Безопасность Salesforce: варианты аутентификации через профили
В одной из прошлых статей мы погрузились в безопасность Salesforce, сосредоточившись на аутентификации и авторизации. Сегодня мы сузим тему и рассмотрим аутентификацию пользователей, которые обращаются к Salesforce через браузеры, когда поставщиком удостоверений выступает Salesforce.
Как устроен процесс аутентификации
[caption id="" align=“alignnone” width=“1800”]
Поток аутентификации, когда Salesforce выступает поставщиком удостоверений [/caption]
Для пользователей, обращающихся к Salesforce через браузер:
Шаг 1: Salesforce аутентифицирует пользователя.
Шаг 2: Сеанс передается на веб-сервер экземпляра.
Шаг 3: Авторизация определяет, к каким страницам и ресурсам пользователь имеет доступ.
Главное в сегодняшнем разборе — шаг первый: аутентификация. Важно помнить, что когда Salesforce выступает поставщиком удостоверений, учетные данные хранятся в самом Salesforce.
Ключевые элементы — политики паролей, диапазоны IP-адресов для входа, часы входа, настройки сеанса, многофакторная аутентификация и даже аутентификация по клиентским сертификатам — задаются в профиле Salesforce.
Практический разбор
Чтобы вы разобрались на практике, пройдем через создание и настройку профиля Salesforce:
[caption id="" align=“alignnone” width=“986”]
Создание нового профиля [/caption]
Создание нового профиля: Войдя в организацию Salesforce, перейдите в раздел «Профили» и создайте новый профиль, например «Deluxe Director», на основе профиля Standard User.
Настройка параметров профиля: После создания профиля:
[caption id="" align=“alignnone” width=“1607”]
Параметры профиля [/caption]
Задайте время ожидания сеанса и уровни безопасности сеанса.
Настройте политики паролей: срок действия пароля, минимальную длину, сложность, лимит неудачных попыток и так далее.
Назначение профиля: Для демонстрации предположим, что есть пользователь «David Director». Этому пользователю назначается профиль «Deluxe Director».
[caption id="" align=“alignnone” width=“1620”]
Ввод диапазона IP-адресов [/caption]
[caption id="" align=“alignnone” width=“1606”]
Связанный список диапазонов IP-адресов в профиле [/caption]
Проверка ограничений по IP: Если в разделе профиля «Login IP Ranges» задать диапазон IP-адресов, пользователям вне этого диапазона вход будет заблокирован. Учтите, что сейчас Salesforce показывает при ограничении по IP общее сообщение об ошибке, которое может быть непонятно конечным пользователям.
[caption id="" align=“alignnone” width=“513”]
Ошибка, выводимая при ограничении по диапазону IP-адресов [/caption]
Ограничение часов входа: Как и с ограничениями по IP, можно задать конкретные часы, в которые пользователи могут входить. Вне этих часов пользователь снова увидит общее сообщение об ошибке.
[caption id="" align=“alignnone” width=“1617”]
Часы входа (диапазон в 1 час каждый день) [/caption]
[caption id="" align=“alignnone” width=“484”]
Часы входа: непонятное сообщение для пользователей [/caption]
Включение многофакторной аутентификации (MFA): Дополнительный уровень безопасности можно обеспечить, включив MFA для профиля. Когда MFA включена и «David Director» пытается войти, Salesforce предложит ему подключить Salesforce Authenticator. Этот дополнительный шаг проверки гарантирует, что доступ к системе получат только авторизованные люди.
[caption id="" align=“alignnone” width=“1299”]
Флажок в профиле для включения MFA: Multi-Factor Authentication for User Interface Logins (справа внизу на изображении) [/caption]
[caption id="" align=“alignnone” width=“457”]
Первый вход после включения MFA [/caption]
[caption id="" align=“alignnone” width=“531”]
Новое всплывающее окно для подключения Salesforce Authenticator. Следующий шаг — добавить Authenticator. Затем вы вводите здесь полученную фразу из двух слов. [/caption]
[caption id="" align=“alignnone” width=“426”]
Ожидание действий в Salesforce Authenticator [/caption]
[caption id="" align=“alignnone” width=“389”]
Подтверждение с галочкой, после чего пользователь входит в систему [/caption]
Заключение
Управлять безопасностью пользователей в Salesforce относительно просто, но невероятно важно. Платформа предоставляет на уровне профиля различные инструменты и настройки, позволяющие подстроить процесс аутентификации под нужды организации.
Ограничения по IP и часам входа добавляют уровни защиты, но важно помнить об общих сообщениях об ошибках, которые они выводят.
Многофакторная аутентификация (MFA), напротив, дает понятный и прямой дополнительный уровень защиты.
Надеюсь, этот разбор аутентификации на основе профилей в Salesforce был полезен! Следите за новыми выпусками, где мы подробнее поговорим о тонкостях сеансов.
Следите за новостями
Начните свой путь в Salesforce Identity уверенно! Больше идей и советов ищите здесь, на www.SteveTechArc.com, и на YouTube-канале @SteveTechArc (opens in a new tab). Подписывайтесь и углубляйте свое понимание Salesforce Identity.
Помогаем менять мир, делясь знаниями об интеграции с коллегами-архитекторами и теми, кто идет по пути к профессии архитектора!
Расшифровка сделана с помощью ИИ
STA 3.2