Вы находитесь здесь:
Политики доступа OAuth для связанного приложения: Включение единого выхода и выхода SAML
Единый выход - это механизм, обеспечивающий одновременное завершение сеанса во всех связанных приложениях в круге Trust при выходе пользователя из Salesforce или внешнего поставщика удостоверений (IdP).
Управление именем
Приложения внешних клиентов: Настройка политик OAuth: Управление начальным URL-адресом для приложений внешних клиентов
Рекомендованная конфигурация
Включите единый выход.
Общие сведения о контроле
Единый выход - это механизм, обеспечивающий одновременное завершение сеанса во всех связанных приложениях в круге Trust при выходе пользователя из Salesforce или внешнего поставщика удостоверений (IdP).
Риск безопасности, если он не настроен
Без единого выхода пользователь может «выйти» из Salesforce, но оставить активный действительный сеанс открытым в IdP (или наоборот), создавая «зомби-сеанс», который разрешает несанкционированный доступ к следующему пользователю этого устройства.
Сценарии угроз
В общедоступной среде рабочего места пользователь нажимает «Выход» в Salesforce и уходит, но следующее лицо может повторно войти в систему без пароля, поскольку сеанс IdP остается активным.
Примерный диапазон оценки CVSS
Критические (9,0-10,0).
Рекомендации по влиянию риска
Неполное завершение сеанса приводит к несанкционированному доступу к данным и захвату организаций, значительно повышая риск «Внутренних угроз» или случайного открытия данных в общедоступной или общедоступной среде.
Повышенный риск при
Риск значительно выше, если несколько сотрудников используют одно и то же физическое оборудование в течение дня.
Низкий риск при
Сценарий ниже риска в сочетании с агрессивным истечением времени сеанса и политикой принудительной повторной проверки подлинности, которая минимизирует период времени, в течение которого неактивный сеанс остается действительным.
Рекомендации по бизнесу и интеграции
Внедрение единого выхода требует технической координации с IdP для обеспечения корректного форматирования и принятия запросов на выход «Фронт-канал» (на основе обозревателя) и «Фон-канал» (сервер-сервер).
Рекомендованное исправление
Перейдите в параметры связанного приложения или поставщика проверки подлинности, введите URL-адрес единого выхода, предоставленный вашим IdP, и выберите соответствующий тип (SAML или OpenID Connect).
Руководство по проверке состояния безопасности
Проверка состояния безопасности определяет единый выход в качестве основного требования «Чистый выход», поэтому «Выход» является абсолютной командой, очищающей весь цифровой след пользователя для этого сеанса.
