您在此处：
单点注销
为与外部应用程序或身份提供商的连接配置适用用户个案上的单点注销。
Salesforce 单点注销是一种安全配置，可确保在所有连接的应用程序中同时终止用户的会话。如果没有 SLO，注销 Salesforce 可能会使其他集成的应用程序保持活动状态，从而产生显著的安全漏洞。
Salesforce 通过两个主要协议支持 SLO：SAML 和 OpenID Connect (OIDC)。可用的设置取决于 Salesforce 是充当身份提供商 (IdP) 还是服务提供商 (SP)。
安全运行状况审查提供了您的 Salesforce 实例是否使用符合 Salesforce 推荐的最佳实践的配置信号进行单点注销配置的信息，并突出了存在最高安全和业务风险的差距。
控件名称
单点注销
推荐配置
配置、验证并定期审查 Salesforce 单点注销设置，以确保它们为公司中的每个适用用例正确配置，其中 Salesforce 是服务提供商、依赖方或身份提供商。
控制概览
为与外部应用程序或身份提供商的连接配置适用用户个案上的单点注销。
安全风险（如果未配置）
开放的活动孤立会话，这可能导致会话劫持，因为威胁行为者在应用程序之间的横向移动，无需身份验证即可访问敏感数据。
威胁场景
如果用户忘记单独注销每个应用程序，攻击者可以使用有效的“孤立”会话访问敏感数据，而无需身份验证。
估计的 CVSS 得分范围
关键 (9.0–10.0)。
风险影响注意事项
风险严重性取决于登录时授予的用户群体规模和访问权限。
高风险
会话未配置会话控制来限制会话，会话控制包括：
- 无效的会话超时策略
- 访问权限范围过大
- 过度权限登录 IP 限制
低风险或无风险
当实施以下一项或多项时，此控制可视为低风险：
- 服务提供商的定期审查：审查作为服务提供商连接到 Salesforce 的应用程序，并了解风险。
- 证书管理：定期审查用于使您的组织与服务提供商通信的证书，将受信 CA 用于证书。
- 配置的强制身份验证：确保已登录 Salesforce 的用户在尝试访问服务提供商时重新输入凭据。
- 登录超时：当用户注销 Salesforce 时，自动将用户注销服务提供商。
- MFA 执行：为 Salesforce 用户强制执行 MFA
- IP 登录限制：基于简档的用户的 IP 登录限制
业务和集成注意事项
客户应根据访问策略、监管要求和用户体验预期，评估需要持续连接的外部连接的应用程序的业务理由。
建议的补救措施
查看所有配置的服务提供商和身份提供商设置，配置单点注销或定期轮换凭据。
安全健康审查指导
安全健康审查识别在 Salesforce 中配置的单点注销，以帮助客户降低身份联盟风险，并通过 Salesforce 推荐的安全基准和 Zero Trust 原则防止未经授权的访问。
