LDAP 集成验收要回答一个具体问题：账号从目录到研发平台这条链路，能不能在真实使用中稳定工作。本文按准备、联调、试运行、上线验收四个阶段给出检查项，每项写明通过标准、证据形式和负责人，并把认证不可用、账号重复、离职账号未回收、回退不可行列为阻断项，未通过不得进入下一阶段。验收过程中产生的工作项、问题与结论，可以在 ONES 中登记和归档。
要点总览（TL;DR）
- LDAP 集成验收按准备、联调、试运行、上线验收四个阶段推进，前一阶段未签字确认，后一阶段不启动。
- 准备阶段核清目录服务类型与版本、Base DN、服务账号最小权限、测试账号覆盖和属性映射草案，唯一标识优先选目录中稳定不变的字段。
- 联调阶段以实际操作验证首次登录、再次登录、错误密码、账号不存在、目录不可达五类路径，属性映射与用户组同步逐项比对源数据。
- 试运行阶段覆盖新员工开通、部门变更、调组、停用、离职回收和批量变更，回收时点须事先书面约定才能判定是否及时。
- 认证不可用、账号重复、离职账号未回收、回退不可行属于阻断项，没有有条件通过一档，复验通过并由四类角色签字后方可放行。
谁在什么时点使用这份验收清单
这份清单由四类角色共同使用，各自负责不同阶段的判断和签字。把角色和时点先定下来，后续每个检查项才有明确的执行人和确认人，避免出现“配置做完了但没人确认能不能上线”的情况。
| 角色 | 负责阶段 | 签字交付物 |
|---|---|---|
| IT 目录管理员 | 准备阶段、联调阶段 | 目录结构确认单、测试账号清单、服务账号权限说明 |
| 研发平台管理员 | 联调阶段、试运行阶段、上线验收 | 认证联调记录、属性映射比对表、上线验收表 |
| 安全或审计人员 | 准备阶段评审、上线验收 | 权限最小化评审意见、日志与回退检查结论 |
| 业务代表 | 试运行阶段 | 生命周期场景核对确认、抽样结果确认 |
四个时点的准入与退出条件如下。准备评审的退出条件是目录结构、测试账号和属性映射草案全部确认，由 IT 目录管理员与研发平台管理员共同签字。联调完成的退出条件是认证链路与属性映射检查项全部通过，由研发平台管理员签字、安全人员复核。试运行结束的退出条件是生命周期场景检查项全部通过，由业务代表确认抽样结果。上线验收的退出条件是异常处置、日志与回退检查项通过且阻断项清零，由四类角色共同签字放行。
时点之间是串行关系：前一阶段未签字，后一阶段不启动。这样安排的原因是，目录侧前提没核清就进入联调，属性映射的返工会反复出现；回退方案没演练就上线，一旦认证出问题会直接影响全员登录。
准备阶段：目录结构与测试账号检查项
准备阶段的目标是在动配置之前把目录侧前提核清。这一阶段不验证登录结果，只确认“要对接什么、用什么账号对接、映射哪些字段”。
| 检查项 | 通过标准 | 证据 | 负责人 |
|---|---|---|---|
| 目录服务类型与版本 | 明确目录服务类型（如 Microsoft AD 或其他 LDAP 服务）及版本，并与平台侧确认兼容性 | 目录服务信息确认单 | IT 目录管理员 |
| 网络可达性 | 研发平台到目录服务的连接在测试环境实测连通，端口与防火墙策略已开通 | 连通性测试记录 | IT 目录管理员 |
| Base DN 与组织结构 | Base DN 明确，用户与用户组的组织方式（按部门、按 OU 或混合）已书面确认 | 目录结构说明或截图 | IT 目录管理员 |
| 服务账号权限 | 用于查询目录的服务账号仅具备读取所需范围对象的权限，无写权限 | 权限配置截图、安全评审意见 | IT 目录管理员、安全人员 |
| 测试账号覆盖 | 测试账号包含普通成员、属于多个组的用户、已停用用户、姓名含特殊字符的用户各至少一个 | 测试账号清单 | IT 目录管理员 |
| 属性映射草案 | 用户名、姓名、邮箱、部门、唯一标识五类属性的来源字段已确定，唯一标识选定为稳定不变的字段 | 属性映射草案表 | 研发平台管理员 |
唯一标识的选择值得单独说明。用登录名作唯一标识，在员工改名或调整登录名时会导致账号关联断裂；用目录中不可变的对象标识更稳妥。属性映射草案在这一阶段只是草案，联调阶段要用真实数据逐项比对后才能定稿。
测试账号中的停用用户和特殊字符姓名容易被忽略。停用用户用于验证平台是否拒绝已停用目录账号登录，特殊字符姓名用于验证同步过程不出现乱码或截断。这两类样本缺失，联调阶段就会漏掉对应的失败路径。
联调阶段：认证链路与属性映射检查项
联调阶段验证两件事：登录链路真实可用，目录属性正确落到平台账号上。检查以实际操作为准，不以配置界面显示“已启用”作为通过依据。
| 检查项 | 通过标准 | 证据 | 负责人 |
|---|---|---|---|
| 首次登录 | 使用目录账号首次登录成功，平台内生成对应账号 | 登录成功截图、账号详情截图 | 研发平台管理员 |
| 再次登录 | 同一账号退出后再次登录成功，账号信息保持一致 | 两次登录记录 | 研发平台管理员 |
| 错误密码 | 提示认证失败，不泄露账号是否存在等敏感信息 | 失败提示截图 | 研发平台管理员 |
| 账号不存在 | 使用目录中不存在的账号登录被拒绝，提示信息明确 | 失败提示截图 | 研发平台管理员 |
| 目录不可达 | 断开目录连接后登录失败，提示可识别为认证服务异常而非密码错误 | 断连测试记录、提示截图 | 研发平台管理员、IT 目录管理员 |
| 属性映射比对 | 用户名、姓名、邮箱、部门、唯一标识与目录源数据逐项一致 | 属性映射比对表 | 研发平台管理员 |
| 用户组同步 | 目录用户组在平台侧存在，成员归属与目录一致 | 用户组与成员比对记录 | 研发平台管理员 |
| 重复账号检查 | 同一用户多次登录后平台内仅存在一个账号，无重复记录 | 账号列表截图 | 研发平台管理员 |
三类失败路径的提示信息要分别记录，原因是它们对应不同的处置动作：错误密码由用户自行重试，账号不存在需要确认目录侧是否已开通，目录不可达则需要 IT 侧排查网络或目录服务状态。如果三类失败给出相同或模糊的提示，运维人员定位问题的成本会明显上升，这一项应判为不通过。
属性映射比对以目录源数据为基准，逐项对照平台侧显示结果，比对表保留源值与平台值两列。用户组同步要核对到成员级别，只确认组存在不足以说明同步正确。ONES 支持对接 LDAP 协议服务与 Microsoft AD 服务，实现组织架构自动同步与登录验证；具体兼容版本与配置限制需在准备阶段向厂商确认后写入验收依据。
试运行阶段：账号生命周期检查项
试运行阶段覆盖账号从开通到回收的完整过程，重点验证目录侧的变更能否在平台侧按约定时点生效。这一阶段用真实或仿真的员工变动场景推进，每个场景记录操作、预期结果和实际结果。
| 场景 | 操作 | 预期结果 | 负责人 |
|---|---|---|---|
| 新员工开通 | 在目录中新建账号并加入对应组，员工首次登录平台 | 登录成功，姓名、邮箱、部门信息完整 | 业务代表、研发平台管理员 |
| 部门或岗位变更 | 修改目录中该账号的部门属性 | 平台侧部门信息在约定时点内更新 | 研发平台管理员 |
| 调组 | 将账号从一个用户组移入另一个用户组 | 平台侧用户组归属与可见范围随之变化 | 研发平台管理员 |
| 停用 | 在目录中停用账号后尝试登录 | 登录被阻断，提示明确 | 研发平台管理员 |
| 离职回收 | 在目录中删除或禁用离职账号 | 平台侧账号在约定回收时点内失效，无法登录 | 研发平台管理员、安全人员 |
| 批量变更 | 批量导入或批量调整一批账号 | 抽样账号结果与预期一致，无遗漏或错配 | 研发平台管理员 |
回收时点要在试运行前书面约定，例如“目录停用后 24 小时内平台侧登录阻断生效”，验收时按约定时点核对实际表现。约定时点缺失，离职账号是否“及时”回收就无法判定，这一项会变成主观判断。
批量场景采用抽样核对，抽样规则见下一节。调组场景要同时检查用户组归属和由此带来的可见范围变化，只核对组成员列表不核对实际可见内容，会漏掉同步不完整的问题。ONES 支持创建多个团队并将成员划分到不同团队，团队间数据隔离，调组后的可见范围检查可结合团队归属一并核对。
上线验收：异常处置、日志与回退检查项
上线验收确认故障可发现、可定位、可回退，形成放行依据。这一阶段检查的是异常路径，正常登录路径在联调阶段已经验证。
| 检查项 | 通过标准 | 证据 | 负责人 |
|---|---|---|---|
| 目录服务中断表现 | 模拟目录中断，登录失败提示可识别，已有会话的处理方式符合预期 | 中断演练记录 | 研发平台管理员、IT 目录管理员 |
| 认证日志 | 登录成功与失败均有日志记录，可按账号和时间检索 | 日志片段 | 研发平台管理员 |
| 账号操作日志 | 账号开通、变更、停用操作可追溯 | 日志片段 | 研发平台管理员 |
| 应急通道 | 紧急本地账号可用，账号数量与保管人受控并有使用记录 | 应急账号清单、使用登记 | 安全人员 |
| 回退演练 | 停用 LDAP 认证后，本地账号可正常登录，回退操作步骤与耗时已记录 | 回退演练记录 | 研发平台管理员、安全人员 |
| 观察期安排 | 上线后观察期时长、观察指标与问题上报路径已书面确定 | 观察期方案 | 研发平台管理员 |
回退演练是这一阶段最容易被跳过、也最不该跳过的一项。演练要实际执行停用 LDAP 认证的操作，确认本地账号能登录，并记录从决定回退到恢复可用的耗时。演练只在文档里写步骤、不实际执行，无法证明回退可行。
应急本地账号要控制数量并明确保管人，使用后登记。应急通道长期无人管理，本身会成为新的账号风险。日志的留存位置、留存期限与导出方式按实际环境确认，验收时以能取到指定账号在指定时间段的记录为准。
通过标准与证据要求
每类检查项按三档判定：通过、有条件通过、不通过。判定口径统一，验收结论才能被复核。
| 判定 | 口径 | 处理方式 |
|---|---|---|
| 通过 | 实际结果与通过标准完全一致，证据齐全 | 记录结论，进入下一阶段 |
| 有条件通过 | 主路径符合标准，存在不影响认证可用与账号安全的偏差，且有明确修复计划与时限 | 登记偏差项，限期修复并复验 |
| 不通过 | 实际结果偏离通过标准，或证据缺失无法判定 | 修复后重新执行该项检查 |
证据形式按检查项性质选择：界面结果用截图，认证与操作过程用日志片段，属性与用户组用比对表，阶段结论用签字记录。截图要包含可识别的时间与账号信息，日志片段要能定位到具体账号和时间段，比对表保留源值与平台值两列。
抽样规则建议如下：批量变更场景按批次抽取不少于 10% 且不少于 5 个账号；样本覆盖不同部门、不同用户组和至少一个特殊字符姓名账号；抽取的账号逐一核对属性与组归属。样本量小于 5 个时全量核对。证据统一归档到指定位置，保存期限按企业审计要求确定，建议不短于一个完整的账号变动周期，便于后续追溯。
阻断项与完成条件
阻断项是必须清零才能上线的问题类型，与普通检查项的区别在于：普通项可以有条件通过并限期修复，阻断项没有条件通过这一档。
| 阻断项 | 判定依据 | 责任人 | 解除方式 |
|---|---|---|---|
| 认证不可用 | 正常目录账号无法登录，或登录成功率不满足约定 | 研发平台管理员 | 修复后重新执行联调阶段全部认证检查项 |
| 账号重复 | 同一用户存在两个及以上平台账号 | 研发平台管理员 | 清理重复账号，复验同一用户多次登录仅产生一个账号 |
| 离职账号未回收 | 目录已停用或删除的账号仍可登录平台 | 研发平台管理员、安全人员 | 完成回收，复验登录阻断生效 |
| 回退不可行 | 停用 LDAP 认证后本地账号无法登录，或回退步骤无法执行 | 研发平台管理员 | 修复回退路径并重新演练 |
每个阻断项登记时写明发现时间、责任人、修复时限和复验方式。修复时限按影响范围确定，认证不可用与离职账号未回收直接影响全员登录或账号安全，应优先处理。解除阻断以复验通过为准，复验由原检查人以外的角色执行，避免自查自放。
整体完成条件为：四个阶段的检查项全部判定为通过或有条件通过，阻断项全部清零并完成复验，回退演练记录与观察期方案齐备，四类角色完成放行签字。满足这些条件后，LDAP 集成方可进入正式运行。
把验收记录接入研发平台管理流程
验收过程中的检查项、问题和结论需要可查、可追、可复验，把这些记录放进研发平台的日常管理流程，比散落在表格和邮件里更容易在复验和审计时取用。
具体组织方式可以按以下步骤落地。将本文各阶段的检查项拆成工作项，按准备、联调、试运行、上线验收设置状态，每项指派负责人并附上通过标准。联调与试运行中发现的问题以缺陷或任务形式登记，写明影响范围、责任人和修复时限，修复后由复验人关闭。属性映射比对表、日志片段、演练记录等证据作为附件挂在对应工作项下，验收结论与放行签字整理成文档归档到项目文档。上线放行评审在平台内发起并留痕，评审意见与签字记录随文档保存。
ONES 支持对接 LDAP 协议服务与 Microsoft AD 服务，实现组织架构自动同步与登录验证，验收中的账号与组织架构结果可直接在平台内核对。对于目录服务非标准的场景，也可以通过标准接口更新组织架构，验收时相应增加接口同步结果的检查项。验收工作项、缺陷与文档的组织方式按团队既有流程确定，本文给出的是一种可执行的参考结构。
常见问题
LDAP 集成验收中，哪些检查项可以判为有条件通过？
有条件通过适用于主路径符合标准、存在不影响认证可用与账号安全的偏差，并且有明确修复计划和时限的情况。例如属性映射中某个非关键字段的显示格式与预期略有差异，但用户名、唯一标识、邮箱等关键属性一致，可以登记偏差项并限期修复。
认证不可用、账号重复、离职账号未回收、回退不可行这四类问题不适用有条件通过，必须清零并复验后才能放行。判定时先看问题是否影响登录可用性或账号安全，再决定归入哪一档。
目录中同一个用户出现在多个用户组，同步后平台侧会怎么处理？
多组用户的处理方式取决于平台侧用户组同步的配置规则，验收时不能假设结果，应以实际同步表现为准。建议在准备阶段就把一个属于多个组的测试账号列入样本，联调阶段核对该账号在平台侧的全部组归属是否与目录一致。
如果平台侧只保留一个主组，或组归属出现覆盖，需要在验收记录中写明实际规则，并由业务代表确认该规则符合日常使用预期。规则未确认前，这一项不宜判为通过。
离职账号回收的“及时”怎么判定？
回收时点必须在试运行开始前书面约定，例如“目录停用后 24 小时内平台侧登录阻断生效”。有了约定时点，验收时按该时点核对实际表现即可判定；没有约定时点，是否及时就变成主观判断，无法形成可复核的结论。
核对时同时检查两件事：目录侧账号已停用或删除，以及平台侧该账号在约定时点后无法登录。两项都满足才算通过。离职账号未回收属于阻断项，发现后应立即登记责任人与修复时限。
回退演练需要做到什么程度才算通过？
回退演练要实际执行停用 LDAP 认证的操作，确认本地账号能够正常登录，并记录从决定回退到恢复可用的耗时。只在文档里写步骤、不实际执行，无法证明回退路径可行，这一项应判为不通过。
演练记录中写明执行人、执行时间、操作步骤、实际耗时和遇到的问题。停用 LDAP 认证后本地账号无法登录，或回退步骤无法执行，都属于阻断项，需修复后重新演练。
验收记录和问题在研发平台内怎么组织比较合适？
一种可执行的做法是把各阶段检查项拆成工作项，按准备、联调、试运行、上线验收设置状态，每项指派负责人并附上通过标准。联调与试运行中发现的问题以缺陷或任务形式登记，写明影响范围、责任人和修复时限，修复后由复验人关闭。
属性映射比对表、日志片段、演练记录等证据作为附件挂在对应工作项下，验收结论与放行签字整理成文档归档到项目文档。ONES 支持对接 LDAP 协议服务与 Microsoft AD 服务，实现组织架构自动同步与登录验证，验收中的账号与组织架构结果可直接在平台内核对。具体组织方式按团队既有流程确定。
