统一身份认证的价值

统一身份认证（SSO）把分散在各系统里的账号收敛到统一身份源（LDAP、AD 或 OIDC 身份提供方）。它的价值有两层：一是身份标识唯一、权限集中、离职回收及时；二是登录与授权事件汇聚到同一处，审计与合规举证时不必再去各系统拼日志。接入的难点通常不在协议，而在存量系统的改造与本地账号的清理。

基本信息

典型使用场景

• 新系统接入：按统一规范接入身份源，避免各做一套
• 离职回收：一处停用即失去全部系统访问权，减少遗留账号
• 权限集中管理：角色与授权在统一平台维护
• 多端登录审计：桌面端、移动端与接口调用事件汇聚
• 合规举证：出示集中登录日志与账号回收记录

OIDC 授权码 + PKCE 要点

1 客户端发起授权请求（含 state、code_challenge）
2 用户在 IdP 完成认证
3 回调换取 code，后端用 code + code_verifier 换 token
4 校验 id_token：签名、iss、aud、exp、nonce
5 会话与令牌生命周期纳入注销与回收流程
6 退出登录要级联到各接入系统，避免只登出一个应用

账号回收检查点

1 SSO 侧账号停用与令牌吊销是否即时生效
2 应用内本地账号是否同步禁用或删除
3 API 密钥、服务账号与共享凭据是否纳入回收清单
4 邮箱、网盘、代码仓库等周边系统的账号是否一并处理
5 回收动作是否留存记录与时间戳

接入前后要做的活

• 接入前：梳理系统清单与账号归属，确认哪些系统支持标准协议
• 接入中：统一账号命名规则，避免同一人出现多个身份标识
• 接入后：清理各系统的本地账号，只保留必要的应急管理员账号
• 上线验证：抽查若干员工，确认停用后各系统的访问实际均被阻断
• 长期维护：把账号回收纳入离职流程与季度账号复核