您位於此處：
單一登出
針對與外部應用程式或身分提供者的連線,在適用的使用者個案上設定單一登出。
Salesforce 單一登出是安全性組態,可確保使用者在所有連線應用程式之間的工作階段同時終止。若沒有 SLO,登出 Salesforce 可能會讓其他整合應用程式保持啟用狀態,進而造成重大安全性缺口。
Salesforce 透過兩個主要通訊協定支援 SLO:SAML 和 OpenID Connect (OIDC)。可用的設定取決於 Salesforce 作為身分提供者 (IdP) 或服務提供者 (SP) 的身分。
「安全性健康檢閱」會提供資訊,瞭解您的 Salesforce 例項是否使用符合 Salesforce 建議最佳作法的組態訊號來設定「單一登出」,並醒目提示存在最高安全性和業務風險的差異。
控制名稱
單一登出
建議組態
設定、驗證並定期檢閱 Salesforce 單一登出設定,以確保為公司中的每個適用使用個案 (Salesforce 是服務提供者、信賴憑證者或身分提供者) 進行正確設定。
控制概觀
針對與外部應用程式或身分提供者的連線,在適用的使用者個案上設定單一登出。
未設定安全性風險
開啟中的已啟用孤立工作階段,這可能會導致威脅執行動作使用者從應用程式之間的側邊移動中劫持工作階段,以存取敏感資料而不需要驗證。
威脅情況
如果使用者忘記個別登出每個應用程式,則攻擊者可以使用已啟用的「孤立」工作階段來存取敏感資料,而不需要驗證。
估計 CVSS 分數範圍
嚴重 (9.0–10.0)。
風險影響考量事項
風險嚴重性取決於登入時授與的使用者族群大小和存取權限。
風險愈高時機
工作階段未使用工作階段控制項設定為限制工作階段,包括:
- 工作階段逾時原則無效
- 過度允許的存取範圍
- 過度權限登入 IP 限制
低風險或無風險的時機
實作下列一或多個控制項時,可以將此控制項視為低度風險:
- 服務提供者的定期檢閱:檢閱以服務提供者身分連線至 Salesforce 的應用程式,並瞭解風險。
- 憑證管理:定期檢閱用於讓貴組織與服務提供者通訊的憑證,請使用信任的 CA 作為憑證。
- 強制驗證已設定:確保已登入 Salesforce 的使用者在嘗試存取服務提供者時重新輸入其認證。
- 登入逾時:當使用者登出 Salesforce 時,自動將使用者登出服務提供者。
- MFA 強制執行:為 Salesforce 使用者強制執行 MFA
- IP 登入限制:根據設定檔的使用者 IP 登入限制
業務與整合考量事項
客戶應評估根據存取原則、法規需求和使用者體驗期望,需要持續連線的外部連線應用程式業務理由。
建議的補救措施
檢閱所有設定的「服務提供者」和「身分提供者」設定、設定單一登出或定期輪替認證。
安全性健康檢閱指南
「安全性健康審查」會識別在 Salesforce 中設定的「單一登出」,以協助客戶降低身分識別聯合風險,並使用 Salesforce 建議的安全性基準和零 Trust 原則防止未經授權的存取。
