Salesforce 登录时段深度解析：管理员配置与安全最佳实践

九月 06, 2025

背景与应用场景

作为一名 Salesforce 管理员，我的核心职责之一是保障组织数据的安全性和合规性。在 Salesforce 平台的众多安全工具中，Login Hours (登录时段) 是一个基础但极其强大的功能。它允许我们精确控制用户能够登录并访问 Salesforce 的具体时间窗口。这个看似简单的功能，在实际业务场景中却扮演着至关重要的角色。

想象以下几个场景：

1. 保护敏感数据

在金融服务、医疗保健或政府机构等高度管制的行业中，数据访问必须受到严格控制。通过设置 Login Hours，我们可以确保员工只能在标准工作时间内访问客户的财务信息或患者的健康记录。这极大地降低了在非工作时间（如下班后、深夜或周末）发生数据泄露或未授权访问的风险，是满足 HIPAA、GDPR 或 SOX 等合规性要求的重要一环。

2. 提升运营效率与规范性

对于一个拥有大型呼叫中心的企业，业务运营需要在特定的班次内进行。管理员可以为呼叫中心座席的 Profile (简档) 设置严格的登录时段，确保他们只在排定的工作时间内登录系统。这不仅有助于规范化运营流程，还能防止员工在非工作时间处理工单，从而避免潜在的加班费纠纷或工作流程混乱。

3. 防范外部威胁

网络安全威胁无处不在。如果某个员工的凭据被盗，攻击者可能会在深夜或节假日等监控薄弱的时间段尝试登录系统。通过限制登录时段，即使攻击者获取了有效的用户名和密码，他们在非工作时间的登录尝试也会被系统自动阻止，为我们发现和应对安全事件赢得了宝贵的时间。

4. 管理合同工或临时员工

企业经常会与合同工或临时顾问合作，他们的工作时间通常有明确的约定。使用 Login Hours，我们可以确保这些外部人员的系统访问权限严格限制在合同规定的工作日和工作时间内，从而防止项目范围之外的访问和操作。

综上所述，Login Hours 不仅仅是一个限制用户登录时间的工具，它更是企业安全策略、合规框架和运营管理中不可或缺的一环。善用此功能，可以为 Salesforce 环境构建第一道坚实的安全防线。

原理说明

Login Hours 的核心原理是基于用户的 Profile (简档) 进行访问控制。在 Salesforce 中，每个用户都必须关联一个简档，而简档定义了该用户在平台中的一系列权限，包括他们可以访问的对象、字段、应用程序以及可以执行的操作。登录时段的限制就是直接在简档级别进行配置的。

配置位置

要设置登录时段，管理员需要导航到 `Setup` > `Users` > `Profiles`，选择一个需要限制的简档，然后点击进入简档详情页面，在 `System` 部分找到 `Login Hours` 设置。

工作机制

1. 登录尝试拦截： 当一个用户尝试登录 Salesforce 时，系统会立即检查其关联简档的 Login Hours 配置。如果当前时间位于允许的登录时段之外，Salesforce 会拒绝该登录请求，并向用户显示一条错误消息，提示他们当前无法登录。

2. 对已登录会话的影响： 这是一个非常关键且常常被误解的知识点。如果一个用户在允许的时段内已经成功登录，当时间进入限制时段后，Salesforce 不会强制终止该用户当前的活动会话 (active session)。用户可以继续在当前页面上工作。但是，一旦他们尝试发起任何新的服务器请求（例如，导航到新页面、保存记录、运行报告等），系统将检测到当前时间已超出允许范围，并会将他们强制登出。这个机制旨在避免因突然断开连接而导致用户正在进行的工作数据丢失。

时间区域（Time Zone）

Login Hours 的设置是基于 Salesforce 组织的默认时间区域 (Organization's Default Time Zone)，而不是用户个人设置中的时间区域。这一点对于跨国或跨时区的公司尤为重要。例如，如果公司的默认时区是 `(GMT-08:00) Pacific Standard Time (America/Los_Angeles)`，而你为一组位于纽约的员工（`GMT-05:00`）设置了早上 9 点到下午 5 点的登录时段，那么他们实际的登录时间将是他们本地时间的下午 12 点到晚上 8 点。因此，对于分布在不同时区的团队，管理员必须创建不同的简档，并根据公司总部时区进行换算后设置相应的登录时段。

API 访问

默认情况下，Login Hours 规则同样适用于通过 API 进行的访问。这意味着如果一个集成应用或外部系统使用某个用户的凭据在限制时段之外尝试调用 Salesforce API，该调用将会失败。这对于保护数据至关重要，但同时也可能导致集成中断。因此，最佳实践是为集成应用创建专用的用户和简档，并为该简档移除所有登录时段限制，以确保集成的 24/7 可用性。

示例代码

作为管理员，虽然 Login Hours 的配置是纯粹的声明式操作（point-and-click），但我们可以通过编程方式来监控用户的登录行为，以验证登录时段策略是否有效，或发现异常登录模式。这通常通过 `SOQL` (Salesforce Object Query Language) 查询 `LoginHistory` 对象来完成。

以下是一个 SOQL 查询示例，用于查找某个特定用户在过去7天内，在非标准工作时间（例如，太平洋时间下午6点至上午8点之间，或周末）的成功登录记录。您可以在 Developer Console 的 Query Editor 或您喜欢的 API 工具中运行此查询。

查询过去7天内非工作时间的成功登录记录

/*
 * LoginHistory SObject:
 * This object stores a record of user login attempts.
 * Querying this object is essential for security audits and monitoring user activity.
 * Official Documentation: https://developer.salesforce.com/docs/atlas.en-us.object_reference.meta/object_reference/sforce_api_objects_loginhistory.htm
 */
SELECT
    Id,
    UserId,
    LoginTime,
    LoginType,
    SourceIp,
    Status,
    Application,
    Platform,
    LoginGeoId,
    LoginGeo.City,
    LoginGeo.Country
FROM
    LoginHistory
WHERE
    // 筛选特定用户的登录记录
    UserId = '005xxxxxxxxxxxxxxx'
    // 仅查询过去7天的记录，以避免查询超时
    AND LoginTime >= LAST_N_DAYS:7
    // 仅关注成功的登录
    AND Status = 'Success'
    // 筛选出非工作时间的登录记录
    // DAY_IN_WEEK() 返回 1 (周日) 到 7 (周六)
    // HOUR_IN_DAY() 返回 0 (午夜12点) 到 23 (晚上11点)，基于 UTC 时间
    // 注意：您需要将下面的小时数转换为您组织时区对应的 UTC 小时数
    // 例如，如果组织时区是 PST (UTC-8)，那么工作时间 8am-6pm 对应 UTC 的 16:00-02:00 (次日)
    // 这里为了简化，我们假设检查 UTC 时间的晚上和清晨
    AND (
        DAY_IN_WEEK(LoginTime) = 1 OR DAY_IN_WEEK(LoginTime) = 7 // 筛选周日或周六
        OR HOUR_IN_DAY(LoginTime) < 16 // 筛选 UTC 时间 16:00 (PST 8am) 之前
        OR HOUR_IN_DAY(LoginTime) > 2 // 筛选 UTC 时间 02:00 (PST 6pm) 之后
    )
ORDER BY
    LoginTime DESC

代码注释：

LoginHistory: 这是一个标准的 Salesforce 对象，用于记录所有用户的登录尝试信息。
UserId: 您需要替换为您想要监控的用户的 18 位 ID。
LoginTime >= LAST_N_DAYS:7: 这是一个日期字面量，用于高效地过滤数据，只拉取最近一周的记录，防止查询过大。
Status = 'Success': 我们只关心成功的登录，因为失败的登录已经被 Login Hours 策略阻止了。
DAY_IN_WEEK() 和 HOUR_IN_DAY(): 这两个是 SOQL 日期函数，非常适合用来过滤特定时间窗口。请务必注意，它们是基于 UTC 时间进行计算的，您需要根据您组织的默认时区进行相应的换算。

通过定期运行此类查询或将其构建为报告，管理员可以主动审计和监控登录行为，确保安全策略得到有效执行。

注意事项

在实施 Login Hours 策略时，管理员必须考虑以下几个关键点，以避免对业务造成意外影响。

1. 权限要求

只有拥有“Manage Profiles and Permission Sets”权限的管理员才能创建、编辑和分配简档，从而配置登录时段。请确保操作人员具备适当的权限。

2. 全局时间区域问题

再次强调，Login Hours 严格遵守组织的默认时区。对于一个全球化的公司，这意味着您不能用一个简档来满足所有地区员工的需求。必须为不同主要时区的员工群体创建不同的简档，并为每个简档设置经过换算后的正确登录时段。否则，可能会导致某些地区的员工在他们的正常工作时间无法登录。

3. 集成用户和服务账户

这是最常见的陷阱之一。如果您的 Salesforce 与外部系统（如 ERP、营销自动化平台）有集成，这些集成通常会使用一个专用的用户账户进行 API 调用。如果这个集成用户的简档被错误地设置了登录时段，那么在限制时段内所有的 API 调用都会失败，可能导致数据同步中断、业务流程停滞。最佳实践是：为所有集成/API 创建一个专门的简档，并确保该简档的登录时段设置为空（即全天 24 小时允许登录）。

4. 密码重置和用户锁定

如果用户在登录时段之外尝试重置密码，他们收到的密码重置链接可能会因为登录限制而无法使用。管理员在处理用户求助时需要意识到这一点。同样，用户在非登录时段的多次失败尝试不会计入登录锁定策略。

5. 简档的粒度

Login Hours 是一个简档级别的设置，无法细化到单个用户。如果同一简档下的两个用户需要不同的登录时段（例如，一个是白班，一个是夜班），您唯一的选择是为他们创建并分配两个不同的简档。在设计简档策略时，应充分考虑登录时段的需求。

总结与最佳实践

Login Hours 是 Salesforce 提供的一个简单而高效的安全控制层。作为管理员，正确地利用它可以显著增强组织的安全性与合规性。下面是一些总结性的最佳实践建议：

遵循最小权限原则 (Principle of Least Privilege): 不要为所有用户都开放 24/7 的访问权限。从最严格的登录时段（例如，仅工作日的工作时间）开始，并根据业务的实际需求为特定简档放宽限制。
隔离集成用户: 始终为 API 集成创建专用的简档和用户。从这个专用简档中移除所有登录时段限制，并赋予其完成任务所需的最小 API 权限，以确保业务连续性。
为全球团队制定多简档策略: 如果您的团队分布在多个时区，请为每个时区创建一个或多个基础简档，并精确设置与组织默认时区换算后的登录时段。
定期审计与监控: 不要设置完就忘记了。利用报告、仪表板或 SOQL 查询（如上文示例）来定期审计 `LoginHistory` 对象，检查是否存在异常的登录活动或模式，确保持续的安全监控。
清晰沟通: 在实施或更改 Login Hours 策略时，务必提前与受影响的用户进行沟通。向他们解释新的登录时间、原因以及如果遇到问题该如何联系支持，这样可以减少不必要的困惑和支持工单。

通过深思熟虑的规划和持续的管理，Login Hours 将成为您 Salesforce 安全工具箱中一把锋利的瑞士军刀，帮助您轻松应对各种访问控制挑战。

Salesforce中文网