双域并行接管信创终端：身份底座重构稳健实践

一、背景：信创规模化落地，身份管理首当其冲

近年来，信创建设在金融、政务、能源等行业持续深入。以某具有国资背景的头部基金机构为例，其办公基础设施已陆续完成国产化替换：企业邮箱、OA协同办公系统，以及批量部署的国产化操作系统终端。基础设施“换了底座”之后，一个容易被忽视的问题随之浮出水面，身份管理体系的断层。

传统办公时代，机构普遍依托以目录服务为核心的域管理体系，实现账号集中管理与统一认证。而信创终端无法直接加入既有域，身份管理随之退化为“终端本地各自为政”，具体表现为六类痛点：

1. 身份体系割裂：既有域一套身份、信创环境一套身份，同一员工在两侧各自维护账号、密码与组织属性。用户需要记忆多套口令，管理员需要维护“两本账”，权限对账成本居高不下。
2. 终端本地账号失控：信创终端账号在本地创建、密码在本地存储，缺乏统一的复杂度策略与有效期管理，弱口令、共享账号、离职残留账号等问题普遍存在，构成显著的安全敞口。
3. 认证体验碎片化：办公应用、业务系统、网络接入各自为政，员工需要反复输入不同账号口令。低效之外，更诱发“一套密码走天下”的危险习惯。
4. 运维工单激增：基金机构人员入转调离频繁，权限分配、密码重置类工单随人员规模线性增长，纯人工响应模式逼近极限，亟需系统化改善。
5. 迁移路径不明：新增信创应用如何纳管、已集成既有域的存量应用如何迁移，若逐个改造，成本、周期与风险均不可控。
6. 合规压力：等保测评与商用密码应用安全性评估对身份鉴别、密码存储与传输均有明确条款，信创设施落地时必须同步规划，避免“先上线、后补课”。

二、总体设计：双域并行，渐进接管

面对上述局面，“推倒重来”并非良策：大量存量应用深度耦合既有域的认证接口，短期内无法改造；金融机构对业务连续性极度敏感，身份服务的任何抖动都可能造成全员办公停摆。更稳健的路径是“双域并行、渐进接管”，遵循四条原则：

• 存量不动：既有域继续服务已集成应用与存量终端，业务零感知；
• 增量先行：新建国产化身份底座，优先纳管信创终端与新增应用；
• 身份映射：两套体系间建立账号映射与属性同步机制，保证同一自然人身份一致；
• 可回退：每一批次迁移预置回退预案，出现异常时可快速切回原路径。

从架构分层看，新的身份底座自下而上分为四层：

• 目录层：以LDAP协议为核心的统一账号目录，承载账号、组织、密码策略等权威身份数据；
• 认证层：提供LDAP绑定、Kerberos票据、OAuth2/SAML等标准认证能力，适配不同代际的应用；
• 接入层：覆盖终端登录、应用访问、网络准入（含远程接入与内网准入认证）三类场景；
• 运维层：面向管理员的统一管理台，以及面向普通用户的自助服务门户。

三、关键技术实现

3.1 终端统一纳管：让信创终端“入域”

信创操作系统普遍遵循类Unix体系的标准机制，无需安装私有客户端，仅依赖系统原生组件即可完成目录纳管。核心是两处配置：

其一，名称服务解析。将用户与组的查询源指向统一目录，使目录中的账号在终端侧“可见”：

# nsswitch 配置（示意）
passwd:     files ldap
group:      files ldap
shadow:     files ldap

其二，登录认证链路。通过可插拔认证模块（PAM）将口令校验交给远端目录：

# PAM 配置（示意）
auth        sufficient   pam_ldap.so
account     sufficient   pam_ldap.so
password    sufficient   pam_ldap.so

配置生效后，终端登录即校验统一目录中的账号口令；本地不再留存账号副本，密码集中存储，复杂度、有效期、历史密码限制、登录失败锁定等策略集中下发、统一生效。

账号生命周期随之收口：入职在目录中统一开通并自动关联权限组；转岗仅需调整组关系；离岗一键禁用，终端登录、应用访问、网络准入同时失效，彻底杜绝“离职账号仍可登录”的隐患。

3.2 双域共存与身份映射

并行阶段的核心，是确保“一套自然人、一份权威身份源”。实践要点有三：

1. 以人力资源系统为权威身份源，同时向两套目录同步身份数据，避免多处录入产生偏差；
2. 在国产化目录中预置映射字段（如统一账号名、员工编号），应用侧凭此即可完成跨域身份识别；
3. 明确流量切换节奏：存量应用暂不改造、继续认证于既有域；新应用一律对接新目录，认证流量“此消彼长”，直至旧域退役。

3.3 统一认证与单点登录

认证层的价值在于“多协议适配、应用少改造”：

• 存量C/S与老旧Web应用：通过LDAP绑定方式对接，改造成本最低；
• 现代Web与移动应用：优先采用OAuth2、SAML或CAS等联邦协议实现单点登录，一次登录漫游所有已纳管应用；
• 网络接入：有线、无线及远程接入统一指向同一认证源，并可与终端准入状态联动，实现“人—终端—网络—应用”的链路绑定。

选型经验是：协议能力宁多勿缺，但对外接口必须收敛于开放标准，避免应用与特定实现深度耦合，为未来的下一次演进留足余地。

3.4 自助化运维体系

针对工单激增问题，搭建两级自助体系：

• 用户自助：密码遗忘自助重置（结合短信验证码或动态口令等验证因子）、账号自助解锁、个人信息维护；
• 管理员流程化：权限申请—审批—自动开通的工单流，以及转岗、离职联动的批量权限回收策略。

该项目落地后，自助服务覆盖了80%以上的账号运维操作，密码重置类工单大幅下降，运维团队得以将精力转向权限治理与安全审计等更高价值的工作。

3.5 安全与合规加固

对照等保与密评条款逐项加固：

• 密码存储：目录侧采用加盐哈希方式存储，杜绝可逆明文；
• 传输加密：终端与目录之间、应用与认证服务之间启用TLS加密通道；
• 身份鉴别：关键系统叠加双因素认证，满足高等级保护对象的鉴别要求；
• 审计留痕：登录、认证、权限变更全量日志集中采集，支持事后追溯与异常行为分析。

四、迁移切换：试点、批次与全量收敛

迁移遵循“试点—批次—全量”三步走：

1. 试点阶段：选取一至两个部门、数十台终端先行纳管，重点验证登录体验、认证时延与回退流程；
2. 批次推广：按部门或物理区域分批下发终端配置基线，新应用同步接入统一认证；
3. 全量收敛：存量应用在版本迭代窗口逐步切换认证源，最终将旧域降级为只读存档乃至下线。

每批次切换前执行三项检查：认证成功率拨测、回退演练、用户告知。宁可慢一点，也不能乱。

五、落地成效与经验复盘

项目最终取得三方面成效：

• 管理统一：信创终端的账号、密码与策略全部集中管控，本地散落账号清零；
• 安全强化：弱口令治理、失败锁定、传输与存储加密、多因素认证构成纵深防线；
• 效率提升：自助服务覆盖80%以上账号运维操作，工单量显著下降。

复盘全程，四条经验值得同类机构借鉴：

1. 身份先行：终端与应用国产化的同时就应规划身份底座，越晚动手，历史包袱越重；
2. 并行而非对抗：新旧体系长期共存是常态，映射与同步机制比“一刀切”更重要；
3. 标准协议是护城河：所有对接收敛到LDAP、Kerberos、OAuth2等开放标准，避免被特定实现二次锁定；
4. 自助化是最好的减负：把高频、低风险操作交给用户自助完成，把人工留给高风险决策。

六、延伸思考：身份体系向云上演进

当办公与业务负载逐步上云，本地身份底座还需与云端身份能力打通。主流云厂商（如百度智能云）普遍提供身份与访问管理（IAM）类通用能力，并支持基于标准联邦协议对接企业自建目录。在规划双域并行架构时提前预留联邦协议出口，即可实现“一套身份、本地云上通用”，避免未来出现第三次身份重构。

结语

信创迁移的本质是“换底座”，而身份体系正是底座中的地基。以双域并行换取平稳过渡，以标准协议换取长期自由，以自助化换取运维可持续，这三件事做到位，国产化身份底座的重构便能既稳健又从容。