研发平台做身份集成时，AD域集成和LDAP集成经常被当成两种并列方案，实际上二者处在不同层面：LDAP是一种目录访问协议，AD是微软的目录服务并对外提供LDAP访问能力。研发平台通过LDAP校验账号密码、读取用户与组织条目；AD域集成则在此基础上衔接域内账号体系，并可能涉及单点登录与域策略。差异主要集中在认证方式、同步范围和实施条件三方面，选择时先看企业现有目录是AD还是其他LDAP目录，再确认是否需要单点登录与组织架构同步。ONES在账号与组织同步上支持对接LDAP协议服务和Microsoft AD服务，可作为下文实施动作的参照。
要点总览（TL;DR）
- LDAP是目录访问协议，AD是微软目录服务并对外提供LDAP访问；LDAP集成是按协议接目录，AD域集成是接一个具体的目录产品。
- 认证方式上两者都可用账号密码经目录校验；AD域集成还可衔接域内登录机制实现单点登录，具体支持方式需向平台方确认。
- 同步范围由平台侧查询基准、字段映射和同步策略决定，接入AD并不等于自动同步全部域对象。
- 实施条件上AD域集成在LDAP条件之外增加域控制器可达与域配置正确的要求，混合目录需先明确主数据源。
- 选择顺序建议：先看现有目录类型，再看是否需要单点登录，最后看同步范围与维护成本；可先以LDAP集成打通账号，再按需叠加单点登录。
AD域集成与LDAP集成的核心区别
先给结论：LDAP集成是“按协议接目录”，AD域集成是“接一个具体的目录产品”。凡是符合LDAP协议的目录，研发平台都可以用同一套方式完成认证和读取；AD域集成则把对接对象限定为微软Active Directory，因而能进一步利用域内已有的账号体系与登录机制。理解这层关系，后面的差异才有共同口径。
认证方式上，LDAP集成通常由研发平台把用户提交的账号密码通过LDAP bind操作交给目录服务校验，校验通过即建立平台自身会话。AD域集成同样可以走这条路径，但在域环境完整、客户端已登录域的情况下，还可以借助域内机制实现单点登录，用户进入研发平台时无需再次输入密码。需要说明的是，具体支持哪种单点登录方式，取决于研发平台自身能力和域环境配置，实施前应逐项确认。
账号同步范围上，LDAP集成读取的是目录中暴露的用户条目和组条目，同步范围由查询基准和过滤条件决定，通常覆盖用户账号、组织单元和用户组。AD域集成面向的是域内对象，除用户和 organizational unit 外，还可能涉及域内计算机、安全组等对象；但研发平台实际同步哪些对象，仍由平台侧的字段映射和同步策略决定，并非接入AD就自动同步全部域对象。
实施条件上，LDAP集成需要研发平台能网络访问目录服务的监听端口，并提供查询账号、查询基准和字段映射；启用加密传输时还需处理证书信任。AD域集成在此基础上多一层域环境依赖：需要确认域控制器可达、域名与域后缀配置正确，若涉及域内单点登录，还要确认客户端与研发平台之间的信任配置。两者都不是“填个地址就能用”，差别在于依赖项的多少。
| 对比项 | LDAP集成 | AD域集成 |
|---|---|---|
| 本质 | 对接符合LDAP协议的目录服务 | 对接微软Active Directory目录服务 |
| 目录类型适配 | OpenLDAP、AD及其他LDAP兼容目录 | 以AD为主 |
| 认证方式 | 账号密码经LDAP校验 | 账号密码校验，并可衔接域内单点登录（具体方式待核实） |
| 同步范围 | 用户、组及查询范围内的组织条目 | 域内用户与组织对象，实际范围由平台同步策略决定 |
| 实施依赖 | 网络连通、端口、查询账号、证书 | 在LDAP条件之上增加域环境与域信任配置 |
同口径差异对照
上一节给的是判断，这一节把两种方式放到同一组维度下逐项对照，便于在方案评审时直接引用。对照只描述两类集成方式的典型差异，具体到某个研发平台，能力边界以其实际支持情况为准；表中标注“待核实”的项，需要在选型或实施前向平台方确认。
| 维度 | LDAP集成 | AD域集成 | 核验提示 |
|---|---|---|---|
| 认证方式 | 平台将账号密码提交目录校验，建立平台会话 | 可沿用账号密码校验，也可结合域内登录状态实现单点登录 | 单点登录的具体协议与触发条件待核实 |
| 账号与组织同步范围 | 按查询基准同步用户、用户组及组织条目 | 面向域内用户与组织对象，范围受平台同步策略约束 | 是否同步嵌套组、多域对象待核实 |
| 单点登录支持 | 协议本身不定义单点登录，需平台另行提供SSO能力 | 可衔接域内登录机制，减少重复输入密码 | 是否支持Kerberos等域内机制待核实 |
| 实施条件与依赖 | 目录地址、端口、查询账号、网络策略、证书信任 | 在LDAP条件之外，还需域控制器可达与域配置正确 | 端口、协议版本、证书要求待核实 |
| 目录类型适配 | 适配多种LDAP兼容目录，迁移时改动较小 | 绑定AD，更换目录产品时需重新评估 | 混合目录场景需单独设计 |
从对照可以看出，两种方式在“认证”这一项上高度重叠，真正的分水岭在单点登录与域环境依赖。若企业只需要研发平台校验账号密码并同步基础组织架构，LDAP集成已经覆盖；若希望员工使用域账号直接进入研发平台、减少一套密码，则需要评估AD域集成及其单点登录能力。域策略衔接属于AD侧的管理范畴，研发平台通常只消费认证结果，不承担域策略下发，这一点在方案沟通时应明确边界。
研发平台接入时的实施条件与核验要点
落地前先把条件核清楚，比选型阶段争论概念更有价值。以下清单按“目录—网络—字段—验证”的顺序组织，每一项都应有明确的负责人和确认结果，避免上线后才发现账号对不上或登录失败。
- 确认现有目录类型。查清企业使用的是AD域，还是OpenLDAP、其他LDAP兼容目录，或多种目录并存。目录类型直接决定走AD域集成还是通用LDAP集成；混合目录要明确以哪个目录为主数据源。
- 确认网络连通与端口。研发平台所在网络需能访问目录服务的监听端口，跨网段或跨云部署时提前开通策略；启用加密传输时确认端口与证书链完整。
- 确认证书与传输安全。使用LDAPS或StartTLS时，需将目录服务证书导入研发平台信任链，并确认证书有效期与续期责任方。
- 确认查询账号权限。为研发平台准备只读查询账号，权限范围覆盖需要同步的组织单元，避免使用域管理员账号。
- 确认账号唯一标识。明确以哪个字段作为账号唯一键，如登录名、邮箱或员工编号，并确认该字段在目录中唯一且稳定，不随姓名变更而改变。
- 确认组织架构字段映射。梳理目录中的部门、上级组织、岗位等字段与研发平台组织模型的对应关系，明确多层级组织如何展开、空缺字段如何取值。
- 确认离职与停用规则。约定目录中账号禁用或移出组织后，研发平台侧是同步停用还是保留历史数据，停用后其名下工作项的交接方式。
- 试点验证。先选一个小范围部门试点，验证登录成功与失败两种路径、增量同步是否及时、离职停用是否生效，再逐步扩大范围。
在研发平台侧，ONES支持对接LDAP协议服务与Microsoft AD服务，实现组织架构自动同步与登录验证；对于非标准用户目录，也可通过标准接口更新组织架构。这意味着上述核验项中的目录类型、字段映射和同步范围，需要在实施时与平台侧配置逐项对齐，而不是默认全部自动完成。若企业同时使用企业微信、钉钉等目录来源，还需明确多来源之间的账号归并规则，避免同一员工出现重复账号。
适配场景与选择建议
选择建议按企业现有目录和实际需求分场景给出，不追求统一答案。判断顺序建议是：先看目录是什么，再看要不要单点登录，最后看同步范围和维护成本。
- 已有AD域，且希望员工用域账号直接登录。倾向AD域集成。域环境完整时，可评估域内单点登录，减少一套独立密码；同时确认研发平台对域内登录机制的支持程度，以及域控制器不可达时的降级登录方式。
- 使用OpenLDAP等其他LDAP目录。走通用LDAP集成。这类目录不提供AD的域内登录机制，重点放在查询基准、字段映射和证书配置上，把同步范围控制在实际需要的组织单元内。
- 只需账号密码校验与基础组织同步。可采用简化的LDAP集成路径：只配置认证与必要的用户、部门同步，暂不引入单点登录，降低初期实施复杂度，后续按需扩展。
- 混合目录或迁移期。明确主数据源，避免两套目录同时写入造成账号冲突；迁移期可先以LDAP集成保证可用，再逐步切换到AD域集成，切换前验证账号唯一标识在新旧目录中一致。
- 目录非标准、无法直接对接。可评估通过标准接口同步组织架构，由企业侧完成目录到接口的转换，这种方式适合目录形态特殊但具备开发能力的团队。
无论选择哪种方式，都建议把认证与同步分开验收：认证关注登录成功率与失败提示，同步关注账号数量、组织层级和离职停用的时效。两者验收通过后，再讨论是否引入单点登录或扩展同步范围。AD域集成与LDAP集成并非互斥，很多企业的实际路径是先以LDAP集成打通账号，再在域环境成熟后叠加单点登录能力，这一顺序在实施风险上通常更可控。
常见问题
企业同时有AD域和其他LDAP目录，研发平台应该接哪一个？
先确定主数据源。通常以承载员工正式账号、离职流程和组织的目录为主，另一个目录作为补充或迁移期过渡。若AD是主数据源，研发平台以AD域集成打通认证与组织同步；其他LDAP目录中的账号通过归并规则映射到同一员工，避免出现重复账号。混合场景下要特别确认账号唯一标识在两个目录中一致，否则同步后可能出现同一人两条记录。
只做LDAP集成、不做单点登录，会不会影响后续扩展？
不会构成障碍。LDAP集成完成的是认证与基础组织同步，后续若域环境成熟、需要减少一套密码，可以在同一目录基础上评估叠加单点登录能力。建议初期就把账号唯一标识、组织字段映射和证书信任按长期方案配置好，扩展时改动集中在登录环节，账号数据无需重建。具体扩展路径以研发平台实际支持的SSO方式为准，实施前向平台方确认。
AD域集成后，域控制器故障时员工还能登录研发平台吗？
这取决于研发平台的会话与降级机制，需要在实施前明确。常见做法是已建立会话的用户在会话有效期内继续使用，新登录则受影响；部分平台提供本地账号作为应急入口。方案沟通时应确认三点：会话有效期设置、域控不可达时的失败提示、是否存在应急登录通道。这一项建议纳入上线前的故障演练。
目录中的离职账号，研发平台侧应该同步停用还是删除？
建议同步停用而非直接删除。停用可保留该账号名下的历史工作项、评论和操作记录，便于追溯与交接；删除则可能造成归属丢失。实施时约定触发条件（目录中账号禁用或移出组织）、同步时效，以及停用后其名下任务的交接责任人。若企业合规要求定期清理，可在停用一段时间后再执行删除，两个动作分开配置。
目录形态不标准、无法直接对接LDAP或AD，还有别的路径吗？
可以评估通过标准接口同步组织架构，由企业侧完成自有目录到接口的转换。这种方式适合目录形态特殊但具备开发能力的团队，代价是需要自行维护转换逻辑。ONES对非标准用户目录提供标准接口用于更新组织架构，同时提供API接口用于与企业系统集成，具体字段与调用方式需按接口文档对接。
