Salesforce 安全：通過設定檔探索認證選項
在之前的一篇文章中，我們深入探討了 Salesforce 安全領域，重點關注認證和授權。今天，我們縮小範圍，探討以 Salesforce 作為身分提供商時，通過瀏覽器存取 Salesforce 的使用者的認證。
理解認證過程
[caption id="" align=“alignnone” width=“1800”]
以 Salesforce 作為身分提供商的認證流程 [/caption]
對於通過瀏覽器存取 Salesforce 的使用者：
**第 1 步：**Salesforce 對使用者進行認證。
**第 2 步：**一個工作階段被傳給執行個體 Web 伺服器。
**第 3 步：**授權決定使用者可以存取哪些頁面和資源。
今天探討的關鍵圍繞第一步：認證。需要注意的是，當 Salesforce 充當身分提供商時，憑據儲存在 Salesforce 自身之中。
密碼策略、登入 IP 範圍、登入時間、工作階段設定、多重身分驗證，甚至基於用戶端憑證的認證等關鍵要素，都在 Salesforce 設定檔上設定。
實際演練
為了讓你有一個直觀的理解，我們來演練一下如何建立和配置一個 Salesforce 設定檔：
[caption id="" align=“alignnone” width=“986”]
建立一個新設定檔 [/caption]
建立一個新設定檔：登入一個 Salesforce org 後，進入「設定檔」，以標準使用者設定檔為基礎建立一個新設定檔，比如「Deluxe Director」。
配置設定檔設定：建立設定檔之後：
[caption id="" align=“alignnone” width=“1607”]
設定檔設定 [/caption]
設定工作階段超時和工作階段安全級別。
配置密碼策略：密碼過期、最短密碼長度、密碼複雜度、無效嘗試次數限制，等等。
分配設定檔：為了演示，假設有一個名叫「David Director」的使用者。然後給這個使用者分配「Deluxe Director」設定檔。
[caption id="" align=“alignnone” width=“1620”]
輸入 IP 範圍 [/caption]
[caption id="" align=“alignnone” width=“1606”]
設定檔上的 IP 範圍相關清單 [/caption]
測試 IP 限制：在設定檔的「登入 IP 範圍」中設定一個 IP 範圍後，這個範圍之外的使用者將被阻止登入。注意，對於 IP 範圍限制，Salesforce 目前顯示的是一條通用的錯誤訊息，終端使用者可能不太明白。
[caption id="" align=“alignnone” width=“513”]
IP 範圍限制時顯示的錯誤 [/caption]
登入時間限制：與 IP 限制類似，你可以定義使用者可以登入的特定時間段。在這些時間之外，使用者同樣會看到一條通用的錯誤訊息。
[caption id="" align=“alignnone” width=“1617”]
登入時間（每天設定 1 小時的時間段） [/caption]
[caption id="" align=“alignnone” width=“484”]
登入時間，給使用者的訊息不清楚 [/caption]
啟用多重身分驗證（MFA）：為設定檔啟用 MFA，可以多加一層安全保護。開啟 MFA 後，當「David Director」嘗試登入時，Salesforce 會提示他連線 Salesforce Authenticator。這個額外的驗證步驟確保只有獲得授權的人才能存取系統。
[caption id="" align=“alignnone” width=“1299”]
啟用 MFA 的設定檔核取方塊：使用者介面登入的多重身分驗證（圖片右下方） [/caption]
[caption id="" align=“alignnone” width=“457”]
啟用 MFA 後的首次登入 [/caption]
[caption id="" align=“alignnone” width=“531”]
啟用 Salesforce Authenticator 的新彈窗。下一步是新增 Authenticator。然後你會在這裡輸入提供給你的兩個單片語成的短語。 [/caption]
[caption id="" align=“alignnone” width=“426”]
等待在 Salesforce Authenticator 上操作 [/caption]
[caption id="" align=“alignnone” width=“389”]
確認後顯示勾選標記，然後使用者就登入了 [/caption]
結論
在 Salesforce 中管理使用者安全相對簡單，但極其重要。平台在設定檔層面提供了各種工具和設定，幫助你根據組織的需求定製認證過程。
雖然 IP 和登入時間限制增加了額外的安全層，但必須注意它們顯示的是通用的錯誤訊息。
而多重身分驗證（MFA）則提供了一層清晰而直接的額外保護。
希望這次對 Salesforce 中基於設定檔的認證的深入探討對你有所啟發！敬請期待後續關於工作階段複雜性的更深入討論。
敬請關注
滿懷信心地開啟你的 Salesforce 身分之旅吧！想獲得更多見解和技巧，請繼續關注 www.SteveTechArc.com 和 YouTube 頻道 @SteveTechArc (opens in a new tab)。訂閱，加深你對 Salesforce 身分的理解。
與架構師同行以及正走在架構師之路上的人分享整合知識，一起改變世界！
STA 3.2