您位於此處：
OAuth 存取原則 - 啟用單一登出
確保登出一個應用程式會自動終止該連線應用程式聯合身分生態系統中所有相關聯的工作階段。
控制名稱
OAuth 存取原則 - 啟用單一登出
控制概觀
確保登出一個應用程式會自動終止該連線應用程式聯合身分生態系統中所有相關聯的工作階段。
描述
設定 Salesforce 傳送和接收登出要求 (透過 SAML 或 OIDC),以同步化基礎連線應用程式不同啟用中工作階段之間的工作階段終止。
建議組態
在「連線的應用程式」設定中啟用「單一登出」。提供有效的單一登出 URL,並確定已共用 SAML 簽署憑證,以驗證登出要求的真實性。
安全性影響
關閉使用者認為其已結束系統但仍保持登入下游或上游應用程式的孤立工作階段視窗。
業務影響
透過移除從多個索引標籤手動登出的需求,以簡化使用者體驗,並確保遵循與工作階段破壞相關的資料隱私權標準 (例如 GDPR/HIPAA)。
未設定安全性風險
缺少單一登出可讓未經授權的使用者在主要使用者從其他已啟用工作階段登出 Salesforce 後,劫持共用硬體或公用終端上的仍啟用中工作階段。
威脅情況
工作階段劫持:攻擊者使用公用電腦上的未結束工作階段。工作階段到期不足:使用者登出 IdP,但 Salesforce 工作階段會持續有效數小時。
估計 CVSS 分數範圍
高 (7.0–8.9)。
風險影響考量事項
在具有共用工作站的環境中,多個使用者存取相同實體硬體,或未強制執行未啟用工作階段鎖定組態的環境中,風險會增加。
風險愈高時機
未啟用未啟用的工作階段鎖定組態,或「單一登出 URL」遺失/不正確,進而導致 ghost 工作階段持續直到逾時期間到期為止。
低度風險時機
登出 IdP 會觸發 Salesforce 和其他所有連線服務提供者的成功 LogoutRequest。
業務與整合考量事項
需要與業務使用者協調,以確保從連線應用程式的所有工作階段中將使用者登出不會造成每日活動中斷。
安全性健康檢閱指南
「安全性健康審查」會識別在您的 Salesforce 組織中強制執行的「啟用單一鎖定」組態。
受影響的人員
直接透過 Salesforce 存取連線的應用程式的內部員工、管理員、開發人員和人力使用者。
