什麼是 SSO 軟體？台灣買家實用名詞解析

SSO 與 MFA、IAM、IGA、PAM、CIAM 的詞彙交疊，在台灣 RFP 與廠商簡報中時常被混用，導致購買過度或不足。本名詞解析整理台灣買家在簽約前該掌握的核心觀念：SSO 是什麼、與 MFA、IAM 等的關係，以及個資法、金管會環境下的意義。目的不是教身分工程，而是讓採購會議的對話更精確。

本指南架構

• SSO 的核心定義
• MFA 與自適應 MFA
• 聯邦化、SAML、OIDC 與底層協定
• SCIM 與生命週期自動化
• IAM、IGA、PAM、CIAM 的關係
• 員工身分與客戶身分
• 驗證 vs 授權
• JIT 存取與零持有特權 (ZSP)
• 台灣採購中常見的在地用語
• SSO 採購常見迷思

SSO 的核心定義

SSO 是使用者於身分提供者 (IdP) 登入一次後，可在多個下游應用程式不再驗證的驗證模式。IdP 發出 SAML 斷言或 OIDC 權杖，下游應用信任之。對台灣買家而言，實際效果是「一處」決定誰已登入，這一處同時是 MFA 強制、會話時長設定與離職者撤權的瓶頸。SSO 不是單一功能，而是讓 MFA、稽核、離職管理保持一致的框架。

MFA 與自適應 MFA

MFA 是要求兩種或以上要素的存取控制。要素分為知道（密碼）、擁有（硬體金鑰、驗證 app）、生物（指紋、人臉）。個資法、金管會電子銀行業務安全控管基準也將含個資系統的 MFA 視為實質必要。SMS 作為主要因素的接受度持續下降。自適應 MFA 則依裝置狀態、IP、風險評分等訊號動態調整挑戰強度 — Entra ID 為 P2 的 Identity Protection、Okta 為 Adaptive MFA／Identity Threat Protection、JumpCloud 為 Conditional Policies。標籤不重要，重要的是評估哪些訊號與 step-up 呈現方式。

聯邦化、SAML、OIDC 與底層協定

聯邦化是一個身分網域信任另一個的實踐。企業與 SaaS 之間的 SSO 即為聯邦化。SAML 2.0 為 XML 基礎的傳統標準，常見於企業 SaaS；OIDC 為 JWT 基礎的現代標準，常見於新 app 與 mobile。多數現代 SaaS 支援其中之一或兩者，SSO 專案的真正工作不在協定設計，而在每個 app 的正確設定（IdP metadata、屬性映射、首次登入流程）。

SCIM 與生命週期自動化

SCIM 是在 IdP 與下游 SaaS 之間自動化建立、更新、刪除使用者的協定。SAML/OIDC 處理驗證，SCIM 處理身分佈建。當 HRIS 事件透過 IdP 流向 SaaS 時，SCIM 是說「請停用此帳號」的信使。並非所有 SaaS 都支援 SCIM —— 台灣本地的 104 HRD、銓鋐 HRplus、漢康 HR、本地會計 ERP 常無支援。沒有 SCIM 時可用指令稿補救、廠商客製或人工 deprovisioning 加補償控制。簽約前確認 Top 20 應用的 SCIM 支援。

IAM、IGA、PAM、CIAM 的關係

IAM 是涵蓋身分、驗證、授權與生命週期的傘狀領域。SSO 是 IAM 的一項能力。IGA 處理權限檢視、access certification、職能分離；PAM 處理特權帳號（金鑰庫、會話錄影、JIT）；CIAM 處理客戶身分（註冊、客戶 MFA、同意管理）。在台灣金融、電信、公部門，這四個領域常以不同 SKU、不同工具運營，光靠 SSO 一項不會全部解決。Okta、Microsoft、Ping 均提供 IAM+IGA+CIAM 系列，PAM 則以 CyberArk、BeyondTrust 為主。

員工身分與客戶身分

員工身分為員工、外包、合作夥伴；客戶身分為註冊消費者、企業買家、政府入口的公民。兩者在規模、品牌、同意要求上差異極大。CIAM 處理逐步資料蒐集、行銷同意、品牌化登入流程；員工身分處理 HR 整合、RBAC、管理稽核。多數主要廠商兩者皆有，但 SKU 與參考架構不同。把兩者當同一專案是台灣中型市場常見錯誤 —— 特別是同時有員工與終端使用者的金融科技公司。

驗證 vs 授權

驗證確認使用者是誰，授權決定能做什麼。SSO 屬驗證；授權由 SaaS 角色模型、平台策略引擎 (Conditional Access、Adaptive MFA、PingAccess) 或獨立授權服務處理。台灣買家在 PoC 中常見「SSO 通了但權限錯了」事故 —— 評估時必須確認角色與群組屬性如何傳給下游 app、下游如何消費。

JIT 存取與零持有特權 (ZSP)

JIT 是有需要時才短時授予提升權限，ZSP 是預設不持有 admin 權限。金管會檢查日益強調特權治理，JIT 與 ZSP 逐漸成為 PAM 的標準要求。單靠 SSO 不夠，需與 PIM/PAM 結合。Microsoft Entra ID Privileged Identity Management 在 Microsoft 環境最常見；CyberArk、BeyondTrust 適合混合架構。

台灣採購中常見的在地用語

RFP 常見的在地用語包括個人資料保護法、金管會電子銀行業務安全控管基準、金融機構作業委託他人處理規範、資通安全管理法（公部門）、政府資料分類分級。SSO 廠商應能就資料保存區域、台灣公司登記、繁體中文支援、ISO 27001 對應對答。台灣身分驗證輔助工具如 TWCA 憑證、自然人憑證、行動電信 OTP，本身不是 SSO，但常作為 KYC 或高風險 MFA 復原的補強身分證明。確認你的 SSO 平台能否原生或透過 broker 整合這些。

SSO 採購常見迷思

迷思一：「有了 MFA 就不需要 SSO」 —— 各 app 分散 MFA 仍留下離職與稽核缺口。迷思二：「SSO 第一日就能涵蓋所有 SaaS」 —— 30–50 個應用可乾淨整合，但 5–15 個需客製工作數週。迷思三：「Entra ID Free 足以滿足個資法」 —— 無 Conditional Access（P1）或 Identity Protection（P2）就無法施行風險基礎或每應用 MFA。迷思四：「SSO 是一次性專案」 —— 是長期運維承諾，每新 SaaS、HRIS 更換、MFA 輪替皆回到平台。

深入了解各產品

從名詞到實際採購的橋接

兩個實用橋接：請廠商把所提平台對映 IAM/IGA/PAM/CIAM 四象限，並指出每個能力對應的 SKU —— 避免討論在學科間漂移，使每項能力成本透明。並請廠商提供書面個資法／金管會／公部門對應表，涵蓋資料區域、MFA 強度、生命週期自動化、稽核保存、DPO 匯出格式。能依需求提供這兩份表格的廠商，通常能與台灣稽核週期順暢搭配。