聯合身分管理在國民及學前教育中的應用

什麼是身分聯合機制？

在回答這個問題之前，讓我們先來定義一下何謂「身分」。身分由可驗證的屬性構成，這些屬性可用於在網路上唯一識別一個人的身分。常見的例子有：

• 個人識別資訊（姓名、生日、ID 證號）
• 生物特徵資料（指紋、臉部掃描、語音樣本）
• 數位憑據（密碼、PIN 碼、憑證）
• 行為分析數據（IP 位址、地理位置、時段）

身分存在於創建和驗證它的網路或系統中。考慮到這一點，聯合機制可讓一個組織的身分，安全存取另一個組織的資源，而無在不同系統或網路上建立多個身分。

國民及學前教育的身分識別問題

教育領域在攻擊者眼中正是唾手可得的高價值目標。這是源於多種因素的綜合作用：

• 豐富的緩存資料：其中定期儲存著敏感資料、機密資料及使用者隱私相關資訊。
• 資源有限：傳統技術、工作繁重的 IT 團隊和有限預算。
• 孤兒帳戶的數量：超出其生命週期的活躍帳戶會成為攻擊者的入侵點。
• 易受社交工程攻擊影響：網路釣魚是首要的威脅向量，為各類攻擊大開方便之門。

國民及學前教育挑戰

教育領域在最易遭網路攻擊者鎖定的 10 大行業中名列第七。然而，它在「資料外洩事件數與總事件數之比率」最高的行業中排名第二（79%），僅次於醫療保健業（90%）。根據 2025 年 Verizon 資料外洩調查報告，教育領域經歷了 1,075 起事件，其中 851 起事件導致已確認的資料洩露。

下面，我們將深入探討身分聯合機制在國民及學前教育環境中所解決的挑戰。

沒預算又要擴展

國民及學前教育中對計算裝置的依賴源自於各種倡議，例如提升各種不同特殊需求學生的教育公平性、高風險考試改採電腦化考試（CBT），以及透過「一人一機」計畫來弭平數位落差。裝置採用和部署範圍擴大，這不僅限於學生，亦擴及教育工作者和教職員；從成績簿到學生出勤和記錄保存等各項任務均已改採數位和雲端交付。

隨著每個新裝置、憑證和軟體應用程式的增加，IT 團隊的管理負擔也隨之加重，難以有效擴充規模，以支援學區日漸增長的需求。

存取碎片化

為了滿足學生所在處的需求，科技必須無縫跨越邊界。學習者需能在校外輕鬆存取學習工具，如同在校內輕鬆存取資源那樣。

遠距學習面臨的一大障礙，在於各裝置提供的使用者體驗並不一致。當利害關係人需要記住多組密碼時（例如一組用來登入他們的裝置、一組用於電子郵件、另一組存取學習入口網站，以及其他六組用於各種網路 App），這不僅會導致密碼雜亂，還會產生大量與密碼相關的客服支援案件。

而這都還沒開始解決因使用非標準化密碼所帶來的資料安全性風險。

第三方混亂

延續上一節，教育軟體市場含括了許多產品類別的選擇，從反覆練習類到特定用途的軟體，如 AutoCAD，再到全方位的學習管理系統（LMS）。調查發現，在 2022 年，國民及學前教育學校使用的不同 App 數量，其中位數為 72。除了我們稍後會討論的合規風險外，對利害關係人體驗和資料安全性的影響也不容忽視。

由於每個 App 都有各自的憑證，加上僅僅為了登入裝置就需用到的帳戶，教育工作者和學生都被加諸了不必要的負擔——迫使他們從教學與學習中分心，因管理數十個帳戶而面臨延誤，並需等待支援。

合規性複雜

由於教育部門要求的監管資料繁多又龐雜，這導致國民及學前教育受到各式各樣的法規約束。視學校的運作方式和地點而定，甚或他們使用的網路應用程式所託管的位置（例如，歐盟資料中心）而定，這可能會觸發一或多項規範以下權利的法律：

• 存取學生記錄（FERPA）
• 保護網上隱私（COPPA）
• 處理資料記錄（GDPR）

如果這還不夠複雜，那麼還需額外承擔一項責任：證明裝置、裝置群組或帳戶在特定時間範圍內（或作為內部風險評估稽核流程的一環）符合規範。

家長存取權的需求

數位轉型已讓家長掌握學生相關資料，這已成為一項數據安全風險。一種摒棄正式的親師會或季度成績單，改為只需登入即可掌握即時且持續的學業表現洞察之模式。

問題從「我們如何授予家長存取權？」變成「我們如何確保他們只能存取必要資訊？」

最小特權原則，指僅授予利害關係人執行其職務所需的存取權，確保學生只存取他們所需的學習資源，教師只存取授課所需的工具，而家長僅查看其子女學業狀況的必要資訊——不多也不少。

傳統解決方案

本節標題中的「傳統」一詞指的是管理上述各項挑戰的人工作法。傳統的管理作法要求 IT 人員必須在裝置上親自處理每項挑戰。

情境：IT 人員負責在裝置上手動設定 100 個帳戶，並分別指派給特定學生。

• 規模：30 名學生畢業，70 名學生升到下一年級，30 名新生入學。
• 存取：30 個學生帳戶須標記為非活躍狀態，70 個帳戶的權限須修改，然後 30 個新帳戶須取得新權限。
• App：回收非活躍帳戶的授權，並為活躍帳戶新增和/或修改 App 指派項目。
• 合規：稽核每個裝置和學生帳戶，以獲取歷史記錄來證明在特定時間點的合規性。
• 家長：對於與非活躍學生綁定的每個家長帳戶，同樣須標記為非活躍。為每個與活躍學生帳戶綁定的家長帳戶新增/修改權限。

為何被評為不完整

雖然 IT 人員與裝置的比例相當低（1:100，即 1 名 IT 人員負責 100 台裝置），但每次變更：

• 都得手動變更。
• 都需要設定全數 100 台裝置。
• 上述五個類別中，每一類都要重複操作數次。

由於此流程需要大量人力操作，因此增加了以下可能性：

• 花在這些任務上的時間超出必要時間。
• 因執行重複任務而導致的疲勞。
• 設定過程中發生的人為疏失。
• 發放裝置的設定可能不一致。

更遑論若有任何異動，例如學生進入/離開學校或更換裝置，這會導致 IT 人員在每次出現狀況時，都得再次執行其中的許多步驟。最後，此流程無法擴展。意思是，如果學校在下一個學年擴增為 200 名學生，或者建立一個新校區以支援更多年級，那麼 IT 團隊的負擔將會呈指數級增長。

聯合機制解決方案

透過實施聯合機制，IT 團隊不必再手動處理這些設定問題。身分聯合機制的集中化特性透過效率和自動化，有效解決了每一項挑戰。

情境：與前一節相同。

• 規模：對活躍帳戶的任何變更都透過自動化一次完成；非活躍帳戶在 IdP 內會自動標記為非活躍狀態。
• 存取：作為標準流程的一部份，升到下一年級或建立新帳戶時，系統都會為活躍學生設定必要權限。非活躍帳戶將保持非活躍狀態。雖然學生都被指派了一人一機，但他們可以使用憑證登入任何裝置。
• App：非活躍帳戶的授權將自動回收；活躍帳戶的 App 指派項目會自動調整。
• 合規：從集中式控制台進行稽核，而非在端點本身進行。
• 家長：家長帳戶集中綁定至學生帳戶。當該家長的所有學生帳戶均為非活躍狀態時，他們的帳戶也會自動轉為非活躍狀態。

為何它能達標

無論一名 IT 人員須負責的是 100、1,000 或 10,000 台裝置，工作量對 IT 團隊帶來的影響保持一致，因為聯合機制依靠 IdP 來儲存和管理帳戶記錄。藉由集中管理，IT 團隊得以：

• 批次執行所有變更，而非逐一執行。
• 使用腳本、API 呼叫及/或與 SIS 軟體整合來實現自動化變更。
• 利用省下的時間和人員具備的技能來提供卓越的科技體驗。

透過聯合機制，所有 EDU 利害關係人都能享有其他好處。舉例來說：

• 認證機制會將資源存取權壓縮到單一帳戶。
• 基於雲端的存取確保了校內外的無縫接軌體驗。
• 經標準化的憑證符合現代安全性的最佳實務作法。
• 裝置依標準化流程分發和設定，以確保合規性。

裝置更換或學生進入/離開學校皆無需 IT 人員手動設定。只需為學生提供一台新裝置，其憑證即可授予他們所需的存取權，學生便能立即開始學習。

聯合機制如何在國民及學前教育中運作

系統整合

想像一下，一名學生需要存取 YouTube 才能觀看某堂課，然後寫一篇他們所上課程的報告。最後，他們的報告必須上傳到老師的 Dropbox 以便評分。那名學生至少需要四個不同帳戶才能完成這項作業：三個服務各需要一個帳戶，以及一個登入其筆記型電腦的初始帳戶。

聯合機制的運作方式是允許學生僅憑他們的學校帳戶，即可在工作流程的四個環節分別驗證他們的身分，以完成所需任務。

信任關係

為了使用單一組憑證安全地存取儲存在多個組織的資源，首先須在負責維護身分的請求方（IdP）與所求資源的服務提供方（SP）之間建立起信任關係。

從更高的層次來看，信任的運作方式如下：

1. 請求：某位利害關係人請求存取 SP 的某個資源。
2. 重新導向：SP 將該請求重新導向至信任的 IdP。
3. 身分認證：利害關係人使用其憑證向 IdP 認證其身分。
4. 代號：經驗證後，IdP 會生成一個經加密簽署的代號，可確認利害關係人的身分。
5. 存取：該代號被轉發給 SP。經驗證後，利害關係人獲准存取所求資源。

那不願聯合化的平台呢？

不支援現代化協議（SAML/OAuth/OIDC，用於在 IdP 和 SP 之間安全交換認證和授權資料）的 App 和服務仍然可以，也應該使用零信任網路認證（ZTNA）來確保其安全性。

這適用於那些未提供直接聯合機制路徑，或未替開發人員提供管理資源所用的 API 之 App/服務。透過 ZTNA 來實現安全存取資源，IT 團隊便能確保：

• 身分認證須使用受管理的憑證。
• 每次都會驗證裝置的安全狀態，以減少攻擊面。
• 上下文感知政策可減輕未經授權存取的暴險。
• 僅授予利害關係人必要存取權（不同於傳統的 VPN）。
• 每個憑證、裝置和請求都會記錄，以利於合規性稽核。

Apple 裝置整合

在裝置整合方面，Jamf 原生支持 Apple 技術，這讓身分聯合機制不僅易於實施，還能在背景順暢運作，從而讓教師和學生聚焦於教學和學習，而非忙著解決教育體驗受到的影響。

Jamf for K-12

身分聯合機制讓國民及學前教育從手動管理任務轉變為可擴展的安全運作模式。以 Jamf 為基石，集中式身分識別和自動化生命週期管理可降低風險、確保合規，並為 EDU 利害關係人回收寶貴時間。

結果便是順暢無縫且連貫一致的體驗，以及支援教學、保護資料並確保學習不中斷的數位資源存取權。