您在此处：
主动过期证书通知
确保有效系统管理员在安全证书（SAML、身份、JWT）过期前及时收到警报。
控件名称
主动过期证书通知
控制概览
确保有效系统管理员在安全证书（SAML、身份、JWT）过期前及时收到警报。
描述
通过权限集将“接收证书到期通知”系统权限分配给负责基础设施维护的指定系统管理员。
推荐配置
创建启用了“接收证书到期通知”权限的专用权限集，并将其分配给至少两个有效的系统管理员。
安全影响
防止证书意外过期时经常出现的系统中断和紧急安全绕过，迫使团队争相寻找快速修复方法。
业务影响
维护系统用户的服务正常运行时间和中断。减少了绕过标准 DevOps/Change Management 协议的紧急更改的需求。
安全风险（如果未配置）
未注意到的证书过期会导致立即拒绝服务。在高压停机时，团队可能会暂时使用薄弱的安全实践来恢复服务，从而产生漏洞。
威胁场景
系统可用性：用户无法登录，因为 SAML 签名证书已过期。集成失败：由于 JWT 不记名流拒绝过期证书，自动数据同步失败。
估计的 CVSS 得分范围
高 (7.0–8.9)。
风险影响注意事项
对于具有复杂身份管理的组织，或那些将 Salesforce 用作许多外部下游应用程序的 IdP 的组织，风险更高。
高风险
前员工设置为接收通知，或者当特定系统权限未分配给任何人时。
低风险
存在定期审查证书到期的进程，或者当前管理员通过其他机制收到证书到期的提醒。
业务和集成注意事项
当 Salesforce 证书轮换时，需要同时更新外部系统的进程，以避免不匹配。
安全健康审查指导
安全运行状况审查扫描User和PermissionSet对象，以验证PermissionsReceiveCertificateExpirationNotifications标志是否已分配给具有管理员级访问权限的活动用户。
谁受到影响
内部员工、管理员和开发人员。
本文章是否解决您的问题？
请与我们共享您的想法，以便我们进行改进！
