Proteggere l'identità degli utenti

Obiettivi di apprendimento

Al completamento di questo modulo, sarai in grado di:

• Impostare l'autenticazione a più fattori per gli utenti.
  
• Utilizzare l'app Salesforce Authenticator per l'accesso con autenticazione a più fattori.
  
• Ottenere le informazioni di accesso relative agli utenti che accedono alla tua organizzazione.
  

Nota

Stai seguendo la formazione in italiano? Inizia la sfida in un Trailhead Playground in italiano e utilizza le traduzioni fornite tra parentesi per la navigazione. Per quanto riguarda i valori da inserire, copia e incolla solo quelli in lingua inglese, perché la convalida della sfida è basata sul fatto che i dati siano in inglese. Se non superi la sfida nella tua organizzazione italiana, ti consigliamo di (1) selezionare Stati Uniti per le impostazioni internazionali, (2) selezionare Inglese per la lingua seguendo le istruzioni riportate qui e, successivamente, (3) fare nuovamente clic sul pulsante "Controlla la sfida".

Visita il badge Trailhead nella tua lingua per informazioni dettagliate su come usufruire dell'esperienza Trailhead in altre lingue.

Proteggere l'accesso agli account con l'autenticazione a più fattori e Salesforce Authenticator

Da soli, i nomi utente e le password non offrono una protezione sufficiente contro le minacce informatiche come, ad esempio, gli attacchi di phishing. Un modo efficace per rafforzare la sicurezza del processo di accesso e proteggere i dati dell'organizzazione è richiedere agli utenti di fornire un'ulteriore prova della loro identità quando eseguono l'accesso. Gli esperti della sicurezza definiscono questa prova autenticazione a più fattori o MFA (Multi-factor Authentication). Salesforce ritiene la MFA così importante da richiederla a chiunque acceda ai suoi prodotti e servizi. Per informazioni sul requisito della MFA, consulta le domande frequenti sull'autenticazione a più fattori di Salesforce.

Per completare le attività di questa unità, hai bisogno di un dispositivo mobile con Android o iOS.

Che cos'è l'autenticazione a più fattori?

Sembra un'equazione matematica, vero? Sia che la matematica ti galvanizzi, sia che ti deprima, devi sapere che la MFA non ha niente a che fare con l'algebra che si studia a scuola. Ha a che fare solo con il fatto che puoi assicurarti che gli utenti siano effettivamente chi dicono di essere.

È possibile che tu abbia più dimestichezza con i termini "autenticazione a due fattori" o "2FA". Nessun problema. Dato che la 2FA è un sottoinsieme della MFA, in effetti stiamo parlando della stessa cosa.

Allora cosa significa esattamente "più fattori"? Il termine si riferisce ai vari tipi di prova che gli utenti forniscono quando accedono per dimostrare la propria identità.

• Un fattore è qualcosa che gli utenti conoscono. Per l'accesso a Salesforce, si tratta di una combinazione di nome utente e password.
  
• Altri fattori sono i metodi di verifica che l'utente ha in suo possesso, ad esempio un dispositivo mobile con un'app di autenticazione installata o una chiave di protezione fisica.
  

Forse non sapevi come si chiama, ma è probabile che tu abbia già utilizzato l'autenticazione a più fattori. Ogni volta che prendi del contante dal bancomat, usi qualcosa che hai (la carta bancaria) più qualcosa che sai (il tuo PIN). 

Richiedere un altro fattore oltre a un nome utente e una password aggiunge un ulteriore, importante livello di sicurezza per la tua organizzazione. Anche se la password di un utente viene rubata, è molto improbabile che un utente malintenzionato possa indovinare o impersonare un fattore di cui un utente è fisicamente in possesso.

Non male, vero? Vediamo come funziona.

Come funziona l'autenticazione a più fattori

La MFA aggiunge un ulteriore passaggio alla procedura di accesso a Salesforce.

1. Un utente inserisce il proprio nome utente e la propria password, come al solito.
   
2. Successivamente gli viene chiesto di utilizzare uno dei metodi di verifica supportati da Salesforce.
   

Puoi accettare uno o tutti questi metodi di verifica.

Quando viene richiesto agli utenti l'uso dell'autenticazione a più fattori?

Gli utenti devono fornire più fattori ogni volta che accedono. In base alle condizioni d'uso di Salesforce, tutti i clienti devono utilizzare la MFA per l'accesso all'interfaccia utente. In questo modo si garantisce che ogni organizzazione Salesforce sia protetta con adeguate misure di sicurezza fin dall'inizio. 

Per rafforzare ulteriormente la sicurezza, puoi richiedere la MFA in altre circostanze.

• Quando gli utenti accedono alle API Salesforce. Per informazioni sulla configurazione della MFA per l'accesso tramite API, consulta l'articolo della Guida Impostazione dei requisiti di accesso con autenticazione a più fattori per l'accesso tramite API.
  
• Quando gli utenti accedono a un'applicazione connessa, un cruscotto digitale o un rapporto. Questo processo è noto come autenticazione incrementale o High Assurance.
  
• Durante un flusso di accesso personalizzato o all'interno di un'app personalizzata, ad esempio, prima di leggere un accordo di licenza.
  

Opzioni disponibili per l'attivazione della MFA

Come abbiamo accennato in precedenza, Salesforce richiede che tutti utilizzino la MFA per accedere alla UI di un prodotto. Per aiutare gli utenti a rispettare questo requisito, la MFA è un passaggio predefinito della procedura di accesso per le organizzazioni Salesforce di produzione. In genere non è necessario svolgere operazioni particolari per attivarla.

Detto questo, gli amministratori delle nuove organizzazioni di produzione possono temporaneamente disattivare la MFA se hanno bisogno di tempo per mettere in grado gli utenti di registrarsi per la MFA e utilizzarla per accedere. È quindi utile sapere come riattivare la MFA una volta che tutti sono pronti. La MFA può essere facilmente attivata anche per altri tipi di organizzazioni, come le sandbox, le organizzazioni Developer e persino i Trailhead Playground.

Per attivare la MFA basta selezionare una casella di controllo in Setup (Imposta). Ti mostreremo come fare fra poco.

Verificare che il livello di sicurezza della sessione sia impostato per la MFA

Nella maggior parte delle organizzazioni di produzione, il livello di sicurezza associato al metodo di accesso basato sulla MFA è configurato correttamente. Tuttavia, per esserne sicuri, consigliamo di effettuare una ulteriore verifica.

1. In Setup (Imposta), inserisci Session Settings (Impostazioni di sessione) nella casella Quick Find (Ricerca veloce), quindi seleziona Session Settings (Impostazioni di sessione).
   
2. In Livelli di sicurezza sessione, assicurati che l'autenticazione a più fattori sia nella categoria High Assurance.
   

Ora puoi iniziare a utilizzare la MFA.

Attivare la MFA

Supponiamo che tu sia un amministratore Salesforce per Jedeye Technologies, una società che non si trova in una galassia molto, molto lontana. Quando l'organizzazione di produzione di Jedeye Technologies è stata inaugurata, la MFA è stata disattivata per dare agli utenti il tempo di prepararsi a utilizzarla per accedere. Ora il responsabile della sicurezza ti ha affidato una missione: è arrivato il momento di fare in modo che tutti i dipendenti forniscano altre informazioni oltre al nome utente e la password ogni volta che accedono all'organizzazione Salesforce dell'azienda.

Tra l'altro, Sia Thripio, una nuova dipendente, ha appena iniziato a lavorare in azienda. Per prima cosa crea un utente Salesforce per Sia, quindi abilita la MFA per l'organizzazione Salesforce di Jedeye Technologies.

Esercitazione pratica

Avvia subito il tuo Trailhead Playground per seguire e provare i passaggi illustrati in questo modulo. Per aprire il tuo Trailhead Playground, scorri verso il basso fino alla sfida pratica e fai clic su Avvia. Userai il playground anche per completare le sfide pratiche.

Come abbiamo detto, devi anche avere un dispositivo mobile con Android o iOS per completare alcune operazioni.

Passaggio 1: crea un utente

1. In Setup (Imposta), inserisci Users (Utenti) nella casella Quick Find (Ricerca veloce), quindi seleziona Users (Utenti).
   
2. Fai clic su Nuovo utente.
   
3. Per il nome e il cognome, inserisci rispettivamente Sia e Thripio.
   
4. Inserisci il tuo indirizzo email nel campo Email. Questa impostazione serve per ricevere le notifiche utente inviate a Sia.
   
5. Crea un nome utente per Sia e inseriscilo nel campo Nome utente. Il formato deve essere quello di un indirizzo email, ma non necessariamente un email aziendale funzionante. Assicurati che l'indirizzo email sia univoco nel Trailhead Playground. Userai questo nome utente per accedere come Sia più avanti, quindi è meglio che sia breve e facile da ricordare. Sei a corto di idee? Prova a usare l'iniziale del nome Sia, il cognome e la data corrente, in questo modo: SThripio.20122020@trailhead.com.
   
6. Modifica o accetta il valore del nickname.
   
7. In Licenza utente, seleziona Salesforce Platform.
   
8. In Profilo, seleziona Utente Platform standard. Visto che ci sei, deseleziona le opzioni che consentono ricevere avvisi di Salesforce CRM Content. Non è necessario intasare la casella Posta in arrivo con messaggi di Salesforce non necessari.
   
9. Assicurati che l'opzione Genera nuova password e notifica utente immediatamente visualizzata nella parte inferiore della pagina sia selezionata. Salesforce ti invierà email relative al nuovo utente, Sia, perché hai inserito il tuo indirizzo nel campo Email.
   
10. Fai clic su Salva. Salesforce ti invia un link per verificare l'utente e impostare la password di Sia. Nota: se ricevi un messaggio di errore che dice che il nome utente esiste già, crea un utente con un altro nome.
    
11. Accedi come Sia e reimposta la password.
    

Dopo aver impostato la password, è il momento di abilitare la MFA per gli utenti di Jedeye. 

Attivare la MFA per tutti gli utenti dell'organizzazione

La MFA può essere abilitata rapidamente per tutti gli utenti dell'organizzazione con un'unica casella di controllo.

1. In Setup (Imposta), inserisci Identity (Identità) nella casella Quick Find (Ricerca veloce), quindi seleziona Identity Verification (Verifica dell'identità).
   
2. Seleziona la casella di controllo Require multi-factor authentication (MFA) for all direct UI logins to your Salesforce org (Richiedi l'autenticazione a più fattori (MFA) per tutti gli accessi diretti interfaccia utente all'organizzazione Salesforce).
   

3. Fai clic su Save (Salva).
   

Sì, è tutto qui. Ora tutti gli utenti dell'organizzazione devono completare la MFA quando accedono. La prossima volta che effettueranno l'accesso, a tutti (inclusa la nuova dipendente, Sia) verrà richiesto di fornire un metodo di verifica come secondo fattore, oltre al loro nome utente e password Salesforce).

A questo punto, potresti chiederti: Cosa succede se alcuni account utente della mia organizzazione reale, ad esempio quelli degli strumenti per l'automazione dei test, sono esenti dal requisito della MFA? L'impostazione della MFA interessa anche loro?

È vero che il requisito della MFA di Salesforce non si applica ad alcuni tipi di utenti. Se nella tua organizzazione sono presenti utenti esenti, puoi applicare un'autorizzazione utente per escluderli dalla MFA. Per sapere quali tipi di utenti sono esenti e in che modo escluderli, vedi Escludere gli utenti esenti dalla MFA nella Guida di Salesforce.

Come fanno gli utenti a registrare Salesforce Authenticator per gli accessi MFA

Proprio come presentarsi a una festa senza invito, è una cattiva idea richiedere l'autenticazione a più fattori senza permettere agli utenti di avere a disposizione almeno un metodo di verifica. Probabilmente non ci saranno conseguenze drammatiche, ma potresti ricevere moltissime chiamate quando meno le vorresti ricevere, ad esempio mentre stai guardando un film d'azione. Per fortuna, Salesforce semplifica le cose se vuoi aiutare gli utenti. Basta che scarichino un'app di autenticazione sul proprio dispositivo mobile e la colleghino al proprio account Salesforce. 

Se gli utenti non scaricano subito un'app, non è un dramma. Verrà loro richiesto di registrare un metodo di verifica per la MFA quando accedono.

Sia Thripio, la nuova dipendente, vuole utilizzare l'app mobile Salesforce Authenticator per poter per velocizzare l'autenticazione grazie alla comoda funzionalità delle notifiche push. Vediamo come funziona il processo di registrazione e di accesso. Prendi il tuo dispositivo mobile Android o iOS e fingi che sia il telefono di Sia. Scaricherai l'app Salesforce Authenticator e la collegherai all'account Salesforce di Sia.

Fai attenzione perché alternerai l'uso dei due dispositivi nel prossimi passaggi. Quando userai il TELEFONO, utilizzerai l'app Salesforce Authenticator come Sia. Quando userai il COMPUTER, eseguirai l'accesso come Sia al tuo Trailhead Playground in un browser web.

1. TELEFONO: scarica e installa Salesforce Authenticator per iOS dall'App Store o Salesforce Authenticator per Android da Google Play.
   
2. TELEFONO: Tocca l'icona dell'app per aprire Salesforce Authenticator.
   
3. TELEFONO: nell'app, sfoglia il tour per scoprire come funziona Salesforce Authenticator.
   
4. COMPUTER: se è ancora attiva la connessione a Trailhead Playground come amministratore di sistema, disconnettiti.
   
5. COMPUTER: utilizza il nome utente e la password di Sia per accedere. 
   

6. COMPUTER: Salesforce richiede la connessione di Salesforce Authenticator all'account di Sia.
   
7. TELEFONO: in Salesforce Authenticator, tocca il pulsante Add an Account (Aggiungi un account). L'app visualizza una frase di due parole.
   
8. COMPUTER: inserisci la frase nel campo Two-Word Phrase (Frase di due parole). 
   

9. COMPUTER: fai clic su Connetti.
   
10. TELEFONO: Salesforce Authenticator mostra i dettagli dell'account di Sia: il suo nome utente e il nome del provider di servizi, in questo caso Salesforce.
    

11. TELEFONO: tocca Connetti.
    
12. COMPUTER: Sia ha registrato correttamente Salesforce Authenticator, ha effettuato l'accesso al proprio account Salesforce e può proseguire con il suo lavoro.
    

Ora, ogni volta che Sia accede al proprio account Salesforce, riceverà una notifica sul telefono. Dovrà aprire Salesforce Authenticator e controllare i dettagli dell'attività. Se va tutto bene, dovrà toccare Approva per completare la procedura di accesso. 

Cosa succede se qualcun altro tenta di accedere con il nome utente e la password di Sia? Hai indovinato: anche in questo caso Sia riceverà una notifica e potrà indicare a Salesforce Authenticator di rifiutare la richiesta di accesso. Meno male.

Vediamo più in dettaglio i dati di cui tiene traccia Salesforce Authenticator.

1. Il servizio a cui l'utente sta tentando di accedere. Oltre a Salesforce, puoi utilizzare Salesforce Authenticator con il gestore di password LastPass e altri servizi che richiedono un'autenticazione più efficace.
   
2. L'utente che sta tentando di accedere.
   
3. L'azione che Salesforce Authenticator sta verificando. Qui potrebbero apparire altre azioni, se hai impostato una sicurezza più rigida. Ad esempio, puoi richiedere l'autenticazione se qualcuno tenta di accedere a un record o a un cruscotto digitale. Questo processo è detto autenticazione incrementale.
   
4. Informazioni sul browser o sull'app da cui viene effettuato il tentativo di accesso, incluso il dispositivo utilizzato.
   
5. La posizione del telefono.
   

Eseguire il backup degli account connessi

Ora che il suo account è connesso a Salesforce Authenticator, Sia può abilitare i backup dell'account verificando il proprio indirizzo email. In questo modo, se cambia o smarrisce il suo dispositivo mobile, potrà ripristinare gli account connessi.

1. TELEFONO: in Salesforce Authenticator, tocca l'icona delle impostazioni nell'angolo in alto a sinistra.
   
2. TELEFONO: tocca il pulsante di attivazione/disattivazione Back Up Accounts (Esegui backup degli account).
   
3. TELEFONO: inserisci l'indirizzo email di Sia (il tuo) e tocca Send Code (Invia codice) per fare in modo che l'app ti invii un codice di verifica via email.
   
4. TELEFONO: controlla l'email di Sia (la tua) e inserisci il codice in Salesforce Authenticator.
   
5. TELEFONO: l'app chiede a Sia di impostare un codice di accesso che potrà utilizzare se avrà bisogno di ripristinare i suoi account connessi.
   

Verificare che Salesforce Authenticator possa inviare notifiche

Salesforce Authenticator semplifica la MFA utilizzando la magia delle notifiche push. Ma Sia deve accertarsi che l'app disponga dell'autorizzazione a inviare questo tipo di notifiche.

1. TELEFONO: in Salesforce Authenticator, tocca l'icona delle impostazioni per tornare alla pagina Settings (Impostazioni).
   
2. TELEFONO: accertati che la sezione Push Notifications (Notifiche push) sia impostata su Enabled (Abilitate). Se non lo è, tocca Change in settings (Modifica nelle impostazioni) per passare alle impostazioni del dispositivo mobile, dove puoi impostare le autorizzazioni di Salesforce Authenticator in modo che le notifiche siano consentite.
   

Automatizzare il processo di autenticazione

Supponi che Sia acceda regolarmente dalla stessa posizione, ad esempio l'ufficio, casa sua o un posto che le piace, come un localino con le luci soffuse. Toccare Approva sul telefono dopo un po' può diventare una seccatura. Se consente a Salesforce Authenticator di utilizzare i servizi di geolocalizzazione del suo telefono, Sia può dire all'app di confermare automaticamente la sua attività quando riconosce tutti i dettagli. In altre parole, se accede da un luogo specifico utilizzando lo stesso dispositivo e lo stesso browser o la stessa app, Sia non dovrà neanche tirare fuori il telefono. Salesforce Authenticator è in grado di gestire le sollecitazioni d'accesso della MFA automaticamente. 

Facciamo una prova.

1. COMPUTER: disconnettiti dall'account di Sia e poi accedi di nuovo come Sia.
   
2. TELEFONO: al prompt, seleziona Considera affidabile e automatizza questa richiesta, e poi tocca Approve (Approva).
   
3. Salesforce Authenticator salverà quei dettagli come richiesta affidabile.
   
4. COMPUTER: disconnettiti dall'account di Sia e accedi di nuovo. Fatto! Non ti viene richiesta l'approvazione. Salesforce Authenticator ha riconosciuto che tutti i dettagli corrispondono alla richiesta affidabile che hai salvato in precedenza e l'accesso è stato concesso automaticamente.
   

Ogni volta che Sia tenterà di accedere con un browser o un dispositivo diverso, oppure da una nuova posizione, potrà aggiungere i nuovi dettagli all'elenco delle richieste affidabili di Salesforce Authenticator. Sia può salvare tutte le richieste affidabili che vuole, anche quelle associate ad account e azioni diverse. Per visualizzare le richieste affidabili associate a un account, Sia può toccare l'icona a forma di freccia, che apre la pagina dei dettagli di quell'account.

Nella pagina dei dettagli di un account sono riportate le richieste affidabili e la cronologia delle attività di accesso. Attività verificate indica quante volte Salesforce Authenticator ha verificato l'accesso di Sia a Salesforce. Automazioni mostra quante volte Salesforce Authenticator ha consentito a Sia di accedere automaticamente con una richiesta affidabile.

Cosa succede se Sia non ritiene più affidabile una richiesta? Semplice. Scorre verso sinistra. Può cancellare tutte le richieste affidabili contemporaneamente selezionando e poi Remove All Trusted Requests (Rimuovi tutte le richieste affidabili).

Può succedere che una verifica automatica non funzioni, ad esempio se cade la connessione dati. Non è un problema. Sia deve solo digitare il codice TOTP visualizzato da Salesforce Authenticator.

Vuoi limitare le verifiche automatizzate degli utenti solo agli indirizzi IP affidabili, ad esempio la rete aziendale? O vuoi impedirle del tutto? Puoi farlo. Dopo aver eseguito l'accesso come amministratore, vai alle impostazioni di verifica dell'identità dell'organizzazione e modifica ciò che è consentito.

Per scoprire tutti i dettagli dell'automazione con Salesforce Authenticator, vedi Guida di Salesforce: Automazione dell'autenticazione a più fattori con Salesforce Authenticator e Ottimizzazione e risoluzione dei problemi di automazione in Salesforce Authenticator. 

Cosa succede se Sia perde il suo cellulare?

Bella domanda. Come sai, gli utenti precipitano o naufragano su pianeti deserti e perdono il telefono. Succede continuamente. Se Sia perde il telefono, ne compra uno nuovo o elimina per sbaglio Salesforce Authenticator, ha alcune possibilità. Può ripristinare i suoi account dal backup che ha creato prima oppure puoi disconnettere il suo account da Salesforce Authenticator e poi lei potrà registrare di nuovo l'app.

Se Sia ha abilitato il backup degli account nell'app Salesforce Authenticator, è a posto. Tutto quello che deve fare è reinstallare Salesforce Authenticator sul telefono nuovo. Quando apre l'app, vedrà l'opzione che consente di ripristinare gli account dal backup. Una volta inserito il passcode che ha utilizzato quando ha creato il backup degli account, gli account riappariranno sul suo telefono.

E se Sia non avesse creato un backup degli account? Ecco quello che puoi fare per aiutarla.

1. Accedi come amministratore.
   
2. In Setup (Imposta), inserisci Users (Utenti) nella casella Quick Find (Ricerca veloce), quindi seleziona Users (Utenti).
   
3. Fai clic sul nome di Sia.
   
4. Nella pagina dei dettagli utente di Sia, fai clic su Disconnetti accanto a Registrazione app: Salesforce Authenticator.
   

La prossima volta che Sia effettua l'accesso, se non ha un altro metodo di verifica connesso, le verrà chiesto di connettere di nuovo Salesforce Authenticator.

Se vuoi disinstallare l'app Salesforce Authenticator, accertati di disabilitare prima l'impostazione Require multi-factor authentication (MFA) for all direct UI logins to your Salesforce org (Richiedi l'autenticazione a più fattori (MFA) per tutti gli accessi diretti interfaccia utente all'organizzazione Salesforce) nella pagina Identity Verification (Verifica dell'identità) in Setup (Imposta), altrimenti non potrai accedere al Trailhead Playground nelle unità successive.

Monitorare chi accede all'organizzazione

Una parte importante del lavoro di un amministratore è sapere chi accede all'organizzazione. Ecco a cosa serve Cronologia verifica dell'identità.

1. Accedi come amministratore di sistema del Trailhead Playground.
   
2. In Setup (Imposta), inserisci Verification (Verifica) nella casella Quick Find (Ricerca veloce), quindi seleziona Identity Verification History (Cronologia verifica dell'identità).
   

Controlla la colonna Posizione. Per impostazione predefinita indica il paese dell'utente, ma puoi mostrare altri dettagli creando una visualizzazione personalizzata.

Congratulazioni, amministratore! Hai visto quanto è facile per gli utenti configurare la MFA e utilizzarla per accedere. Ti invitiamo a esplorare altre opzioni per l'implementazione della MFA, ad esempio l'abilitazione delle chiavi di protezione o gli autenticatori integrati come metodi di verifica alternativi. Entrambe queste opzioni sono un'ottima scelta se gli utenti non hanno un dispositivo mobile o se i cellulari non sono consentiti nella struttura. Nella prossima unità vedremo come aumentare il controllo sul processo di accesso.

Risorse

• Guida di Salesforce: Abilitazione della MFA per gli accessi diretti degli utenti
• Guida di Salesforce: Definizione del modo in cui gli utenti selezionano un metodo di verifica durante il processo di registrazione
• Guida di Salesforce: Salesforce Authenticator
• Guida di Salesforce: Requisiti per Salesforce Authenticator (versioni 2 e 3)
• Guida di Salesforce: Registrazione di Salesforce Authenticator come metodo di verifica dell'identità
• Guida di Salesforce: Registrazione di un'app di autenticazione di terze parti come metodo di verifica dell'identità
• Guida di Salesforce: Abilitazione delle chiavi di protezione U2F o WebAuthn per la verifica dell'identità
• Guida di Salesforce: Registrazione di una chiave di protezione come metodo di verifica dell'identità
• Guida di Salesforce: Abilitazione degli autenticatori integrati per la verifica dell'identità
• Guida di Salesforce: Registrazione di un autenticatore integrato per la verifica dell'identità
• Guida di Salesforce: Flussi di accesso personalizzati
• Guida di Salesforce: Monitoraggio della cronologia verifica dell'identità
• Guida di Salesforce: Backup degli account connessi nell'app mobile Salesforce Authenticator
• Guida di Salesforce: Domande frequenti sull'autenticazione a più fattori di Salesforce