管理安全性設定和安全性影響
Last update: Tue Mar 03 2026 00:00:00 GMT+0000 (Coordinated Universal Time)
具有安全性影響的管理角色
Adobe Learning Manager使用角色型存取控制(RBAC)模型。 下表將FedRAMP帳戶層對應至本檔案中參考的ALM角色：
頂層管理帳戶
管理員
完整的帳戶層級控制。 獨佔存取本檔案中描述的所有安全性相關設定。 這是使用「最上層管理帳戶」一詞時，在本指南中參照的角色。
有特殊許可權的帳戶（範圍）
自訂管理員
已委派範圍設定為特定功能、使用者群組或目錄的管理存取權。 除非明確授與，否則無法存取帳戶層級安全性設定。
有特殊許可權的帳戶（整合）
整合管理員
管理整合、API註冊和聯結器設定。 提升的許可權範圍設為整合管理。 無法修改其他帳戶層級安全性設定。
只有明確指派這些角色的使用者才能修改管理或安全性相關設定。 除非另有說明，否則管理員角色只能存取第3-7節中記錄的設定。
登入和驗證設定
登入與驗證設定可控制所有使用者（包括管理員）存取ALM平台的方式。 這些設定僅由管理員角色設定，對整個帳戶的安全性狀態有直接而重大的影響。
登入方法設定
位置： ALM管理員>設定>登入方法
管理員可控制用於所有內部和外部使用者的驗證方法。 選項包括：
- Adobe ID：使用者透過其個人Adobe帳戶進行驗證。 由Adobe管理，而非組織。
- 透過SAML 2.0的單一登入(SSO)：使用者透過組織的身分提供者(IdP)進行驗證。 組織可完全控制驗證、MFA和工作階段原則。
- Learning Manager識別碼：僅供外部使用者使用。 使用者會建立平台專屬的使用者名稱和密碼。
- 多個SSO組態：最多可以新增20個SSO組態以支援不同的使用者群組、地點或組織部門
Adobe ID
組織無法控制密碼原則、MFA或帳戶復原。 受到威脅的個人Adobe帳戶會授與ALM平台的存取權。
不建議管理員或內部使用者使用。 僅在SSO不可用時使用。
SSO (SAML 2.0 / Federated ID)
驗證完全由組織的IdP控制。 MFA、工作階段逾時和條件式存取原則會在IdP層級強制執行。 立即撤銷使用者離開。
建議給所有內部使用者和管理員。 提供最高級別的組織控制。
Learning Manager ID
使用者在組織的身分基礎結構之外自行管理密碼。 無法透過ALM強制執行MFA。 密碼強度取決於使用者行為。
僅外部使用者可接受。 不適用於員工或管理員。
如果內部使用者的登入方法設為Adobe ID，組織將無法強制執行多重驗證、控制密碼複雜性，或在使用者離開時立即撤銷存取權。 這會大幅增加未經授權存取的風險。
如需詳細資訊，請參閱自訂角色。
多重驗證(MFA)
位置： Adobe Admin Console >設定>隱私權與安全性>驗證設定
Adobe ID和 Enterprise ID 使用者的MFA強制實行是由Adobe Admin Console中的 系統管理員 所設定，而不是由ALM應用程式本身所設定。 對於 Federated ID / SSO 使用者，MFA會在組織的身分提供者強制執行。
- 強制的2FA：使用者無法停用兩步驟驗證。 提供強大的保護功能，防止認證遭竊及網路釣魚。
- 選擇性2FA：使用者選擇是否啟用兩步驟驗證。 安全性明顯降低。
- 未設定MFA：密碼本身可保護存取權。 高風險，特別是針對管理帳戶。
沒有強制性MFA的管理帳戶未經授權存取的風險大幅提高。 不含MFA的已洩漏管理員認證會授予完整的帳戶控制權，包括修改所有安全性設定的能力。
工作階段存留期和閒置逾時
位置： Adobe Admin Console >設定>隱私權與安全性>進階設定
系統管理員設定組織的最大作用中工作階段存留期與閒置工作階段逾時。 這些設定適用於所有使用者，包括管理員。
- 工作階段存留期上限：強制在定義期間後重新驗證，無論活動為何。 在工作階段受到損害時限制機會視窗。
- 最長閒置時間：終止已定義期間處於非使用中狀態的工作階段。 針對共用或未鎖定裝置上的自動驗證工作階段提供保護。
角色指派與許可權範圍設定
角色指派和許可權範圍設定會決定誰在ALM中擁有管理存取權，以及他們能做什麼。 這些是平台中影響最大的安全性設定之一。 只有管理員角色可以建立、指派、修改或撤銷管理角色。
管理角色指派
位置： ALM管理員>使用者>內部>動作>指派角色/移除角色
系統管理員可以授與或撤銷下列角色：
- 管理員：完整帳戶層級存取權
- 作者：內容建立存取權
- 自訂管理員：範圍的管理存取權（請參閱第4.2節）
- 整合管理員：整合與API存取（請參閱第7節）
正在授與系統管理員角色
完整的帳戶控制。 具有此角色的使用者可以修改此檔案中的所有設定，包括重新設定驗證及撤銷其他管理員的存取權。
僅指派給具有已驗證業務需求的最少使用者人數。 維護所有管理員角色持有者的書面清單。
無法在離開時撤銷角色
已離職的使用者保留對管理功能的存取權。 未經授權的存取、資料洩露或破壞的風險。
當使用者的僱用或管理職責變更時，立即移除角色。 執行定期存取檢閱。
過度指派廣泛的角色
廣泛的管理許可權會增加帳戶受損的潛在影響，並減少管理動作的責任。
套用最低許可權原則。 可能的話，偏好設定範圍的角色（例如自訂管理員）。
自訂管理角色設定
位置： ALM管理員>使用者>自訂角色>建立角色
套用 最低許可權 的原則。 使用 自訂管理員 角色來委派特定功能（請參閱第4.2節）。
管理員可以建立自訂角色，授與已定義的系統管理許可權子集。 自訂角色的範圍可以限定為特定使用者群組、目錄或功能集，以限制委派管理存取權的觸及範圍。
可用的許可權類別包括：
- 帳戶許可權：存取系統範圍設定，例如公告、gamification、技能和使用者管理。
- 功能許可權（核心）：目錄、報告和標籤的存取權。
- 功能許可權（學習物件）：存取課程、認證、學習路徑和工作輔助。
- 範圍：將角色限製為特定使用者群組和/或目錄。
建立過於廣泛的自訂角色
擁有過多許可權的自訂角色與完整管理員角色相比，幾乎無法提供安全性優勢，而且會增加已遭危害帳戶的爆炸半徑。
將自訂角色的範圍設定為特定函式所需的最小許可權集。 偏好目錄範圍和使用者群組範圍角色。
授與設定存取權給自訂管理員
具有「設定」存取權的自訂管理員可以修改登入方法、通知設定和其他帳戶層級的設定。
僅在明確需要時，才會將設定存取權授與自訂角色。 稽核定期擁有此許可權的自訂角色。
未稽核自訂角色指派
未記錄或未稽核的自訂角色可能會隨著時間累積，導致許可權潛變。
定期下載自訂角色報告（使用者>自訂角色>下載），並檢閱所有作用中的自訂角色指派。
使用者布建與存取管理設定
使用者布建設定可控制如何將使用者新增至平台、使用者保持作用中狀態的時間以及移除其資料的時間。 這些設定僅由管理員角色設定，對資料曝光和存取控制有直接的安全性影響。
非使用中的使用者自動刪除
ALM管理員>設定>一般
若不自動刪除，非作用中的帳戶會累積。 休眠帳戶是未獲授權存取的常見目標，因為它們可能會不受監視。
啟用。 設定與組織原則一致的保留期間（例如90天未活動）。
外部使用者設定檔到期日
ALM管理員>使用者>外部>新增設定檔
沒有到期日的外部使用者設定檔仍可無限期存取。 不再需要存取的合作夥伴或承包商，可保留有效的進入點。
建立時，為每個外部使用者設定檔設定到期日期。
自我註冊連結控制項
ALM管理員>使用者>內部>新增>自助註冊
自助註冊連結可讓任何具有URL的使用者建立學習者帳戶。 如果未受管理，可能會導致未經授權或意外的使用者取得平台存取權。
僅在需要時產生自行註冊連結。 立即停用或撤銷未使用的連結。
外部設定檔暫停/繼續
ALM管理員>使用者>外部>動作>暫停
暫停外部設定檔可防止新使用者註冊，但不會影響已註冊的使用者。 無法暫停非作用中的外部設定檔可能會允許意外的註冊。
不再需要註冊時暫停外部設定檔。 刪除永久不使用的設定檔。
使用者刪除和清除
ALM管理員>使用者>內部>動作>刪除/使用者清除>永久刪除
已刪除的使用者會停用，但會保留其資料。 永久清除會移除所有使用者資料。 若未永久刪除離職的使用者，可能會保留超過規定保留期的敏感學習記錄和PII。
根據組織資料保留和隱私權政策清除使用者記錄。 清除是不可逆的。
永久刪除是永久且不可逆的。 所有學習記錄、註冊資料和使用者資訊都會被刪除。 如果聯結器設定中參照了已清除的使用者，這些聯結器將會停用。 在執行清除之前，請仔細確認選取專案。
報表與資料存取設定
報告和資料存取設定決定哪些使用者可以檢視、產生和匯出平台資料。 若這些設定設定設定錯誤，可能會導致敏感個人、組織或法規遵循相關資訊的洩露。
授與自訂角色的報表存取權
ALM管理員>使用者>自訂角色>功能許可權>報表
報表可能包含個人識別資訊(PII)、課程完成資料、評估分數和學習者進度。 報表功能的存取權應限制於具有已驗證業務需求的使用者。
僅將報表存取權授予具有特定檔案需求的角色。 在不需要寫入存取的情況下，使用唯讀存取權。
完全控制與唯讀報告範圍
ALM管理員>使用者>自訂角色>帳戶摘要報表
帳戶摘要報表的完整控制可授予所有使用者群組和目錄的自訂管理員可見度，無論其角色範圍為何。 這可能會公開領域設定管理員角色預期範圍以外的資料。
僅將帳戶摘要報表的完整控制授權給真正需要組織範圍報表可見度的角色。
xAPI與電子郵件報告存取權
ALM管理員>使用者>自訂角色
xAPI報表和電子郵件報表僅供完整版管理員角色使用。 這些報表可能包含詳細的行為和通訊資料。 存取受設計限制。
請勿嘗試透過自訂角色委派xAPI或電子郵件報表存取權。 這些依據設計是僅限管理員使用的。
已匯出使用者資料
ALM管理員>使用者>內部>匯出使用者資料
Export User Data函式會產生包含所有內部使用者記錄的可下載檔案。 必須根據組織安全性和隱私權原則處理此資料。
限制授權人員的匯出能力。 將匯出的資料視為敏感資料。 請勿在核准的系統外儲存或傳輸。
整合與API存取設定
整合和API存取設定可控制外部系統如何連線至Adobe Learning Manager。 這些設定會將存取權擴展到ALM使用者介面之外，如果設定錯誤，可能會將平台資料和功能公開給未經授權的系統。 整合設定是由整合管理員角色管理。 完整的管理員角色保留檢閱、核准和撤銷已註冊應用程式的功能。
API應用程式註冊
整合管理員>應用程式>註冊
註冊應用程式會建立OAuth 2.0憑證（使用者端ID和密碼），這些憑證可用來以程式設計方式存取ALM資料和函式。 過於寬泛的OAuth範圍（例如管理員角色讀取/寫入）可授予完整管理API存取權。
授予最低要求的OAuth範圍。 定期檢閱和撤銷未使用或舊版應用程式註冊。 將使用者端憑證視為敏感密碼。
OAuth應用程式範圍
整合管理員>應用程式>註冊>範圍
可用的OAuth範圍介於學習者讀取存取權與管理員讀取/寫入存取權之間。 管理員角色讀取/寫入可讓應用程式修改管理員可修改的任何資料，包括使用者角色和安全性設定。
使用符合整合需求的最嚴格OAuth範圍。 除非絕對必要，否則絕對不要授予管理員角色讀取/寫入許可權。
聯結器設定(FTP、Salesforce、HRIS等)
整合管理員>聯結器
聯結器可自動匯入和匯出使用者資料、技能及課程完成。 設定錯誤的聯結器可能會匯入錯誤的使用者資料、指派非預期的角色，或匯出敏感資料至未經授權的目的地。
定期檢閱所有作用中的聯結器組態。 確保資料來源和目的地已獲得授權。 停用不再使用的聯結器。
Webhook設定
整合管理員> Webhooks
Webhook會將即時ALM事件資料（註冊、完成、使用者變更）傳送至指定的外部URL。 設定錯誤或受到侵害的webhook端點可能會導致資料外洩或敏感學習者事件曝光。
僅註冊經過驗證、組織核准的webhook URL。 定期檢閱作用中的webhook設定。 立即移除非作用中或無法辨識的Webhook。
LTI整合組態
整合管理員> LTI整合
LTI整合可讓ALM充當LTI提供者或消費者，讓外部LMS平台能夠存取ALM課程。 LTI一經啟用即無法停用。 公開的LTI憑證可能會允許未經授權存取課程內容。
只有在經驗證的整合需求存在時才啟用LTI。 將LTI認證視為機密認證。 僅與授權的LMS管理員共用認證。
管理組態職責與共用職責
Adobe Learning Manager中的管理設定可由客戶設定，且屬於Adobe分擔責任模式下客戶管理之安全性控制的一部分。
ALM平台與基礎基礎建設的安全運作。
所有管理角色和許可權的設定。
強制角色型存取控制(RBAC)模型。
選取並強制實施適當的登入方法和MFA。
有關Adobe Learning Manager安全性實務的其他資訊，請參閱：
參考資料： Adobe Learning Manager安全性總覽(PDF)
檔案維護
此檔案可能會定期更新，以反映Adobe Learning Manager功能或安全性指引中的變更。 版本和上次更新日期會保留在檔案中繼資料和FedRAMP授權套件中。 客戶應該參考Adobe Experience League上公開可用的版本，以確保他們使用最新的指引。
d5e5961a-141b-4c77-820e-8453ddef913d