Безопасность Salesforce: погружение в понятия единого входа (SSO)
Мы продолжаем наше увлекательное путешествие по аутентификации и авторизации в браузере. Сегодня погрузимся глубже и распутаем сложную сеть единого входа (SSO) и идею о том, что аутентификацией в Salesforce управляет внешний поставщик удостоверений.
Salesforce как поставщик удостоверений
Шаг 1: Аутентификация выполняется через сервер аутентификации Salesforce
Шаг 2: Создается сеанс, который ведет вас на веб-сервер экземпляра.
Шаг 3: Затем предоставляется авторизация, открывающая доступ к страницам и ресурсам.
А что, если аутентификацией управляет другая система? Здесь в игру вступает единый вход через третью сторону.
[caption id="" align=“alignnone” width=“1780”]
Общая схема потока аутентификации для внешнего поставщика удостоверений (IdP) [/caption]
Сторонний SSO: взгляд с высоты птичьего полета
Когда поставщиком удостоверений выступает третья сторона:
Шаг 1: Аутентификацию выполняет сторонний поставщик удостоверений (IdP)
Шаг 2: Маркер утверждения SAML передается на сервер аутентификации Salesforce.
Шаг 3: После проверки этот сеанс позволяет вашему браузеру обратиться к веб-серверу экземпляра Salesforce, а затем выполняется авторизация.
Расшифровка терминов SSO
[caption id="" align=“alignnone” width=“1800”]
Общая схема единого входа с несколькими поставщиками услуг [/caption]
Поставщик услуг (SP): Платформы, такие как Salesforce, Workday или любая защищенная система, объединенные под одним поставщиком удостоверений (IDP).
Поставщик удостоверений (IDP): Центральный узел удостоверений, обычно система промышленного уровня, которая управляет аутентификацией пользователей.
Хранилище удостоверений (identity store): Хранилище — в Salesforce или во внешней системе, например Active Directory или LDAP, — где содержатся учетные данные. Что особенно важно, пароли хранятся в хешированном виде для повышения безопасности.
Цифровой сертификат: Используется для установления доверительных отношений между поставщиком удостоверений (IDP) и поставщиком услуг (SP), обеспечивая беспрепятственную и безопасную передачу.
Утверждение SAML: Эти маркеры, которыми обмениваются IDP и SP, подтверждают личность пользователя.
Преимущества единого входа
Простота для пользователя: Когда один IDP обслуживает несколько поставщиков услуг, пользователям нужен лишь один набор учетных данных, что снижает усталость от паролей и риск слабых паролей.
Централизованная безопасность: Общий IDP позволяет применять единые стандарты безопасности, так что пользователи защищены, даже если в каком-то приложении нет надежных механизмов безопасности.
Эффективное управление: Если сотрудник уходит или есть подозрение на взлом, доступ можно быстро отозвать в центральном IDP и немедленно отреагировать.
Единообразие: Единый механизм восстановления и сброса пароля обеспечивает единообразие.
Единый вход в действии
Представьте пользователя, который начинает свой день с обращения к поставщику услуг, например Salesforce. В IDP отправляется запрос SAML. После успешной аутентификации поставщику услуг возвращается ответ SAML (или утверждение SAML). Этот цикл подтверждает личность пользователя и делает работу беспрепятственной.
Подведем итоги
SSO — ключевой элемент современной цифровой безопасности: он упрощает доступ пользователей к нескольким платформам под бдительным присмотром IDP. Сегодня мы познакомили вас с базовыми понятиями и преимуществами SSO.
Оставайтесь с нами — в следующих выпусках мы глубже разберем другие компоненты.
Расшифровка сделана с помощью ИИ
STA 3.3