Contrôle des paramètres d'authentification unique

Nom du contrôle

Configuration de l’authentification unique (SSO) et architecture de l’identité

Configuration recommandée

Activez l’authentification unique centralisée en utilisant un fournisseur d’identité d’entreprise, appliquez des stratégies d’authentification fortes et évitez les mécanismes d’authentification hérités.

Vue d'ensemble du contrôle

L'authentification unique centralise l'authentification en permettant aux utilisateurs d'accéder à Salesforce et aux applications intégrées en utilisant un fournisseur d'identité de confiance. Salesforce prend en charge plusieurs modèles d'authentification unique, notamment l'action en tant que fournisseur de services, fournisseur d'identité ou les deux, et l'authentification déléguée héritée. Une configuration SSO appropriée garantit une application cohérente de l'identité, un dispositif de sécurité amélioré et un risque d'identifiant réduit.

Risque de sécurité s'il n'est pas configuré

Sans SSO correctement configurée, l'authentification repose sur des contrôles fragmentés ou hérités, ce qui augmente l'exposition au vol d'identifiants, à la faiblesse des mots de passe, à l'application incohérente de la MFA et à l'accès non autorisé à Salesforce et aux systèmes connectés.

Scénarios de menace

Mots de passe locaux faibles exploités par hameçonnage, réutilisation des identifiants entre les applications, SAML Trust inter-organisations non sécurisé permettant un accès involontaire, interception des identifiants LDAP hérités.

Plage de score CVSS estimée

Critique (9,0 à 10,0).

Considérations relatives à l'impact sur le risque

La gravité du risque dépend de la taille de la population d'utilisateurs, des niveaux de privilèges, de l'exposition de l'organisation à Internet et des mécanismes d'authentification utilisés dans les systèmes intégrés.

Risque plus élevé quand

L'authentification Salesforce locale est utilisée avec des normes de mot de passe faibles, la MFA n'est pas appliquée, le chaînage IdP est trop permissif ou l'authentification déléguée s'appuie sur un LDAP hérité.

Risque faible quand

Ce contrôle peut être considéré comme à faible risque lorsqu'un ou plusieurs contrôles compensateurs sont mis en œuvre, notamment :

• Fournisseur d'identité d'entreprise : Salesforce est intégré à un fournisseur d'identité centralisé qui applique des stratégies de mot de passe rigoureuses et la gestion du cycle de vie des utilisateurs.
• Authentification multifacteur : La MFA est automatiquement appliquée à l'IdP ou via des stratégies d'authentification Salesforce High-Assurance.
• Normes d'authentification modernes : SAML ou OpenID Connect est utilisé à la place de l'authentification déléguée héritée.
• Sécuriser la chaîne du fournisseur d’identité : Les relations SAML inter-organisations et Experience Cloud Trust sont explicitement délimitées, documentées et périodiquement révisées.
• Retrait de l'authentification héritée : L'authentification déléguée via LDAP est dépréciée ou étroitement contrôlée avec des protections supplémentaires.

Considérations relatives à l'entreprise et à l'intégration

Les clients doivent prendre en compte l'expérience utilisateur, la compatibilité de l'intégration, l'accès partenaire et la planification de la migration lors de l'implémentation ou de la modernisation de l'authentification unique. Les systèmes hérités peuvent nécessiter une transition progressive vers des plates-formes d'identité modernes.

Remédiation recommandée

Implémentez l’authentification unique centralisée en utilisant un fournisseur d’identité de confiance, appliquez automatiquement la MFA et des stratégies de mot de passe rigoureuses, vérifiez et limitez le chaînage des fournisseurs d’identité, abandonnez l’authentification déléguée et examinez régulièrement les journaux d’authentification et les modèles d’accès.

Guide d'examen sanitaire de sécurité

Security Health Review met en évidence les contrôles de l'authentification unique et de l'architecture de l'identité pour aider les clients à renforcer l'authentification, à réduire les risques liés à l'identité et à s'aligner sur les normes de sécurité recommandées par Salesforce et les principes Zero Trust.