הבנת האבטחה והזהות ב-Salesforce: מתי להשתמש בכניסה יחידה ומתי ב-OAuth, מבוא
במאמר הזה אנחנו רוצים להבהיר את נושא האבטחה והזהות ב-Salesforce, עם התמקדות בשאלה מתי להשתמש בכניסה יחידה (SSO) ומתי ב-OAuth. הידע הזה חיוני לניווט בין תרחישים שונים של גישה ל-Salesforce, בין אם דרך התחברות ישירה, כניסה יחידה או OAuth.
מתי להשתמש בהתחברות רגילה, בכניסה יחידה או ב-OAuth
התחברות ישירה:
תרחיש: משתמש, דרך דפדפן, רוצה לגשת ל-Salesforce כדי לצפות בדפים שלה.
שיטת גישה: התחברות ישירה ל-Salesforce, או כניסה יחידה דרך ספק זהויות של צד שלישי, שמאפשרת גישה חלקה בלי אימות חוזר.
OAuth עם אפליקציות לנייד:
תרחיש: משתמש נעזר באפליקציה לנייד כדי לגשת לנתוני Salesforce דרך API, ולא בהצגה של דפי Salesforce המקוריים.
שיטת גישה: כאן משתמשים ב-OAuth, במיוחד כשהאינטראקציה היא דרך מכשירים ניידים, שיכולים לכלול טלפונים או טאבלטים שמשתמשים בטכנולוגיית דפדפן. הגישה הזו מאפשרת לאפליקציות לנייד לעבוד בצורה מאובטחת מול ממשקי ה-API של Salesforce.
OAuth עם שרתים של צד שלישי:
תרחיש: משתמש נעזר בדפדפן כדי לתקשר עם שרת של צד שלישי שצריך גישה לנתוני Salesforce בשם המשתמש. דוגמאות: תוספים לדוא”ל או מערכות אחרות שמשולבות עם Salesforce.
שיטת גישה: משתמשים ב-OAuth, עם פרוטוקול מסוים שנקרא “Web Server with PKCE” (Proof Key for Code Exchange), לגישה מאובטחת.
תהליכי OAuth לתרחישים שונים
Client Credentials Flow: מיועד לתהליך לקוח (כמו שרתים חיצוניים שמבצעים טעינות או ייצואים באצווה) שניגש ל-Salesforce עם חשבון משתמש אינטגרציה ייעודי.
תהליכי JWT, SAML Bearer Assertion ו-SAML Assertion: התהליכים האלה מיועדים לתרחישים שבהם תהליך לקוח צריך לפעול בשם משתמש מסוים, בלי שהמשתמש מעורב ישירות. כאן התהליך מתחזה למשתמש ייעודי, ושומר על הקשר האבטחה של הקבצים של אותו משתמש.
Device Flow: התהליך הזה מתחיל ממכשיר שדורש התערבות אנושית לאישור. לדוגמה, אפליקציה בטלוויזיה חכמה מבקשת מהמשתמש להזין קוד כדי לאשר את הגישה.
Asset Flow: שימושי למכשירי האינטרנט של הדברים (IoT) שצריכים להתחבר ל-Salesforce כדי לקרוא או לכתוב נתונים.
סיכום ומסקנות
בעצם, שיטת הגישה שלכם תלויה במידה רבה בתרחיש:
לגישה ישירה ל-Salesforce דרך דפדפן, השתמשו בהתחברות ישירה, או בכניסה יחידה אם יש לכם שירות זהויות.
לגישה עקיפה דרך מכשירים ניידים, שרתים של צד שלישי או תהליכים אוטומטיים, OAuth היא השיטה המועדפת. כאן צריך להחליט אם OAuth יפעל בשם משתמש אנושי או בשם חשבון משתמש אינטגרציה.
במאמרים הבאים נצלול עמוק יותר לכל תרחיש ומקרה שימוש, כדי לספק הבנה מקיפה.
הישארו איתנו
צאו לדרך עם Salesforce Identity בביטחון! לתובנות ולטיפים נוספים, הישארו איתנו כאן ב-www.SteveTechArc.com ובערוץ ה-YouTube @SteveTechArc (opens in a new tab). הירשמו והעמיקו את ההבנה שלכם ב-Salesforce Identity.
עוזרים לשנות את העולם בשיתוף מידע על אינטגרציה עם עמיתים ארכיטקטים ועם מי שנמצאים במסע שלהם לארכיטקטורה!
STA 3.9