Salesforce 安全：通过简档探索认证选项
在之前的一篇文章中，我们深入探讨了 Salesforce 安全领域，重点关注认证和授权。今天，我们缩小范围，探讨以 Salesforce 作为身份提供商时，通过浏览器访问 Salesforce 的用户的认证。
理解认证过程
[caption id="" align=“alignnone” width=“1800”]
以 Salesforce 作为身份提供商的认证流程 [/caption]
对于通过浏览器访问 Salesforce 的用户：
**第 1 步：**Salesforce 对用户进行认证。
**第 2 步：**一个会话被传给实例 Web 服务器。
**第 3 步：**授权决定用户可以访问哪些页面和资源。
今天探讨的关键围绕第一步：认证。需要注意的是，当 Salesforce 充当身份提供商时，凭据存储在 Salesforce 自身之中。
密码策略、登录 IP 范围、登录时间、会话设置、多重身份验证，甚至基于客户端证书的认证等关键要素，都在 Salesforce 简档上设置。
实际演练
为了让你有一个直观的理解，我们来演练一下如何创建和配置一个 Salesforce 简档：
[caption id="" align=“alignnone” width=“986”]
创建一个新简档 [/caption]
创建一个新简档：登录一个 Salesforce org 后，进入“简档”，以标准用户简档为基础创建一个新简档，比如“Deluxe Director”。
配置简档设置：创建简档之后：
[caption id="" align=“alignnone” width=“1607”]
简档设置 [/caption]
设置会话超时和会话安全级别。
配置密码策略：密码过期、最短密码长度、密码复杂度、无效尝试次数限制，等等。
分配简档：为了演示，假设有一个名叫“David Director”的用户。然后给这个用户分配“Deluxe Director”简档。
[caption id="" align=“alignnone” width=“1620”]
输入 IP 范围 [/caption]
[caption id="" align=“alignnone” width=“1606”]
简档上的 IP 范围相关列表 [/caption]
测试 IP 限制：在简档的“登录 IP 范围”中设置一个 IP 范围后，这个范围之外的用户将被阻止登录。注意，对于 IP 范围限制，Salesforce 目前显示的是一条通用的错误消息，最终用户可能不太明白。
[caption id="" align=“alignnone” width=“513”]
IP 范围限制时显示的错误 [/caption]
登录时间限制：与 IP 限制类似，你可以定义用户可以登录的特定时间段。在这些时间之外，用户同样会看到一条通用的错误消息。
[caption id="" align=“alignnone” width=“1617”]
登录时间（每天设置 1 小时的时间段） [/caption]
[caption id="" align=“alignnone” width=“484”]
登录时间，给用户的消息不清楚 [/caption]
启用多重身份验证（MFA）：为简档启用 MFA，可以多加一层安全保护。开启 MFA 后，当“David Director”尝试登录时，Salesforce 会提示他连接 Salesforce Authenticator。这个额外的验证步骤确保只有获得授权的人才能访问系统。
[caption id="" align=“alignnone” width=“1299”]
启用 MFA 的简档复选框：用户界面登录的多重身份验证（图片右下方） [/caption]
[caption id="" align=“alignnone” width=“457”]
启用 MFA 后的首次登录 [/caption]
[caption id="" align=“alignnone” width=“531”]
启用 Salesforce Authenticator 的新弹窗。下一步是添加 Authenticator。然后你会在这里输入提供给你的两个单词组成的短语。 [/caption]
[caption id="" align=“alignnone” width=“426”]
等待在 Salesforce Authenticator 上操作 [/caption]
[caption id="" align=“alignnone” width=“389”]
确认后显示勾选标记，然后用户就登录了 [/caption]
结论
在 Salesforce 中管理用户安全相对简单，但极其重要。平台在简档层面提供了各种工具和设置，帮助你根据组织的需求定制认证过程。
虽然 IP 和登录时间限制增加了额外的安全层，但必须注意它们显示的是通用的错误消息。
而多重身份验证（MFA）则提供了一层清晰而直接的额外保护。
希望这次对 Salesforce 中基于简档的认证的深入探讨对你有所启发！敬请期待后续关于会话复杂性的更深入讨论。
敬请关注
满怀信心地开启你的 Salesforce 身份之旅吧！想获得更多见解和技巧，请继续关注 www.SteveTechArc.com 和 YouTube 频道 @SteveTechArc (opens in a new tab)。订阅，加深你对 Salesforce 身份的理解。
与架构师同行以及正走在架构师之路上的人分享集成知识，一起改变世界！
STA 3.2