LMS 学员无密码登录

一年只登录一次 LMS 做合规复训的人，永远记不住自己的密码。于是他们点“忘记密码”，等邮件，编一个又会忘记的新密码，或者干脆放弃并提交工单。无密码登录彻底去掉了密码。本指南介绍它的工作原理、安全取舍真正在哪里，以及何时值得在其之上再添加 SAML 单点登录。

为什么密码对偶尔登录的学员不管用

密码最适合人们每天使用的系统。而培训平台往往恰恰相反：人们在被报名、收到提醒或证书即将过期时才会登录。

这会带来一系列可预见的问题：

忘记密码。 两次登录相隔数月，许多学员一上来就要先重置，而且往往就在培训到期当天。
重复使用。 记不住又一个密码的人会重用别处的密码。如果那个网站被攻破，同样的邮箱和密码就可能被拿来试您的 LMS。
变通办法。 严格的密码规则导致密码被写在便利贴上，或采用每次加一个数字之类可预测的变化。
支持负担。 每一次锁定和重置，都是给您的服务台或 L&D 团队增加一张工单。

还有一个不太起眼的问题。大多数密码系统都允许人们通过邮件重置密码，这意味着收件箱早已掌控着账户。密码是人们会忘记的部分，而不是真正起保护作用的部分。无密码登录只是把这一点挑明了。

无密码登录的工作原理

邮件一次性验证码

学员输入其邮箱地址。
LMS 生成一个简短的随机验证码并通过邮件发送给他们。
学员输入验证码，LMS 进行校验。

设计良好的验证码只能使用一次，几分钟内过期，并且在几次错误尝试后失效。不需要记忆任何东西，不会与其他网站重复使用，也没有密码可泄露。

有些系统发送的是登录链接而不是验证码。当用户在手机上读邮件、却要在工作电脑上登录时，验证码更方便，因为他们只需把验证码敲进去即可。

Google、Microsoft 或 LinkedIn 账户

通过“使用……登录”按钮，LMS 使用 OAuth 2.0 和 OpenID Connect 等标准协议，把登录交给提供商处理。提供商核实用户身份（包括其账户上的任何两步验证），并告知 LMS 用户是谁及其已验证的邮箱地址。LMS 永远看不到他们的密码。

这适合每天已经登录 Microsoft 365 或 Google Workspace 的员工：一键即可进入。

坦率谈谈安全取舍

无密码登录并非魔法。它把信任转移到了别处，您应该清楚转移到了哪里。

方式	由什么保护账户	需要留意什么
密码	学员记住的内容	重复使用、弱密码，以及无论如何都要通过邮件重置
邮件验证码	对学员收件箱的访问权	邮箱被攻破，意味着 LMS 账户被攻破
Google、Microsoft 或 LinkedIn	提供商账户及其两步验证	个人账户不在您的掌控之下
SAML 单点登录	您的身份提供商及其策略	设置工作量，以及依赖提供商保持可用

几点值得了解的细节：

邮箱账户最重要。 任何能读取学员邮件的人，都能以该学员的身份登录。对工作邮箱启用多重身份验证，比任何密码规则都更有助于 LMS 的安全。
过期和有限次数的尝试可防止猜测。 六位数验证码有大约一百万种可能的取值，因此三次尝试只给猜测者百万分之几的机会，而且每个验证码只存活几分钟。对验证码请求频率的限制会进一步拖慢攻击。
验证码仍可能被钓鱼。 假的登录页面可以索要验证码并立即使用。请教育用户只在您 LMS 的真实地址上输入验证码，并告诉他们，任何人（包括支持人员）都绝不会向他们索要验证码。
共享邮箱会削弱您的记录。 如果多人可以读取同一个收件箱，其中任何一人都可以冒用邮箱所有者的身份登录。每位学员需要有自己的邮箱地址，培训记录才有意义。
离职人员需要在所有地方移除。 个人的 Google 或 LinkedIn 账户不会因为人员离职而消失。请在离职流程中在 LMS 里暂停或归档他们，而不只是在您的目录中处理。
邮件投递是系统的一部分。 落入垃圾邮件或延迟到达的验证码会导致登录失败。请让 IT 部门在邮件过滤器中放行 LMS 发出的邮件。

在需要之前先规划好恢复

使用无密码登录后，“忘记密码”的工单基本消失了。常见的支持问题变成“我没收到验证码”，而答案几乎总是检查垃圾邮件文件夹、确认地址并重新获取验证码。

管理员需要更多考虑。如果您依赖单点登录，而身份提供商发生故障，或某项设置被误改，您需要一条不依赖出问题环节的入口。良好的做法是：

至少保留两名管理员，这样一个人失去访问权限时不会把整个组织锁在外面。
确保管理员有一条不依赖身份提供商的恢复途径。
在真正需要之前，先冷静地试用一次这条恢复途径，别等到糟糕的一天。
如果您将管理员限制在办公室 IP 范围内，请确认远程办公的管理员将如何进入。

何时添加 SAML 单点登录

邮箱验证码和社交账户登录适合大多数学员。在以下情况下，值得添加 SAML 单点登录：

您的员工已在 Microsoft Entra ID、Okta 或 Google Workspace 中统一管理。
您希望身份提供商的多重身份验证和访问策略同样适用于培训。
您希望人员在目录中一被停用就立即失去访问权限。
安全审查或客户问卷要求提供单点登录。

如果许多学员不在您的目录之内，例如承包商、志愿者、客户或其他组织的员工，那它就不是完整的答案。这种情况下，对您自己的员工使用 SSO，对其他人保留邮箱验证码。我们在 LMS 的单点登录中更详细地介绍了设置方法。

Acadenix 如何实现

Acadenix 完全没有密码。人们通过以下方式之一登录：

邮箱验证码。 用户输入邮箱并收到一个六位数验证码。验证码仅可使用一次，有效期五分钟，三次输错后失效。请求验证码过于频繁时，系统会要求您等待。
Google、Microsoft 和 LinkedIn。 每种方式都可在 Settings → Authentication（设置 → 身份验证）中开启或关闭，并且可限制为特定的已验证邮箱域名。在保存更改之前，您会看到它会影响多少人和多少会话。
您自己的登录应用。 组织可以使用自己的 Google、Microsoft 或 LinkedIn 应用。使用您自己的 Microsoft 应用时，只有您租户中的账户可以使用它。
Gold 套餐的 SAML 单点登录。 连接 Microsoft Entra ID、Okta 或 Google Workspace。学员账户可以在首次登录时创建，但仅限属于您组织邮箱域名的地址。人们首次通过 SAML 登录时，系统会通过邮件发送验证码以确认关联，每人一次。您开启的其他方式仍可作为备用。请参阅套餐与价格。

对于管理员，还有额外的保护措施。可以将管理员限制在您的 IP 范围内，而不影响学员，空闲会话会自动退出登录。如果您常用的登录方式失效，管理员仍可使用发送到其邮箱的恢复验证码登录，且该途径无法关闭。暂停某人的账户会立即阻止其登录，而 Email History（邮件历史）会显示过去 30 天内哪些邮件已发送或失败，且不保留邮件内容或验证码。更多详情请见我们的安全页面。