研发平台选SSO，评估重点落在五类要求：协议兼容、身份源对接、账号与组织同步、认证强度、运维可观测。把它们拆成可核验的问题，再在测试环境用真实账号跑一轮登录、登出、同步和异常处置，结论才站得住。ONES在账号与组织同步、登录审计等管理动作上有对应能力，下文会结合具体环节说明衔接方式。
要点总览（TL;DR）
- 研发平台选SSO，先把协议兼容、身份源对接、账号与组织同步、认证强度、运维可观测五类要求写成评估表，每项配核验问题和证据形式，避免只问一句“支持SAML吗”。
- 协议层分开核验：SAML 2.0看断言字段映射、签名加密与元数据交换，OIDC看授权码流程、ID Token声明与PKCE，LDAP/AD看同步属性、OU层级与嵌套组解析。
- 认证与账号生命周期要写成验收条件：MFA与条件访问由谁控制、单点登出覆盖范围、离职停用生效时间、同步失败与冲突账号的处置规则。
- 上线后的证书轮换、登录审计日志字段与留存、IdP故障降级路径属于长期运行要求，应在选型阶段问清并演练一次。
- 用测试环境跑一轮登录、登出、同步、异常四类场景，把记录回填评估表，形成通过、待确认、不满足三档结论，再按业务优先级做取舍。
先定评估口径：SSO选型要回答的五个问题
SSO选型容易停在“支持SAML吗”这一层，真正决定上线是否顺利的，是协议、身份源、账号同步、认证策略和运维这五件事能否同时成立。建议先把它们写成一张评估框架表，每类要求配一个核验问题和一种证据形式，后续对照厂商答复和测试记录逐条打分。
| 评估类别 | 核验问题 | 证据形式 |
|---|---|---|
| 协议兼容 | 支持哪些协议版本？SAML 2.0的断言字段、签名方式是否可配置？是否支持OIDC/OAuth 2.0？ | 协议对接文档、IdP兼容矩阵、测试环境登录记录 |
| 身份源对接 | 能否对接企业现有IdP？多IdP并存时如何区分？子租户和外部协作者账号怎么处理？ | IdP配置说明、多租户方案文档、配置演示 |
| 账号与组织同步 | 用户和组织架构通过什么方式同步？同步频率多少？离职停用多久生效？ | 同步机制说明、同步日志样例、停用时效测试记录 |
| 认证强度 | MFA和条件访问由IdP还是平台侧控制？会话时长能否配置？单点登出覆盖哪些应用？ | 认证策略配置文档、登出测试记录 |
| 运维可观测 | 签名证书如何轮换？登录审计日志包含哪些字段、留存多久？IdP故障时有无降级路径？ | 运维手册、日志字段清单、故障演练记录 |
这张表的作用是统一口径。后面每一节都围绕其中一类展开，测试验证阶段也按这张表逐条回填结论，避免不同评估人各问各的、最后无法横向比较。
协议兼容怎么核验：SAML、OIDC与目录对接的检查项
SAML 2.0和OIDC解决的是“登录凭证如何在IdP与研发平台之间传递”，LDAP/AD解决的是“账号和组织架构从哪里来”，三者核验点不同，需要分开提问。
SAML 2.0的核验点
SAML 2.0在成熟企业IdP环境中使用广泛，评估时重点确认断言中的用户标识字段（如NameID）能否映射到平台账号，属性声明能否携带姓名、邮箱、部门等信息，断言签名与加密是否支持企业安全要求，以及元数据交换是手动上传还是支持URL自动拉取。还要问清SP端是否支持配置多个IdP元数据，这直接影响后续接入第二个身份源的难度。
OIDC/OAuth 2.0的核验点
OIDC构建在OAuth 2.0之上，更适合现代Web与移动端应用，核验时关注授权码流程是否完整、ID Token中的声明字段是否可映射、是否支持PKCE，以及刷新令牌和会话续期策略。如果研发平台同时提供桌面客户端或CLI工具，还要确认这些客户端走的是哪种流程。
LDAP/AD目录对接的核验点
目录对接决定账号与组织架构能否自动对齐。需要确认同步覆盖哪些用户属性（账号、姓名、邮箱、部门、职位），组织层级能否按OU结构还原，嵌套组的成员关系是否解析，以及同步是定时拉取还是事件触发。对于使用非标准目录服务的企业，还要问清是否提供标准接口用于更新组织架构。
多IdP与外部协作者
集团型企业常见多IdP并存：总部一套IdP，子公司或并购团队各有一套。评估时要确认平台能否按域名或租户路由到不同IdP，子租户之间的账号是否隔离，外部协作者（供应商、外包人员）是否有独立的邀请和登录路径。这些问题在宣传页上通常不会写，需要向厂商索取方案文档或在测试环境验证。
协议版本与IdP厂商兼容矩阵应主动索取。矩阵至少应覆盖企业正在使用的IdP产品及版本，并注明已验证的协议版本和已知限制。厂商无法提供矩阵时，把对应项标记为“待确认”，不要用“应该支持”替代证据。
认证与账号生命周期：从登录到停用的要求
登录成功只是起点。认证强度决定谁能进来、会话维持多久，账号生命周期决定人走之后权限是否及时收回，两者都需要写成可验收的条件。
MFA与条件访问的继承方式
多数企业的MFA和条件访问策略配置在IdP侧，研发平台通过SAML或OIDC继承认证结果。评估时要确认平台是否接受IdP返回的认证上下文，是否支持在平台侧追加二次验证，以及条件访问策略（如仅允许公司网络登录）在SSO流程中是否生效。如果平台自带本地账号体系，还要确认本地登录是否可关闭，避免绕过SSO的旁路。
单点登出与会话失效
单点登出（SLO）的覆盖范围要逐项确认：从平台登出是否同时注销IdP会话，从IdP登出是否通知平台失效会话，移动端和API令牌是否同步失效。部分实现只做单点登录不做单点登出，这种情况下需要评估会话超时配置能否弥补。
账号开通、变更与停用的时效
账号生命周期按三个动作验收：新员工入职后账号在多长时间内自动开通，转岗后组织和角色是否随之更新，离职停用从IdP操作到平台失效的延迟是多少。建议把“离职停用生效时间”写成明确的验收指标，并在测试环境实际测量，而不是接受“实时同步”这类没有口径的描述。
同步失败与冲突账号的处置
同步不可能永远成功。需要确认同步失败时是否有告警和重试机制，冲突账号（如同一邮箱对应两个账号）如何合并或标记，手工创建的本地账号与目录同步账号冲突时以哪边为准。这些处置规则应写进验收清单，作为上线前的检查项。
运维与安全：证书、日志与故障回退
SSO配置上线后长期运行，证书过期、IdP故障、平台升级都可能中断登录。这一组要求评估的是“出问题时能否快速发现和恢复”。
签名证书与密钥轮换
确认SAML签名证书的有效期、轮换操作由谁执行、轮换期间是否支持新旧证书并存，以及证书临近过期是否有通知机制。证书过期导致全员无法登录是常见事故，轮换流程应写进运维手册并演练一次。
登录审计日志
审计日志至少应包含登录时间、账号、来源IP、使用的IdP、认证结果和失败原因。评估时确认日志能否按账号和时间检索、留存周期多长、能否导出给SIEM或其他审计系统。对于有合规要求的企业，日志留存周期需要与内部审计制度对齐。
IdP故障时的降级路径
IdP不可用时，研发平台是否有应急登录方式，例如临时本地管理员账号或备用IdP。降级路径要明确启用条件、审批人和恢复后的清理动作，避免应急通道长期敞开成为安全缺口。
变更窗口与升级影响
平台版本升级是否会重置SSO配置、是否影响已建立的会话，需要在评估阶段问清。把SSO相关配置纳入变更管理，升级前在测试环境验证登录流程，可以降低升级引发的登录中断风险。
用测试环境验证：一轮可执行的评估步骤
评估表填完后，用一轮实际测试把纸面结论变成证据。测试范围不必覆盖全部场景，但要覆盖登录、登出、同步、异常四类关键路径。
- 准备测试环境。向厂商申请测试租户，准备一个测试IdP（可使用企业IdP的测试实例或厂商提供的模拟IdP），并准备三类测试账号：普通成员、管理员、即将停用的离职账号。
- 验证登录。分别用SAML和OIDC（如支持）完成首次登录，检查属性映射是否正确带入姓名、邮箱、部门，记录从点击登录到进入平台的耗时和失败提示。
- 验证登出。从平台发起登出，确认IdP会话是否同步注销；再从IdP发起登出，确认平台会话是否失效。移动端或客户端如有，单独验证。
- 验证同步。在IdP侧新增一个用户、修改一个用户的部门、停用一个用户，分别记录平台侧生效时间。制造一次同步失败（如临时断网），观察告警和重试行为。
- 验证异常。模拟证书错误、IdP不可用、冲突账号三种情况，记录平台的错误提示是否可读、是否有降级路径、日志是否留下完整记录。
- 回填评估表。把每项测试记录对应到S1的框架表，标注通过、待确认、不满足三档结论，附上截图或日志片段作为证据。
测试结论以实际记录为准。厂商演示环境与正式环境可能存在配置差异，正式采购前应确认测试所用配置与交付配置一致。
选择与落地建议：把评估结果转成决策
验证完成后，按业务优先级对五类要求排序。通常协议兼容和身份源对接是硬门槛，不满足即排除；账号同步和认证强度影响日常运维与安全，可作为加权项；运维可观测影响长期成本，适合在候选方案接近时作为区分依据。
不满足项的风险评估
对“待确认”和“不满足”的项逐条评估影响：缺少单点登出可以用会话超时缓解，缺少SCIM可以用目录同步或标准接口替代，缺少OIDC而企业IdP只支持OIDC则属于硬性阻断。替代路径要写明由谁承担额外工作量，避免上线后才发现需要大量手工维护。
上线前的配置评审与分工
上线前组织一次配置评审，明确IdP侧配置由IT身份团队负责、平台侧SSO配置由研发平台管理员负责、测试验证由双方共同完成，并约定证书轮换和故障应急的责任人。评审输出一份检查清单，覆盖协议配置、属性映射、同步任务、日志接入和回退方案。
ONES在账号与组织同步、登录审计上的衔接
ONES支持SSO单点登录，可对接CAS、SAML、飞书验证登录、企业微信验证登录、钉钉验证登录；支持从企业微信、钉钉同步账号与组织架构，也支持对接LDAP协议服务和Microsoft AD服务，实现组织架构自动同步与验证登录。对于使用非标准用户目录的企业，ONES提供标准接口用于更新组织架构。在多团队场景下，ONES支持创建多个团队并将成员划分到不同团队，团队间数据隔离，可作为组织管理动作的承载。上述能力的具体配置细节、版本差异以及OIDC、MFA、证书轮换、审计日志字段等未在资料中展开的部分，建议在选型阶段向厂商逐项确认，并纳入测试验证清单。
把评估框架、协议核验清单、生命周期验收条件和测试记录放在一起，就形成了一份可比较、可追溯的选型材料。决策依据来自实际验证结果，而不是宣传页上的功能列表。
常见问题
企业IdP只支持OIDC，研发平台只提供SAML对接，这种情况怎么处理？
这属于协议层的硬性阻断，需要先确认是否有中间层方案。常见做法是在IdP与研发平台之间加一个协议转换代理，把OIDC断言转换为SAML断言，但会引入额外的运维组件和单点故障点。评估时要问清转换层由谁维护、故障时如何回退，以及转换后属性映射是否完整。如果研发平台同时提供标准接口或目录同步，也可以评估用LDAP/AD同步账号、用SAML完成登录的组合路径。无论选哪种，都应在测试环境实际跑通一次完整登录流程再定。
多IdP并存时，子公司的账号和总部账号如何在同一个研发平台上隔离？
先确认平台是否支持按域名或租户路由到不同IdP，再确认子租户之间的账号是否隔离。评估时准备两个测试IdP，分别代表总部和子公司，验证同一邮箱后缀的用户是否被正确路由、跨租户是否能看到对方数据。如果平台只支持单一IdP，多团队场景可以退回到组织架构层面做划分，但这与身份源隔离不是一回事，需要在评估表里分开记录。ONES支持创建多个团队并将成员划分到不同团队、团队间数据隔离，可作为组织管理动作的承载；SSO身份源与团队划分的对应关系建议向厂商确认。
离职停用的同步时效怎么验收，厂商说“实时同步”能直接采信吗？
“实时同步”没有口径，不能直接作为验收依据。建议在测试环境实际测量：在IdP侧停用一个测试账号，记录从操作完成到平台侧无法登录的时间差，重复三次取范围。同时确认同步是事件触发还是定时轮询，轮询间隔是多少。把这个时间差写成明确的验收指标，例如“离职停用后30分钟内平台会话失效”，并约定超时时的告警和人工兜底流程。同步失败时的重试机制和冲突账号处置规则也应一并写入验收清单。
单点登出没有实现，能用会话超时弥补吗？
可以部分弥补，但要评估暴露窗口。单点登出缺失意味着用户从IdP登出后，研发平台侧的会话仍然有效，直到超时或被主动注销。评估时确认平台会话超时能否配置到可接受的范围，移动端和API令牌是否单独失效，以及管理员能否强制注销指定账号的会话。对于安全要求高的团队，建议把单点登出列为硬性要求；如果只能接受会话超时方案，应把超时时长、强制注销流程和审计记录写进上线检查清单。
测试环境验证通过，正式上线还需要注意什么？
测试环境与正式环境可能存在配置差异，上线前要确认测试所用配置与交付配置一致，包括IdP元数据、属性映射规则、证书和同步任务。建议组织一次配置评审，明确IdP侧配置由IT身份团队负责、平台侧SSO配置由研发平台管理员负责，并约定证书轮换和故障应急的责任人。上线后第一周重点观察登录失败日志和同步任务执行记录，发现异常及时回退到已验证的配置。
