Salesforce-beveiliging: een duik in de concepten van single sign-on (SSO)
We zetten onze leerzame reis voort met authenticatie en autorisatie vanuit de browser. Vandaag gaan we dieper en ontrafelen we het ingewikkelde web van single sign-on (SSO) en het concept van een externe identiteitsprovider die de authenticatie bij Salesforce regelt.
Salesforce als identiteitsprovider
Stap 1: De authenticatie gebeurt via de authenticatieserver van Salesforce
Stap 2: Er wordt een sessie aangemaakt, die je naar de webserver van de instantie leidt.
Stap 3: Dan wordt autorisatie verleend, wat toegang geeft tot pagina’s en resources.
Maar wat als een ander systeem de authenticatie regelt? Daar komt single sign-on via een derde partij in beeld.
[caption id="" align=“alignnone” width=“1780”]
Authenticatiestroom op hoog niveau voor een externe identiteitsprovider (IdP) [/caption]
SSO via een derde partij: een overzicht
In situaties waarin een derde partij de identiteitsprovider is:
Stap 1: De authenticatie wordt uitgevoerd door de identiteitsprovider (IdP) van de derde partij
Stap 2: Een SAML-assertiontoken wordt doorgegeven aan de authenticatieserver van Salesforce.
Stap 3: Na validatie geeft deze sessie je browser toegang tot de webserver van de Salesforce-instantie, en volgt de autorisatie.
De SSO-terminologie ontcijferen
[caption id="" align=“alignnone” width=“1800”]
Overzicht op hoog niveau van single sign-on met meerdere serviceproviders [/caption]
Serviceprovider (SP): Dit zijn platformen zoals Salesforce, Workday of elk beveiligd systeem dat onder één identiteitsprovider (IDP) samengebracht is.
Identiteitsprovider (IDP): Het centrale identiteitsknooppunt, meestal een systeem van industriële kwaliteit, regelt de authenticatie van gebruikers.
Identiteitsopslag: Een kluis, binnen Salesforce of een externe voorziening zoals Active Directory of LDAP, bewaart de inloggegevens. Belangrijk: wachtwoorden worden gehasht opgeslagen voor extra beveiliging.
Digitaal certificaat: Hiermee wordt een vertrouwensrelatie opgezet tussen de identiteitsprovider (IDP) en de serviceprovider (SP), voor een naadloze en veilige overdracht.
SAML-assertion: Deze tokens worden uitgewisseld tussen de IDP en de SP en bevestigen de identiteit van een gebruiker.
Voordelen van single sign-on
Eenvoudigere gebruikerservaring: Met één IDP voor meerdere serviceproviders hebben gebruikers maar één set inloggegevens nodig, wat wachtwoordmoeheid en het risico op zwakke wachtwoorden vermindert.
Centrale beveiliging: Een overkoepelende IDP maakt consistente beveiligingsnormen mogelijk, zodat gebruikers beschermd blijven, zelfs als één applicatie geen robuuste beveiligingsmechanismen heeft.
Efficiënt beheer: Als een medewerker vertrekt of er een vermoeden van een inbreuk is, kan de toegang snel centraal in de IDP ingetrokken worden, voor een directe beveiligingsreactie.
Consistentie: Eén mechanisme voor wachtwoordherstel en -reset zorgt voor eenheid.
Single sign-on in actie
Stel je een gebruiker voor die zijn dag begint door een serviceprovider zoals Salesforce te openen. Er wordt een SAML-request naar de IDP gestuurd. Na een geslaagde authenticatie gaat er een SAML-respons (of SAML-assertion) terug naar de serviceprovider. Deze lus bevestigt de identiteit van de gebruiker en biedt een naadloze navigatie-ervaring.
Afronding
SSO is een sleutel van moderne digitale beveiliging: het stroomlijnt de toegang van gebruikers tot meerdere platformen onder het waakzame oog van een IDP. Vandaag hebben we je kennis laten maken met de basisconcepten en voordelen van SSO.
Blijf erbij terwijl we in komende sessies dieper ingaan op meer onderdelen.
STA 3.3