与AD并行，接管国产化终端：某头部基金身份底座重构的稳健实践

一、背景：信创终端规模化落地带来的身份管理挑战

随着信息技术应用创新建设的持续推进，某具有国资背景的头部基金机构已陆续完成企业邮箱、协同办公系统以及国产化桌面操作系统终端的部署。办公终端的国产化替换率稳步提升，邮件与OA等核心办公应用也逐步迁移至国产化环境。然而，新环境的落地并非仅仅是一次硬件与操作系统的替换，它同时将一套原本在传统Windows域环境中运转良好的身份管理体系推到了需要重新审视的位置。

在原有的Windows域架构下，账号创建、密码策略、终端登录、应用认证、权限分配等环节均由域控统一承载，运维团队有一套成熟的组策略与单点登录机制。但国产化终端在默认状态下无法直接加入原有域环境，导致账号不得不在本地创建、密码在本地存储，形成了与原有身份体系并行的“第二套身份”。这种双轨并行的状态，在终端规模较小时尚可勉强维持，一旦终端数量上升，问题便迅速暴露：

• 身份体系割裂：原有域一套身份，国产化环境一套身份，两套体系账号规则、密码策略、生命周期管理互不相通，用户需要在不同环境中记忆不同的凭据；
• 登录与认证分散：国产化终端无法加入原有域，账号分散在本地，密码本地存储，弱口令与密码泄露风险显著上升；办公应用、业务系统、网络接入未实现统一身份认证，员工需要重复输入账号密码；
• 运维压力激增：人员入转调离频繁，权限分配、密码重置类工单数量快速攀升，人工操作既难以保证一致性，也难以满足审计要求；
• 迁移路径不清晰：后续新增的信创应用、以及原有已集成AD的应用，如何在不大幅增加改造成本的前提下平滑迁移，缺乏明确方案；
• 合规要求趋严：信创设施需满足等级保护、密码应用安全性评估等合规要求，在密码存储、身份鉴别、访问控制等环节需要提前规划，而非事后补救。

对于金融机构而言，身份基础设施不仅关系到日常办公效率，更直接影响业务连续性与整体安全水位。如何在不对现有业务造成冲击的前提下，建立一套适配国产化环境的身份管理体系，成为该项目需要优先解决的问题。

二、路线选择：为什么不做“一步到位”的替换

面对域控国产化替换的需求，行业内通常存在两种典型路线：

路线一：直接替换。 在信创环境中新建一套完整的身份域，逐步将原有域中的账号、策略、应用集成关系全部迁移至新域，最终下线原有域。该路线理论上架构更简洁，但实施风险极高——原有域架构经过多年沉淀，承载了大量核心系统的集成关系、组策略配置与认证链路，任何组件级故障或侵入式操作都可能引发连锁反应。

路线二：并行过渡。 保留原有域作为主账号源和认证源，新建一套逻辑独立的国产身份域，通过身份数据同步维持两侧账号一致，国产化终端与应用逐步接入新域，最终视业务节奏决定是否完全迁移。

该基金机构的原有域架构复杂严密，核心系统对业务连续性要求极高。在组织多个厂商参与概念验证测试后，该机构最终选择了并行过渡路线：以原有域为主账号源，新建国产身份域与其并行运行，在不影响现有业务的前提下，逐步重构国产身份管理底座。

这一选择的核心逻辑在于控制改造风险：并行架构意味着原有域的认证链路不被破坏，任何新组件上线都不对原域做侵入式操作；同时，新建的国产身份域为信创应用、网络接入和终端资产预留了统一的身份管理基础，使后续迁移有路可循。

三、方案设计：兼容并行架构的关键环节

该项目的实施并未追求“一次性替换”，而是围绕身份目录、登录认证、终端管理等维度分层展开。以下从五个关键环节说明方案的设计思路。

3.1 新建独立信创域，降低现网改造影响

国产身份域在逻辑上与原域完全独立，不加入原域集群，不对原域进行任何侵入式操作。其定位是一个并行的身份管理平面，通过身份数据同步机制维持两侧账号的一致性。

具体而言，原域作为主账号源和认证源，负责账号的权威创建与主认证；国产身份域通过同步通道获取账号数据，并在本地维护一份用于信创环境认证与授权的身份副本。这种设计带来几个直接好处：

• 原有域的账号管理流程不变，管理员无需学习新的账号创建入口；
• 国产身份域即使出现故障，也不影响原有域的认证链路，业务连续性得到保障；
• 后续新增的信创应用可以直接对接国产身份域，无需再与原有域做集成改造。

从工程实现角度看，身份同步通常需要关注同步方向、同步频率、冲突处理策略以及属性映射规则。例如，账号的增删改需要以主账号源为准，而信创域侧的扩展属性（如终端绑定关系、信创应用授权标签）则不应被反向覆盖。这些规则需要在实施初期明确定义，避免同步过程中出现数据不一致。

3.2 统一纳管信创终端，延续组策略能力

国产化终端加入国产身份域后，即可实现统一登录认证与集中管理。这一环节的关键在于：在信创终端上延续原有域环境中成熟的组策略能力。

具体包括：

• 密码策略下发：通过域策略统一设置密码长度、复杂度、有效期、历史密码数量等要求，避免本地账号弱口令问题；
• 桌面配置管理：统一下发桌面壁纸、锁屏时间、屏保策略等，保持终端视觉与安全基线一致；
• 安全基线对齐：使信创终端与Windows终端在登录认证、访问控制、审计日志等方面保持同一安全水位。

这意味着，终端用户在使用国产化终端时，登录体验与原有Windows终端基本一致，无需额外记忆一套本地账号密码。对于运维团队而言，终端管理重新回到“域集中管控”的模式，而非逐台本地配置。

3.3 基于域单点登录，打通多场景认证

身份域的价值不仅在于终端登录，更在于以域身份为基础，打通办公应用、业务系统与网络接入的认证链路。该项目通过基于域的单点登录机制，实现了以下场景的统一认证：

• 办公应用：企业邮箱、OA等系统对接域认证，员工登录终端后访问应用无需重复输入密码；
• 业务系统：通过标准认证协议对接，将域身份作为业务系统的统一登录入口；
• 网络接入：有线/无线网络接入认证与域身份绑定，避免共享账号或匿名接入。

从技术实现角度看，单点登录通常基于标准身份认证协议（如Kerberos、SAML、OIDC等）完成。其核心在于：应用系统不再自行维护账号密码，而是将认证请求转发至身份域，由身份域完成凭据校验并返回认证断言。这种方式既降低了应用侧的账号管理负担，也避免了密码在多个系统中分散存储带来的泄露风险。

3.4 自助服务与运维提效

在传统模式下，密码重置、权限申请、账号解锁等操作需要运维人员手工处理，工单量大且响应周期长。该项目通过自助服务平台，将大量高频运维操作下放给用户自行完成，覆盖了80%以上的账号运维操作。

自助服务通常包括以下能力：

• 密码重置与修改：用户通过验证身份后自行重置密码，无需等待运维介入；
• 账号解锁：因多次输错密码导致账号锁定时，用户可自助解锁；
• 权限申请与审批：用户提交权限申请，系统按预设流程自动流转审批；
• 账号信息查询：用户可查看自己已拥有的权限与账号状态。

对于运维团队而言，这意味着可以将精力从重复性工单中释放出来，转向策略优化、安全审计与架构治理等更高价值的工作。

3.5 合规与安全设计

金融机构的信创设施需要满足等级保护、密码应用安全性评估等合规要求。在身份管理层面，合规关注的重点通常包括：

• 密码存储安全：密码不得以明文或可逆方式存储，应采用符合国密标准的哈希或加密算法；
• 身份鉴别强度：登录认证应支持多因素认证，关键操作应有二次验证；
• 访问控制粒度：权限分配应遵循最小权限原则，支持按角色、按部门、按终端等多维度授权；
• 审计日志完整：账号创建、权限变更、登录认证等关键操作应有完整日志记录，支持追溯与审计。

在并行架构下，这些合规要求需要在国产身份域侧独立满足，同时确保与原域的安全策略不冲突。例如，密码策略的复杂度要求应在两侧保持一致，避免用户因策略差异而选择弱口令。

四、落地成效与经验总结

该项目在未对原有域做侵入式改造的前提下，实现了国产化终端的统一身份管理，取得了以下成效：

• 信创终端统一管理：国产化终端加入国产身份域，实现统一登录认证与集中策略管理；
• 身份安全防线强化：密码策略、登录认证、访问控制等环节纳入域统一管控，弱口令与密码泄露风险显著降低；
• 运维效率提升：自助服务平台覆盖80%以上账号运维操作，密码重置、账号解锁等高频工单大幅减少；
• 迁移路径清晰：后续新增信创应用可直接对接国产身份域，原有已集成AD的应用可在业务允许时逐步迁移，改造风险可控。

从工程实践角度看，该项目的核心经验可以归纳为三点：

第一，并行而非替换。 在业务连续性要求极高的金融场景中，直接替换域控的风险难以承受。通过并行架构，新老身份体系可以在较长时间内共存，迁移节奏由业务需求驱动，而非由技术改造倒逼。

第二，以身份同步维持一致性。 并行架构的关键在于两侧账号数据的一致性。需要在实施初期明确同步规则、冲突处理策略与属性映射关系，并建立监控机制，确保同步链路稳定可靠。

第三，终端纳管是抓手。 国产化终端加入身份域，是身份管理体系落地的第一个可见成果。通过终端登录认证与组策略下发，用户可以直观感受到统一身份带来的便利，运维团队也能快速看到管理效率的提升，为后续应用迁移奠定基础。

五、结语

信创环境下的身份管理体系建设，本质上是一个在业务连续性与技术演进之间寻找平衡点的工程问题。对于金融机构而言，身份基础设施的改造不能以牺牲业务稳定性为代价，也不能因循守旧而忽视国产化环境的长期需求。

通过并行架构、身份同步、终端纳管、单点登录与自助服务等环节的组合设计，该头部基金机构在不影响现有业务的前提下，完成了国产身份管理底座的初步重构。这一实践为同类机构提供了一条可参考的路径：以风险可控的方式推进身份基础设施国产化，让信创终端从“能用的孤岛”变成“可管的统一资产”。