您位於此處：
連線的應用程式其 OAuth 存取原則:啟用單一與 SAML 登出
「單一登出」是一種機制,可確保當使用者登出 Salesforce 或外部身分提供者 (IdP) 時,會同時終止 Trust 圓圈中所有連線的應用程式的工作階段。
控制名稱
外部用戶端應用程式:設定 OAuth 原則:管理外部用戶端應用程式的起始 URL
建議組態
啟用單一登出。
控制概觀
「單一登出」是一種機制,可確保當使用者登出 Salesforce 或外部身分提供者 (IdP) 時,會同時終止 Trust 圓圈中所有連線的應用程式的工作階段。
未設定安全性風險
若沒有單一登出,使用者可能會「登出 Salesforce」,但會在 IdP 中保留已啟用且有效的工作階段 (反之亦然),進而建立一個允許下次使用該裝置之使用者未經授權存取的「 zombie 工作階段」。
威脅情況
在共用工作站環境中,使用者在 Salesforce 中按一下「登出」並離開,但下一個人無須密碼即可重新進入系統,因為 IdP 工作階段保持啟用。
估計 CVSS 分數範圍
嚴重 (9.0–10.0)。
風險影響考量事項
未完成的工作階段終止會導致未經授權的資料存取和帳戶接管,進而在公用或共用環境中大幅增加「內部威脅」或意外資料曝光的風險。
風險愈高時機
當多名員工在一天內使用相同的實體硬體時,風險明顯高。
低度風險時機
此情況與積極的工作階段逾時和強制重新驗證原則結合,將未啟用工作階段保持有效的時間範圍最小化時,風險降低。
業務與整合考量事項
實作單一登出需要與 IdP 進行技術協調,以確保「Front-Channel」(以瀏覽器為基礎) 和「Back-Channel」(伺服器對伺服器) 登出要求都正確格式化並接受。
建議的補救措施
前往「連線的應用程式」或「驗證提供者」設定,輸入 IdP 提供的單一登出 URL,然後選取適當的「類型」(SAML 或 OpenID Connect)。
安全性健康檢閱指南
「安全性健康檢閱」將「單一登出」識別為基本「清除結束」需求,因此「登出」是清除該工作階段使用者整個數位足跡的絕對指令。
