Du er her:
OAuth-tilgangspolicyer for en tilkoblet app: Aktiver enkeltavlogging og SAML-avlogging
Enkeltavlogging er en mekanisme som sikrer at økten avsluttes samtidig på tvers av alle tilkoblede programmer i Trust når en bruker logger seg av Salesforce eller en ekstern identitetsleverandør (IdP).
Navn på kontroll
Eksterne klientapper: Konfigurere OAuth-policyer: Behandle start-URL-adressen for eksterne klientapper
Anbefalt konfigurasjon
Aktiver enkeltavlogging.
Oversikt over kontroll
Enkeltavlogging er en mekanisme som sikrer at økten avsluttes samtidig på tvers av alle tilkoblede programmer i Trust når en bruker logger seg av Salesforce eller en ekstern identitetsleverandør (IdP).
Sikkerhetsrisiko hvis ikke konfigurert
Uten enkeltavlogging kan en bruker "pålogge seg" fra Salesforce, men la en aktiv, gyldig økt være åpen hos identitetsleverandøren (eller omvendt), og opprette en "zombieøkt" som tillater uautorisert tilgang til den som senere bruker enheten.
Trusselscenarier
I et felles arbeidsstasjonmiljø klikker en bruker på "Logg av" i Salesforce og går vekk, men den neste personen kan gå inn i systemet igjen uten passord fordi identitetsleverandørøkten forblir aktiv.
Beregnet CVSS Score-område
Kritisk (9.0–10.0).
Viktige punkter om risikoinnvirkning
Ufullstendig øktavslutning fører til uautorisert datatilgang og kontoovertakelse, noe som betydelig øker risikoen for "innebygde trusler" eller utilsiktet dataeksponering i felles eller delte miljøer.
Høyere risiko når
Risikoen er betydelig høyere når flere ansatte bruker samme fysiske maskinvare i løpet av dagen.
Lav risiko når
Scenariet er lavere risiko når det kombineres med aggressive tidsavbrudd for økter og tvungne policyer for ny godkjenning som minimerer tidsvinduet en inaktiv økt forblir gyldig.
Viktige punkter om virksomheten og integrasjonen
Implementering av enkeltavlogging krever teknisk koordinering med identitetsleverandøren for å sikre at både "Front-Channel" (nettleserbasert) og "Back-Channel" (server-til-server)-avloggingsforespørsler blir riktig formatert og godtatt.
Anbefalt rettelse
Gå til innstillingene for tilkoblet app eller godkjenningsleverandør, oppgi URL-adressen for enkel avlogging gitt av identitetsleverandøren, og velg den riktige typen (SAML eller OpenID Connect).
Veiledning for vurdering av sikkerhetstilstand
Sikkerhetstilstandsvurdering identifiserer enkeltavlogging som et grunnleggende "Ryddig avlogging"-krav, slik at "Avlogging" er en absolutt kommando som fjerner brukerens fulle digitale avtrykk for denne økten.
