# 單一簽入系統轉版 CAS 與校務資料 API 平台

客戶：國立中興大學
更新：2026-11-02

舊目錄服務汰換成 Apereo CAS 與 OpenLDAP 叢集，已整合的系統不中斷；教職員工生異動改由 API 平台統一提供。結案後由頡亨承接年度維運。

## 背景

中興大學原有的單一簽入系統以舊版目錄服務為基礎，校內教務、學務、郵件、圖書館等多套系統接在上面，有的走 OAuth2，有的只能用代登方式登入。學校希望換成開源、可長期維護的認證架構，同時把教職員工生的異動資料整理成統一出口，讓各系統不必各自去校務資料庫撈資料。

## 要解決的問題

- 舊單簽系統要汰換，但已整合的系統不能因為轉版而中斷登入。
- 各系統的認證方式不一致，部分系統短期內無法改程式。
- 教職員到離職、學生入學畢業的資料，各系統各自同步，欄位與時間點不一致。
- 認證與資料存取需要符合學校資安規範：登入失敗鎖定、日誌保存、傳輸加密。

## 頡亨做了什麼

**身分認證。** 建置 Apereo CAS 認證主機，搭配 OpenLDAP 叢集、Redis 工作階段與 MongoDB 日誌庫，前端以負載平衡分流。同時支援 CAS、OAuth2 與 SAML，原本走 OAuth2 的系統直接移轉，舊系統暫時維持代登，各單位依自己的時程改接。

**帳號資料轉移。** 把舊目錄服務的使用者帳號與屬性整理後轉入新的 LDAP，並寫排程程式定期把人事與學籍異動寫入 LDAP，帳號狀態跟著校務資料走。

**Portal 入口網。** 依學生、教師、職員身分顯示不同系統選單，提供我的最愛、公告、登入紀錄與單一登出；閒置自動登出、登入失敗鎖定依學校資安規範設定。

**密碼管理平台。** 使用者可自行重設與變更密碼、查詢變更紀錄；管理者可設定密碼原則、授權範圍與到期提醒。

**校務資料 API 平台。** 建立獨立資料庫與 API 管理平台，定期同步人事與學籍異動，高峰期每小時一次。每個介接系統依核准的欄位取得資料，以授權 token 與 IP 控管，呼叫紀錄全部保存。

## 成果

- 已整合單簽的系統移到新認證平台，舊系統以代登過渡，轉版期間維持可登入。
- 教職員工生異動資料改由 API 平台統一提供，各系統依授權欄位取用。
- 認證、密碼變更與 API 呼叫都有日誌可查，依資安要求保存。
- 結案後進入保固，並持續承接 CAS、Portal 與 API 三套系統的年度維護。

## 維運方式

年度維護分 CAS 認證、Portal、API 三項，包含問題處理、版本更新與資安修補。

## 對企業客戶的意義

對企業來說，這個案例對應的是「人員資料只維護一次，各系統帳號與權限自動跟著到離職走」。