背景

中興大學原有的單一簽入系統以舊版目錄服務為基礎，校內教務、學務、郵件、圖書館等多套系統接在上面，有的走 OAuth2，有的只能用代登方式登入。學校希望換成開源、可長期維護的認證架構，同時把教職員工生的異動資料整理成統一出口，讓各系統不必各自去校務資料庫撈資料。

要解決的問題

  • 舊單簽系統要汰換，但已整合的系統不能因為轉版而中斷登入。
  • 各系統的認證方式不一致，部分系統短期內無法改程式。
  • 教職員到離職、學生入學畢業的資料，各系統各自同步，欄位與時間點不一致。
  • 認證與資料存取需要符合學校資安規範：登入失敗鎖定、日誌保存、傳輸加密。

頡亨做了什麼

身分認證。 建置 Apereo CAS 認證主機，搭配 OpenLDAP 叢集、Redis 工作階段與 MongoDB 日誌庫，前端以負載平衡分流。同時支援 CAS、OAuth2 與 SAML，原本走 OAuth2 的系統直接移轉，舊系統暫時維持代登，各單位依自己的時程改接。

帳號資料轉移。 把舊目錄服務的使用者帳號與屬性整理後轉入新的 LDAP，並寫排程程式定期把人事與學籍異動寫入 LDAP，帳號狀態跟著校務資料走。

Portal 入口網。 依學生、教師、職員身分顯示不同系統選單，提供我的最愛、公告、登入紀錄與單一登出；閒置自動登出、登入失敗鎖定依學校資安規範設定。

密碼管理平台。 使用者可自行重設與變更密碼、查詢變更紀錄；管理者可設定密碼原則、授權範圍與到期提醒。

校務資料 API 平台。 建立獨立資料庫與 API 管理平台，定期同步人事與學籍異動，高峰期每小時一次。每個介接系統依核准的欄位取得資料，以授權 token 與 IP 控管，呼叫紀錄全部保存。

成果

  • 已整合單簽的系統移到新認證平台，舊系統以代登過渡，轉版期間維持可登入。
  • 教職員工生異動資料改由 API 平台統一提供，各系統依授權欄位取用。
  • 認證、密碼變更與 API 呼叫都有日誌可查，依資安要求保存。
  • 結案後進入保固，並持續承接 CAS、Portal 與 API 三套系統的年度維護。

維運方式

年度維護分 CAS 認證、Portal、API 三項，包含問題處理、版本更新與資安修補。

對企業客戶的意義

對企業來說，這個案例對應的是「人員資料只維護一次，各系統帳號與權限自動跟著到離職走」。

最後更新：2026-11-02