學校怎麼強制開啟兩步驟驗證：排除學生 OU 與管理員救援

為什麼學校會需要處理這件事

三種情況會讓這題浮上檯面：資安稽核要求檢視校內帳號的登入保護、Google 對超級管理員帳號預設要求兩步驟驗證（這一塊多半沒有選擇餘地），以及發生過釣魚信、有帳號被冒用寄信。校內帳號被釣走的代價不只是一個信箱，是學生個資、成績、行政文件跟著曝險。

但學校跟公司不一樣：這裡有一大群未成年、不一定配發手機的學生帳號。整批強制開下去，最常見的結果是隔天一早學生全部卡在登入畫面，加上一兩位設定失敗的老師，資訊組電話被打爆。所以真正要處理的不是「開不開」，是怎麼只鎖該鎖的人，而且不把自己也鎖在外面。

動手前先確認機構單位（OU）結構

兩步驟驗證的設定是跟著機構單位與設定群組走的。開始之前先確認：

• 教職員與學生分屬不同機構單位。如果目前全部混在同一個 OU 底下，要先把學生搬到獨立的子 OU，否則沒辦法分開套用。學生升年級時的 OU 搬移，整理在帳號生命週期管理。
• 記住這個順序：子機構單位的兩步驟驗證政策，一律優先於設定群組。其他設定通常是「群組覆蓋機構單位」，兩步驟驗證是反過來的。之後如果你想用群組把某些人排除在強制之外，但他們所屬的子 OU 還在強制，他們仍然會被強制。
• 先想好一個「緊急排除」設定群組，裡面只放一兩個管理員帳號，永遠不套用強制。這是全校鎖上之後，管理員還能登入的備援。

正確的推行順序：先允許，再強制

設定位置在管理主控台 › 安全性 › 驗證 › 兩步驟驗證。不要一次就切到強制，照這個順序走：

• 1. 通知：先發信告訴教職員接下來要開兩步驟驗證、時程、怎麼設定。
• 2. 允許：勾選「允許使用者開啟兩步驟驗證」，Enforcement（強制執行）維持關閉。這時願意的人可以先設，還沒設的人不受影響。
• 3. 追蹤：在「Reporting › User Reports › Security」看每個使用者的即時兩步驟驗證狀態，掌握還有誰沒設。
• 4. 強制：等大多數人設好，再把 Enforcement 改成開啟，或用「自指定日期起開始強制執行」排一個緩衝日期。
• 5. 新使用者註冊寬限期：可設 1 天到 6 個月。新建立的帳號在寬限期內可只用密碼登入，先完成到職設定，之後才套強制。開學前大量建教職員帳號時，這一項務必先開。

怎麼只強制教職員、放過學生

把設定套用到教職員機構單位、Enforcement 開啟；學生機構單位維持關閉（或明確設為不強制）。因為子 OU 政策優先於群組，所以只要學生的子 OU 沒有被上層連帶開到強制，學生端就不會受影響。設定完後，用一個學生測試帳號實際登入一次確認，不要只看設定畫面。

防鎖死：三道保險

• 排除設定群組：建一個群組，把還沒完成設定的人放進去、Enforcement 設關閉，給他們一段緩衝期慢慢設，不會在強制日當天被擋。
• 備用驗證碼：管理員可在「目錄 › 使用者 › 選使用者 › 安全性」為單一使用者產生一組備用驗證碼。老師手機不見、被鎖在外面時，用這組碼登入、再重新綁定新的驗證方式。
• 管理員自己先備妥兩種方式：你和另一位管理員各綁定至少兩種驗證方式（例如 Google 提示加上實體安全金鑰或驗證器 App），並各自印一份備用驗證碼離線保管。

上線前一定要做的一件事

先確認「唯一的管理員被鎖在門外」這個情況不會發生。全校強制上線後最怕的就是管理員自己登不進去，連救別人的權限都沒有。做法是：至少兩位管理員、每人兩種驗證方式、每人一份離線備用碼，再加上那個只放管理員的緊急排除群組。這件事花不到十分鐘，卻是整個計畫最不能省的一步。相關的事件通報流程，見校園資安事件通報與處理流程。

要導入或盤點校內 Google 帳號安全設定？

從機構單位結構到兩步驟驗證推行，我們陪學校一起走完。