Salesforce 安全：深入單點登入（SSO）的概念
我們繼續這段關於基於瀏覽器的認證和授權的啟發之旅。今天，我們將更深入地揭開單點登入（SSO）這張錯綜複雜的網，以及由外部身分提供商控制 Salesforce 認證的概念。
Salesforce 作為身分提供商
第 1 步：通過 Salesforce 認證伺服器完成認證
第 2 步：生成一個工作階段，把你帶到執行個體 Web 伺服器。
第 3 步：然後授予授權，允許存取頁面和資源。
可是，如果由另一個系統來管理認證呢？這就是第三方單點登入登場的地方。
[caption id="" align=“alignnone” width=“1780”]
外部身分提供商（IdP）的高層認證流程 [/caption]
第三方 SSO：鳥瞰
在由第三方充當身分提供商的情況下：
第 1 步：由第三方身分提供商（IdP）完成認證
第 2 步：一個 SAML 斷言權杖被轉發給 Salesforce 認證伺服器。
第 3 步：驗證通過後，這個工作階段讓你的瀏覽器可以存取 Salesforce 執行個體 Web 伺服器，隨後進行授權。
解讀 SSO 術語
[caption id="" align=“alignnone” width=“1800”]
帶多個服務提供商的單點登入高層檢視 [/caption]
**服務提供商（SP）：**指 Salesforce、Workday 之類的平台，或任何統一在一個身分提供商（IDP）之下的受保護系統。
**身分提供商（IDP）：**中心化的身分樞紐，通常是一個工業級的系統，負責管理使用者的認證。
**身分儲存：**一個保險庫，可以在 Salesforce 內部，也可以是 Active Directory 或 LDAP 這樣的外部實體，用來存放憑據。關鍵是，密碼以雜湊格式儲存，以提高安全性。
**數位憑證：**用來在身分提供商（IDP）和服務提供商（SP）之間建立信任關係，確保交接順暢而安全。
**SAML 斷言：**在 IDP 和 SP 之間交換，這些權杖用來確認使用者的身分。
單點登入的好處
**簡化的使用者體驗：**由一個 IDP 統管多個服務提供商，使用者只需要一套憑據，減輕了密碼疲勞，也降低了弱密碼的風險。
**集中化的安全：**一個統領全域的 IDP 能保證一致的安全標準，即使某個應用缺乏穩健的安全機制，使用者仍然受到保護。
**高效的管理：**如果有員工離職或懷疑有安全漏洞，可以從中心化的 IDP 迅速撤銷存取權限，確保立即做出安全響應。
**一致性：**單一的密碼找回和重置機制確保了統一。
單點登入的實際運作
想像一個使用者一天的開始是存取 Salesforce 這樣的服務提供商。一個 SAML 請求被髮送給 IDP。認證成功後，一個 SAML 響應（也就是 SAML 斷言）被髮回給服務提供商。這個迴圈確認了使用者的身分，提供了無縫的導航體驗。
總結
SSO 是現代數字安全的關鍵之一，在 IDP 的警惕注視下，簡化了使用者跨多個平台的存取。今天，我們向你介紹了 SSO 的基礎概念和好處。
請繼續關注，我們會在接下來的分享中深入更多的元件。
STA 3.3