Bezpieczeństwo Salesforce: opcje uwierzytelniania w profilach
W jednym z wcześniejszych artykułów zajęliśmy się bezpieczeństwem Salesforce, skupiając się na uwierzytelnianiu i autoryzacji. Dziś zawężamy zakres i przyglądamy się uwierzytelnianiu użytkowników, którzy wchodzą do Salesforce przez przeglądarkę, gdy dostawcą tożsamości jest Salesforce.
Jak działa proces uwierzytelniania
[caption id="" align=“alignnone” width=“1800”]
Przepływ uwierzytelniania, gdy dostawcą tożsamości jest Salesforce [/caption]
Dla użytkowników wchodzących do Salesforce przez przeglądarkę:
Krok 1: Salesforce uwierzytelnia użytkownika.
Krok 2: sesja jest przekazywana do serwera WWW instancji.
Krok 3: autoryzacja określa, do jakich stron i zasobów użytkownik ma dostęp.
Dzisiejsza eksploracja kręci się wokół kroku pierwszego: uwierzytelniania. Warto pamiętać, że gdy Salesforce działa jako dostawca tożsamości, dane logowania są przechowywane w samym Salesforce.
Kluczowe elementy, takie jak zasady haseł, zakresy adresów IP logowania, godziny logowania, ustawienia sesji, uwierzytelnianie wieloskładnikowe, a nawet uwierzytelnianie certyfikatem po stronie klienta, ustawia się w profilu Salesforce.
Przykład w praktyce
Żeby pokazać to w praktyce, przejdźmy przez tworzenie i konfigurację profilu Salesforce:
[caption id="" align=“alignnone” width=“986”]
Tworzenie nowego profilu [/caption]
Tworzenie nowego profilu: po zalogowaniu się do orgu Salesforce przejdź do „Profile” (Profiles) i utwórz nowy profil, na przykład „Deluxe Director”, oparty na profilu Standard User.
Konfiguracja ustawień profilu: po utworzeniu profilu:
[caption id="" align=“alignnone” width=“1607”]
Ustawienia profilu [/caption]
Ustaw limit czasu sesji i poziomy bezpieczeństwa sesji.
Skonfiguruj zasady haseł: wygaśnięcie hasła, minimalną długość, złożoność, limit nieudanych prób i tak dalej.
Przypisanie profilu: na potrzeby demonstracji załóżmy, że mamy użytkownika o nazwie „David Director”. Temu użytkownikowi przypisujemy profil „Deluxe Director”.
[caption id="" align=“alignnone” width=“1620”]
Wpis zakresu IP [/caption]
[caption id="" align=“alignnone” width=“1606”]
Lista powiązana zakresów IP w profilu [/caption]
Testowanie ograniczeń IP: gdy ustawisz zakres w sekcji profilu „Login IP Ranges”, użytkownicy spoza tego zakresu nie będą mogli się zalogować. Pamiętaj, że Salesforce wyświetla obecnie przy ograniczeniach zakresu IP ogólny komunikat o błędzie, który może być niejasny dla użytkowników końcowych.
[caption id="" align=“alignnone” width=“513”]
Błąd wyświetlany przy ograniczeniu zakresu IP [/caption]
Ograniczenie godzin logowania: podobnie jak przy ograniczeniach IP, możesz określić godziny, w których użytkownicy mogą się logować. Poza tymi godzinami użytkownik znów zobaczy ogólny komunikat o błędzie.
[caption id="" align=“alignnone” width=“1617”]
Godziny logowania (jednogodzinne okno każdego dnia) [/caption]
[caption id="" align=“alignnone” width=“484”]
Godziny logowania: niejasny komunikat dla użytkowników [/caption]
Włączenie uwierzytelniania wieloskładnikowego (MFA): dodatkową warstwę bezpieczeństwa daje włączenie MFA w profilu. Gdy MFA jest włączone, a „David Director” próbuje się zalogować, Salesforce prosi o podłączenie aplikacji Salesforce Authenticator. Ten dodatkowy krok weryfikacji sprawia, że do systemu mają dostęp tylko upoważnione osoby.
[caption id="" align=“alignnone” width=“1299”]
Pole wyboru w profilu włączające MFA: Multi-Factor Authentication for User Interface Logins (prawy dolny róg obrazu) [/caption]
[caption id="" align=“alignnone” width=“457”]
Pierwsze logowanie po włączeniu MFA [/caption]
[caption id="" align=“alignnone” width=“531”]
Nowe okno do włączenia Salesforce Authenticator. Następny krok to dodanie Authenticatora. Potem wpisujesz tutaj otrzymaną frazę z dwóch słów. [/caption]
[caption id="" align=“alignnone” width=“426”]
Oczekiwanie na działanie w Salesforce Authenticator [/caption]
[caption id="" align=“alignnone” width=“389”]
Potwierdzenie z zaznaczeniem, po którym użytkownik jest zalogowany [/caption]
Podsumowanie
Zarządzanie bezpieczeństwem użytkowników w Salesforce jest stosunkowo proste, ale niezwykle ważne. Platforma daje na poziomie profilu różne narzędzia i ustawienia, które pomagają dopasować proces uwierzytelniania do potrzeb organizacji.
Ograniczenia IP i godzin logowania dodają kolejne warstwy bezpieczeństwa, ale trzeba pamiętać o ogólnych komunikatach o błędach, które wyświetlają.
Uwierzytelnianie wieloskładnikowe (MFA) daje natomiast jasną i bezpośrednią dodatkową warstwę ochrony.
Mam nadzieję, że to zanurzenie w uwierzytelnianie oparte na profilach w Salesforce było pouczające! W kolejnych odcinkach czekają nas bardziej złożone rozważania o zawiłościach sesji.
Bądźmy w kontakcie
Wyrusz w swoją podróż po tożsamości w Salesforce z pewnością siebie! Więcej spostrzeżeń i wskazówek znajdziesz tutaj, na www.SteveTechArc.com, i na kanale YouTube @SteveTechArc (opens in a new tab). Zasubskrybuj i pogłębiaj swoje zrozumienie tożsamości w Salesforce.
Pomagam zmieniać świat, dzieląc się wiedzą o integracji z innymi architektami i z tymi, którzy są na drodze do architektury!
STA 3.2