Innstillinger for enkeltpålogging

Navn på kontroll

Konfigurasjon og identitetsarkitektur for enkeltpålogging (SSO)

Anbefalt konfigurasjon

Aktiver sentralisert SSO med en identitetsleverandør for virksomheten (IdP), håndhev sterke godkjenningspolicyer og unngå eldre godkjenningsmekanismer.

Oversikt over kontroll

Enkeltpålogging sentraliserer godkjenningen ved å gi brukere tilgang til Salesforce og integrerte programmer med en klarert identitetsleverandør. Salesforce støtter flere SSO-modeller, inkludert å fungere som tjenesteleverandør, identitetsleverandør eller begge deler, og eldre delegert godkjenning. Riktig SSO-konfigurasjon sikrer konsistent identitetshåndhevelse, forbedret sikkerhetstilstand og redusert legitimasjonsrisiko.

Sikkerhetsrisiko hvis ikke konfigurert

Uten riktig konfigurert SSO er godkjenning avhengig av fragmenterte eller eldre kontroller, noe som øker eksponeringen for legitimasjonstyveri, svake passord, inkonsekvent MFA-håndhevelse og uautorisert tilgang til Salesforce og tilkoblede systemer.

Trusselscenarier

Svake lokale passord utnyttes via phishing, gjenbruk av legitimasjon på tvers av programmer, usikker SAML Trust på tvers av organisasjoner som muliggjør utilsiktet tilgang, foreldet LDAP-legitimasjon.

Beregnet CVSS Score-område

Kritisk (9.0–10.0).

Viktige punkter om risikoinnvirkning

Risikoens alvorlighetsgrad avhenger av brukerpopulasjonens størrelse, rettighetsnivåer, organisasjonens eksponering for Internett og godkjenningsmekanismene som brukes på tvers av integrerte systemer.

Høyere risiko når

Lokal Salesforce-godkjenning brukes med svake passordstandarder, MFA håndheves ikke, identitetsleverandørkjøring er for tillatelig, eller Delegert godkjenning er avhengig av eldre LDAP.

Lav risiko når

Denne kontrollen kan vurderes som lav risiko når én eller flere kompenseringskontroller implementeres, inkludert:

• Enterprise Identity-leverandør: Salesforce er integrert med en sentralisert identitetsleverandør som håndhever sterke passordpolicyer og brukerlivssyklusbehandling.
• Godkjenning med flere faktorer: MFA håndheves hos identitetsleverandøren eller via Salesforces godkjenningspolicyer med høy sikkerhet.
• Moderne godkjenningsstandarder: SAML eller OpenID Connect brukes i stedet for tidligere delegert godkjenning.
• Sikker identitetsleverandørkjeding: SAML- og Experience Trust på tvers av organisasjoner omfatter eksplisitt, dokumenteres og gjennomgås regelmessig.
• Oppsigelse av tidligere godkjenning: Delegert godkjenning via LDAP er forhindret eller sterkt kontrollert med ekstra beskyttelse.

Viktige punkter om virksomheten og integrasjonen

Kunder bør vurdere brukeropplevelse, integrasjonskompatibilitet, partnertilgang og overføringsplanlegging når de implementerer eller moderniserer enkeltpålogging. Eldre systemer kan kreve faset overgang til moderne identitetsplattformer.

Anbefalt rettelse

Implementer sentralisert SSO med en klarert identitetsleverandør, håndhev MFA- og sterke passordpolicyer, se gjennom og begrens identitetsleverandørkjøring, overfør deg vekk fra delegert godkjenning og se regelmessig gjennom godkjenningslogger og tilgangsmønstre.

Veiledning for vurdering av sikkerhetstilstand

Sikkerhetstilstandsvurdering fremhever SSO- og identitetsarkitekturkontroller for å hjelpe kunder med å styrke godkjenningen, redusere identitetsrelatert risiko og samsvare med Salesforce-anbefalte sikkerhetsbase og Zero Trust.