierten Accountübernahme führt, oder Zugriff auf die verbundenen Serviceanbieter und auch Salesforce über seitliche Bewegungen bereitzustellen.
Bedrohungsszenarien
Akzeptanz von gefälschten oder wiedergegebenen Authentifizierungstoken, nicht autorisierte Benutzerbereitstellung über falsch konfigurierte IdP-Zuordnungen, Trust Beziehungen mit veralteten oder kompromittierten IdPs, Missbrauch von zu freizügigen Anbieterkonfigurationen.
Geschätzter CVSS-Bewertungsbereich
Kritisch (9.0–10.0).
Überlegungen zu Risikoauswirkungen
Der Risikoschweregrad hängt von der Anzahl der als Serviceanbieter konfigurierten externen Anwendungen, der Benutzerpopulationsgröße, den bei der Anmeldung erteilten Zugriffsberechtigungen und davon ab, ob Anbieter extern verwaltet oder Verbraucher sind.
Höheres Risiko, wenn
Das Identitätsanbieter-Setup ist nicht mit einem starken Behauptungssicherheitsalgorithmus und übermäßigen Berechtigungsbereichen konfiguriert.
Geringes oder kein Risiko, wenn
Diese Steuerung kann als risikoarm angesehen werden, wenn eine oder mehrere der folgenden Aktionen implementiert sind:
- Regelmäßige Überprüfung von Serviceanbietern: Überprüfen Sie die mit Salesforce als Serviceanbieter verbundenen Anwendungen und machen Sie sich mit den Risiken vertraut.
- Zertifikatverwaltung: Überprüfen Sie regelmäßig das Zertifikat, das verwendet wird, damit Ihre Organisation mit dem Serviceanbieter kommunizieren kann, und verwenden Sie die vertrauenswürdige Zertifizierungsstelle für das Zertifikat.
- Konfiguriert für die erzwungene Authentifizierung: Sicherstellen, dass Benutzer, die bereits bei Salesforce angemeldet sind, ihre Anmeldeinformationen erneut eingeben können, wenn sie versuchen, auf den Serviceanbieter zuzugreifen.
- Sichere Attributzuordnung: Benutzerattribute und Bereitstellungsregeln sind eng begrenzt, um geringste Berechtigungen zu erzwingen.
- Anmelde-Timeout: Melden Sie Benutzer automatisch beim Serviceanbieter ab, wenn sie sich bei Salesforce abmelden.
- Metadata Management: Metadaten-Erkennungsendpunkte werden auf dem aktuellen Stand gehalten und regelmäßig überprüft.
- MFA Enforcement: Die MFA wird für Salesforce-Benutzer erzwungen
- IP-Anmeldeeinschränkung: IP-Anmeldeeinschränkung für Benutzer mit Berechtigungen zum Ändern des Setups
- Steuerungssteuerungen: Das Salesforce-Setup wird zentral verwaltet, dokumentiert und im Rahmen der Identitätslebenszyklus-Verwaltung überprüft.
Überlegungen zu Unternehmen und Integration
Kunden sollten die geschäftliche Begründung für jeden Authentifizierungsanbieter, insbesondere für Consumer Identity-Plattformen, auswerten und sicherstellen, dass sie mit den Zugriffsrichtlinien, den gesetzlichen Anforderungen und den Erwartungen an die Benutzererfahrung in Einklang stehen.
Empfohlene Sanierung
Überprüfen Sie alle konfigurierten IdP-Setups, verbundenen Serviceanbieter, deaktivieren Sie nicht verwendete oder nicht vertrauenswürdige Anbieter, validieren Sie Anbietermetadaten und Zertifikate, schränken Sie Attributzuordnungen ein, erzwingen Sie die Multi-Faktor-Authentifizierung und richten Sie regelmäßige Governance-Überprüfungen ein.
Anleitung zur Sicherheitsintegritätsprüfung
Die Sicherheitsintegritätsprüfung identifiziert ein in Salesforce konfiguriertes IdP-Setup, mit dem Kunden das Identitätsverbundrisiko reduzieren und unbefugten Zugriff mithilfe der von Salesforce empfohlenen Sicherheitsgrundlagen und Zero Trust-Prinzipien verhindern können, indem verbundene Serviceanbieter und das IdP-Setup identifiziert werden.
Siehe auch:
- Definieren eines Authentifizierungsanbieters
- Verwenden des MFA-Service Ihres SSO-Identitätsanbieters für Salesforce-Organisationen
- Salesforce als Identitätsanbieter
- Salesforce als SAML-Identitätsanbieter
- Salesforce als OpenID Connect-Identitätsanbieter
- Integrieren von Serviceanbietern als verbundene Anwendungen mit OpenID Connect
