小型團隊的單一登入（SSO）評估

為小型團隊評估單一登入（SSO），重點在於測試 SSO 本身沒有涵蓋的部分。SSO 讓一個人透過身分提供者（IdP）驗證身分，進而存取應用程式。它不會自動提供多重要素驗證（MFA）、離職帳號停用、最小權限角色、稽核證據或復原機制。在文件或經核准的試行提供證據之前，每個未經查證的答案都要標為未知。

SSO 評估：這次採購包含什麼？

購買 SSO 之前，先寫下它會牽涉到哪些東西：身分提供者、人員、應用程式、他們的角色、到職與離職、復原，以及你需要的證據。把應用程式、目錄和身分提供者當成三個獨立的東西看待。

向供應商要求確切的版本、環境、限制、角色、資料路徑和支援範圍；一個縮寫不算證據。

SSO 評估：哪種模式適合小型團隊？

適合小型團隊的 SSO 模式，是團隊有能力承擔其營運工作的那一種。下表比較六種模式。

為每項功能標上原生、設定、客製、手動、不支援或未知；有備援路徑不代表有聯合驗證的證據。

SSO 評估：每個階段由誰負責？

SSO 評估的每個階段都需要一位當責的負責人、一項必要產出，以及一個停止訊號。

SSO 評估：如何檢查 SAML、OIDC 和身分提供者

索取一份最新的設定指南或範例。如果用的是 SAML 通訊協定，驗證中繼資料、ACS、簽署、識別碼、受眾、時間偏差和憑證更替；如果用的是 OIDC 通訊協定，則驗證簽發者、重新導向、state/nonce、宣告、JWKS、有效期限和登出。

SAML v2.0 是一組 OASIS 標準（2005 年 3 月）。OpenID Connect Core 1.0 勘誤集 2（errata set 2）的日期是 2023 年 12 月 15 日（規格）。標準不等於實作證明；請用合成的信任資料測試，並保留結果。

SSO 評估：如何測試帳號佈建與撤銷佈建

把帳號的建立與移除，和登入分開測試。即時（JIT）建立、SCIM（跨網域身分管理標準）、目錄 API 和手動管理，各自都需要獨立的測試。

SCIM 核心結構描述（RFC 7643）和通訊協定（RFC 7644）都發布於 2015 年 9 月。記錄你測試的設定檔／版本和端點行為；共通的結構描述不等於完整的實作證據。

設定停用／刪除語意和同步時間目標。要求不可變的 ID、對應規則、冪等性、部分失敗處理、偏移偵測和工作階段行為；記錄經負責人核准的手動延遲和審查證據。

SSO 評估：如何驗證 MFA 與工作階段控制

SSO 和 MFA 是兩種不同的控制，所以要單獨測試 MFA。任何政策變更之後，都要檢查保證等級、升級驗證提示和使用中的工作階段。

NIST SP 800-63 第 4 版（2025 年 7 月）涵蓋身分驗證（63B）和聯合身分（63C）；它是指引，不是認證。

針對一般、管理員和緊急存取身分，測試驗證要素遺失、拒絕、復原、撤銷，以及工作階段進行中的角色變更；絕不要儲存機密資訊。

SSO 評估：如何依最小權限對應角色

每個角色只給它需要的操作權限。未知群組預設拒絕，並為每個高權限角色指定一位負責人。

測試群組移除／衝突、未知或缺少的群組，以及工作階段進行中的變更；記錄權限重新計算所需的時間。

SSO 評估：如何規劃復原與緊急存取

在需要之前就先規劃好復原。針對每一種失敗情況（服務中斷、金鑰過期、帳號佈建執行失敗、MFA 驗證要素遺失，或角色授予錯誤），寫下能扭轉它的動作、由誰核准，以及要保留哪些證據。

本機緊急存取需要唯一身分、MFA、保管、最小權限、警示、使用理由、回顧、輪替和測試。否則就記錄服務中斷時的聯絡窗口、影響和手動路徑。保護最後一份已知正常的設定，並為暫停、撤銷、還原和結案分別指定負責人。

SSO 評估：該要求哪些稽核與日誌證據？

問供應商它的日誌會記錄哪些事件、誰可以讀取。下表列出每一類事件最少需要的脈絡資訊。

OWASP ASVS 的穩定版本是 5.0.0。Logging Cheat Sheet（於 2026 年 10 月 4 日查證）提供了可以拿來提問的問題；兩者都不會為產品提供認證。

記錄時鐘容許誤差、日誌的存取／匯出／刪除、竄改／中斷時的處理，以及支援人員／次處理者的存取；保存期限和資料傳輸由負責人決定。

SSO 評估：該審查哪些隱私與資安邊界？

盡量少把身分資料傳給應用程式。畫出每個屬性的流向（身分提供者、應用程式、日誌、支援、備份和匯出），只傳送穩定的主體 ID、角色或群組，以及經核准的顯示名稱與聯絡資訊欄位。

針對以下事項索取有日期、限定範圍的答覆：責任分工與資料處理地點；次處理者、支援和資料傳輸；加密、金鑰、租戶隔離和管理員存取；保存、更正、匯出、刪除和備份；事件／復原的職責；以及宣告、地點、控制措施或合約條款的變更。

在核准之前一律使用合成身分；通訊協定規格無法回答司法管轄、資料傳輸或支援政策的問題。

SSO 評估：如何比較支援與總營運成本

給所有供應商同一個情境，並要求附日期的報價。沒有標示的價格、方案、限制和支援假設一律視為未知；問清楚營運、續約和退場時會有什麼變化。

計算時用 first-year = supplier + implementation + internal review/testing + recovery + exit reserve（第一年 = 供應商 + 導入 + 內部審查／測試 + 復原 + 退場準備金）；steady-state = renewal/usage + maintenance + monitoring + lifecycle review + recovery（穩定期 = 續約／用量 + 維護 + 監控 + 生命週期審查 + 復原）。沒有定價的相依事項是未知，不是零。

SSO 評估：如何執行一次範圍有限的試行

試行只使用合成的測試身分：一個一般使用者、一個特權使用者、一個已停用的使用者、一個重複身分，以及一個緊急存取帳號。保存基準設定，並指定每項結果由誰負責。

1. 準備：記錄 IdP、應用程式、租戶、通訊協定、宣告、角色、生命週期、資料邊界、到期日和測試身分。
2. 設定：使用非正式環境，把宣告／角色收窄，並記錄預設值。
3. 演練：測試身分驗證、MFA、工作階段、角色、JIT/SCIM、日誌、復原和金鑰更替。
4. 核對：比較身分、帳號、角色、工作階段和日誌；記錄缺少或非預期的變更。
5. 決定：核准、附有日期的條件核准，或停止；仍有阻礙時不要擴大範圍。

測試無效的信任資料、過期的金鑰、時間偏差、缺少或變更的宣告、未知群組、重複身分、帳號佈建失敗、已停用但工作階段仍有效、驗證要素遺失、IdP 中斷和緊急存取的使用。證據中不要留下任何憑證。

SSO 評估：什麼時候該回退或停止？

回退 SSO 時，要以受控的方式變更存取權限，而不是刪除帳號。暫停登入或帳號佈建、還原對應、撤銷金鑰、移除角色、終止工作階段、停用某個網域，或改走經核准的手動路徑。說明哪些帳號和工作階段會受影響。

出現以下任一情況，就停止採購、上線或續約：信任、租戶、宣告、金鑰輪替或身分比對的證據尚未釐清；MFA、工作階段、登出、復原、帳號佈建、偏移處理或角色預設值不足；缺少緊急存取或可追溯到人的稽核證據；隱私、支援、地點、保存或刪除的邊界不明；報價／退場假設不完整；或監控、升級處理、暫停、復原和剩餘風險沒有具名的負責人。

每個面向以 0 無、1 部分或 2 已測試評分；總分不是通用的評等。

可複製的 SSO 評估紀錄

小型團隊的單一登入（SSO）評估

決策日期與目標上線日：
決策負責人與當責服務負責人：
應用程式、版本、環境和租戶：
身分提供者、目錄和 IdP 負責人：
範圍內的使用者、國家、角色和資料類別：
範圍外的使用者、應用程式、生命週期動作和資料：

通訊協定與信任
通訊協定／設定檔和流程：SAML SP / SAML IdP / OIDC / 其他：
簽發者、實體 ID、受眾、重新導向／ACS 和目的地驗證：
宣告、穩定主體、群組、角色對應和預設行為：
簽署金鑰／憑證演算法、到期、更替和撤銷：
時間偏差、重送、nonce/state 和無效回應的測試結果：
SP 發起、IdP 發起、登出和工作階段行為：

生命週期
JIT、SCIM、API 或手動路徑：
穩定的來源與目標識別碼：
到職、異動、離職、更正和重複身分的行為：
停用／刪除語意和同步時間目標：
重試、速率限制、隔離、重送和核對：
停用或移除角色後，既有工作階段的行為：

MFA、角色與復原
MFA 政策、允許的驗證要素和保證等級／升級驗證證據：
閒置／絕對工作階段期限、更新和撤銷：
角色、最小權限、管理員權限分離和未知群組行為：
緊急存取身分、保管、MFA、核准、警示和輪替：
IdP 中斷、金鑰過期、驗證要素遺失和角色錯誤的復原：

稽核、隱私與資安
身分驗證、授權、生命週期、管理和復原事件：
執行者、目標、時間戳記、來源、結果和關聯 ID：
日誌的存取、匯出、保存、刪除、保護和支援人員可見範圍：
宣告／資料對應圖、地點、次處理者、資料傳輸和備份：
加密、租戶隔離、事件處理路徑和刪除證據：

支援與成本
供應商報價日期、幣別、合約期間、使用者、環境和排除事項：
導入、移轉、訓練、監控和內部工時：
用量、帳號佈建、日誌、支援、超額費用和續約假設：
支援回應、升級處理、變更預告和金鑰更替路徑：
匯出、刪除、預告期、費用和替換／退場假設：

試行與決策
合成身分和經核准的測試資料：
一般、失敗、生命週期、MFA、工作階段、日誌和復原的測試結果：
已知缺陷、替代做法、負責人、到期日和重新測試：
最後已知正常的設定和回退動作：
各面向評分：0 無證據／1 部分／2 已測試：
決策：PASS（通過）/ PILOT WITH CONDITIONS（附條件試行）/ STOP（停止）：
剩餘風險、例外核准權限和回顧日期：
證據存放位置和核准紀錄：

Talent Summoner 在 SSO 評估中的定位

Talent Summoner 是我們的產品，提供 AI 人才搜尋、履歷排序，以及從你連結的 Gmail、Outlook 或 LinkedIn 帳號送出、由你逐則審閱並確認寄出的主動聯繫。它的公開產品頁面（於 2026 年 10 月 4 日查證）沒有描述 SSO、SCIM 或身分管理功能。

如果你手上有一份已核准的職缺需求說明，可以開始人才搜尋；如果要處理別人提供的履歷，就用候選人排序。存取權限的核准，仍交由受評估系統的負責人決定。

保存設定、測試、日誌、報價和回退方案；發生重大變更後重新測試。