Contrôle du fournisseur d’identité

Nom du contrôle

Configuration et validation du fournisseur d’identité

Configuration recommandée

Configurez, validez et vérifiez régulièrement la configuration du fournisseur d’identité Salesforce pour vous assurer qu’il est correctement défini et intégré en toute sécurité.

Vue d'ensemble du contrôle

La configuration du fournisseur d’identité permet à Salesforce d’être le fournisseur d’identité permettant aux utilisateurs de se connecter à Salesforce, puis d’accéder aux autres applications externes répertoriées en tant que fournisseurs de services sans se reconnecter. Une configuration correcte garantit que les assertions d'authentification sont envoyées en toute sécurité via des algorithmes de signature sécurisés. Les étendues d'accès sont configurées avec le contrôle d'accès approprié en place.

Risque de sécurité s'il n'est pas configuré

Une configuration IdP mal configurée peut permettre à Salesforce d'accorder un accès excessif, une intégration incomplète entraînant une prise de contrôle de compte non autorisée, ou l'accès des fournisseurs de services connectés et également de Salesforce via un déplacement latéral.

Scénarios de menace

Acceptation de jetons d'authentification forgés ou rejoués, provisionnement utilisateur non autorisé via des mappages IdP mal configurés, relations Trust avec des IdP dépréciés ou compromis, utilisation abusive de configurations de prestataires trop permissives.

Plage de score CVSS estimée

Critique (9,0 à 10,0).

Considérations relatives à l'impact sur le risque

La sévérité du risque dépend du nombre d'applications externes connectées en tant que Fournisseurs de services configurés, de la taille de la population d'utilisateurs, des privilèges d'accès accordés lors de la connexion, et de la gestion externe des fournisseurs ou de l'accès aux consommateurs.

Risque plus élevé quand

La configuration du fournisseur d’identité n’est pas configurée avec un algorithme de sécurité d’assertion solide et des étendues d’autorisation excessives.

Risque faible ou nul

Ce contrôle peut être considéré comme à faible risque lorsqu'un ou plusieurs des éléments suivants sont mis en œuvre :

• Examen périodique des fournisseurs de services : Examinez les applications connectées à Salesforce en tant que fournisseurs de services et comprenez les risques.
• Gestion des certificats : Vérifiez périodiquement le certificat utilisé pour permettre à votre organisation de communiquer avec le fournisseur de services, utilisez CA de confiance pour le certificat.
• Authentification forcée configurée : Garantir que les utilisateurs déjà connectés à Salesforce saisissent de nouveau leurs identifiants lorsqu'ils tentent d'accéder au fournisseur de services.
• Mappage d'attribut sécurisé : Les attributs utilisateur et les règles de provisionnement sont étroitement délimités pour appliquer le moindre privilège.
• Expiration de la connexion : Déconnectez automatiquement les utilisateurs du fournisseur de services lorsqu'ils se déconnectent de Salesforce.
• Gestion des métadonnées : Les points de terminaison de découverte des métadonnées sont tenus à jour et révisés périodiquement.
• Application de la MFA : Application automatique de la MFA pour les utilisateurs de Salesforce
• Restriction de connexion IP : Restriction de la connexion IP pour les utilisateurs qui disposent de privilèges de modification de la configuration
• Contrôles de gouvernance : La configuration de Salesforce est centralisée, documentée et révisée dans le cadre de la gestion du cycle de vie de l'identité.

Considérations relatives à l'entreprise et à l'intégration

Les clients doivent évaluer la justification métier de chaque fournisseur d’authentification, en particulier les plates-formes d’identité des consommateurs, et s’assurer qu’elles correspondent aux politiques d’accès, aux exigences réglementaires et aux attentes en matière d’expérience utilisateur.

Remédiation recommandée

Vérifiez toutes les configurations IdP configurées, les fournisseurs de services connectés, désactivez les fournisseurs inutilisés ou non approuvés, validez les métadonnées et les certificats des fournisseurs, limitez les mappages d'attributs, appliquez automatiquement la MFA et établissez des examens de gouvernance périodiques.

Guide d'examen sanitaire de sécurité

Security Health Review identifie une configuration IdP configurée dans Salesforce pour aider les clients à réduire le risque de fédération d'identité, empêcher les accès non autorisés avec les bases de sécurité recommandées par Salesforce et les principes Zero Trust en identifiant les fournisseurs de services connectés et la configuration IdP.