المدوّنة · 30 سبتمبر 2023 · Steve Simpson · الهوية

فهم أمان Salesforce والهوية: متى تستخدم الدخول الموحّد ومتى تستخدم OAuth، مقدمة

في هذه المقالة نهدف إلى توضيح أمان Salesforce والهوية، مع التركيز على متى نستخدم الدخول الموحّد (SSO) ومتى نستخدم OAuth. هذه المعرفة حاسمة للتنقل بين سيناريوهات الوصول المختلفة إلى Salesforce، سواء عبر تسجيل الدخول المباشر أو الدخول الموحّد أو OAuth.

متى تستخدم تسجيل الدخول القياسي أو الدخول الموحّد أو OAuth

تسجيل الدخول المباشر:

السيناريو: يريد مستخدم، عبر متصفح، الوصول إلى Salesforce لعرض صفحاتها.

طريقة الوصول: تسجيل الدخول مباشرةً إلى Salesforce، أو الدخول الموحّد عبر موفّر هوية من طرف ثالث، مما يسهّل الوصول السلس دون إعادة المصادقة.

ملخص SSO وOAuth للأشخاص: شخص يستخدم متصفحًا (تسجيل دخول مباشر أو دخول موحّد)، وشخص يستخدم تطبيقًا عميلًا (تدفق خادم الويب في OAuth مع PKCE)، وشخص يستخدم خادم ويب تابعًا لطرف ثالث (تدفق خادم الويب مع PKCE)

OAuth مع تطبيقات الجوّال:

السيناريو: يستخدم المستخدم تطبيق جوّال للوصول إلى بيانات Salesforce عبر API، لا بعرض صفحات Salesforce الأصلية.

طريقة الوصول: يُستخدم OAuth هنا، خصوصًا عندما يكون التفاعل عبر أجهزة محمولة، قد تشمل الهواتف أو الأجهزة اللوحية التي تستخدم تقنية المتصفح. يتيح هذا النهج لتطبيقات الجوّال التعامل بأمان مع واجهات Salesforce API.

ملخص SSO وOAuth للعمليات العميلة: مستخدم تكامل (client credentials)، ومستخدم بشري معيّن (JWT أو SAML bearer assertion)، وجهاز يوافق شخص بالتوازي على اتصاله (device flow)، وأجهزة الأصول (asset flow)

OAuth مع خوادم الأطراف الثالثة:

السيناريو: يستخدم المستخدم متصفحًا للتواصل مع خادم تابع لطرف ثالث يحتاج إلى الوصول إلى بيانات Salesforce نيابةً عن المستخدم. ومن الأمثلة إضافات البريد الإلكتروني أو أنظمة أخرى متكاملة مع Salesforce.

طريقة الوصول: يُستخدم OAuth، مع بروتوكول محدد يُعرف باسم “Web Server with PKCE” ‏(Proof Key for Code Exchange)، للوصول الآمن.

تدفقات OAuth لسيناريوهات مختلفة

تدفق بيانات اعتماد العميل (Client Credentials Flow): مصمَّم لعملية عميلة (مثل خوادم خارجية تُجري عمليات تحميل أو تصدير دفعية) تصل إلى Salesforce بحساب مستخدم تكامل معيّن.

تدفقات JWT وSAML Bearer Assertion وSAML Assertion: هذه التدفقات للسيناريوهات التي تحتاج فيها عملية عميلة إلى العمل نيابةً عن مستخدم محدد، دون أن يشارك المستخدم مباشرةً. وهنا تنتحل العملية صفة مستخدم معيّن، محافظةً على سياق الأمان الخاص بملفات ذلك المستخدم.

تدفق الأجهزة (Device Flow): يبدأ هذا التدفق جهازٌ يحتاج إلى تدخّل بشري للموافقة. فمثلًا، يطلب تطبيق على تلفاز ذكي من المستخدم إدخال رمز للموافقة على الوصول.

تدفق الأصول (Asset Flow): مفيد لأجهزة إنترنت الأشياء (IoT) التي تحتاج إلى الاتصال بـ Salesforce لقراءة البيانات أو كتابتها.

خلاصة وختام

في جوهر الأمر، تعتمد طريقة وصولك إلى حد كبير على السيناريو:

للوصول المباشر إلى Salesforce عبر متصفح، استخدم تسجيل الدخول المباشر، أو الدخول الموحّد إذا كانت لديك خدمة هوية.

للوصول غير المباشر عبر الأجهزة المحمولة أو خوادم الأطراف الثالثة أو العمليات المؤتمتة، يُعد OAuth الطريقة المفضلة. وهنا عليك أن تقرر ما إذا كان OAuth سيعمل نيابةً عن مستخدم بشري أو عن حساب مستخدم تكامل.

في مقالات لاحقة سنتعمق في كل سيناريو وحالة استخدام لنقدّم فهمًا شاملًا.