जो व्यक्ति साल में एक बार कंप्लायंस रिफ़्रेशर के लिए आपके LMS में साइन इन करता है, वह अपना पासवर्ड कभी याद नहीं रख पाएगा। इसलिए वह ‘पासवर्ड भूल गए’ पर क्लिक करता है, ईमेल का इंतज़ार करता है, एक नया पासवर्ड बनाता है जिसे वह फिर भूल जाएगा, या हार मानकर टिकट खोल देता है। पासवर्ड-रहित साइन-इन पासवर्ड को ही हटा देता है। यह गाइड बताती है कि यह कैसे काम करता है, सुरक्षा के समझौते असल में कहाँ हैं, और इसके ऊपर SAML सिंगल साइन-ऑन जोड़ना कब सार्थक है।
कभी-कभार आने वाले शिक्षार्थियों के लिए पासवर्ड क्यों विफल होते हैं
पासवर्ड उन सिस्टम के लिए सबसे अच्छे हैं जिन्हें लोग रोज़ इस्तेमाल करते हैं। ट्रेनिंग प्लेटफ़ॉर्म अक्सर इसका उलटा होता है: लोग तब साइन इन करते हैं जब उनका नामांकन होता है, जब रिमाइंडर आता है, या जब कोई प्रमाणपत्र लैप्स होने वाला होता है।
इससे समस्याओं का एक अनुमानित सेट बनता है:
- भूले हुए पासवर्ड। साइन-इन के बीच महीनों का अंतर होने पर कई शिक्षार्थी रीसेट से ही शुरुआत करते हैं, अक्सर उसी दिन जब ट्रेनिंग की समय-सीमा होती है।
- दोबारा इस्तेमाल। जो लोग एक और पासवर्ड याद नहीं रख पाते, वे कहीं और का पासवर्ड दोबारा इस्तेमाल कर लेते हैं। अगर वह दूसरी साइट ब्रीच हो जाए, तो वही ईमेल और पासवर्ड आपके LMS पर आज़माया जा सकता है।
- कामचलाऊ तरीके। सख़्त पासवर्ड नियम पासवर्ड को स्टिकी नोट पर पहुँचा देते हैं, या हर बार एक नंबर जोड़ने जैसे अनुमान-योग्य बदलावों तक।
- सपोर्ट का बोझ। हर लॉकआउट और रीसेट आपके हेल्प डेस्क या L&D टीम के लिए एक टिकट है।
एक और ख़ामोश बात है। ज़्यादातर पासवर्ड सिस्टम लोगों को ईमेल से पासवर्ड रीसेट करने देते हैं, यानी अकाउंट पर पहले से इनबॉक्स का नियंत्रण है। पासवर्ड वह हिस्सा है जिसे लोग भूल जाते हैं, वह नहीं जो उनकी रक्षा करता है। पासवर्ड-रहित साइन-इन बस इसे साफ़-साफ़ मान लेता है।
पासवर्ड-रहित साइन-इन कैसे काम करता है
ईमेल वन-टाइम कोड
- शिक्षार्थी अपना ईमेल पता दर्ज करता है।
- LMS एक छोटा रैंडम कोड बनाता है और उसे ईमेल कर देता है।
- शिक्षार्थी कोड टाइप करता है, और LMS उसे जाँचता है।
अच्छे से डिज़ाइन किया गया कोड एक ही बार काम करता है, कुछ मिनटों में एक्सपायर हो जाता है, और कुछ ग़लत प्रयासों के बाद काम करना बंद कर देता है। याद रखने के लिए कुछ नहीं, किसी दूसरी साइट से कुछ दोबारा इस्तेमाल नहीं, और लीक होने के लिए कोई पासवर्ड नहीं।
कुछ सिस्टम कोड की जगह साइन-इन लिंक ईमेल करते हैं। कोड तब काम आते हैं जब कोई व्यक्ति अपने फ़ोन पर ईमेल पढ़ता है पर साइन-इन ऑफ़िस के कंप्यूटर पर कर रहा है, क्योंकि वह कोड बस टाइप कर सकता है।
Google, Microsoft या LinkedIn अकाउंट
‘इसके साथ साइन इन करें’ बटन के साथ, LMS साइन-इन को OAuth 2.0 और OpenID Connect जैसे मानक प्रोटोकॉल से प्रोवाइडर को सौंप देता है। प्रोवाइडर जाँचता है कि व्यक्ति कौन है (उसके अकाउंट पर लगी किसी भी टू-स्टेप वेरिफ़िकेशन सहित), और LMS को बताता है कि वह कौन है और उसका सत्यापित ईमेल पता क्या है। LMS कभी उनका पासवर्ड नहीं देखता।
यह उस स्टाफ़ के लिए ठीक बैठता है जो पहले से हर दिन Microsoft 365 या Google Workspace में साइन इन करता है: एक क्लिक और वे अंदर।
सुरक्षा के समझौते, ईमानदारी से
पासवर्ड-रहित कोई जादू नहीं है। यह भरोसे को कहीं और ले जाता है, और आपको पता होना चाहिए कि कहाँ।
| तरीका | अकाउंट की रक्षा कौन करता है | किस पर नज़र रखें |
|---|---|---|
| पासवर्ड | कुछ ऐसा जो शिक्षार्थी को याद रहता है | दोबारा इस्तेमाल, कमज़ोर चुनाव, और वैसे भी ईमेल से रीसेट |
| ईमेल कोड | शिक्षार्थी के इनबॉक्स तक पहुँच | समझौता हुआ मेलबॉक्स यानी समझौता हुआ LMS अकाउंट |
| Google, Microsoft या LinkedIn | प्रोवाइडर अकाउंट और उसकी टू-स्टेप वेरिफ़िकेशन | निजी अकाउंट आपके नियंत्रण से बाहर होते हैं |
| SAML सिंगल साइन-ऑन | आपका आइडेंटिटी प्रोवाइडर और उसकी नीतियाँ | सेटअप की मेहनत, और प्रोवाइडर के उपलब्ध रहने पर निर्भरता |
कुछ ख़ास बातें जो समझना ज़रूरी है:
- ईमेल अकाउंट सबसे ज़्यादा मायने रखता है। जो भी शिक्षार्थी का ईमेल पढ़ सकता है, वह उसके रूप में साइन इन कर सकता है। वर्क मेलबॉक्स पर मल्टी-फ़ैक्टर ऑथेंटिकेशन, किसी भी पासवर्ड नियम से ज़्यादा LMS की सुरक्षा बढ़ाता है।
- एक्सपायरी और सीमित प्रयास अंदाज़ा लगाने से रोकते हैं। छह अंकों के कोड के लगभग दस लाख संभावित मान होते हैं, इसलिए तीन प्रयासों में अंदाज़ा लगाने वाले के सफल होने की संभावना दस लाख में बस कुछ ही होती है, और हर कोड मिनटों तक ही जीवित रहता है। कोड कितनी बार माँगे जा सकते हैं, इस पर लगी सीमाएँ इसे और धीमा कर देती हैं।
- कोड फिर भी फ़िशिंग से चुराए जा सकते हैं। नकली साइन-इन पेज कोड माँगकर उसे तुरंत इस्तेमाल कर सकता है। लोगों को सिखाएँ कि कोड सिर्फ़ आपके LMS के असली पते पर ही दर्ज करें, और यह कि कोई भी, सपोर्ट समेत, उनसे कभी कोड नहीं माँगेगा।
- साझा मेलबॉक्स आपके रिकॉर्ड कमज़ोर करते हैं। अगर कई लोग एक इनबॉक्स पढ़ सकते हैं, तो उनमें से कोई भी उसके मालिक के रूप में साइन इन कर सकता है। ट्रेनिंग रिकॉर्ड का कुछ मतलब हो, इसके लिए हर शिक्षार्थी का अपना पता ज़रूरी है।
- जाने वालों को हर जगह से हटाना पड़ता है। किसी के जाने पर निजी Google या LinkedIn अकाउंट ग़ायब नहीं हो जाता। ऑफ़बोर्डिंग के हिस्से के रूप में उन्हें LMS में भी सस्पेंड या आर्काइव करें, सिर्फ़ अपनी डायरेक्टरी में नहीं।
- ईमेल डिलीवरी सिस्टम का हिस्सा है। स्पैम में जाने वाले या देर से आने वाले कोड साइन-इन फ़ेल कराते हैं। IT से कहें कि LMS के ईमेल आपके मेल फ़िल्टर से गुज़रने दें।
ज़रूरत पड़ने से पहले रिकवरी की योजना बनाएँ
पासवर्ड-रहित साइन-इन के साथ ‘पासवर्ड भूल गए’ वाले टिकट काफ़ी हद तक ग़ायब हो जाते हैं। सपोर्ट का आम सवाल बन जाता है ‘मुझे मेरा कोड नहीं मिला’, और जवाब लगभग हमेशा यही होता है: स्पैम फ़ोल्डर देखें, पता पक्का करें, और नया कोड माँगें।
एडमिनिस्ट्रेटर के लिए ज़्यादा सोचना पड़ता है। अगर आप सिंगल साइन-ऑन पर निर्भर हैं और आपके आइडेंटिटी प्रोवाइडर में आउटेज हो जाए, या कोई सेटिंग ग़लती से बदल जाए, तो आपको अंदर आने का ऐसा रास्ता चाहिए जो उसी चीज़ पर निर्भर न हो जो टूटी है। अच्छा अभ्यास:
- कम से कम दो एडमिनिस्ट्रेटर रखें, ताकि एक व्यक्ति का एक्सेस खोने से संगठन लॉक आउट न हो।
- पक्का करें कि एडमिनिस्ट्रेटर के पास रिकवरी का ऐसा रास्ता है जो आपके आइडेंटिटी प्रोवाइडर पर निर्भर नहीं।
- उस रिकवरी रास्ते को एक बार, शांति से, आज़मा लें, इससे पहले कि आपको किसी बुरे दिन उसकी ज़रूरत पड़े।
- अगर आप एडमिनिस्ट्रेटर को ऑफ़िस IP रेंज तक सीमित करते हैं, तो जाँचें कि रिमोट एडमिनिस्ट्रेटर कैसे अंदर आएँगे।
SAML सिंगल साइन-ऑन कब जोड़ें
ज़्यादातर शिक्षार्थियों के लिए ईमेल कोड और सोशल साइन-इन काफ़ी हैं। SAML सिंगल साइन-ऑन तब जोड़ना सार्थक है जब:
- आपके स्टाफ़ पहले से Microsoft Entra ID, Okta या Google Workspace में मैनेज हों।
- आप चाहते हों कि आपके आइडेंटिटी प्रोवाइडर की मल्टी-फ़ैक्टर और एक्सेस नीतियाँ ट्रेनिंग पर भी लागू हों।
- आप चाहते हों कि डायरेक्टरी में अक्षम किए जाते ही लोगों का एक्सेस ख़त्म हो जाए।
- सिक्योरिटी रिव्यू या ग्राहक प्रश्नावली सिंगल साइन-ऑन माँगती हो।
अगर कई शिक्षार्थी आपकी डायरेक्टरी के बाहर हैं, जैसे कॉन्ट्रैक्टर, स्वयंसेवक, ग्राहक या दूसरे संगठनों के स्टाफ़, तो यह पूरा जवाब नहीं है। ऐसे में अपने स्टाफ़ के लिए SSO इस्तेमाल करें और बाकी सबके लिए ईमेल कोड रखें। सेटअप के बारे में हम और विस्तार से अपने LMS के लिए सिंगल साइन-ऑन में बताते हैं।
Acadenix इसे कैसे करता है
Acadenix में कोई पासवर्ड है ही नहीं। लोग इनमें से किसी एक तरीके से साइन इन करते हैं:
- ईमेल कोड। लोग अपना ईमेल दर्ज करते हैं और छह अंकों का कोड पाते हैं। वह एक ही बार काम करता है, पाँच मिनट के लिए, और तीन ग़लत प्रयासों के बाद काम करना बंद कर देता है। कोड बहुत बार माँगें तो आपसे रुकने को कहा जाता है।
- Google, Microsoft और LinkedIn। हर तरीका Settings → Authentication में चालू या बंद किया जाता है, और उसे ख़ास सत्यापित ईमेल डोमेन तक सीमित किया जा सकता है। कोई बदलाव सेव होने से पहले आप देखते हैं कि उससे कितने लोग और सेशन प्रभावित होते हैं।
- आपके अपने साइन-इन ऐप। संगठन अपना ख़ुद का Google, Microsoft या LinkedIn ऐप इस्तेमाल कर सकते हैं। अपने Microsoft ऐप के साथ केवल आपके टेनेंट के अकाउंट ही उसका इस्तेमाल कर सकते हैं।
- Gold पर SAML सिंगल साइन-ऑन। Microsoft Entra ID, Okta या Google Workspace से जोड़ें। शिक्षार्थी अकाउंट पहले साइन-इन पर बन सकते हैं, लेकिन सिर्फ़ आपके संगठन के ईमेल डोमेन के पतों के लिए। जब कोई पहली बार SAML से साइन इन करता है, तो लिंक की पुष्टि के लिए एक कोड ईमेल किया जाता है, हर व्यक्ति के लिए एक बार। आपके चालू किए गए दूसरे तरीके फ़ॉलबैक बने रहते हैं। प्लान और प्राइसिंग देखें।
एडमिनिस्ट्रेटर के लिए अतिरिक्त सुरक्षा उपाय हैं। एडमिनिस्ट्रेटर को शिक्षार्थियों पर असर डाले बिना आपकी IP रेंज तक सीमित किया जा सकता है, और निष्क्रिय सेशन साइन आउट हो जाते हैं। अगर आपका सामान्य साइन-इन काम करना बंद कर दे, तो एडमिनिस्ट्रेटर तब भी अपने ईमेल पर भेजे गए रिकवरी कोड से अंदर आ सकता है, और इस रास्ते को बंद नहीं किया जा सकता। किसी का अकाउंट सस्पेंड करने से वह तुरंत साइन इन करना बंद कर देता है, और Email History (ईमेल इतिहास) दिखाती है कि पिछले 30 दिनों में कौन-से ईमेल भेजे गए या विफल हुए, संदेशों की सामग्री या कोड रखे बिना। और जानकारी हमारे सुरक्षा पेज पर है।
मुख्य बातें
- कभी-कभार आने वाले शिक्षार्थियों के लिए पासवर्ड, सुरक्षा में ज़्यादा कुछ जोड़े बिना, रीसेट, दोबारा इस्तेमाल और टिकट पैदा करते हैं।
- ईमेल कोड और वर्क-अकाउंट साइन-इन पासवर्ड हटा देते हैं; इनबॉक्स या प्रोवाइडर अकाउंट चाबी बन जाता है, इसलिए उसे मल्टी-फ़ैक्टर ऑथेंटिकेशन से सुरक्षित रखें।
- एक बार इस्तेमाल होने वाले कोड, जो जल्दी एक्सपायर होते हैं और कम प्रयास देते हैं, अंदाज़ा लगाना अव्यावहारिक बना देते हैं, फिर भी लोगों को पता होना चाहिए कि कोड कभी किसी से साझा न करें।
- तरीके चालू करने से पहले एडमिनिस्ट्रेटर रिकवरी और ऑफ़बोर्डिंग की योजना बनाएँ।
- जब आपके स्टाफ़ किसी केंद्रीय आइडेंटिटी प्रोवाइडर में हों, तब SAML सिंगल साइन-ऑन जोड़ें, और बाकी सबके लिए ईमेल कोड रखें।
अगर पासवर्ड आपके ट्रेनिंग सपोर्ट टिकट का सबसे बड़ा स्रोत हैं, तो देखें कि पासवर्ड-रहित साइन-इन आपके अपने लोगों के साथ कैसे काम करता है। मूल्यांकन का अनुरोध करें और वे साइन-इन तरीके सेट करें जो आपके संगठन के लिए सही हैं।
