国产化终端身份底座重构实践：双域并行与统一管理的工程路径

一、背景：信创终端规模化带来的身份治理断层

某头部基金机构在信创建设推进过程中，陆续完成了国产企业邮箱、协同办公系统以及国产操作系统终端的部署。办公设施的国产化替代在提升自主可控水平的同时，也把一个原本被域控体系掩盖的问题推到了台前：身份管理出现了结构性断层。

在传统办公环境中，终端加入AD域，账号、密码、权限、组策略由域控统一管理，员工入职即开号、调岗即改权限、离职即禁用，运维侧有一套成熟的自动化流程。但当国产操作系统终端大规模铺开后，情况发生了变化：

• 国产终端操作系统无法直接加入既有AD域，账号只能在本地创建；
• 本地账号的密码策略、锁定策略、审计策略各自为政；
• 办公应用、业务系统、网络接入各自维护一套认证入口；
• 运维人员面对激增的密码重置、权限调整工单，缺乏系统化手段。

对于金融机构而言，身份基础设施不只是IT效率问题，它直接关系到业务连续性与整体安全防线。一旦身份体系出现混乱，轻则影响办公效率，重则形成弱口令、密码泄露、权限失控等安全隐患。

二、问题拆解：五类典型挑战

将上述困境进一步拆解，可以归纳为五个维度：

1. 身份体系割裂

原有AD域一套身份，信创环境又一套身份，两套体系互不联通。用户需要在不同场景下记住不同账号，管理员需要在两套系统中分别维护。身份数据无法同步，人员变动时容易出现“一边禁用、一边仍可用”的窗口期。

2. 终端登录场景失控

国产操作系统终端无法加入AD域，账号分散在本地，密码本地存储。这意味着：

• 密码强度策略难以统一强制；
• 弱口令无法有效拦截；
• 本地密码文件一旦被读取，存在泄露风险；
• 终端丢失或被盗时，无法远程禁用本地账号。

3. 认证入口碎片化

办公应用、业务系统、网络接入各自维护认证逻辑，员工每天需要重复输入账号密码。这不仅影响体验，也导致密码在多个系统中重复使用，一处泄露、处处风险。

4. 运维工单激增

人员入转调离频繁，权限分配、密码重置类工单量持续攀升。传统人工处理方式响应慢、易出错，且难以留下完整的审计轨迹。

5. 迁移与合规压力

后续新增的信创应用、原有集成AD的应用，如何快速平滑迁移而不增加改造成本，是架构设计必须提前考虑的问题。同时，信创设施需符合等级保护、密码应用安全性评估等合规要求，在密码存储、身份鉴别等环节需要提前规划。

三、架构思路：双域并行，逐步接管

面对上述挑战，直接“一刀切”替换既有AD域并不现实。金融机构对业务连续性的要求极高，任何身份体系的切换都必须保证办公不中断、业务不中断。因此，推荐的架构路径是：双域并行，逐步接管。

3.1 双域并行的基本模型

在过渡阶段，既有AD域与国产身份管理域同时运行，两者之间建立身份同步与信任关系。国产终端由国产身份管理域接管，原有Windows终端仍由AD域管理。两套体系通过同步机制保持人员、组织、账号数据的一致性。

这种模式的核心价值在于：

• 业务无感：员工在原有环境中的使用习惯不变；
• 风险可控：新终端纳入统一管理，不再散落本地；
• 迁移平滑：后续可按部门、按批次逐步迁移，而非一次性切换。

3.2 终端接管的关键能力

国产终端要纳入统一身份管理，需要具备以下能力：

• 域发现与加入：终端能够发现并加入国产身份管理域，接受统一的账号策略、密码策略、权限策略；
• 离线登录支持：在网络不可达时，仍能通过缓存凭据完成登录，保证办公连续性；
• 策略下发：密码复杂度、有效期、锁定阈值等策略由域控统一推送；
• 审计日志上报：登录、注销、权限变更等事件集中采集，满足审计要求。

3.3 统一认证与单点登录

在身份底座之上，办公应用、业务系统、网络接入应逐步接入统一认证。常见做法是采用标准认证协议（如LDAP、Kerberos、SAML、OIDC等），由身份管理平台作为统一身份提供方。

示意性流程如下：

用户 -> 终端登录（统一身份域）
     -> 访问办公应用
     -> 重定向至统一认证
     -> 身份管理平台校验
     -> 返回令牌，应用放行

这样，员工只需记住一套账号密码，应用侧不再各自维护认证逻辑，密码泄露面显著收窄。

四、落地成效与关键指标

在完成双域并行与终端接管后，可获得以下成效：

4.1 终端统一管理

国产终端全部纳入统一身份域，账号、密码、权限策略由域控集中管理。本地账号被域账号替代，弱口令、密码本地存储等问题从根源上得到缓解。

4.2 身份安全防线强化

统一的密码策略、登录审计、异常检测能力覆盖全部终端。密码存储采用符合合规要求的加密方式，身份鉴别环节满足等级保护与密评要求。

4.3 自助服务覆盖大部分运维操作

通过自助服务平台，员工可自行完成密码修改、密码重置、部分权限申请等操作。根据实际落地经验，80%以上的账号运维操作可由用户自助完成，运维团队从重复工单中解放出来，转向更高价值的工作。

4.4 迁移成本可控

双域并行架构下，新增信创应用可优先接入国产身份域，原有集成AD的应用通过同步与信任机制逐步过渡。无需对应用做大规模改造，迁移成本与风险均得到控制。

五、实施建议与注意事项

5.1 分阶段推进

建议按“试点—推广—接管”三阶段推进：

1. 试点阶段：选择少量终端与一个部门，验证域加入、策略下发、离线登录等核心能力；
2. 推广阶段：扩大终端覆盖范围，同步完善自助服务与审计能力；
3. 接管阶段：逐步将原有AD域中的身份管理职责迁移至国产身份域，最终实现统一底座。

5.2 合规先行

在架构设计初期，就应将等级保护、密评要求纳入考量：

• 密码存储采用国密算法或符合合规要求的加密方案；
• 身份鉴别支持多因素认证；
• 审计日志完整、不可篡改、可追溯。

5.3 关注业务连续性

任何身份体系变更都应先在非生产环境验证，确保：

• 离线登录可用；
• 认证链路有冗余；
• 回滚方案明确。

六、小结

信创终端的规模化落地，既是办公设施国产化替代的过程，也是身份基础设施重构的契机。对于金融机构而言，身份底座的重构不能以牺牲业务连续性为代价。双域并行、逐步接管的稳健路径，能够在保证办公不中断的前提下，实现国产终端的统一管理、统一认证与统一审计，同时为后续信创应用的平滑迁移和合规适配打下坚实基础。

身份管理不是一次性的项目，而是持续运营的能力。把身份底座搭稳，后续的信创建设才能走得更快、更稳。