一、了解 Security Center（01 Learn About Security Center）
本单元学习数据治理为何重要、跨多个租户追踪安全政策的挑战，以及 Security Center 如何让它变得可控。学完本单元你将能够：
- 解释数据治理的重要性；
- 列出跨多个租户追踪安全政策的主要挑战；
- 识别 Security Center 设计的主要用例；
- 识别何时使用父子租户结构。
好数据值得用心呵护（Great Data Deserves Great Care）
无论你在哪个行业，成功的核心都在于保护你的员工、客户和专有数据。想到"有价值的数据"，我们会想到专利、大客户名单、知识产权和个人身份信息等重磅资产。但还有一些不太明显、却同样关键的信息：比如有多少员工在（或没有）使用高安全认证协议登录，有多少用户拥有 Modify All Data 这样强大的权限。
如果这些洞察分散在多个组织或租户中会怎样？追踪设置和用户活动往往需要大量繁琐的点击。为安全审查和审计拉取正确的记录、收集数据来指导政策变更、汇报新安全政策上线后的成效——这些都是耗时的苦差。Salesforce 管理员通常都是"摇滚明星"，但即使是摇滚明星也有时间限制；当管理员身兼多职时，每一次额外点击都会挤占完成其它必需任务的时间。
大规模政策监督的大任务（The Big Job of Policy Oversight at Scale）
如果你从事安全工作，数据治理（data governance）就是你的立身之本。NIST 把数据治理定义为"确保数据资产在整个企业内被正式管理的一组流程"。实际中，它就是管理谁能访问信息、随时间追踪重要记录、并向组织内外监督人员汇报这些数据。
数据治理甚至会影响你使用的 Salesforce 许可证数量：比如一家靠拨款资助的非营利组织，某些拨款只能用于基础设施，并要求汇报资金使用方式——这些规则就是一种数据治理模型。当组织成长时，数据治理要求很快变得复杂；把多个 Salesforce 组织和多个监管要求混在一起时，在时间压力下点击各个 Setup 页面，足以让最厉害的管理员都冒汗。好在 Salesforce Security Center 能帮你减轻负担。
Security Center 让数据治理变得轻松（Data Governance a Breeze）
无论 Salesforce 部署规模多大，Security Center 给你一个满是高价值安全与治理指标的单一仪表板：认证方法、权限分配、已安装包、Health Check 分数与设置，以及安全相关的用户和配置指标。你可以获取高层指标汇总做基础汇报，或深入详细报表调查特定日期的变化和总数。
如上图所示，Summary 和 Category 页面截图。
这种信息透明性帮你高效完成各类数据治理任务：评估组织和租户对照政策要求的表现、通过识别可能违反政策的使用模式来限制风险、缩短安全审查和验收流程、理解整体安全态势、更快响应威胁和异常、更高效地为安全审计收集数据。
如上图所示，带配置指标卡片的 Configuration 指标仪表板。
每个类别中的每个指标都有自己的详情页，含图表和细粒度记录列表视图；易读的图表展示随时间趋势并高亮发生变化的日期。应用每天更新一次数据；若需更频繁监控，可一天内多次按需更新指标。
Security Center 的策略、告警与多租户视图（Policies, Alerts, Multi-Tenant）
在 Security Center 中设置自定义告警可简化安全态势监控：当某个你在意的安全设置发生变化、或指标超过你设定的阈值时，通过邮件或 Salesforce 应用内通知立即告诉你。例如，随着组织成长，监控有多少用户拥有 Modify All Data 权限越来越难——与其定期检查每个租户的权限分配，不如创建一个告警，在拥有该权限的总用户数超过阈值或增加时收到通知。你还可以用 Flow 把这些变化接入自己的业务流程。
用 Security Center 收集的数据，识别对你最重要的设置来定义安全相关策略，并部署到你选择的租户。例如，处理高度敏感客户数据的企业，可能想建立一个比 Salesforce 基线更严格的 Health Check Baseline——你可以把基线创建并上传到 Security Center，部署到相关租户，若新基线过严还可制作新版本。
如上图所示，Security Policy 弹窗展示可从 Security Center 部署的安全策略选项。
沙箱组织怎么办？不必逐个访问！挑一个组织作为父租户（parent tenant）来查看多个 Salesforce 组织的聚合数据；把数据汇聚到父租户的租户叫子租户（child tenant）。连接子租户后，你在父租户的 Security Center 应用里能看到所有已连接租户的数据。
如上图所示，指标详情页展示过去 30 天的趋势和每日变化图表。
想象你打开 Security Center 看到上图的详情视图——发现 12/15/2020 那天 Modify All Data 权限用户数激增。因为这是强大的管理权限，值得一查：从 Changes By Date 选那天，查看详情表，再点 All Data 看每个已连接租户里有多少用户拥有该权限——结果是对 System Administrator 配置文件的更改影响了半数租户的管理员，你便与相关管理员团队沟通，了解他们如何跨租户应用数据访问策略。
二、收集并审查安全数据（02 Gather and Review Security Data）
本单元跟随 Calvin 为 Zephyrus 设置 Security Center，并审查数据为进入欧洲市场做准备。学完本单元你将能够：
- 设置 Security Center 应用；
- 识别在哪里找到趋势数据；
- 解释认证和用户趋势如何影响安全策略。
财富垂青勇敢者（Fortune Favors the Bold）
Zephyrus Relocation Services（ZRS） 为跨国搬迁的企业员工提供搬迁管理，看到进入欧洲市场的机会，需要检查并调整数据治理政策以符合欧洲数据治理和隐私法。公司决定聘请安全专家团队处理审计、治理和政策工作。
新管理员 Calvin Green 在会上看过 Security Center 的演示，认为它是完成工作的完美工具。他主动提出设置 Security Center 应用并完成现有安全设置的初步审查。ZRS 有一个生产组织和多个沙箱组织（用于 DevOps 流程、可能含敏感生产数据）。Calvin 把生产组织设为父租户、沙箱组织设为子租户，这样所有安全数据聚合到一个视图，新安全团队可在他的初步审查基础上给出建议。
如上图所示，Calvin 向团队演示 Security Center。
设置你自己的 Security Center 父租户（Set Up a Parent Tenant）
Security Center 在 Developer Edition 组织中免费；其它版本需购买许可证。设置步骤：
- 确保在父租户和子租户都拥有 Manage Security Center 权限（可加到现有权限集，或新建权限集）；
- 登录你想查看聚合安全数据的租户——这是父租户；
- 从 App Launcher 选择 Security Center；
- 点 Connected Tenants 标签页；
- 点 Connect Tenant，在登录界面输入子租户凭据（该用户需有 Manage Security Center 权限），点 Log In，确认后点 Allow。
环境类型规则：生产环境的父租户可连接生产或沙箱子租户；沙箱父租户只能连接沙箱子租户。你可以连接任意多个子租户，也可随时断开。
数据治理变得简单（Data Governance Made Easy）
Security Center 运行后，Calvin 用它做明智决策：
- 关注权限（Keep Tabs on Permissions）：权限像家门钥匙一样值得追踪。ZRS 有近 1500 名员工，需勤勉管理谁能访问特定数据类别，遵循最小权限原则。在 Permissions 仪表板，Calvin 可看到多少人拥有 Modify All Data、View All Data 等敏感权限，以及 Author Apex 等专业权限；
- 评估认证模式：管理员要确保用户"名副其实"并能轻松安全登录。ZRS 要求所有员工和部分北美客户用 MFA。Calvin 看 Authentication by Type 仪表板卡片了解推广进展——发现几个租户还没有 MFA 使用，这是宝贵的反馈，安全专家可据此改进 MFA 采用率；
- 监控包和用户活动：跟踪哪些已安装包在用最新（最安全）版本很耗时，在 Security Center 一个地方看到所有包，就能快速确认没有会泄露数据的未批准应用。在 User and Profile 仪表板，Calvin 发现少数90 天不活跃用户——多是离职员工和前客户，ZRS 可以回收这些 Salesforce 许可证。
如上图所示，Permissions 仪表板展示过去 7 天的权限分配。
几天分析后，Calvin 写了一份初步报告，提出精简员工离职流程、收紧权限分配、改进 MFA 采用率的想法，交给安全团队。因为 Security Center 保留数据 6 个月，他还能带团队浏览这些数据或授权他们自行查看。
如上图所示，Authentication by Type 仪表板卡片展示近期登录的折线图。