Samouczek: integracja logowania jednokrotnego (SSO) firmy Microsoft z usługą Salesforce

Z tego samouczka dowiesz się, jak zintegrować usługę Salesforce z identyfikatorem Entra firmy Microsoft. Po zintegrowaniu usługi Salesforce z usługą Microsoft Entra ID można wykonywać następujące czynności:

• Kontroluj w usłudze Microsoft Entra ID, kto ma dostęp do usługi Salesforce.
• Zezwalaj swoim użytkownikom na automatyczne logowanie do usługi Salesforce przy użyciu kont Microsoft Entra.
• Zarządzaj kontami w jednej centralnej lokalizacji.

Warunki wstępne

Do rozpoczęcia pracy potrzebne są następujące elementy:

• Subskrypcja firmy Microsoft Entra. Jeśli nie masz subskrypcji, możesz uzyskać bezpłatne konto.
• Subskrypcja aplikacji Salesforce z obsługą logowania jednokrotnego.

Opis scenariusza

W tym samouczku skonfigurujesz i przetestujesz logowanie jednokrotne firmy Microsoft w środowisku testowym.

• Usługa Salesforce obsługuje logowanie jednokrotne inicjowane przez dostawcę usług.

• Usługa Salesforce obsługuje automatyczną aprowizację użytkowników i anulowanie aprowizacji (zalecane).

• Usługa Salesforce obsługuje aprowizowanie użytkowników just in time .

• Aplikację Salesforce Mobile można teraz skonfigurować przy użyciu identyfikatora Entra firmy Microsoft na potrzeby włączania logowania jednokrotnego. W tym samouczku skonfigurujesz i przetestujesz logowanie jednokrotne firmy Microsoft w środowisku testowym.

Dodawanie usługi Salesforce z galerii

Aby skonfigurować integrację usługi Salesforce z usługą Microsoft Entra ID, musisz dodać usługę Salesforce z galerii do swojej listy zarządzanych aplikacji SaaS.

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako administrator aplikacji w chmurze.
2. Przejdź do sekcji Identity Applications Enterprise applications>New application (Aplikacje dla przedsiębiorstw w aplikacji> dla>przedsiębiorstw).
3. W sekcji Dodawanie z galerii wpisz Salesforce w polu wyszukiwania.
4. Wybierz pozycję Salesforce z panelu wyników, a następnie dodaj aplikację. Zaczekaj kilka sekund na dodanie aplikacji do dzierżawy.

Alternatywnie można również użyć Kreatora konfiguracji aplikacji dla przedsiębiorstw. W tym kreatorze możesz dodać aplikację do dzierżawy, dodać użytkowników/grupy do aplikacji, przypisać role, a także przejść przez konfigurację logowania jednokrotnego. Dowiedz się więcej o kreatorach platformy Microsoft 365.

Konfigurowanie i testowanie logowania jednokrotnego microsoft Entra dla usługi Salesforce

Skonfiguruj i przetestuj logowanie jednokrotne firmy Microsoft w usłudze Salesforce przy użyciu użytkownika testowego O nazwie B.Simon. Aby logowanie jednokrotne działało, należy ustanowić relację połączenia między użytkownikiem firmy Microsoft Entra i powiązanym użytkownikiem usługi Salesforce.

Aby skonfigurować i przetestować logowanie jednokrotne firmy Microsoft w usłudze Salesforce, wykonaj następujące kroki:

1. Skonfiguruj logowanie jednokrotne firmy Microsoft Entra — aby umożliwić użytkownikom korzystanie z tej funkcji.
   • Tworzenie użytkownika testowego aplikacji Microsoft Entra — aby przetestować logowanie jednokrotne firmy Microsoft Entra z aplikacją B.Simon.
   • Przypisz użytkownika testowego aplikacji Microsoft Entra — aby włączyć aplikację B.Simon do korzystania z logowania jednokrotnego firmy Microsoft Entra.
2. Konfigurowanie logowania jednokrotnego usługi Salesforce — aby skonfigurować ustawienia logowania jednokrotnego po stronie aplikacji.
   • Tworzenie użytkownika testowego usługi Salesforce — aby mieć w usłudze Salesforce odpowiednik użytkownika B.Simon połączony z reprezentacją użytkownika w usłudze Microsoft Entra.
3. Testowanie logowania jednokrotnego — aby sprawdzić, czy konfiguracja działa.

Konfigurowanie logowania jednokrotnego firmy Microsoft

Wykonaj następujące kroki, aby włączyć logowanie jednokrotne firmy Microsoft.

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako administrator aplikacji w chmurze.

2. Przejdź do pozycji Identity Applications Enterprise applications>>Salesforce Single sign-on (Logowanie>jednokrotne usługi Salesforce).>

3. Na stronie Wybieranie metody logowania jednokrotnego wybierz pozycję SAML.

4. Na stronie Konfigurowanie logowania jednokrotnego przy użyciu protokołu SAML kliknij ikonę edycji/pióra dla podstawowej konfiguracji protokołu SAML, aby edytować ustawienia.

   

5. W sekcji Podstawowa konfiguracja protokołu SAML wprowadź wartości następujących pól:

   a. W polu tekstowym Identyfikator wpisz wartość przy użyciu następującego wzorca:

   Konto przedsiębiorstwa: https://<subdomain>.my.salesforce.com

   Konto dewelopera: https://<subdomain>-dev-ed.my.salesforce.com

   b. W polu tekstowym Adres URL odpowiedzi wpisz wartość przy użyciu następującego wzorca:

   Konto przedsiębiorstwa: https://<subdomain>.my.salesforce.com

   Konto dewelopera: https://<subdomain>-dev-ed.my.salesforce.com

   c. W polu tekstowym Adres URL logowania wpisz wartość przy użyciu następującego wzorca:

   Konto przedsiębiorstwa: https://<subdomain>.my.salesforce.com

   Konto dewelopera: https://<subdomain>-dev-ed.my.salesforce.com

   Nuta

   Te wartości nie są prawdziwe. Zaktualizuj te wartości przy użyciu rzeczywistego identyfikatora, adresu URL odpowiedzi i adresu URL logowania. Skontaktuj się z zespołem pomocy technicznej klienta usługi Salesforce, aby uzyskać te wartości.

6. Na stronie Konfigurowanie logowania jednokrotnego przy użyciu protokołu SAML w sekcji Certyfikat podpisywania SAML znajdź plik XML metadanych federacji i wybierz pozycję Pobierz, aby pobrać certyfikat i zapisać go na komputerze.

   

7. W sekcji Konfigurowanie usługi Salesforce skopiuj odpowiednie adresy URL zgodnie z wymaganiami.

   

Tworzenie użytkownika testowego aplikacji Microsoft Entra

W tej sekcji utworzysz użytkownika testowego o nazwie B.Simon.

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako administrator użytkowników.
2. Przejdź do pozycji Użytkownicy tożsamości>>Wszyscy użytkownicy.
3. Wybierz pozycję Nowy użytkownik Utwórz nowego użytkownika> w górnej części ekranu.
4. We właściwościach użytkownika wykonaj następujące kroki:
   1. W polu Nazwa wyświetlana wprowadź wartość B.Simon.
   2. W polu Główna nazwa użytkownika wprowadź username@companydomain.extensionwartość . Na przykład B.Simon@contoso.com.
   3. Zaznacz pole wyboru Pokaż hasło, a następnie zapisz wartość wyświetlaną w polu Hasło.
   4. Wybierz pozycję Przejrzyj i utwórz.
5. Wybierz pozycję Utwórz.

Przypisywanie użytkownika testowego aplikacji Microsoft Entra

W tej sekcji włączysz użytkownikowi B.Simon możliwość korzystania z logowania jednokrotnego, udzielając dostępu do usługi Salesforce.

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako administrator aplikacji w chmurze.
2. Przejdź do pozycji Identity>Applications Dla aplikacji>>dla przedsiębiorstw Salesforce.
3. Na stronie przeglądu aplikacji wybierz pozycję Użytkownicy i grupy.
4. Wybierz pozycję Dodaj użytkownika/grupę, a następnie wybierz pozycję Użytkownicy i grupy w oknie dialogowym Dodawanie przypisania .
   1. W oknie dialogowym Użytkownicy i grupy wybierz pozycję B.Simon z listy Użytkownicy, a następnie kliknij przycisk Wybierz w dolnej części ekranu.
   2. Jeśli oczekujesz, że rola zostanie przypisana do użytkowników, możesz wybrać ją z listy rozwijanej Wybierz rolę . Jeśli dla tej aplikacji nie skonfigurowano żadnej roli, zostanie wybrana rola "Dostęp domyślny".
   3. W oknie dialogowym Dodawanie przypisania kliknij przycisk Przypisz.

Konfigurowanie logowania jednokrotnego usługi Salesforce

1. W innym oknie przeglądarki internetowej zaloguj się do firmowej witryny usługi Salesforce jako administrator

2. Kliknij ikonę Ustawienia w obszarze ustawienia w prawym górnym rogu strony.

   

3. Przewiń w dół do obszaru USTAWIENIA w okienku nawigacji, kliknij pozycję Tożsamość , aby rozwinąć powiązaną sekcję. Następnie kliknij pozycję Ustawienia logowania jednokrotnego.

   

4. Na stronie Ustawienia logowania jednokrotnego kliknij przycisk Edytuj.

   

   Nuta

   Jeśli nie możesz włączyć ustawień logowania jednokrotnego dla konta usługi Salesforce, może być konieczne skontaktowanie się z zespołem pomocy technicznej klienta usługi Salesforce.

5. Wybierz pozycję Włączony protokół SAML, a następnie kliknij przycisk Zapisz.

   

6. Aby skonfigurować ustawienia logowania jednokrotnego SAML, kliknij pozycję Nowy z pliku metadanych.

   

7. Kliknij pozycję Wybierz plik , aby przekazać pobrany plik XML metadanych, a następnie kliknij przycisk Utwórz.

   

8. Na stronie Ustawienia logowania jednokrotnego PROTOKOŁU SAML pola wypełniane automatycznie, jeśli chcesz użyć protokołu SAML JIT, wybierz włączone aprowizowanie użytkowników i wybierz pozycję SamL Identity Type as assertion (Typ tożsamości SAML), ponieważ asercja SAML zawiera identyfikator federacji z obiektu Użytkownika. W przeciwnym razie usuń zaznaczenie pola Obsługa aprowizacji użytkownika i wybierz pozycję Typ tożsamości SAML, ponieważ asercja zawiera nazwę użytkownika usługi Salesforce. Kliknij przycisk Zapisz.

   

   Nuta

   Jeśli skonfigurowano tryb JIT SAML, należy wykonać dodatkowy krok w sekcji Konfigurowanie logowania jednokrotnego firmy Microsoft. Aplikacja Salesforce oczekuje określonych asercji SAML, co wymaga posiadania określonych atrybutów w konfiguracji atrybutów tokenu JĘZYKA SAML. Poniższy zrzut ekranu przedstawia listę wymaganych atrybutów usługi Salesforce.

   

   Jeśli nadal masz problemy z aprowizowaniem użytkowników przy użyciu trybu JIT SAML, zobacz Wymagania dotyczące aprowizacji just in time i pola asercji SAML. Ogólnie rzecz biorąc, w przypadku niepowodzenia trybu JIT może zostać wyświetlony błąd podobny do następującego: We can't log you in because of an issue with single sign-on. Contact your Salesforce admin for help.

9. W okienku nawigacji po lewej stronie w usłudze Salesforce kliknij pozycję Ustawienia firmy, aby rozwinąć powiązaną sekcję, a następnie kliknij pozycję Moja domena.

   

10. Przewiń w dół do sekcji Konfiguracja uwierzytelniania i kliknij przycisk Edytuj .

    

11. W sekcji Konfiguracja uwierzytelniania sprawdź stronę logowania i usługę AzureSSO jako usługę uwierzytelniania konfiguracji logowania jednokrotnego SAML, a następnie kliknij przycisk Zapisz.

    

    Nuta

    Jeśli wybrano więcej niż jedną usługę uwierzytelniania, użytkownicy będą monitowani o wybranie usługi uwierzytelniania, za pomocą której chcą się zalogować podczas inicjowania logowania jednokrotnego w środowisku usługi Salesforce. Jeśli nie chcesz, aby miało to miejsce, pozostaw wszystkie inne usługi uwierzytelniania niezaznaczone.

Tworzenie użytkownika testowego usługi Salesforce

W tej sekcji w usłudze Salesforce jest tworzony użytkownik o nazwie B.Simon. Usługa Salesforce obsługuje aprowizację just in time, która jest domyślnie włączona. W tej sekcji nie ma żadnego elementu akcji. Jeśli użytkownik jeszcze nie istnieje w usłudze Salesforce, zostanie utworzony podczas próby uzyskania dostępu do usługi Salesforce. Usługa Salesforce obsługuje również automatyczną aprowizację użytkowników. Więcej szczegółów można znaleźć tutaj , aby dowiedzieć się, jak skonfigurować automatyczną aprowizację użytkowników.

Testowanie logowania jednokrotnego

W tej sekcji przetestujesz konfigurację logowania jednokrotnego firmy Microsoft z następującymi opcjami.

• Kliknij pozycję Przetestuj tę aplikację. Spowoduje to przekierowanie do adresu URL logowania usługi Salesforce, w którym można zainicjować przepływ logowania.

• Przejdź bezpośrednio do adresu URL logowania usługi Salesforce i zainicjuj przepływ logowania z tego miejsca.

• Możesz użyć usługi Microsoft Moje aplikacje. Po kliknięciu kafelka Salesforce w portalu Moje aplikacje powinno nastąpić automatyczne zalogowanie do usługi Salesforce, dla której skonfigurowano logowanie jednokrotne. Aby uzyskać więcej informacji na temat portalu Moje aplikacje, zobacz Wprowadzenie do portalu Moje aplikacje.

Testowanie logowania jednokrotnego dla usługi Salesforce (mobile)

1. Otwórz aplikację mobilną Salesforce. Na stronie logowania kliknij pozycję Użyj domeny niestandardowej.

   

2. W polu tekstowym Domena niestandardowa wprowadź zarejestrowaną nazwę domeny niestandardowej i kliknij przycisk Kontynuuj.

   

3. Wprowadź poświadczenia firmy Microsoft Entra, aby zalogować się do aplikacji Salesforce, a następnie kliknij przycisk Dalej.

   

4. Na stronie Zezwalaj na dostęp , jak pokazano poniżej, kliknij przycisk Zezwalaj , aby udzielić dostępu do aplikacji Salesforce.

   

5. Na koniec po pomyślnym zalogowaniu zostanie wyświetlona strona główna aplikacji.

   

Zapobieganie dostępowi aplikacji za pośrednictwem kont lokalnych

Po sprawdzeniu, czy logowanie jednokrotne działa i wdrażane w organizacji, wyłącz dostęp do aplikacji przy użyciu poświadczeń lokalnych. Dzięki temu zasady dostępu warunkowego, uwierzytelnianie wieloskładnikowe itp. będą chronione logowania do usługi Salesforce.

Następne kroki

Jeśli masz licencję Enterprise Mobility + Security E5 lub inną dla aplikacji Microsoft Defender dla Chmury, możesz zebrać dziennik inspekcji działań aplikacji w tym produkcie, który może być używany podczas badania alertów. W aplikacji Defender dla Chmury alerty mogą być wyzwalane, gdy użytkownik, administrator lub działania logowania nie są zgodne z zasadami. Łącząc aplikacje Microsoft Defender dla Chmury z usługą Salesforce, zdarzenia logowania usługi Salesforce są zbierane przez aplikacje Defender dla Chmury.

Ponadto można wymusić kontrolę sesji, która chroni eksfiltrację i infiltrację poufnych danych organizacji w czasie rzeczywistym. Kontrola sesji rozszerza dostęp warunkowy. Dowiedz się, jak wymusić kontrolę sesji za pomocą Microsoft Defender dla Chmury Apps.