אבטחת Salesforce: בחינת אפשרויות האימות דרך פרופילים
במאמר קודם צללנו לתחום אבטחת Salesforce, עם התמקדות באימות ובהרשאה. היום אנחנו מצמצמים את המיקוד כדי לבחון את האימות של משתמשים שניגשים ל-Salesforce דרך דפדפנים, כש-Salesforce היא ספק הזהויות.
הבנת תהליך האימות
[caption id="" align=“alignnone” width=“1800”]
תהליך אימות עם Salesforce כספק הזהויות [/caption]
עבור משתמשים שניגשים ל-Salesforce דרך דפדפן:
שלב 1: Salesforce מאמתת את המשתמש.
שלב 2: סשן מועבר לשרת האינטרנט של המופע.
שלב 3: ההרשאה קובעת לאילו דפים ומשאבים המשתמש יכול לגשת.
מוקד הסיור של היום הוא שלב אחד: האימות. חשוב לציין שכאשר Salesforce משמשת כספק הזהויות, פרטי הגישה נשמרים בתוך Salesforce עצמה.
רכיבי מפתח כמו מדיניות סיסמאות, טווחי IP להתחברות, שעות התחברות, הגדרות סשן, אימות רב-שלבי, ואפילו אימות מבוסס תעודות בצד הלקוח, מוגדרים בפרופיל של Salesforce.
הדגמה מעשית
כדי לתת לכם הבנה מעשית, בואו נעבור על יצירה והגדרה של פרופיל ב-Salesforce:
[caption id="" align=“alignnone” width=“986”]
יצירת פרופיל חדש [/caption]
יצירת פרופיל חדש: אחרי ההתחברות לארגון Salesforce, עברו אל ‘Profiles’ וצרו פרופיל חדש, נניח “Deluxe Director”, שנגזר מפרופיל Standard User.
הגדרת הפרופיל: אחרי יצירת הפרופיל:
[caption id="" align=“alignnone” width=“1607”]
הגדרות הפרופיל [/caption]
קבעו את זמן תפוגת הסשן ואת רמות אבטחת הסשן.
הגדירו מדיניות סיסמאות: תפוגת סיסמה, אורך מינימלי, מורכבות הסיסמה, מגבלת ניסיונות שגויים וכן הלאה.
שיוך הפרופיל: לצורך ההדגמה, נניח שיש משתמש בשם “David Director”. למשתמש הזה משויך הפרופיל “Deluxe Director”.
[caption id="" align=“alignnone” width=“1620”]
הזנת טווח IP [/caption]
[caption id="" align=“alignnone” width=“1606”]
הרשימה הקשורה של טווחי IP בפרופיל [/caption]
בדיקת הגבלות IP: כשקובעים טווח IP ב-”Login IP Ranges” של הפרופיל, משתמשים מחוץ לטווח הזה ייחסמו מהתחברות. שימו לב ש-Salesforce מציגה כרגע הודעת שגיאה כללית להגבלות טווח IP, שעלולה להיות לא ברורה למשתמשי הקצה.
[caption id="" align=“alignnone” width=“513”]
השגיאה שמוצגת בהגבלת טווח IP [/caption]
הגבלת שעות התחברות: בדומה להגבלות IP, אפשר להגדיר שעות מסוימות שבהן משתמשים יכולים להתחבר. מחוץ לשעות האלה, המשתמש יקבל שוב הודעת שגיאה כללית.
[caption id="" align=“alignnone” width=“1617”]
שעות התחברות (טווח של שעה אחת בכל יום) [/caption]
[caption id="" align=“alignnone” width=“484”]
שעות התחברות: הודעה לא ברורה למשתמשים [/caption]
הפעלת אימות רב-שלבי (MFA): אפשר להוסיף שכבת אבטחה בהפעלת MFA לפרופיל. כש-MFA מופעל, ו-”David Director” מנסה להתחבר, Salesforce תבקש ממנו לחבר את Salesforce Authenticator. שלב האימות הנוסף הזה מבטיח שרק אנשים מורשים יוכלו לגשת למערכת.
[caption id="" align=“alignnone” width=“1299”]
תיבת סימון בפרופיל להפעלת MFA: Multi-Factor Authentication for User Interface Logins (בפינה הימנית התחתונה של התמונה) [/caption]
[caption id="" align=“alignnone” width=“457”]
ההתחברות הראשונה אחרי הפעלת MFA [/caption]
[caption id="" align=“alignnone” width=“531”]
חלון קופץ חדש להפעלת Salesforce Authenticator. השלב הבא הוא להוסיף את ה-Authenticator. אחר כך מזינים כאן את הביטוי בן שתי המילים שקיבלתם. [/caption]
[caption id="" align=“alignnone” width=“426”]
ממתין לפעולות ב-Salesforce Authenticator [/caption]
[caption id="" align=“alignnone” width=“389”]
אישור, עם סימן וי, ואז המשתמש מחובר [/caption]
לסיכום
ניהול אבטחת המשתמשים ב-Salesforce פשוט יחסית, אבל קריטי מאוד. הפלטפורמה מספקת כלים והגדרות שונים ברמת הפרופיל, שעוזרים להתאים את תהליך האימות לצרכים של הארגון שלכם.
הגבלות IP ושעות התחברות מוסיפות שכבות אבטחה, אבל חשוב להיות מודעים להודעות השגיאה הכלליות שהן מציגות.
אימות רב-שלבי (MFA), לעומת זאת, מספק שכבת הגנה נוספת ברורה וישירה.
אני מקווה שהצלילה הזו לאימות מבוסס פרופילים ב-Salesforce הייתה מועילה! הישארו איתנו לדיונים מעמיקים יותר על המורכבויות של סשנים בפרקים הבאים.
הישארו איתנו
צאו לדרך עם Salesforce Identity בביטחון! לתובנות ולטיפים נוספים, הישארו איתנו כאן ב-www.SteveTechArc.com ובערוץ ה-YouTube @SteveTechArc (opens in a new tab). הירשמו והעמיקו את ההבנה שלכם ב-Salesforce Identity.
עוזרים לשנות את העולם בשיתוף מידע על אינטגרציה עם עמיתים ארכיטקטים ועם מי שנמצאים במסע שלהם לארכיטקטורה!
STA 3.2