如何啟用單一登入 (Single Sign On)

週一早上在賓客到達之前就開始了。在飯店交班時，大夜班團隊登出，白班團隊到達，此時有三台員工筆記型電腦卡在 Captive Portal 畫面上，因為有人變更了共享的 WiFi 密碼，卻忘記更新後勤辦公室的白板。一名員工搜尋舊的工單，另一名員工詢問主管，第三名員工則直接放棄並使用個人熱點。

這不是 WiFi 訊號覆蓋範圍的問題，而是身分識別的問題。單一登入 (SSO) 讓員工能以其現有的工作身分進行驗證，並在不需再次輸入共用密碼的情況下存取員工網路。本指南說明如何在由 Purple 管理的員工 SSID 上啟用單一登入、選擇合適的身分識別提供者、設定身分同盟、測試結果，以及在發生問題時確保部署過程安全無虞。

為什麼員工網路需要單一登入

共用預先共用金鑰（PSK）常會出現預料中的問題。員工會將它們寫在便利貼上、貼進工單系統中、在無線電通話中重複口述，甚至在員工離職後仍繼續使用。場所可能會為了為了解決某個存取問題而變更金鑰，結果卻只是在下一次交班時，製造出新一輪排隊要求協助登入的人潮。

營運成本體現在微小的中斷中。接待員在辦理入住手續時等待重設、護士在重新連接工作站時浪費時間，而零售主管則因為手持裝置無法加入員工 SSID 而撥打服務台電話。這些延遲很難單獨衡量，但只要網路將全體員工視為單一帳戶，延遲就會反覆發生。

SSO 將存取單位從共用密碼變更為個人身分。員工透過組織的身分識別提供者登入，然後網路套用與該個人或其群組相關聯的存取原則。當員工調動部門時，他們的群組成員資格可以隨之變更。當他們離職時，停用目錄帳戶即可移除存取權限，而無需變更其他所有人使用的密碼。

對於英國的公共部門組織而言，碎片化問題已在國家層面上顯現。GOV.UK 的身分驗證與數位身分指南 報告指出，2021 年整個政府估計有 121 個單一登入解決方案，同時還有大約 191 種帳戶設定方法和 44 種登入方法。GOV.UK One Login 作為一個通用的身分驗證層應運而生，同份更新報告指出，截至 2023 年 7 月，已有超過 150 萬人使用它來證明自己的身分，而其隨附的應用程式已被下載 200 萬次。

員工 SSID 應該強制執行的規範

由 Purple 管理的員工網路為場域提供了一個實用的管道，將工作身分與無線存取連結起來。身分識別型網路方法 將員工存取與賓客存取分開，並允許網路原則跟隨已驗證的身分，而不是印在佈告欄上的憑證。

這不僅僅是為了方便，還有更重要的原因：

• 交接：員工可以使用自己的工作憑證，而不需要向上一班的同事詢問金鑰。
• 離職流程：停用目錄即可移除存取權限，而無需強迫每位同事重新連線。
• 可審計性：網路事件可以與人員或群組相關聯，而不是與匿名的 PSK 相關聯。
• 分段：群組可以對應到適合其角色的員工 SSID、VLAN 或 Captive Portal 策略。
• 合規維護：敏感憑證不太可能出現在技術支援工單或共用文件中。

SSO 並不能免除對彈性無線設計、裝置管理或合理存取控制的需求。它消除的是共用認證的陷阱，而這通常是讓員工 WiFi 變得易於管理的最短路徑。

支援員工 SSO 的驗證流程

您選擇的流程取決於驗證在何處進行，以及您的網路設備支援什麼。身分識別提供者可能會發行斷言，但存取點仍需要一個機制來決定裝置是否可以加入 SSID。

SAML 2.0 是常見的企業主力。Entra ID 和 Okta 可以核發包含穩定識別碼、電子郵件地址和群組資訊的已簽章判斷式。服務供應商會驗證該判斷式並建立已驗證的作期。SAML 適合那些已經將其用於 SaaS 應用程式、並希望保持單一目錄作為單一信任來源的組織。

OpenID Connect (OIDC) 使用現代基於 JSON 的權杖。它特別適合 Google Workspace 和較新的應用程式，且其權杖結構在排除故障時更容易檢查。較舊的無線平台並不總是能直接與 OIDC 通訊，因此在存取點執行決策之前，流程可能仍需要代理程式或閘道器。

RADIUS 仍然是身分識別與企業級 WiFi 之間的橋樑。802.1X 驗證器 (通常是無線基地台或無線控制器) 會將驗證請求傳送至 RADIUS 服務。該服務可以是 Cloud RADIUS、Microsoft NPS、內部部署的 RADIUS 伺服器或託管提供商。即使使用者是從 SAML 身分識別提供者開始進行驗證，RADIUS 通常也介於身分識別系統與無線基礎架構之間。

憑證式驗證使用機器憑證，有時也使用使用者憑證，來建立高信任度的連線。醫院、實驗室和交易環境可能更偏好對託管裝置採用此方法，因為憑證是透過裝置原則發行，而不是由員工手動輸入。這需要更多的準備工作，特別是在憑證註冊、更新和撤銷方面，但它減少了對互動式密碼輸入的依賴。

員工 SSO 驗證流程一覽

流程	最佳適用場景	典型 IdP	員工體驗
SAML 2.0	企業同盟與基於群組的存取	Entra ID 或 Okta	瀏覽器登入，隨後建立已驗證的工作階段
OIDC	現代化應用程式與基於 JSON 的整合	Google Workspace 或支援 OIDC 的 IdP	熟悉的網頁驗證，搭配基於權杖的同盟
RADIUS	802.1X 無線存取與舊型網路設備	雲端 RADIUS、NPS 或託管提供商	裝置在網路驗證後加入 SSID
基於憑證的驗證	託管裝置與高信任度環境	整合目錄的企業 PKI	憑證註冊後通常為無感運作

Purple 員工 SSID 可以將這些層級無縫接合。IdP 用於建立身分，RADIUS 在需要時協調網路驗證，存取點執行結果，而 Purple 儀表板則為管理員提供登入事件的營運視圖。如果 MFA 是您設計的一部分，請將其視為身分識別控制項，而非網路分段的替代方案。Networking2000 的 MFA 概述 在決定第二要素如何融入 SSO 流程時，提供了實用的背景知識。

實用規則：當您的企業應用程式已經依賴 SAML 時，請使用 SAML；對於現代 Web 主導的整合，請使用 OIDC；對於 802.1X 執行，請使用 RADIUS；當裝置本身必須攜帶強大的身分證明時，請使用憑證。

選擇合適的身分識別提供者

合適的身分識別提供者通常是您組織已經運作良好的那一個。僅從功能列表進行選擇，可能會產生一個技術上優雅的設計，但場館經理無法管理，且服務台也無法理解。

Microsoft Entra ID 非常適合圍繞 Microsoft 365 構建的資產。條件式存取、目錄群組、裝置內容以及現有的管理員技能都可以支援員工網路原則。擁有託管端點和區域 Microsoft 資產的醫院通常更喜歡將身分驗證決策保留在與其其他員工服務相同的控制平面內。

如果目錄已存在於 Google，且企業希望避免引入另一個身分識別平台，Google Workspace 會是很好的選擇。已將 Google 標準化的飯店、零售商和較小的餐飲旅宿集團，會發現其管理方式非常熟悉，且使用者生命週期也十分簡單直覺。

Okta 通常適合那些需要在不斷變化的應用程式、收購的業務或多個目錄之間建立廣泛同盟層的組織。當餐旅集團正在成長或整合獨立設備時，SCIM、詳細的群組規則和乾淨的 SAML 中介資料交換，會比一大堆未使用的功能清單更重要。

本地部署的 Active Directory 與 NPS 組合仍有一席之地。如果無線設備已經依賴 802.1X、目錄位於本地、WAN 可用性受限，或者組織擁有強大的 Windows 基礎架構技能，那麼這是一個明智的選擇。但這也意味著需要承擔更多修補程式、憑證管理、備援和監控的責任。

適用於 Purple 員工 SSO 的 IdP 決策矩陣

Google Workspace

IdP	優勢	注意事項	典型場所
Entra ID	條件式存取、Microsoft 365 整合、成熟的群組管理	授權和原則的複雜性可能需要專業管理人員協助	醫院或跨區域園區
現有的 Google 目錄、熟悉的管理介面、簡單的員工整合	網路驗證可能需要額外的 RADIUS 或同盟層	已在使用 Google 的飯店或零售集團
Okta	彈性的同盟、SCIM、精細的群組、支援混合環境	合約結構與依人頭計費的成本需要仔細評估	快速成長的餐旅集團
Active Directory 搭配 NPS	高度適合已建立的 802.1X 和本地 Windows 環境	有較多基礎設施需要維運、保護並維持高可用性	具備成熟本地 IT 的場所

存取原則是讓選擇變得具體的地方。檢查供應商是否能提供可靠的群組宣告、這些宣告是否能對應到員工角色或 VLAN、如何強制執行 MFA，以及停用的帳戶多快會停止進行身分驗證。此外，還需評估非 IT 部門的場域經理是否能充分理解管理畫面，以處理新進員工或部門轉移。

若要更廣泛地瞭解身分與存取管理如何影響企業系統，Kushan Business Solutions 的 IAM 資源 提供了無線驗證之外的實用背景資訊。實際的建議依然很簡單：從您的目錄現狀開始，而不是從供應商的功能說明書開始。

Purple 支援標準同盟中介資料，因此 IdP 變更不一定意味著需要重建無線網路。確切的轉移仍需要進行測試，但更換身分識別連線通常是受控的組態作業。在變更供應商之前，請保持記錄網路原則、群組命名和後備路徑。對於需要託管 RADIUS 層的小組，請將可用的 Cloud RADIUS 供應商 與身分識別平台一同進行評估，而不要將 RADIUS 視為事後才考慮的項目。

在 Purple 主控台與目錄上設定 SSO

在建立 Purple 連線之前先準備好身分識別提供者，同盟整合的成功率會更高。常見的錯誤是在未先決定哪個識別碼、宣告名稱和憑證具有授權性的情況下，就同時開啟兩個主控台並來回複製數值。

準備企業應用程式

在 Microsoft Entra ID、Okta 或 Google Workspace 中建立應用程式。當員工網路整合需要聲明（Assertion）時，請選擇 SAML 2.0，然後記錄 Purple 提供的服務供應商值：

1. 將 ACS URL（也稱為斷言取用者服務 URL）複製到 IdP 的回覆或登入 URL 欄位中。
2. 將 Entity ID 複製到 IdP 的識別碼或對象欄位中。
3. 將 NameID 設定為整合所預期的穩定員工識別碼。電子郵件通常很實用，但在部署過程中請勿中途更改格式。
4. 釋放所需的屬性，通常為電子郵件、顯示名稱和群組。
5. 指派一個試點群組，而不是全體員工。
6. 從 IdP 下載同盟中繼資料和簽署憑證。

針對 OIDC，請記錄整合提供的發行者、用戶端識別碼、授權端點、權杖端點和用戶端密鑰。請將密鑰儲存在核准的密碼管理工具中，而不要記錄在工單或共用試算表中。

在 Purple 中新增提供者

開啟 Purple 入口網站，並前往 Authentication > Identity Providers > Add。根據設計選擇 SAML 2.0 或 OIDC，然後匯入 IdP 元數據或手動輸入所要求的端點 (Endpoints)。將新的身分識別提供者繫結至員工 RADIUS 領域 (Realm) 或 Captive Portal 設定檔，並在儲存前選擇群組至原則的對應。

除非您的安全性策略要求更嚴格的值，否則請使用主控台記錄的預設時鐘偏差容許值。請勿為了讓失敗的判斷提示通過而刻意創造一個本地容許值。相反地，應修正 IdP、RADIUS 服務和網路設備上的時間來源。

設定順序：建立並分配 IdP 應用程式、對應宣告、匯出中介資料、將其匯入 Purple、繫結員工設定檔、使用測試帳戶進行測試，然後啟用生產原則。

在首次嘗試失敗的案例中，有很大比例是由兩個錯誤引起的。第一是 IdP 中的識別碼 URI 與 Purple 所預期的 實體識別碼 (Entity ID) 不相符。第二是匯入了未簽署的元數據 (Metadata)，或在重新整理後其簽章無法通過驗證。請檢查確切的字串 (包括大小寫和尾隨字元)，並在正式上線前確定憑證輪轉的核准方式。

如果網站仍依賴 Windows 網域基礎架構，請將目錄設計與同盟設計分開。例如 Monro Cloud 關於升級網域控制站的說明 等指南可以協助釐清底層 Active Directory 的工作，但它無法取代 SSO 設定或網路測試。

最後，請至 Purple 的 連接器庫 (connectors library) 中確認相關的整合選項。請先進行小範圍的變更。僅針對單一員工群組、單一 SSID 策略、一個指定的測試場域進行設定，並制定記錄完善的退回方案，這會比同時在整個企業範圍內進行切換更容易進行排錯。

測試與驗證員工登入流程

請勿僅使用管理員已驗證的瀏覽器進行測試。快取的身分識別提供者 (IdP) 工作階段可能會讓已損壞的同盟看起來正常。請使用私密瀏覽視窗、全新的測試帳戶，並按照順序檢查判斷提示、網路決策以及使用者的最終體驗。

從中介資料驗證開始。使用 SAML 追蹤器或 OIDC 偵錯工具來檢查回應，並確認預期的 NameID 格式、對象 URI、發行者、簽章以及群組宣告。對於支援 RADIUS 的流程，請確認代理程式收到身分資訊，並傳回接受或拒絕的決定，同時附帶原則對應所需的屬性。

依裝置和網路情境進行測試

針對不同類型的端點執行流程，而不是假設一次瀏覽器測試成功就代表涵蓋了所有設備：

• 託管筆記型電腦：使用企業 VLAN 上的加入網域裝置，並確認套用了預期的員工原則。
• BYOD 手機：從訪客 SSID 進行連接，並驗證員工憑證不會意外授予更廣泛的網路存取權限。
• 共享 Kiosk 終端機：使用乾淨的瀏覽器工作階段測試 Captive Portal，然後登出並使用另一個員工帳戶重複測試。
• 撤銷路徑：變更或停用測試帳戶，並確認新的驗證嘗試失敗，且現有工作階段遵循設定的生命週期。

檢查工作階段持續時間，以及在密碼或帳戶狀態變更後是否強制重新驗證。針對 802.1X，請檢查 RADIUS 計費封包，並確認存取點記錄了預期的開始、停止和身分識別事件。

關聯交易的雙邊資訊

請同時閱讀身分識別提供者記錄與 Purple 事件串流。Microsoft Entra ID 登入記錄、Okta 系統記錄 (System Log) 和 Google Workspace 管理員稽核資料應顯示驗證請求、策略結果和使用者身分。Purple 則應顯示對應的請求和網路結果。

盡可能記錄這兩個系統中的相互關係 ID。在繁忙的班次中，單憑時間戳記通常過於模糊，而共用識別碼則能讓您區分是被拒絕的群組宣告還是無線關聯問題。在變更設定之前，請先擷取成功的追蹤紀錄，以便服務台有一個已知良好的範例可供比較。

復原計劃與常見故障排除

在星期二的早上 09:00，一家擁有 220 間客房的飯店為試點小組啟用了 SSO。第一位管理員成功登入。十分鐘後，來自房務部、櫃台和餐飲服務部門的技術支援工單陸續送達。有些使用者看到無止盡的重新導向，有些使用者到達了 IdP 卻套用了錯誤的員工原則，而一部較舊的筆記型電腦則完全拒絕連線。

應對措施不應該是一次停用所有控制項目。保留本地 RADIUS 領域作為備援，按兩下即可將 Captive Portal 設定檔移回密碼驗證，只有在試點小組仍無法驗證時，才停用 SAML 連線。這樣的順序可以在同盟被隔離時，讓員工繼續工作。

常見的 SSO 失敗模式與修正方法

症狀	可能原因	解決方法
判斷式立即被拒絕	系統之間的時間偏差	檢查 IdP、RADIUS 服務、控制器和無線基地台的時間同步。請使用記載的 Purple 容差值，而非隨意放寬限制。
登入程序循環返回 portal 頁面	Captive Portal 的 Cookie 與 IdP 工作階段衝突	清除 portal 工作階段，在私密視窗中進行測試，並檢查 Captive Portal 設定檔中的重新導向和 Cookie 行為。
使用者已通過驗證但未獲得員工存取權限	群組宣告遺失或名稱錯誤	比較該判斷式與 Purple 群組對應設定，然後修正 IdP 宣告並使用測試帳戶重新測試。
憑證變更後 SAML 連線失敗	簽署憑證過期、不受信任或匯入不正確	匯出目前的 IdP 中介資料，驗證簽署憑證，並將更新後的中介資料匯入 Purple 識別提供者紀錄中。
判斷式簽章被拒絕	不受支援或不相符的簽署演算法	將 IdP 簽署演算法與整合需求對齊，並重新匯入已驗證的中介資料。
僅部分使用者失敗	應用程式指派或群組成員資格不正確	在變更網路設定前，檢查該使用者的 IdP 應用程式指派、群組成員資格和原則對應。

在新的路徑通過裝置檢查且支援團隊知道如何識別故障之前，請勿刪除舊的領域。復原並非失敗的專案。這是一項正常的控制措施，可防止驗證工作演變成場域中斷事件。

憑證過期值得特別注意，因為它可能會在無線設備沒有任何變更的情況下發生。記錄憑證擁有者、更新流程和匯入位置。對於中介資料更新，請在替換現用連線之前驗證檔案及其簽章，然後從全新的工作階段測試 SP 發起的流程。

上線後的安全性最佳實踐

單一登入 (SSO) 的強度取決於其背後的身分生命週期管理。集中登入可以提高控制力，但如果管理員留存未使用的帳戶、過度釋出目錄屬性，或允許共用的服務身分規避正常策略，也可能會集中風險。

每季與身分識別和網路小組進行審查。確認新進、轉職和離職員工出現在正確的員工群組中、閒置帳戶不再獲得網路存取權限，且群組變更會直接套用到員工原則中，而無需手動複製。有關安全使用 SaaS 的 NCSC 指南 建議在雲端環境中採用完整的身分識別同盟，而不是將密碼同步到雲端，這對於員工網路整合來說是一個很有用的設計原則。

每季值得檢查的控制措施

• 使用具備防網路釣魚功能的 MFA：在平台和裝置設備支援的情況下，針對 IdP 帳戶要求使用 FIDO2 安全金鑰或平台金鑰。將僅使用簡訊或密碼的存取視為相容性例外，而非目標狀態。
• 限制工作階段持續時間：設定 IdP 工作階段生命週期，使 Purple 重新驗證符合企業策略。測試登出、關閉瀏覽器、變更密碼及停用帳戶後的狀況。
• 審查即時存取：稽核臨時員工與訪客角色是否存在過期的指派。在來源目錄中移除存取權限，而非依賴網路主控台內的動態清單。
• 監看事件串流：在 Purple 儀表板中監控同盟錯誤和異常的登入模式，並將其與 IdP 日誌進行關聯分析。
• 發布最少聲明：僅傳送員工策略所需的屬性，通常為電子郵件、顯示名稱和群組。不必要的目錄資料不應出現在無線判斷式中。
• 輪替信任資料：在簽章憑證與 API 密鑰過期前進行更新、測試替換，並僅在核准的轉換期內保留上一個憑證。
• 移除共用身分：在託管裝置或具名使用者可以執行該任務的任何地方，停用共用服務帳戶。如果仍保留例外情況，請記錄其擁有者和審查日期。

英國的身分專案說明了為什麼採用率與重複使用率與身分驗證同等重要。2026 年 GOV.UK 數位身分行業分析 報告指出，77% 的受訪者已完成至少一個數位身分使用案例，而使用過數位身分服務的人群中有 20% 報告出示了可重複使用的身分。對於場館 IT 的啟示非常實用：登入功能很有用，但持續的重複使用、保證、無障礙性以及生命週期控制，才決定了 SSO 是否能在實際服務中發揮作用。

NCSC 身分識別與存取管理指引 也強調了停用帳戶並將該決定傳播至已連線服務的重要性。請持續對該傳播進行測試。SSO 並非一次性的設定，當目錄變更與員工網路原則保持同步時，其價值才能真正顯現。

---

Purple 提供員工 WiFi 驗證服務，將 Microsoft Entra ID、Google Workspace、Okta 和 SAML 2.0 等身分識別提供者連接至託管的網路存取，並透過其平台處理原則和驗證事件。請造訪 Purple，為您的飯店、醫院、零售據點或其他場所評估身分同盟員工 SSID，並規劃包含已測試復原路徑的試行計劃。