Salesforce 安全：深入单点登录（SSO）的概念
我们继续这段关于基于浏览器的认证和授权的启发之旅。今天，我们将更深入地揭开单点登录（SSO）这张错综复杂的网，以及由外部身份提供商控制 Salesforce 认证的概念。
Salesforce 作为身份提供商
第 1 步：通过 Salesforce 认证服务器完成认证
第 2 步：生成一个会话，把你带到实例 Web 服务器。
第 3 步：然后授予授权，允许访问页面和资源。
可是，如果由另一个系统来管理认证呢？这就是第三方单点登录登场的地方。
[caption id="" align=“alignnone” width=“1780”]
外部身份提供商（IdP）的高层认证流程 [/caption]
第三方 SSO：鸟瞰
在由第三方充当身份提供商的情况下：
第 1 步：由第三方身份提供商（IdP）完成认证
第 2 步：一个 SAML 断言令牌被转发给 Salesforce 认证服务器。
第 3 步：验证通过后，这个会话让你的浏览器可以访问 Salesforce 实例 Web 服务器，随后进行授权。
解读 SSO 术语
[caption id="" align=“alignnone” width=“1800”]
带多个服务提供商的单点登录高层视图 [/caption]
**服务提供商（SP）：**指 Salesforce、Workday 之类的平台，或任何统一在一个身份提供商（IDP）之下的受保护系统。
**身份提供商（IDP）：**中心化的身份枢纽，通常是一个工业级的系统，负责管理用户的认证。
**身份存储：**一个保险库，可以在 Salesforce 内部，也可以是 Active Directory 或 LDAP 这样的外部实体，用来存放凭据。关键是，密码以哈希格式存储，以提高安全性。
**数字证书：**用来在身份提供商（IDP）和服务提供商（SP）之间建立信任关系，确保交接顺畅而安全。
**SAML 断言：**在 IDP 和 SP 之间交换，这些令牌用来确认用户的身份。
单点登录的好处
**简化的用户体验：**由一个 IDP 统管多个服务提供商，用户只需要一套凭据，减轻了密码疲劳，也降低了弱密码的风险。
**集中化的安全：**一个统领全局的 IDP 能保证一致的安全标准，即使某个应用缺乏稳健的安全机制，用户仍然受到保护。
**高效的管理：**如果有员工离职或怀疑有安全漏洞，可以从中心化的 IDP 迅速撤销访问权限，确保立即做出安全响应。
**一致性：**单一的密码找回和重置机制确保了统一。
单点登录的实际运作
想象一个用户一天的开始是访问 Salesforce 这样的服务提供商。一个 SAML 请求被发送给 IDP。认证成功后，一个 SAML 响应（也就是 SAML 断言）被发回给服务提供商。这个循环确认了用户的身份，提供了无缝的导航体验。
总结
SSO 是现代数字安全的关键之一，在 IDP 的警惕注视下，简化了用户跨多个平台的访问。今天，我们向你介绍了 SSO 的基础概念和好处。
请继续关注，我们会在接下来的分享中深入更多的组件。
STA 3.3