Безпека Salesforce: досліджуємо варіанти автентифікації через профілі
У попередній статті ми заглибилися у сферу безпеки Salesforce, зосередившись на автентифікації й авторизації. Сьогодні ми звужуємо фокус, щоб дослідити автентифікацію користувачів, які входять у Salesforce через браузер, коли постачальником ідентичності є Salesforce.
Розуміння процесу автентифікації
[caption id="" align=“alignnone” width=“1800”]
Потік автентифікації, де постачальником ідентичності є Salesforce [/caption]
Для користувачів, що входять у Salesforce через браузер:
Крок 1: Salesforce автентифікує користувача.
Крок 2: Сесія передається вебсерверу екземпляра.
Крок 3: Авторизація визначає сторінки й ресурси, до яких користувач має доступ.
Сьогоднішнє дослідження обертається навколо першого кроку — автентифікації. Важливо зазначити, що коли Salesforce діє як постачальник ідентичності, облікові дані зберігаються в самому Salesforce.
Ключові елементи, як-от політики паролів, діапазони IP для входу, години входу, налаштування сесії, багатофакторна автентифікація і навіть автентифікація за сертифікатом на боці клієнта, задаються в профілі Salesforce.
Практичний розбір
Щоб ви отримали практичне розуміння, пройдімо створення й налаштування профілю Salesforce:
[caption id="" align=“alignnone” width=“986”]
Створення нового профілю [/caption]
Створення нового профілю: Увійшовши в Salesforce org, перейдіть до ‘Profiles’ і створіть новий профіль, скажімо, “Deluxe Director”, на основі стандартного профілю користувача.
Налаштування профілю: Після створення профілю:
[caption id="" align=“alignnone” width=“1607”]
Налаштування профілю [/caption]
Задайте тайм-аут сесії й рівні безпеки сесії.
Налаштуйте політики паролів: строк дії пароля, мінімальну довжину, складність, ліміт невдалих спроб тощо.
Призначення профілю: Для демонстрації припустімо, що є користувач “David Director”. Цьому користувачеві призначають профіль “Deluxe Director”.
[caption id="" align=“alignnone” width=“1620”]
Введення діапазону IP [/caption]
[caption id="" align=“alignnone” width=“1606”]
Пов’язаний список діапазонів IP у профілі [/caption]
Перевірка обмежень IP: Якщо задати діапазон IP у “Login IP Ranges” профілю, користувачам поза цим діапазоном буде заблоковано вхід. Зауважте, що для обмежень діапазону IP Salesforce наразі показує загальне повідомлення про помилку, яке може бути незрозумілим кінцевим користувачам.
[caption id="" align=“alignnone” width=“513”]
Помилка, що показується при обмеженні діапазону IP [/caption]
Обмеження годин входу: Як і з обмеженнями IP, можна визначити конкретні години, протягом яких користувачі можуть входити. Поза цими годинами користувач знову побачить загальне повідомлення про помилку.
[caption id="" align=“alignnone” width=“1617”]
Години входу (щодня задано діапазон в 1 годину) [/caption]
[caption id="" align=“alignnone” width=“484”]
Години входу: незрозуміле повідомлення для користувачів [/caption]
Увімкнення багатофакторної автентифікації (MFA): Додатковий рівень безпеки можна забезпечити, увімкнувши MFA для профілю. З увімкненою MFA, коли “David Director” спробує увійти, Salesforce попросить його підключити Salesforce Authenticator. Цей додатковий крок перевірки гарантує, що доступ до системи мають лише уповноважені особи.
[caption id="" align=“alignnone” width=“1299”]
Прапорець профілю для увімкнення MFA: Multi-Factor Authentication for User Interface Logins (праворуч унизу зображення) [/caption]
[caption id="" align=“alignnone” width=“457”]
Перший вхід після увімкнення MFA [/caption]
[caption id="" align=“alignnone” width=“531”]
Нове спливне вікно для підключення Salesforce Authenticator. Наступний крок — додати Authenticator. Потім ви введете тут фразу з 2 слів, яку отримали. [/caption]
[caption id="" align=“alignnone” width=“426”]
Очікування дій у Salesforce Authenticator [/caption]
[caption id="" align=“alignnone” width=“389”]
Підтвердження з позначкою, після чого користувач увійшов [/caption]
На завершення
Керувати безпекою користувачів у Salesforce відносно просто, але неймовірно важливо. Платформа надає різні інструменти й налаштування на рівні профілю, щоб підлаштувати процес автентифікації під потреби вашої організації.
Хоча обмеження IP і годин входу додають рівні безпеки, важливо пам’ятати про загальні повідомлення про помилки, які вони показують.
Багатофакторна автентифікація (MFA), навпаки, дає чіткий і прямий додатковий рівень захисту.
Сподіваюся, це занурення в автентифікацію на основі профілів у Salesforce було корисним! Чекайте детальніших обговорень складнощів сесій у наступних частинах.
Слідкуйте за новинами
Вирушайте в подорож Salesforce Identity впевнено! Більше думок і порад — тут, на www.SteveTechArc.com, і на YouTube-каналі @SteveTechArc (opens in a new tab). Підпишіться й поглиблюйте розуміння Salesforce Identity.
Допомагаю змінювати світ, ділячись знаннями про інтеграцію з колегами-архітекторами і тими, хто йде до архітектури!
Транскрипт оброблено за допомогою ШІ
STA 3.2