Salesforcen tietoturva: sukellus kertakirjautumisen (SSO) käsitteisiin
Jatkamme valaisevaa matkaamme selainpohjaisen todennuksen ja valtuutuksen parissa. Tänään sukellamme syvemmälle ja purkamme kertakirjautumisen (SSO) monimutkaista verkkoa sekä ajatusta siitä, että ulkoinen identiteetintarjoaja hallitsee todennusta Salesforceen.
Salesforce identiteetintarjoajana
Vaihe 1: Todennus tapahtuu Salesforcen todennuspalvelimen kautta
Vaihe 2: Syntyy istunto, joka vie sinut instanssin verkkopalvelimelle.
Vaihe 3: Sitten myönnetään valtuutus, joka antaa pääsyn sivuille ja resursseihin.
Entä jos todennusta hallitsee jokin toinen järjestelmä? Silloin kuvaan tulee kolmannen osapuolen kertakirjautuminen.
[caption id="" align=“alignnone” width=“1780”]
Ulkoisen identiteetintarjoajan (IdP) todennusvirta yleisellä tasolla [/caption]
Kolmannen osapuolen SSO: lintuperspektiivi
Tilanteissa, joissa kolmas osapuoli toimii identiteetintarjoajana:
Vaihe 1: Todennuksen suorittaa kolmannen osapuolen identiteetintarjoaja (IdP)
Vaihe 2: SAML-väitetunnus välitetään Salesforcen todennuspalvelimelle.
Vaihe 3: Vahvistuksen jälkeen istunto antaa selaimesi käyttää Salesforce-instanssin verkkopalvelinta, ja sen jälkeen tapahtuu valtuutus.
SSO-termit selitettyinä
[caption id="" align=“alignnone” width=“1800”]
Yleiskuva kertakirjautumisesta useilla palveluntarjoajilla [/caption]
Palveluntarjoaja (SP): Alustat, kuten Salesforce, Workday tai mikä tahansa suojattu järjestelmä, jotka on yhdistetty yhden identiteetintarjoajan (IDP) alle.
Identiteetintarjoaja (IDP): Keskitetty identiteettien solmukohta, yleensä teollisuustason järjestelmä, joka hallitsee käyttäjien todennusta.
Identiteettivarasto (identity store): Holvi, joko Salesforcessa tai ulkoisessa järjestelmässä, kuten Active Directoryssa tai LDAP:ssa, jossa tunnistetiedot säilytetään. Olennaista on, että salasanat tallennetaan tiivistettyinä (hash) tietoturvan parantamiseksi.
Digitaalinen varmenne: Sillä luodaan luottamussuhde identiteetintarjoajan (IDP) ja palveluntarjoajan (SP) välille, jotta luovutus on saumaton ja turvallinen.
SAML-väite: IDP:n ja SP:n välillä vaihdettavat tunnukset, jotka vahvistavat käyttäjän henkilöllisyyden.
Kertakirjautumisen edut
Yksinkertaisempi käyttökokemus: Kun yksi IDP hallitsee useita palveluntarjoajia, käyttäjät tarvitsevat vain yhdet tunnistetiedot, mikä vähentää salasanaväsymystä ja heikkojen salasanojen riskiä.
Keskitetty tietoturva: Kattava IDP mahdollistaa yhtenäiset tietoturvastandardit, jolloin käyttäjät ovat suojassa, vaikka jostakin sovelluksesta puuttuisivat vahvat tietoturvamekanismit.
Tehokas hallinta: Jos työntekijä lähtee tai epäillään tietomurtoa, pääsy voidaan perua nopeasti keskitetystä IDP:stä, jolloin tietoturvaan voidaan reagoida välittömästi.
Johdonmukaisuus: Yksi mekanismi salasanan palauttamiseen ja nollaamiseen takaa yhdenmukaisuuden.
Kertakirjautuminen käytännössä
Kuvittele käyttäjä, joka aloittaa päivänsä avaamalla palveluntarjoajan, kuten Salesforcen. IDP:lle lähetetään SAML-pyyntö. Onnistuneen todennuksen jälkeen SAML-vastaus (eli SAML-väite) ohjataan takaisin palveluntarjoajalle. Tämä silmukka vahvistaa käyttäjän henkilöllisyyden ja tarjoaa saumattoman kokemuksen.
Yhteenveto
SSO on nykypäivän digitaalisen tietoturvan avainasia: se sujuvoittaa käyttäjien pääsyä useisiin alustoihin valppaan IDP:n silmien alla. Tänään esittelimme SSO:n peruskäsitteet ja edut.
Pysy mukana, kun sukellamme tulevissa jaksoissa syvemmälle muihin osiin.
STA 3.3