選對登入架構，
再決定投入多少。

先說明這份附篇的用途

現行主手冊採 Jamf Connect Login＋Self Service+＋FileVault 登入接續：Google 驗證用於首次登入；正常冷開機先驗證本機密碼，進入桌面後再檢查及更新 Google 密碼。本篇另外規劃 Apple PSSO＋相容的 IdP 擴充 App＋Jamf Pro，其中 Google 需要 Twocanoes Xpsso 等橋接整合，或自行開發。J01 J02 A05

**只用 macOS 內建功能、MDM 描述檔與 Jamf Pro，沒有相容擴充 App，不能直接完成 Google PSSO。**PSSO 是 Apple 框架；Jamf Pro 是部署管理工具；Google 支援 OIDC，並不等於 Google 提供完整 PSSO 實作。此限制不代表 ADE 首次設定不能用 PSSO；相容整合可從首次 Setup Assistant 開始接手。A05 J27 G10

本公司的建議決策

**先辨認 IdP。**以下「先驗收 Connect」適用於公司目前的 Google 路線。若本來使用 O365／Entra，且要求同密碼與 FileVault 當下線上驗證，優先評估 PSSO Password＋Company Portal 官方擴充＋Jamf Pro；不需要先部署 Google 原方案。完整選型與政策表另列。

目前接受「先進桌面、再檢查與同步」，且不強制每次開機 Google Prompt，因此現行 Connect 可先完成試點。PSSO 另開測試 Scope；只有在相同七種情境、FileVault、新舊密碼及復原案例通過後，才決定替換。

**Jamf Pro 可以保留。**若改採完整 PSSO 建帳與 Password 同步，應明確指定 PSSO 為密碼管理責任元件，規劃停用原有 Connect Login 介入及 Self Service+ 的密碼同步設定。Self Service+ 的軟體入口等其他用途可另行保留。是否共存必須依特定 IdP／版本的原廠文件驗證，不能把其他 IdP 的共存方式直接套用到 Google。

支援清單如何閱讀

下表列的是本次查核到、具供應商文件且與 Jamf 選型相關的整合，不是全市場完整名單，也不是 Apple 替所有功能提供相同保證。查核版本 11.32（2026-09-22），current 文件列出 Okta、Microsoft Entra ID、Ping Identity；三者都需要相應 App／服務。J27

Apple 功能版本不是產品支援證明

來源：A05 A04 J27。Apple Password、OpenID、UserSecureEnclaveKey 是不同方法；不可把其參數混在一起就當成完整支援。特別是 Password 登入政策與 web-based 流程，需要分別依當版文件核對。

Google 橋接方案的元件責任

這是元件分工圖，不代表每次登入都會依序執行全部元件。OIDC 回傳身分權杖，不會把 Google 新密碼提供給應用程式下載；LDAP 帳密驗證成功也不能當成已完成 Google 手機提示的證據。G10 G01 X02

開工前必填

1. 測試 Mac 的晶片、macOS 版本與 build、是否允許清除重裝、ADE 指派與測試 OU。
2. Jamf Pro 版本、PreStage 名稱、獨立 Scope、管理員與 PRK 取用流程。
3. Google 方案的 Secure LDAP 資格、OIDC 應用程式、redirect URI、測試帳號、MFA 政策。
4. 選定 Xpsso App／service 版本或原始碼 commit；若自編，確認 Apple Developer 團隊、簽署與公證流程。
5. 橋接服務 FQDN、可信 TLS、DNS、Associated Domains、金鑰／註冊資料儲存、備份與還原方式。
6. Google OIDC／LDAP 連線所需端點；FileVault 前的網路能否到達橋接服務及所需端點。
7. 選定 Password 同步或 Secure Enclave 方法；確認誰管理本機密碼，以及每次開機是否強制 MFA。
8. 既有 Connect／Self Service+ 設定與回復副本；不在正式員工 Scope 混裝試驗。

Xpsso 官方要求服務、公開 DNS／可信 TLS、OIDC 與 LDAP；LDAP 憑證位於橋接服務端，這與現行 Self Service+ 在 Mac 端使用 LDAP 憑證的路線不同。機密只存公司受控系統，不填入本網站或下載表。X02 J02

故障與網路邊界

桌面上可用的 VPN、802.1X 或 network relay，不能直接當成 FileVault 前也可用。已知網路、USB 網卡及 Wi-Fi 型態要逐一測試；各 IdP 文件可能另有限制。AttemptAuthentication、RequireAuthentication 與離線寬限必須有核准政策，不能看到 Require 就在正式群組直接啟用。A05 I03

若允許本機離線 fallback，就必須接受：Google 改密碼或帳號停權不能立即撤銷離線 Mac 的存取。若要求每次都線上驗證，就必須驗收橋接服務、Google 或網路故障時的拒絕與復原行為。

架構原稿：SVG 向量圖 · 3,840 px PNG · 可編輯 SVG。

採購與版本確認

Twocanoes 將 Xpsso 列為 XCreds 包含的功能，但使用獨立 App／service。Xpsso 的 1.0 版本頁與 XCreds 6.0 PRE-BETA 是不同產品版本，不得混用支援判定。X01 X04

查核時 XCreds 產品頁的小型組織方案為 US$600 起、最多 200 台、含一年基本支援、額外每台 US$3；企業／政府方案為 US$3,000 起、最多 1,000 台、含一年進階支援、額外每台 US$3。不是買 10 台就一定只付 US$30。採購前確認 Xpsso 使用權、支援範圍、續約、授權到期的行為及稅金；不得套用舊搜尋快取的 100 台起購門檻。X05

以規劃匯率 NT$32／US$ 試算，小型方案軟體起價約 NT$19,200，企業／政府方案約 NT$96,000；此數字不含公司部署人力、主機、Google／Jamf 訂閱與測試成本，也不是即期匯率報價。

建置順序與每一步的通過條件

部署入口：Jamf Pro → Computers → PreStage Enrollments → General → Enable Simplified Setup for Platform Single Sign-on；App 放入 Enrollment packages，描述檔放入 Configuration profiles，實際欄位依 Jamf 版本與 Identity first／Device first 工作流程調整。Jamf 建議先用 Device first 驗證。Xpsso 廠商提供 Jamf PreStage 範例，但不能把 Jamf 列明三家 IdP 的整體支援範圍直接擴張到 Xpsso。J27 X02 X03

不提供可直接上正式環境的通用 profile

ExtensionIdentifier、TeamIdentifier、App Bundle ID、issuer、audience、Associated Domains、驗證方法及帳號映射必須由選定實作取得。自研改用公司簽署後，不能照抄 Twocanoes 的識別碼。設定表至少保存：參數名稱、值的受控存放位置、適用版本、來源文件、負責人與驗收證據。

不要在描述檔放 OAuth client secret、Google LDAP 私鑰或 PRK；服務端所需機密以受控方式部署，輪替與備份另有操作紀錄。

Entra／Okta Password：已有官方文件的路線

Entra（Company Portal SSO 擴充）與 Okta（Okta Verify／Desktop Password Sync）均有 FileVault 階段密碼驗證文件；使用 Apple silicon、支援的 macOS 15+、Password 註冊及可到達 IdP 的解鎖前網路。這些是各廠商明示能力，不是 Apple 逐家認證清單，也不能直接外推到 Google。I03 I05 I06 A05

若本機仍 A、雲端已 B，支援的線上驗證成功後可更新本機；修復舊 keychain 仍可能另需 A，提示未必都在 FileVault 畫面。預設不保證每次檢查雲端；Attempt 離線可用本機，Require 沒有有效離線寬限時會阻擋離線正常登入。要強制最新 IdP 密碼成功，必須配置 FileVault 政策並驗收舊 A、斷網與寬限例外。A05 I03 I06

**PSSO Password 仍執行密碼同步，並非只有冷開機才做。**可以由 PSSO／擴充接手，省下另一套同步元件；不代表雲端可直接下載新密碼或永遠沒有修復提示。詳見政策速查，Entra 新增 E01～E10 驗收表，全部未測。

Google 橋接候選：另行驗收

首次與日常分開驗收

首次路徑：ADE → Jamf 派送相容 App／profile → PSSO 裝置與使用者註冊 → Google 身分驗證 → 建立本機帳號 → FileVault／PRK → 桌面。此為方案規劃；驗證與註冊的具體先後、提示次數由實作決定。J27 X02

日常路徑：冷開機 → FileVault 可用網路與選定政策 → 本機驗證或線上 PSSO 驗證 → 視需要更新本機狀態 → 接續登入 → 檢查 keychain／SSO／同步結果。Google＋Xpsso 是否能在本機 A、Google B 時直接使用 B，必須先驗證，不能寫成已交付。A05 A04

Okta 的官方文件明示：即使在 FileVault／登入畫面同步密碼，仍可能要求舊 macOS 密碼解鎖 keychain。此例用來說明「PSSO」不能保證所有情境都只輸入一次，不能直接當成 Google／Xpsso 的已知行為。I03

本篇對 Google MFA 的承諾範圍

基準需求保留首次 Google 網頁驗證的組織 MFA；目前不強制每次冷開機 Google Prompt。若升級成 FileVault 前每次都要 Google 手機提示，先做獨立技術驗證，確認擴充、IdP、macOS build、拒絕／逾時及 pre-boot 網路。這是可行性關卡，不是多加固定幾週就保證完成的功能。

流程原稿：SVG 向量圖 · 3,840 px PNG · 可編輯 SVG · Mermaid 原始檔。

兩條自主路線

**A：沿用開源改造。**先確認 Xpsso App、服務端、相依套件的授權與可重現建置，再改用公司識別碼、簽署與部署方式。官方說明為 BSD 類型；Mac 端 LICENSE 已查核為三條款條件，但服務端完整授權／建置尚未核實，不能先承諾整套可免費自行編譯。X01 X06 X07

**B：完全從零開發。**實作 Swift／AuthenticationServices 擴充、裝置與使用者註冊、Google OIDC／LDAP、後端權杖與金鑰處理、監控與發版。Apple 有公開 API；採用 PSSO 2.0 時需實作相應 Key Service。不要自行發明密碼學協定。A08

人力與範圍假設

• 1 位熟悉 Swift／macOS 的工程師＋1 位後端工程師，各每週 40 小時。
• IT／QA 每週 10 小時；資安與產品負責人配合設計審查及驗收。
• 先支援 Apple silicon 與一個已固定的 macOS 版本，Google 單一租戶、5～10 人試點。
• Jamf／Google 管理存取、Apple 簽署資格、可清除測試 Mac、DNS／TLS 與服務環境可用。
• 包含首次建帳、一般冷開機、密碼不同步、離線及復原；不承諾每次 FileVault 前 Google Prompt。
• 不含更換公司 IdP、多租戶商用產品、全面支援所有舊版 Mac、大型認證稽核與新硬體採購。

以下均為初步工程估算，不是廠商工期或實測成果；等待帳號、簽署資格、採購、使用者排程及未解平台問題會延長日曆時間。

從開工累計的里程碑

各列為累計時間，不相加；兩位工程師可並行處理客戶端與後端。只有一位工程師搭配 AI 不等於兩位工程師的能力與吞吐，必須重估基準週數。

16 週開源改造的工作安排範例

第 2 週若尚未證實核心技術路徑，必須重估；不能把後續工期當作一定能填補的空白。內部目標可先訂 2 週驗證，不先承諾 4 個月後能支援所有 Google MFA／FileVault 組合。

Codex Pro 20x 如何計入加速

本次指定 Pro 20 倍用量方案，預算 US$200／席／月。官方資料確認 20x 是相對 Plus 的使用額度，不是 20 倍交付速度；依模型、內容與工具使用消耗不同，用完可能需額外 credits 或 API 費用。US$200 為本次指定預算單價，採購時依帳單核對。O01

AI 可協助程式骨架、API 串接、測試案例、日誌分析、文件及重構；裝置清除與重裝、FileVault 冷開機、跨網路測試、使用者觀察及獨立審查，仍需實際投入。機密、正式員工資料與恢復金鑰不寫入提示或測試夾具。

**試算模型：55% 工程工時可由 AI 協助，這部分淨節省 35%，所以工程總工時節省為 55%×35%＝19.25%。**淨節省已扣除人工審查、錯誤修正與返工；IT／QA 原本工時保留。這是規劃假設，未有本專案測量證據。曆週按相同比例初估並向上取整，正式部署模型保留至少 8 週；測試等待較長時必須手動增加工期。

保守情境：可協助部分只省 20%，整體省 11%；基準情境省 19.25%；樂觀情境只作敏感度分析：可協助部分省 50%，整體省 27.5%。**若實測沒有節省，AI 節省設為 0%，總成本反而增加訂閱費。**每兩週記錄相似任務的人工工時、審查與返工、缺陷、測試等待、AI 費用，更新估算。帳號各自使用，不以共用單一登入當作多席方案。

金額來源與假設

未包含：Google／Jamf／Twocanoes 額外授權、測試 Mac、稅金、API／credits 追加、大型稽核及上線後維運。採購版 Twocanoes 費用不可因「自研」就自動刪除；必須先確認整套自編的授權依據。

四種方案的完整專案成本

上述是人力價值＋開發期外部支出＋預備金，不等於公司要額外支付同額現金。固定員工薪資不一定因專案而增加；省下工時也不一定能直接省下薪資。外包與增聘則可能成為實際現金支出，需由財務替換單價。

同一個 16 週專案的 AI 對照

可複算公式

AI 工程工時淨節省率 = 可協助工時占比 × 該部分淨節省率
工程工時 = 基準週數 × 工程師人數 × 40 × (1 − AI 工程工時淨節省率)
IT／QA 工時 = 基準週數 × 每週 IT／QA 小時（不打折）
估計曆週 = max(8, ceil(基準週數 × (1 − AI 工程工時淨節省率)))
計費月數 = ceil(估計曆週 ÷ 4.345)
AI 訂閱 = 席次 × 每席美元月費 × 預算匯率 × 計費月數
開發總額 = (工程人力 + IT／QA + AI + 主機 + 安全檢視 + Developer 年費) × (1 + 預備金比例)

此模型的人數欄位只改變費用，不代表增加人數就自動縮短工期。計費月數按整月向上估；實際開通日、既有訂閱與帳單另校正。8 週下限是規劃保護值，不是技術驗證後的最短交付保證。

上線後第一年的維護不能漏算

以每月 8～16 小時維護、NT$1,200／時估算，人力約 NT$115,200～230,400／年；主機按 NT$3,000／月另計 NT$36,000／年；Apple Developer 約 NT$3,168／年。若全年續用 2 席 Pro 20x，再加 US$4,800／年，依規劃匯率為 NT$153,600。合計約 NT$307,968～423,168／年，未加年度預備金、Google／Jamf／Twocanoes、新功能或重大 macOS 升級專案。

這是穩定期維護假設；若簽署憑證、Google 登入政策、LDAP、PSSO API 或 macOS 大版本變更，需另外估算。公司既有共用基礎設施與訂閱應按增量或分攤列帳，避免重複計費。

採購與自研如何比較

XCreds 小型套裝 US$600 起的軟體費，不能直接與包含數月人力的自研總額比較。採購路線也要加導入、主機、驗收及維運；自研則增加程式責任與長期修補。若只是省授權費，先驗證現成產品通常更合理；若有產品化、客製政策或自主掌握需求，才以總持有成本審查自研。不得用未驗證的 AI 20 倍加速，把數月專案寫成幾天交付。

PSSO 專用驗收表

此表補充主手冊 26 項測試；不取代主手冊七種使用情境。所有項目初始均為未測。

遷移順序

1. 先保留現行 Connect 設定及可用復原途徑，確認測試機備份、PRK 與受控管理帳號。
2. 在獨立 Scope 驗證新 PSSO；不把「描述檔已送達」當註冊或 FileVault 已成功。
3. 以變更單指定切換時間、登入元件與唯一密碼同步責任；不要先移除救援途徑。
4. 依選定實作的支援流程完成 PSSO 註冊及原設定退出，確認舊登入介入與同步已停用。
5. 冷開機、改密碼、離線及復原通過後才擴大；若失敗，按測過的程序恢復已驗收版本。

不能假設單純刪除 PSSO 描述檔會自動恢復原帳號、keychain 或舊登入機制；回復同樣要實測。

必須交付的文件

下載：決策與交接範本 · 環境與設定表 · PSSO 驗收 CSV · 四種方案預算 CSV。請填入公司受控系統；本網站下載資產目錄不存正式員工資料或機密。

查核日期 2026-09-22。產品行為與價格會變動；正式部署前固定實際版本並重新核對。以下來源支持產品事實；工期、人力費率、匯率、AI 加速率、主機額度與預備金都是本篇規劃假設，不是原廠報價或效能承諾。

版本 1.5：新增 O365／Google 選型入口、Entra／Okta FileVault Password 文件、Ping 支援邊界、PSSO 同步與離線政策說明；新增 10 項 Entra 未測案例，專案集中至 Project-macOS-IDP。

版本 1.4：新增三種登入方案的優缺點與七種情境比較；說明 Secure Enclave 硬體保護與 PSSO 驗證模式的差異。比較表與主手冊共用同一份來源。

版本 1.3：新增 PSSO 獨立篇章、兩張可下載圖、IdP 支援表、Google／Twocanoes 導入、16 項 PSSO 驗收、自研里程碑、Pro 20x 與成本試算。公司測試機尚未實測，未修改任何正式裝置。