Seseorang yang log masuk ke LMS anda setahun sekali untuk penyegaran pematuhan tidak akan mengingati kata laluannya. Jadi mereka mengklik “lupa kata laluan”, menunggu e-mel, mencipta kata laluan baharu yang akan dilupakan lagi, atau berputus asa dan membuka tiket sokongan. Log masuk tanpa kata laluan menghapuskan kata laluan sepenuhnya. Panduan ini menerangkan cara ia berfungsi, di mana letaknya kompromi keselamatan yang sebenar, dan bila berbaloi menambah log masuk tunggal SAML di atasnya.
Mengapa kata laluan tidak sesuai untuk pelajar yang jarang log masuk
Kata laluan paling sesuai untuk sistem yang digunakan setiap hari. Platform latihan selalunya sebaliknya: orang log masuk apabila mereka didaftarkan, apabila peringatan tiba, atau apabila sijil hampir luput.
Itu mewujudkan set masalah yang boleh dijangka:
- Kata laluan yang dilupakan. Dengan jarak berbulan-bulan antara log masuk, ramai pelajar bermula dengan tetapan semula, selalunya pada hari latihan perlu diselesaikan.
- Penggunaan semula. Orang yang tidak dapat mengingati satu lagi kata laluan menggunakan semula kata laluan dari tempat lain. Jika laman lain itu diceroboh, e-mel dan kata laluan yang sama boleh dicuba pada LMS anda.
- Jalan pintas. Peraturan kata laluan yang ketat menyebabkan kata laluan ditulis pada nota melekat, atau variasi yang boleh diteka seperti menambah nombor setiap kali.
- Beban sokongan. Setiap penguncian dan tetapan semula ialah tiket untuk meja bantuan atau pasukan L&D anda.
Ada satu perkara yang lebih halus. Kebanyakan sistem kata laluan membenarkan pengguna menetapkan semula kata laluan melalui e-mel, yang bermakna peti masuk sudah pun mengawal akaun. Kata laluan ialah bahagian yang dilupakan orang, bukan bahagian yang melindungi mereka. Log masuk tanpa kata laluan sekadar menjadikannya jelas.
Cara log masuk tanpa kata laluan berfungsi
Kod sekali guna melalui e-mel
- Pelajar memasukkan alamat e-melnya.
- LMS menjana kod rawak yang pendek dan menghantarnya melalui e-mel kepada mereka.
- Pelajar menaip kod itu, dan LMS menyemaknya.
Kod yang direka dengan baik hanya berfungsi sekali, tamat tempoh dalam beberapa minit, dan berhenti berfungsi selepas beberapa percubaan yang salah. Tiada apa-apa untuk diingat, tiada apa-apa yang digunakan semula daripada laman lain, dan tiada kata laluan yang boleh bocor.
Sesetengah sistem menghantar pautan log masuk melalui e-mel dan bukannya kod. Kod berguna apabila seseorang membaca e-mel pada telefon tetapi log masuk pada komputer kerja, kerana mereka hanya perlu menaip kod itu.
Akaun Google, Microsoft atau LinkedIn
Dengan butang “log masuk dengan”, LMS menyerahkan log masuk kepada penyedia menggunakan protokol standard seperti OAuth 2.0 dan OpenID Connect. Penyedia menyemak siapa orang itu, termasuk sebarang pengesahan dua langkah pada akaun mereka, dan memberitahu LMS siapa mereka serta alamat e-mel mereka yang telah disahkan. LMS tidak pernah melihat kata laluan mereka.
Ini sesuai untuk kakitangan yang sudah log masuk ke Microsoft 365 atau Google Workspace setiap hari: satu klik dan mereka masuk.
Kompromi keselamatan, secara jujur
Tanpa kata laluan bukanlah sihir. Ia memindahkan kepercayaan ke tempat lain, dan anda patut tahu di mana.
| Kaedah | Apa yang melindungi akaun | Perkara yang perlu diperhatikan |
|---|---|---|
| Kata laluan | Sesuatu yang diingati pelajar | Penggunaan semula, pilihan yang lemah, dan tetapan semula melalui e-mel juga |
| Kod e-mel | Akses kepada peti masuk pelajar | Peti mel yang dikompromi bermakna akaun LMS yang dikompromi |
| Google, Microsoft atau LinkedIn | Akaun penyedia dan pengesahan dua langkahnya | Akaun peribadi berada di luar kawalan anda |
| Log masuk tunggal SAML | Penyedia identiti anda dan dasarnya | Usaha persediaan, dan pergantungan pada ketersediaan penyedia |
Beberapa perkara khusus yang wajar difahami:
- Akaun e-mel paling penting. Sesiapa yang boleh membaca e-mel pelajar boleh log masuk sebagai pelajar itu. Pengesahan berbilang faktor pada peti mel kerja lebih membantu keselamatan LMS berbanding sebarang peraturan kata laluan.
- Tamat tempoh dan percubaan terhad menghalang tekaan. Kod enam digit mempunyai sekitar sejuta nilai yang mungkin, jadi tiga percubaan hanya memberi orang yang meneka peluang beberapa dalam sejuta, dan setiap kod hanya hidup beberapa minit. Had kekerapan kod boleh diminta memperlahankan lagi keadaan.
- Kod masih boleh dipancing (phishing). Halaman log masuk palsu boleh meminta kod dan menggunakannya dengan segera. Ajar pengguna memasukkan kod hanya pada alamat sebenar LMS anda, dan bahawa tiada sesiapa, termasuk sokongan, akan meminta kod daripada mereka.
- Peti mel kongsi melemahkan rekod anda. Jika beberapa orang boleh membaca satu peti masuk, sesiapa daripada mereka boleh log masuk sebagai pemiliknya. Setiap pelajar memerlukan alamat sendiri supaya rekod latihan bermakna.
- Mereka yang berhenti perlu dikeluarkan di mana-mana. Akaun Google atau LinkedIn peribadi tidak hilang apabila seseorang berhenti. Gantung atau arkibkan mereka dalam LMS sebagai sebahagian daripada proses pemergian kakitangan, bukan sekadar dalam direktori anda.
- Penghantaran e-mel ialah sebahagian daripada sistem. Kod yang masuk ke spam atau tiba lewat menyebabkan log masuk gagal. Minta IT membenarkan e-mel LMS melalui penapis mel anda.
Rancang pemulihan sebelum anda memerlukannya
Dengan log masuk tanpa kata laluan, tiket “lupa kata laluan” kebanyakannya hilang. Soalan sokongan yang biasa menjadi “saya tidak menerima kod saya”, dan jawapannya hampir selalu ialah menyemak folder spam, mengesahkan alamat, dan meminta kod baharu.
Pentadbir memerlukan pertimbangan lebih. Jika anda bergantung pada log masuk tunggal dan penyedia identiti anda mengalami gangguan, atau tetapan diubah secara tidak sengaja, anda memerlukan cara masuk yang tidak bergantung pada apa-apa yang rosak. Amalan yang baik:
- Kekalkan sekurang-kurangnya dua pentadbir, supaya kehilangan akses oleh seorang tidak mengunci keluar organisasi.
- Pastikan pentadbir mempunyai laluan pemulihan yang tidak bergantung pada penyedia identiti anda.
- Cuba laluan pemulihan itu sekali, dengan tenang, sebelum anda memerlukannya pada hari yang buruk.
- Jika anda mengehadkan pentadbir kepada julat IP pejabat, semak bagaimana pentadbir jarak jauh akan masuk.
Bila menambah log masuk tunggal SAML
Kod e-mel dan log masuk melalui akaun Google, Microsoft atau LinkedIn sesuai untuk kebanyakan pelajar. Log masuk tunggal SAML berbaloi ditambah apabila:
- Kakitangan anda sudah diuruskan dalam Microsoft Entra ID, Okta atau Google Workspace.
- Anda mahu dasar berbilang faktor dan dasar akses penyedia identiti anda terpakai pada latihan juga.
- Anda mahu orang hilang akses sebaik sahaja mereka dilumpuhkan dalam direktori anda.
- Semakan keselamatan atau soal selidik pelanggan meminta log masuk tunggal.
Ia bukan jawapan sepenuhnya jika ramai pelajar berada di luar direktori anda, seperti kontraktor, sukarelawan, pelanggan atau kakitangan organisasi lain. Dalam kes itu, gunakan SSO untuk kakitangan anda sendiri dan kekalkan kod e-mel untuk semua yang lain. Kami membincangkan persediaan dengan lebih terperinci dalam log masuk tunggal untuk LMS anda.
Cara Acadenix melakukannya
Acadenix tidak mempunyai kata laluan langsung. Pengguna log masuk dengan salah satu cara ini:
- Kod e-mel. Pengguna memasukkan e-mel mereka dan menerima kod enam digit. Ia berfungsi sekali, selama lima minit, dan berhenti berfungsi selepas tiga percubaan yang salah. Jika terlalu kerap meminta kod, anda diminta menunggu.
- Google, Microsoft dan LinkedIn. Setiap kaedah dihidupkan atau dimatikan dalam Settings → Authentication (tetapan → pengesahan), dan boleh dihadkan kepada domain e-mel tertentu yang telah disahkan. Sebelum perubahan disimpan, anda melihat berapa ramai pengguna dan berapa banyak sesi yang terjejas.
- Aplikasi log masuk anda sendiri. Organisasi boleh menggunakan aplikasi Google, Microsoft atau LinkedIn mereka sendiri. Dengan aplikasi Microsoft anda sendiri, hanya akaun dalam penyewa (tenant) anda boleh menggunakannya.
- Log masuk tunggal SAML dalam Gold. Sambungkan Microsoft Entra ID, Okta atau Google Workspace. Akaun pelajar boleh dicipta pada log masuk pertama, tetapi hanya bagi alamat pada domain e-mel organisasi anda. Kali pertama seseorang log masuk melalui SAML, kod dihantar melalui e-mel untuk mengesahkan pautan, sekali bagi setiap orang. Kaedah lain yang telah anda hidupkan kekal sebagai pilihan sandaran. Lihat pelan dan harga.
Bagi pentadbir terdapat perlindungan tambahan. Pentadbir boleh dihadkan kepada julat IP anda tanpa menjejaskan pelajar, dan sesi yang tidak aktif dilog keluar. Jika kaedah log masuk biasa anda terhenti, pentadbir masih boleh masuk dengan kod pemulihan yang dihantar ke e-mel mereka, dan laluan itu tidak boleh dimatikan. Menggantung akaun seseorang menghalang mereka daripada log masuk dengan serta-merta, dan Email History (sejarah e-mel) menunjukkan e-mel yang dihantar atau gagal dalam 30 hari lepas, tanpa menyimpan kandungan mesej atau kod. Terdapat butiran lanjut di halaman keselamatan kami.
Perkara utama
- Bagi pelajar yang jarang log masuk, kata laluan mewujudkan tetapan semula, penggunaan semula dan tiket tanpa menambah banyak perlindungan.
- Kod e-mel dan log masuk akaun kerja menghapuskan kata laluan; peti masuk atau akaun penyedia menjadi kunci, jadi lindunginya dengan pengesahan berbilang faktor.
- Kod sekali guna yang cepat tamat tempoh dan membenarkan sedikit percubaan menjadikan tekaan tidak praktikal, tetapi pengguna masih perlu tahu untuk tidak sekali-kali berkongsi kod.
- Rancang pemulihan pentadbir dan pemergian kakitangan sebelum anda menghidupkan kaedah log masuk.
- Tambah log masuk tunggal SAML apabila kakitangan anda berada dalam penyedia identiti pusat, dan kekalkan kod e-mel untuk semua yang lain.
Jika kata laluan ialah punca terbesar tiket sokongan latihan anda, lihat bagaimana log masuk tanpa kata laluan berfungsi dengan kakitangan anda sendiri. Mohon penilaian dan sediakan kaedah log masuk yang sesuai dengan organisasi anda.
