研发平台做LDAP集成，范围通常落在两条主线上：登录时由LDAP或AD目录校验凭据，以及把目录中的用户、组织架构和用户组同步到平台。它解决的是“人是谁、属于哪个组织”的问题，角色授权、数据访问策略和知识文档权限另行管理。本文按认证侧与同步侧拆解范围，并用入职到离职的账号流转说明边界。ONES在成员与组织管理上提供了与目录衔接的能力，可作为理解这套范围的参照。
要点总览（TL;DR）
- 研发平台LDAP集成的范围由两条主线构成：登录时由LDAP或AD目录校验凭据，后台把目录中的用户、组织架构和用户组同步到平台。
- 认证侧覆盖凭据校验、会话建立、账号映射与登录记录，密码策略和找回流程仍归目录管理，角色与数据访问授权不在其中。
- 同步侧覆盖用户账号、组织架构、用户组三类对象，方向通常为目录到平台单向，需区分全量与增量，并处理新增、调岗、离职停用等生命周期。
- 单点登录是认证方式之一，LDAP可作为其账号来源；访问授权策略归权限与安全治理，知识文档权限归知识权限与共享管理，消息通知不在本范围。
- 常见误解是把同步当成授权、把认证当成权限控制；目录停用账号阻止新登录，已建立会话是否立即失效取决于平台的会话与令牌策略。
LDAP集成在研发平台里到底管什么
LDAP集成在研发平台中的范围，可以概括为“一个来源、两个动作”。一个来源指企业已有的LDAP协议目录或Microsoft AD目录，它是账号和组织结构的权威出处；两个动作指认证校验与账号同步。认证校验发生在登录瞬间，平台把用户提交的凭据交给目录判断真伪；账号同步发生在后台，平台按计划把目录中的用户、部门、用户组拉取过来，形成平台内的成员与组织视图。
这两个动作经常被合并成一个词“对接目录”，但它们的触发时机、失败后果和维护方式都不同。认证失败意味着某个人当下无法登录；同步失败意味着平台内的成员名单和组织结构逐渐与目录不一致，新入职的人可能登录成功却找不到所属团队，调岗的人可能还挂在旧部门下。理解这条分界，是判断集成范围的第一步。
集成能够成立有一个共同前提：目录中存在可识别的用户与组织结构。用户需要有稳定且唯一的标识，例如账号名、邮箱或员工编号，平台据此建立目录账号与平台账号的映射；组织需要以部门、用户组等形式表达层级和归属。如果目录里的用户信息残缺、重名严重或组织层级随意维护，认证和同步都会出现匹配困难。因此实施前通常要先梳理目录结构，确定哪个字段作为唯一标识、哪些组织节点需要同步。
从范围上看，LDAP集成覆盖“身份进入平台”的通道和“身份在平台内成型”的数据，不覆盖身份进入平台之后能做什么。这个界定在后续每一节都会反复出现，因为实际项目中最常见的范围争议，正是把认证、同步与授权混在一起讨论。
身份认证侧的范围：从目录校验到会话建立
认证侧的核心动作是凭据校验。用户在研发平台登录页输入账号和密码，平台将凭据提交给LDAP或AD目录进行绑定校验，由目录返回成功或失败。密码本身保存在目录中，平台不另存一份密码，也不负责密码策略、密码过期提醒和找回流程，这些仍由目录侧管理。这样做的好处是密码只有一处权威来源，员工修改密码后无需在多个系统重复操作；对应的条件是目录服务必须稳定可达，目录不可用时登录会直接受影响。
校验通过后，平台需要完成三件事才算认证闭环：建立本地会话，让用户在有效期内免于重复输入凭据；建立目录账号与平台账号的映射，确保这次登录对应到平台内正确的成员记录；记录登录结果，供后续审计和问题排查使用。会话有效期、并发登录限制、登录失败锁定等策略，通常由平台侧配置，属于认证环节的配套设置。
认证侧的范围到此为止。用户登录成功后能看到哪些项目、能操作哪些工作项、能导出哪些数据，由平台的角色与权限体系决定，与目录无关。目录只回答“这个凭据是否属于某个有效账号”，不回答“这个账号应该拥有什么权限”。把权限写进目录组再指望平台自动照搬，往往需要额外的映射配置，这已经属于权限治理的工作，而不是LDAP集成本身。
单点登录与LDAP的关系需要单独说明。SSO是一种认证方式，用户在一个统一入口完成认证后，凭票据访问多个系统；LDAP目录则常作为SSO背后的账号来源和凭据校验方。两者可以组合：目录负责存人和验密码，统一身份服务负责签发票据，研发平台负责接收票据并建立会话。也可以不组合：平台直接对接LDAP完成登录校验，不走统一身份服务。选择哪种形态取决于企业是否已有统一身份平台，以及希望员工在多少个系统间共享登录状态。
账号同步侧的范围：用户、组织与生命周期
同步侧解决的是平台内“有哪些人、怎么组织”的问题。同步对象通常包括三类：用户账号，即成员的姓名、账号名、邮箱、工号等基础属性；组织架构，即部门及其层级关系；用户组，即按项目、职能或权限预分组的人群集合。三类对象的同步粒度可以不同，例如用户属性按天同步、组织架构按周同步，具体节奏取决于目录变更频率和平台承受能力。
同步方向通常是目录到平台的单向同步。目录是权威源，平台是消费方，平台内的成员信息以目录为准，避免两边同时可写造成冲突。少数场景下平台会向目录回写少量属性，但这需要明确约定字段和冲突处理规则，不属于默认范围。单向同步的含义也意味着：在平台上直接新建的成员，如果不在目录中，可能在下一轮同步后被标记为异常或需要人工确认，实施时要提前约定这类账号的处理方式。
全量同步与增量同步的差别体现在数据量和时效上。全量同步每次拉取目录中的全部用户和组织，逻辑简单、结果确定，适合首次初始化或定期校准；增量同步只拉取上次同步后发生变化的记录，速度快、对目录压力小，但依赖目录提供变更标识，且一旦漏掉某次变更就需要靠全量同步兜底。多数实施会采用“首次全量加日常增量、定期全量校准”的组合。
生命周期处理是同步侧最容易被低估的部分。新员工在目录建号后，同步任务将其带入平台并归入对应部门；员工调岗时，部门归属和用户组随之更新；员工离职时，目录侧停用或删除账号，同步任务据此在平台上停用对应成员。停用与删除是两种不同处理：停用保留历史记录，成员无法登录但其创建的工作项、评论和文档归属仍然可查；删除则可能影响历史数据的归属展示。多数研发平台倾向于停用而非物理删除，具体策略需要在实施时与目录侧的账号处理规则对齐。
| 同步对象 | 典型内容 | 同步方向 | 生命周期关注点 |
|---|---|---|---|
| 用户账号 | 姓名、账号名、邮箱、工号、状态 | 目录到平台 | 新增建号、属性变更、离职停用 |
| 组织架构 | 部门名称、层级、负责人 | 目录到平台 | 部门新建、合并、撤销后的成员归属 |
| 用户组 | 项目组、职能组、虚拟团队 | 目录到平台 | 成员进出组、组解散后的清理 |
在平台侧承接这些同步结果时，成员与组织管理需要具备相应的承载结构。ONES支持对接LDAP协议服务和Microsoft AD服务，实现自动同步组织架构与验证登录；对于非标准用户目录，也可通过标准接口更新组织架构。同步进来的成员可以在ONES内划分到不同团队，形成多团队的组织管理视图。这条流程的落点是：目录产生变更，同步任务带入平台，管理员在平台内确认团队归属，成员以正确身份参与项目协作。
容易混淆的相邻概念：SSO、权限治理、知识权限
LDAP集成处在身份体系的底层，向上会与几个相邻主题发生接触，但归属不同。把它们分开，能避免在需求讨论中把不同团队的工作混成一个项目。
与单点登录的关系是组合而非替代。SSO关注“一次认证、多系统通行”，LDAP关注“账号从哪里来、凭据由谁校验”。企业可以只用LDAP直连登录，也可以让LDAP作为账号源、由CAS或SAML等协议承载单点登录。ONES支持SSO单点登录，可对接CAS、SAML、飞书验证登录、企业微信验证登录、钉钉验证登录；同时也支持从企业微信、钉钉同步账号与组织架构。这些能力分别落在认证方式和账号来源两个层面，实施时需要先确定企业身份体系的主干，再决定研发平台接入哪一段。
与权限治理的关系是上下游。LDAP集成把人和组织带进平台，权限治理决定这些人和组织能访问什么。角色定义、项目成员权限、数据可见范围、审批流程中的权限校验，都属于权限与安全治理的范畴。目录中的用户组可以作为权限分配的依据之一，但“组同步过来”与“组自动获得某类权限”之间还隔着映射规则和授权决策，这部分不在LDAP集成范围内。
与知识权限的关系是对象不同。知识文档的共享范围、密级、可见部门、外链策略，归知识权限与共享管理。LDAP集成带来的组织架构可以作为知识权限的判定依据，例如按部门设置文档可见范围，但文档权限规则本身由知识管理侧设计和维护。
消息通知同样不属于本范围。登录提醒、同步失败告警、账号异常通知属于通知机制的设计，LDAP集成只负责产生认证与同步的结果事件。
| 概念 | 回答的问题 | 与LDAP集成的关系 |
|---|---|---|
| LDAP集成 | 账号从哪来、凭据由谁校验 | 本主题 |
| 单点登录SSO | 一次认证能否通行多个系统 | 认证方式之一，LDAP可作为其账号来源 |
| 权限与安全治理 | 谁能访问什么、能做什么 | 下游环节，消费同步来的身份与组织 |
| 知识权限与共享 | 文档资料对谁可见、如何共享 | 可引用组织架构，规则另行管理 |
| 消息通知 | 事件如何告知相关人 | 消费认证与同步产生的结果事件 |
一个具体例子：新员工入职到离职的账号流转
以下为演示情景，用于说明范围如何在实际流程中落地，不对应特定企业。
新员工入职当天，HR在目录中创建账号，填入姓名、工号、邮箱，并挂到研发部下设的平台组。同步任务在下一轮执行时把这些信息带入研发平台，平台内出现该成员记录，部门归属为研发部，用户组为平台组。此时成员尚未登录，平台内已有其身份档案。员工首次访问研发平台，输入目录账号和密码，平台将凭据提交目录校验，通过后建立会话，并按账号映射关联到刚同步进来的成员记录。整个过程中，平台没有保存密码，也没有在平台内手工建人。
三个月后员工调岗到数据组，目录管理员修改其部门归属和用户组。下一轮同步后，平台内的部门与用户组随之更新。此前他在项目中创建的工作项和评论仍保留在原处，归属人显示不变，变化的是组织视图和后续可能依据组织判定的可见范围。这里需要注意：如果某些项目权限是按用户组授予的，调组可能带来权限变化，但这一变化来自权限规则对组的引用，而不是同步动作本身在授权。
员工离职时，目录侧停用账号。同步任务识别到状态变化，在平台上停用对应成员。停用后该成员无法登录，历史工作项和文档的归属信息保留，便于追溯。如果企业采用删除策略，则需要提前评估历史数据归属的展示影响，并与平台侧的处理规则对齐。
这个连续场景里有两个常见误解。第一个是把同步当成授权：认为组织架构同步过来，成员就自动拥有了对应部门的数据权限。实际上同步只带来归属关系，权限仍需按角色和规则授予。第二个是把认证当成权限控制：认为目录里禁用账号就等于切断了所有访问。认证侧确实阻止了新的登录，但已建立的会话、已授权的接口调用是否立即失效，取决于平台的会话管理和令牌策略，这属于认证配套设置，需要在实施时单独确认。
把范围收拢成一句话：研发平台LDAP集成负责让正确的人以正确的组织身份进入平台，并让这份身份随目录变化保持更新；至于进入之后能做什么、能看到哪些资料，由权限治理和知识权限各自回答。ONES在这条链路上提供目录对接、组织同步与多团队管理的能力，具体兼容版本、同步机制细节和账号停用策略，建议在实施前结合企业目录现状逐项核验。
常见问题
研发平台已经接了单点登录，还需要再做LDAP集成吗？
两者解决的是不同环节，是否都需要取决于企业身份体系的主干。SSO关注一次认证后能否通行多个系统，LDAP关注账号从哪里来、凭据由谁校验。常见做法是让LDAP或AD目录作为账号来源，由统一身份服务承载单点登录，研发平台接收票据并建立会话。如果企业已有统一身份平台，研发平台可能只需接入SSO协议；如果希望平台直接校验目录凭据，也可以单独对接LDAP。判断依据是目录是否为企业权威账号源，以及员工是否需要在多个系统间共享登录状态。
目录里停用了一个账号，研发平台上的登录和已有会话会同时失效吗？
需要分开看。同步任务识别到目录侧状态变化后，会在平台上停用对应成员，此后该成员无法发起新的登录。已经建立的会话和已签发的令牌是否立即失效，取决于平台的会话有效期、令牌刷新和强制下线策略，这些属于认证环节的配套设置，与同步动作本身不是一回事。实施时应确认停用后会话的失效时机，对离职等敏感场景可配合平台侧的手动强制下线操作。
同步过来的组织架构，能不能直接决定成员能看到哪些项目数据？
同步只带来归属关系，不直接产生授权。组织架构和用户组可以作为权限规则的判定依据，例如按部门或用户组授予项目可见范围，但“组同步进来”与“组自动获得某类权限”之间还隔着映射规则和授权决策。这部分属于权限与安全治理的工作，需要在平台内单独配置角色和访问策略。把同步当成授权，是实施中最常见的范围误解之一。
首次上线LDAP集成时，同步策略应该怎么安排？
多数实施采用“首次全量加日常增量、定期全量校准”的组合。首次全量用于初始化平台内的成员与组织视图，结果确定、便于核对；日常增量只拉取变化记录，速度快、对目录压力小，但依赖目录提供变更标识，一旦漏掉某次变更就需要靠全量同步兜底。同步频率可按目录变更节奏设定，用户属性与组织架构的同步粒度也可以不同。上线前建议先梳理目录结构，确定唯一标识字段和需要同步的组织节点。
目录中的用户信息不完整或重名较多，会影响集成吗？
会影响匹配和同步质量。平台需要稳定且唯一的标识来建立目录账号与平台账号的映射，例如账号名、邮箱或员工编号；组织也需要以部门、用户组等形式清晰表达层级和归属。如果目录中用户信息残缺、重名严重或组织层级随意维护，认证和同步都可能出现匹配困难，甚至出现同一人被重复建号的情况。实施前通常要先梳理目录结构，明确唯一标识字段，并对异常账号约定人工确认的处理方式。
