研发平台做 LDAP 集成，准备阶段要确认四类信息：目录服务连接参数、纳入同步的账号范围、目录属性与平台字段的映射规则、验证与回退安排。这份清单按“谁提供、谁确认、凭什么判断通过”组织，可直接用于实施前逐项核对；未通过的阻断项不进入联调与切换。
要点总览（TL;DR）
- LDAP 集成前的准备围绕四类信息展开：目录服务连接参数、纳入同步的账号范围、目录属性与平台字段的映射规则、验证与回退安排。
- 连接信息以“能连通、能读到目标范围、权限最小化”为通过标准，Bind 账号按只读、限定范围申请，验证结果留存日志或截图。
- 账号范围与属性映射要同时核对目录侧和平台侧，重点确认平台字段的长度、必填与唯一性约束，以及重名、离职、停用账号的处理规则。
- 验证以测试账号实际登录成功和首次同步后抽样数据正确为准，切换前明确窗口、通知对象、回退触发条件与责任人。
- 连接不通、Bind 权限不足、必填字段无对应属性、唯一性不满足、测试登录未通过等列为阻断项，全部解除并由三方确认后才进入正式切换。
这份清单由谁在什么时点使用
LDAP 集成涉及目录、平台和账号治理三个视角，信息散落在不同角色手里是准备阶段最常见的返工原因。清单的作用是把每项信息的提供人和确认人固定下来，让“已经准备好”有明确的判断人，而不是由实施人员临时收集。
角色分工建议按信息归属划分：目录服务管理员掌握服务器地址、端口、加密方式、Base DN 和 Bind 账号；研发平台管理员掌握平台侧账号字段约束、登录方式和切换窗口；账号治理或信息安全负责人决定同步范围、离职与停用规则，并对权限边界做确认。三类角色中，任何一类缺席，清单都无法完整闭环。
使用时点分三个：集成实施前完成连接信息与账号范围的确认；联调前完成属性映射和测试账号准备；上线切换前完成验证结果核对、通知和回退方案确认。每个时点只放行对应阶段的检查项，避免把未验证的配置直接带到下一阶段。
| 使用角色 | 实施前 | 联调前 | 切换前 |
|---|---|---|---|
| 目录服务管理员 | 提供连接参数、Bind 账号与权限说明 | 配合连通性与查询范围验证 | 确认目录侧变更冻结 |
| 研发平台管理员 | 提供平台字段约束与登录方式要求 | 准备测试账号、核对映射结果 | 确认切换窗口与通知对象 |
| 账号治理/信息安全负责人 | 确认同步范围与例外规则 | 确认重名、离职、停用处理口径 | 确认回退触发条件与责任人 |
目录服务连接信息检查项
连接信息的通过标准可以归纳为一句话：能连通、能读到目标范围、权限最小化。三项都满足才算准备到位，只完成其中一项不能进入联调。
服务器地址与端口需要明确到具体主机和端口号，并确认是否启用加密。使用 LDAPS 时核对证书是否在研发平台服务器信任链内；使用 StartTLS 时确认目录服务端支持该扩展操作。加密方式的选择要与信息安全负责人确认，验证结果以实际连接日志或截图留存。
Base DN 与搜索范围决定平台能看到哪些目录内容。需要写明 Base DN 的完整路径、搜索深度（仅当前层或包含子层）以及过滤条件。通过标准是用该范围能准确查到预期人员，且不包含无关系统账号或测试账号。
Bind 账号用于平台连接目录执行查询，应按只读、限定查询范围的原则申请，避免使用目录管理员账号。密码保管方式需明确：存放在何处、由谁保管、轮换周期如何安排、轮换时如何同步更新平台配置。连通性验证建议由目录管理员和平台管理员同时在场，用同一 Bind 账号完成一次查询并留存结果。
| 检查项 | 通过标准 | 证据 | 负责人 |
|---|---|---|---|
| 服务器地址与端口 | 地址、端口准确，网络策略已放通 | 连通性测试记录 | 目录管理员 |
| 加密方式 | LDAPS 证书受信任，或 StartTLS 协商成功 | 连接日志、证书信息 | 目录管理员、安全负责人 |
| Base DN 与搜索范围 | 查询结果覆盖目标人员，无无关账号 | 查询结果样例 | 目录管理员 |
| Bind 账号权限 | 仅具备所需范围的读权限 | 权限配置截图 | 目录管理员、安全负责人 |
| 密码保管与轮换 | 保管人、存放位置、轮换周期已书面确认 | 交接记录 | 平台管理员 |
账号范围与属性映射检查项
范围与映射决定同步后平台里出现哪些人、每个人带哪些信息。这一节最容易出现“配置能跑通、数据不合用”的情况，因此每项都要同时核对目录侧和平台侧。
纳入同步的组织单元需要写明具体 OU 路径和人员类型，明确是否包含外包、实习、服务账号。范围之外的人员如何处理也要提前定：不导入、手工创建还是后续单独接入。范围一旦确定，建议在实施期间保持稳定，避免边同步边调整。
属性映射按字段逐项确认：账号、姓名、邮箱、部门、用户组分别对应目录中的哪个属性。核对时注意三类约束：平台侧字段是否有长度上限、是否必填、是否要求唯一。例如账号作为登录标识通常要求唯一，邮箱若也作为唯一标识，需要确认目录中是否存在共用邮箱或空值。用户组映射还要确认是同步为平台内的用户组，还是仅作为属性保留。
例外规则要在实施前写清楚：重名人员如何区分（加后缀、用工号还是以邮箱为准）、离职人员在目录中停用后平台侧如何处理、长期未登录账号是否纳入首轮同步。这些规则由账号治理负责人确认，平台管理员负责确认平台侧能否按该规则执行。
| 检查项 | 通过标准 | 证据 | 负责人 |
|---|---|---|---|
| 同步 OU 与人员范围 | 范围清单书面确认，边界人员已列明 | 范围确认单 | 账号治理负责人 |
| 字段映射表 | 每个平台字段都有对应目录属性，无空缺 | 映射表 | 平台管理员、目录管理员 |
| 唯一性与必填约束 | 抽样数据满足平台侧唯一、必填、长度要求 | 抽样核对记录 | 平台管理员 |
| 重名与例外规则 | 规则可执行，且有对应处理示例 | 规则说明 | 账号治理负责人 |
| 离职与停用处理 | 停用后平台侧动作已确认 | 流程说明 | 账号治理负责人、平台管理员 |
在账号数据进入平台之后，组织架构与人员信息会直接影响工作项归属和协作记录。ONES 支持对接 LDAP 协议服务与 Microsoft AD 服务，自动同步组织架构并验证登录；对于非标准目录，也可以通过标准接口更新组织架构。准备阶段把映射表和唯一性约束确认清楚，同步后的成员归属和负责人字段才能与研发流程对得上。
验证、切换与回退检查项
验证的通过标准是“用测试账号实际登录成功、首次同步后抽样数据正确”，配置完成本身不算通过。建议准备覆盖不同情况的测试账号：普通成员、多部门兼职人员、姓名含特殊字符的人员、即将离职或已停用的人员，分别记录预期登录结果和实际结果。
首次同步后按比例抽样核对，重点看账号、姓名、邮箱、部门、用户组五项是否与目录一致，以及是否存在重复账号或缺失人员。抽样发现的问题要回溯到映射表，确认是规则问题还是数据问题，再决定修正后重跑还是调整规则。
切换安排包括时间窗口、通知对象和值守人员。窗口尽量选在业务低峰，通知覆盖研发团队负责人和 IT 服务台。回退条件提前写明，例如登录失败率超过约定比例、关键部门人员缺失、同步产生重复账号；回退操作的责任人要指定到人，并确认回退后目录侧与平台侧的账号状态如何恢复一致。
| 检查项 | 通过标准 | 证据 | 负责人 |
|---|---|---|---|
| 测试账号清单 | 覆盖普通、兼职、特殊字符、停用四类 | 测试账号表与登录结果 | 平台管理员 |
| 首次同步抽样 | 抽样字段与目录一致，无重复与缺失 | 抽样核对记录 | 平台管理员、目录管理员 |
| 切换窗口与通知 | 窗口已排期，通知已发出并确认收到 | 排期表、通知记录 | 平台管理员 |
| 回退触发条件 | 条件可量化，责任人明确 | 回退方案 | 账号治理负责人 |
阻断项与完成条件
阻断项指未满足就不能进入下一阶段的项目，与普通待办区分开。以下情况建议列为阻断：目录服务连接不通或加密协商失败；Bind 账号权限不足或使用了超出必要范围的账号；Base DN 查询结果与确认范围不一致；映射表中存在平台必填字段无对应属性；唯一性约束在抽样中不满足；测试账号登录未通过；回退责任人未落实。
每个阻断项要写明解除责任人和确认方式。解除方式通常是补充配置、调整权限或修订规则后重新验证，并由原确认人复核。阻断项清单在实施前单独维护，联调和切换前各复核一次，状态只允许“未解除”和“已解除并复核”两种。
整体完成判定建议采用签字确认：连接信息、范围与映射、验证与回退三组检查表全部通过，阻断项全部解除，由目录管理员、平台管理员和账号治理负责人共同确认后，才进入正式切换。签字记录与各阶段证据一并归档，作为后续账号问题排查的依据。
| 阻断项 | 解除责任人 | 确认方式 |
|---|---|---|
| 连接不通或加密协商失败 | 目录管理员 | 重新连通性验证并留存日志 |
| Bind 账号权限不足或过大 | 目录管理员、安全负责人 | 权限调整后复核配置 |
| 必填字段无对应属性 | 平台管理员 | 映射表修订并抽样验证 |
| 唯一性约束不满足 | 账号治理负责人 | 规则调整后重新抽样 |
| 测试账号登录未通过 | 平台管理员 | 复测通过并记录结果 |
| 回退责任人未落实 | 账号治理负责人 | 书面指定并确认 |
常见问题
目录里人员很多，首轮同步是否要一次全量纳入？
可以分批，但范围要在实施前写清楚。建议先按组织单元或人员类型划出首轮范围，把外包、实习、服务账号等边界人员单独列明，确认后再同步。首轮范围确定后，实施期间尽量保持稳定，避免边同步边调整范围导致抽样核对失去基准。范围之外的人员如何处理（不导入、手工创建或后续单独接入）也要同步定下来。
Bind 账号用目录管理员账号是不是更省事？
不建议。Bind 账号只用于平台连接目录执行查询，应按只读、限定查询范围的原则单独申请，避免使用目录管理员账号。准备阶段要明确密码存放在何处、由谁保管、轮换周期如何安排，以及轮换时如何同步更新平台配置。权限过大或权限不足都属于阻断项，需要调整后由目录管理员和安全负责人复核。
目录中的账号、邮箱存在重复或空值，映射阶段怎么处理？
先确认平台侧哪些字段要求唯一、哪些必填，再用抽样数据核对目录中的实际情况。账号作为登录标识通常要求唯一；邮箱若也作为唯一标识，需要确认是否存在共用邮箱或空值。发现不满足约束的数据，由账号治理负责人确定处理规则，例如以工号区分重名、补齐缺失邮箱或调整唯一标识的选择，规则修订后重新抽样验证。
测试账号登录都通过了，是否可以直接全量切换？
测试登录通过只是验证的一部分。首次同步后还要按比例抽样核对账号、姓名、邮箱、部门、用户组五项是否与目录一致，确认没有重复账号和缺失人员。切换前要完成窗口排期、通知发出并确认收到、回退触发条件和责任人落实。抽样发现的问题要回溯到映射表，判断是规则问题还是数据问题，修正后重跑或调整规则再验证。
LDAP 集成和 SSO 单点登录是什么关系，准备信息是否相同？
两者解决的方向不同：LDAP 集成侧重从目录同步组织架构与账号，并验证登录；SSO 侧重由统一身份提供方完成认证。准备信息有重叠，例如目录连接参数和账号标识，但 SSO 还需要确认认证协议、证书与回调地址等配置。ONES 支持对接 LDAP 协议服务与 Microsoft AD 服务，自动同步组织架构并验证登录，也支持 SSO 单点登录，可对接 CAS、SAML 等方式。具体采用哪种组合、各方式的兼容版本与配置细节，建议在方案阶段向厂商确认。
