SSO 那道門關了，旁邊沒接 SSO 的窗還開著

大門關了，報價系統還認得他

假設有一家五十人的軟體公司，郵件、文件、程式碼平台都接了 SSO。業務主管 C 離職，IT 停用了他的身分帳號。可是 C 還用了一套帳號密碼登入的報價系統（方案太便宜，不含 SSO）、一套問卷工具，還有一個用公司帳號「以 Google 登入」授權過的名片 App。兩個月後，報價系統的紀錄裡出現了 C 帳號的登入。

先說清楚，這是示意情境，不是真實事件，公司與人物都是為了說明而設。導入 SSO 之後，很多公司以為只要在身分系統按一下停用，所有應用就一起關掉了；真正麻煩的，是那些不支援 SSO、要升級到企業方案才有 SSO，或員工授權過的第三方應用。

這篇要講的只有一件事：SSO 是一道門，不是整棟房子的牆。

窗戶開在哪裡

第一扇窗是沒接 SSO 的應用。停用身分帳號，對它沒有任何作用；它認的是自己那組帳號密碼。

第二扇窗是 OAuth 授權。員工授權給第三方應用的權限，會不會隨帳號停用而失效，要看各平台的設計，必須另外檢查。

第三個問題是只能靠記憶。哪些人用了哪些非 SSO 工具，往往只有使用者本人知道，人一走，這份記憶也跟著走。

最後是沒有軌跡。手動關了也常常沒留紀錄，稽核時拿不出證據，等於沒關。

這個示意情境裡，有哪些鑰匙沒收回

這是示意情境，沒有實際外洩；下表列的是離職者在 SSO 之外常留下的三把鑰匙。

三把鑰匙都不在身分平台的「停用」按鈕能管到的範圍裡。

能證明的、只能推論的

這篇是觀點文，情境是虛構的示意，情境裡的任何紀錄都不能當證據；能證明的只有 sources 裡官方文件可以核對的功能，情境中的狀態一律算推論。

不花錢就能做的流程

到這裡，其實已經足夠理解問題在哪。如果你關心的是流程怎麼補，下面五步可以照做；想直接動手，可以跳到「今天就可以來試試」。

第一步，盤點非 SSO 工具。 請每位部門主管列出「不是用公司 SSO 登入」的工具，每套指定一位擁有者，附上管理後台網址和「停用一個使用者」的步驟，匯整成一張「側窗清單 E-3Q」。

第二步，查第三方授權。 用 Google Workspace 或 Microsoft Entra 的第三方應用授權清單，看離職者授權過哪些應用；Entra 裡使用者同意的權限，記得要走 Graph API 或 PowerShell 撤銷。

第三步，離職流程加兩步。 一步是通知所有相關工具的擁有者，在期限內停用並回報；另一步是撤銷離職者的第三方授權。

第四步，每一筆都留證據。 執行人、時間、截圖，存在同一個資料夾。

第五步，逐步收斂。 常用而且重要的非 SSO 工具，評估升級到有 SSO 的方案，或換成支援 SSO 的替代品；暫時換不掉的，至少開兩步驟驗證。

什麼時候不需要買工具

非 SSO 工具只有十來套、擁有者明確的話，「擁有者清單加上離職通知」就足夠了。工具的價值，在於工具多到人記不住的時候。

真的要看工具，大致分三類。身分平台內建：上面提到的 Google Workspace、Microsoft Entra 第三方授權管理；Google 另有「變更密碼時自動撤銷 OAuth 2.0 token」的設定說明。密碼管理器：把非 SSO 工具的帳密集中存放，至少知道有哪些帳號，並且能輪換；開源的有 Bitwarden（原始碼公開）、KeePassXC（本機、無雲端），商用的有 1Password 等。商用 SaaS 管理平台：例如 1Password SaaS Manager（官網說會直接串接應用的 API、撤銷 OAuth 授權，API 不能用時派任務給擁有者）、Torii。

限制也要一起看：沒有 API 的應用，任何平台都只能「派任務給人」，還是要手動處理；OAuth 授權的可見度，取決於你用的身分平台和方案。選的時候看三件事：非 SSO 工具占比高，就先投資在清單和密碼管理；已經在用 Google Workspace 或 Entra，先把內建功能用滿；需要正式稽核證據時，才考慮有完整稽核軌跡的平台。

這篇提到的項目要花多少錢

原文沒有給出各方案的價差或工具牌價，表裡照實標成估算或未公開。

清單和擁有者幾乎不花錢；真正貴的是那筆不知道有沒有被匯出的報價資料。

你可以學到什麼

站在攻擊者那一側看，SSO 導入得越完整，大家越容易忘記旁邊的窗。他不必對付身分平台的兩步驟驗證，只要找到一套方案太便宜、只收帳號密碼的工具，再拿一組離職者用過、或在別處外洩過的密碼試一試。

揭露：本文未受任何廠商贊助，提及的產品僅為舉例。