当 Salesforce 成为您销售、服务和客户运营的核心时，用户的登录方式就变当 Salesforce 成为企业销售、服务和客户运营的核心平台，用户的登录方式便尤为关键。

对众多企业而言，员工与合作伙伴每日需要访问数十款云应用。为每套系统分别配置用户名和密码，容易引发密码疲劳，带来安全风险，同时加重 IT 支持团队的工作负担。

部署单点登录（SSO），可为用户提供流畅的一键登录体验，同时提升安全性、降低 IT 运维成本。

本指南介绍 Salesforce 单点登录（SSO）最常见的实施场景、主要受益对象、核心优势，以及项目启动前需考量的各项要点。

本指南同时适用于全球版 Salesforce 组织，以及在中国市场运营的企业所使用的阿里云版 Salesforce（Salesforce on Alibaba Cloud）。

执行摘要：

1. Salesforce 单点登录（SSO）支持企业通过 SAML 2.0/OAuth 2.0 对接统一的身份提供商（IdP），用户只需使用一个安全的企业账号即可访问 Salesforce（包括阿里云上的 Salesforce），无需再为各系统分别记住密码。

2. 通过集中认证、在 IdP 侧实施安全策略并简化用户生命周期管理，SSO 可提升安全性与合规性，为员工和合作伙伴带来更流畅的体验，并降低 IT 管理成本。

3. 对于中大型受监管企业，以及需要将阿里云上的 Salesforce 纳入统一且合规的身份认证体系的在华运营企业而言，Salesforce SSO 尤为重要。

4. 实施成功与否，取决于是否选择合适的 IdP、合理配置 Salesforce 管理员权限、建立清晰的身份与账号开通机制，并采取分阶段上线的策略。

5. 团队还应提前防范身份信息不匹配、变更管理、对 IdP 的依赖等潜在风险，并落实安全最佳实践。此外，可与 IT Consultis 合作，在全球及中国市场环境中设计并维护稳健的 Salesforce SSO 架构。

什么是 Salesforce 单点登录（SSO）？

配置 Salesforce 单点登录后，用户可直接使用现有的企业邮箱或其他系统的公司账号访问 Salesforce。

用户无需为 Salesforce 单独创建和记忆密码，只需登录一次统一登录系统（通常称为身份提供商，即 IdP）。该系统会验证用户身份，并告知 Salesforce：”该用户身份可信，允许登录。”

Salesforce（用户想要访问的服务提供随后，Salesforce（即用户要访问的服务提供商，SP）会为该用户授予相应的账号权限。

简而言之：只需使用企业账号登录一次，即可直接打开 Salesforce（及其他已连接的应用），无需再次输入密码。

Salesforce SSO 如何运作？

Salesforce SSO 实施流程一般如下：

1. 用户使用日常企业账号登录公司的统一登录系统（身份提供商，IdP），通常还需完成多因素认证（MFA）。
2. 用户点击 Salesforce 应用（通过门户、应用启动器或书签）时，Salesforce 不会要求其单独输入密码，而是在后台与 IdP 完成验证。
3. IdP 会核查各项安全条件 —— 例如检查 MFA、设备安全状态（设备是否可信）、网络 / 地理位置等。
4. 如果所有验证均通过，IdP 会向 Salesforce 发送一条经数字签名的安全消息 —— 通常是 SAML 2.0 断言（assertion，一种标准的受保护登录凭据）或 OAuth 2.0 令牌（用于确认用户身份的安全访问令牌）。该消息包含用户的唯一标识符（如邮箱、用户名或员工编号），这些标识符会映射到 Salesforce 中的联邦 ID（Federation ID）或用户名（Username）字段。
5. Salesforce 据此将用户匹配到对应的 Salesforce 账号，并授予相应的访问权限。

对用户来说，只需点击 Salesforce 即可直接对用户而言，只需点击 Salesforce 即可直接进入系统，所有 IdP/SAML/OAuth 验证细节均在后台自动完成。

Salesforce SSO 的核心优势

1. 提升安全性，统一合规管理

对于金融服务、医疗保健、政府和上市公司等合规要求严格的行业，通过 Salesforce SSO 实现统一身份认证是一项关键的安全控制措施：

• 降低密码风险：用户不再需要为 Salesforce 单独维护一套密码，从而降低弱密码、密码复用以及凭据遭网络钓鱼窃取的风险。
• 集中控制：密码复杂度、MFA、锁定规则和会话策略均由 IdP 统一管理。
• 简化审计与合规：IdP 侧生成统一且权威的审计日志，使企业更容易证明自身符合 SOX（财务报告控制）、GDPR（欧洲数据保护）、HIPAA（医疗数据隐私）等合规

2. 提升员工、合作伙伴及经销商的体验

在中大型企业中，员工和外部合作伙伴已在使用统一身份系统访问电子邮件、VPN、内网等应用。将 SSO 扩展到 Salesforce 可实现：

• 一键访问：用户使用企业账号登录一次，即可打开 Salesforce（及其他应用），无需重复输入密码。
• 减少阻力：告别忘记 Salesforce 密码或记混多个登录账号的烦恼。
• 流畅的合作伙伴与经销商访问：可信的合作伙伴能安全、无缝地访问由 Salesforce 驱动的门户，并自动关联其现有的合同和合作伙伴层级。

3. 减轻 IT 支持负担、简化用户管理

配置好 Salesforce SSO 后，IT 团队将获得以下收益：

• 减少密码工单：大幅减少 “忘记密码” 及相关登录问题的支持工单。
• 简化生命周期管理：当用户在 IdP 中被停用或更新时，其 Salesforce 访问权限和角色也可在此统一管理。
• 统一的角色与策略：确保基于角色的访问控制和安全策略在 Salesforce 与其他企业系统之间保持一致。

4. 提升运营效率与可扩展性

实施 Salesforce 单点登录也能为企业的长期增长与数字化转型提供支持：

• 简化应用集成：建立 SSO 后，接入新的 Salesforce 组织或连接其他应用会变得更快捷、更可预期。
• 支持业务增长与并购（M&A）：收购新团队或公司时，可直接将其身份源接入现有 IdP，更流畅地将他们引入 Salesforce，而无需重新设计整套访问架构。

Salesforce SSO 适合哪些企业？

以下几类企业尤为适合部署 Salesforce SSO:

• 中大型企业（100 人以上）：面对数百名用户和多个系统，分散管理的 Salesforce 密码会带来高昂的成本（密码重置工单）、较高的风险（弱密码或重复密码）和繁重的运营负担（手动开通 / 停用账号）。通过 SSO 集中登录，可大幅降低这些成本并提升整体安全态势。
• 对安全与合规有严格要求的组织：受监管行业通常需要集中式的身份与访问管理、严格的身份验证控制（MFA、条件访问、IP 限制）以及完整的访问日志。Salesforce SSO 提供统一的管理与审计入口，助力企业落实并证明合规。

对于在华运营或向中国市场扩张的企业 —— 特别是正在使用或考虑采用阿里云上的 Salesforce满足数据驻留与合规要求的企业 ——SSO 可确保中国区用户享有与全球团队同样安全、无缝的登录体验。

在中国市场运营的受监管行业企业，还应考虑启用企业微信会话存档功能，以便更有效地管理内部沟通以及与销售线索、客户和合作伙伴的外部沟通。

配置 Salesforce SSO 的关键前提

在 Salesforce（服务提供商，SP）或身份提供商（在配置 Salesforce（服务提供商，SP）或身份提供商（IdP）之前，请确保以下条件均已就绪：

1. 官方支持的 IdP

企业需使用一个支持 SAML 2.0 和 / 或 OAuth 2.0 的 IdP，例如 Okta、Microsoft Azure AD（Entra ID）、Ping Identity、OneLogin 或 ADFS，或开源的身份与访问管理解决方案（如 Keycloak）。

同时，还需拥有该 IdP 的管理员权限，以便配置与 Salesforce 的连接（例如上传证书、更新元数据、管理 SSO 设置）。

2. Salesforce 管理员权限

企业需拥有系统管理员（System Administrator）或具备同等权限的配置文件（如 “修改所有数据” 和 “自定义应用程序”），以便在 Salesforce 中配置 SSO 设置。

具体包括：生成自签名证书和元数据文件、设置服务提供商（SP）URL、指定回调 URL，以及为 SSO 连接配置相应的加密和签名方法。

3. 清晰的身份与账号开通策略

• 用户标识符：决定使用哪个属性（电子邮件、用户名、员工编号等）在 IdP 与 Salesforce 之间匹配用户（例如，使用联邦 ID（Federation ID）或用户名（Username）。
• 账号开通方式（Provisioning）：选择预先开通用户（由管理员或自动化流程提前创建），或采用即时开通（Just-In-Time，JIT）—— 用户首次通过 SSO 登录时在 Salesforce 中自动创建。你也可以利用 JIT 自动更新用户信息。
• 备用策略：提前规划 IdP 不可用时管理员访问 Salesforce 的方式（例如，为少数核心管理员保留标准登录方式）。这也有助于落实后文提到的分阶段上线策略。

Salesforce SSO 实施入门

对于首次为 Salesforce 配置 SSO 的团队，在满足上述关键前提条件后，可采用一种简单、分阶段推进的策略：

1. 从安全与合规目标出发。明确企业需要 SSO 的核心原因：是提升安全性、简化访问、满足合规，还是兼而有之。
2. 确认并规范 IdP 配置。验证所选的 IdP 是否支持 SAML/OAuth、配置是否正确，并能与现有系统良好集成 —— 包括企业为中国市场部署的任何阿里云上的 Salesforce 组织。
3. 与身份和 HR 数据模型对齐。基于前文定义的身份与开通策略，确认如何识别、开通和注销用户，并明确由谁负责用户生命周期的各个环节。
4. 小范围试点。先在有限的用户群（例如某个部门）中进行试点，以验证策略、系统性能及用户体验。
5. 逐步推广至更多用户和应用。当 Salesforce SSO 运行稳定后，即可将同一套基于 IdP 的访问方式扩展到其他关键业务系统。

归根结底，核心建议非常简单：启用 SSO 并将其作为访问 Salesforce 的标准方式，同时为管理员保留一个受控的备用登录入口。

Salesforce SSO 的潜在挑战、局限性及应对策略

从技术层面来看，只要遵循最佳实践，配置 Salesforce SSO 其实并不复杂。但需留意以下几点：

• 身份信息不匹配：如果 SAML 断言中使用的标识符无法与 Salesforce 中的字段匹配，用户将无法登录。制定清晰的身份映射计划，可避免这一问题。
• 变更管理：引导用户从密码登录切换到 SSO，需要清晰的沟通和培训，让用户清楚发生了什么变化、何时生效。
• 过度依赖单一系统：如果 IdP 发生宕机，用户可能无法登录。正因如此，在 Salesforce 中保留受控的管理员备用登录入口至关重要。

还需注意一些局限性和兼容性问题：

• Salesforce 支持 SAML 2.0 和 OAuth 2.0 等现代 SSO 协议。
• 不支持这些协议的旧版或小众（niche）应用，可能需要额外的集成开发，或采用替代方案。
• 在规划企业级 SSO 蓝图时，务必验证整个应用生态系统的协议支持情况，以确保 Salesforce 能够无缝融入整体架构。

此外，仅完成初始配置还不够。即便协议和集成均已正确部署，要充分获得 Salesforce 单点登录带来的安全效益，依然需要完善的策略、会话控制和监控作为支撑 —— 这将在下一节展开讨论。

Salesforce SSO 的安全与合规要点

要让 Salesforce SSO 发挥最大的安全价值，建议遵循以下实践：

1. 在 IdP 侧实施严格的安全策略

• 如条件允许，使用条件访问策略（例如拦截高风险登录、仅允许在受信设备或网络环境下登录）。

2. 强化 Salesforce 会话设置

在 Salesforce 内部，将会话安全性配置为符合企业的安全标准：

• 会话超时：根据企业的风险承受能力，设置合理的会话空闲时限（如 15–30 分钟）。
• 登录 IP 范围：将敏感配置文件的访问权限限定在企业网络或 VPN 范围内。
• 高保障级别操作：针对特别敏感数据（如个人可识别信息 PII 或财务数据）的访问，强制要求重新认证或进行额外的安全检查。

3. 建立并保持完善的审计与监控

• 定期审查 IdP 的身份验证日志。
• 监控异常登录模式（如不可能行程、异常时段的登录、反复失败的尝试）。
• 将 Salesforce SSO 纳入定期的访问权限审查及合规报告。

全球版 Salesforce 与阿里云版 Salesforce 的 SSO 差异

从 SSO 的角度来看，全球版 Salesforce 与阿里云上的 Salesforce（Salesforce 中国）之间并无根本区别：

• 核心原理相同：IdP 验证用户身份，然后向 Salesforce 发送断言。
• 配置模式基本一致：设置 SAML 或 OAuth、映射标识符以及进行测试。

尽管具体环境中的 URL 或区域设置可能存在差异，但核心的 Salesforce SSO 实施方法保持不变。

需要全球版 Salesforce 与阿里云版 Salesforce 协同工作的场景

在许多企业环境中，企业运行的 Salesforce 组织往往不止一个，例如：

• 企业需满足中国数据驻留及监管要求，因此中国区用户在阿里云版 Salesforce 上操作，而全球团队继续使用全球版 Salesforce 实例。
• 企业希望在两个环境之间获得一致的单点登录体验，尽管它们托管在不同平台上。
• 企业正在将 Salesforce 与企业微信（WeCom）或其他中国本土工具进行集成，并希望 SSO 能无缝接入这一更广泛的生态系统。

在这些情况下，将全球版与阿里云版 Salesforce 一并纳入 SSO 架构设计，有助于确保跨区域的身份认证、访问控制及用户体验保持一致。

IT Consultis（ITC）是 Salesforce 认证合作伙伴，专注帮助在华运营及拓展中国市场的企业部署 Salesforce，包括全球版与阿里云版。
 
我们协助客户设计、实施并优化 Salesforce CRM，兼顾安全性、合规性与用户体验。我们也将 Salesforce SSO 纳入现代化、统一的身份策略体系。
 
从架构设计、集成到上线和持续优化，我们与 CRM、销售和 IT 团队合作，让 Salesforce 部署更顺畅、更安全。