研发平台做身份集成时，AD 域集成与 LDAP 集成经常被当成两条路线来比较。两者在研发平台侧通常都走 LDAP 协议通道，真正的差别在目录来源、账号同步范围如何界定，以及实施前要准备哪些条件。选择时先看企业现有目录是 Windows 域还是其他 LDAP v3 目录，再按同步对象、认证方式和网络证书条件逐项核对。
要点总览（TL;DR）
- AD 域集成与 LDAP 集成在研发平台侧通常共用 LDAP 协议通道，差别集中在目录来源、同步范围界定方式与实施前置条件。
- AD 域集成依托域控完成认证，同步范围由域边界决定，通常覆盖域用户、安全组与 OU；LDAP 集成依托 LDAP bind 认证，范围由 Base DN、过滤条件与属性映射决定。
- 以 Windows 域为主、需要域内免密登录时倾向 AD 域集成；目录服务多样或无法直接访问域控时倾向 LDAP 集成。
- 实施前重点核对网络可达、端口放通、TLS 证书与目录查询账号权限，并保留本地账号作为应急登录方式。
- 混合目录环境建议明确一个主目录作为权威来源，其他来源只做补充，避免同一账号在多处被修改。
AD 域集成与 LDAP 集成的同口径差异对照
把两种方式放在同一组维度下比较，可以看到它们并非互斥技术，而是同一协议通道上的两种接入口径：AD 域集成把 Windows 域控作为目录来源，LDAP 集成把任意支持 LDAP v3 的目录服务作为来源。研发平台需要做的动作是一致的——读取目录中的账号与组织信息、验证登录请求，差别体现在来源约束和范围界定方式上。
| 比较维度 | AD 域集成 | LDAP 集成 |
|---|---|---|
| 认证方式 | 依托域控完成认证，常见 Kerberos 或 NTLM 协商；域内已登录的终端可借助域信任获得单点登录体验 | 依托 LDAP bind 认证，研发平台用用户凭据或服务账号向目录发起绑定请求，按返回结果判定登录是否通过 |
| 账号同步范围 | 覆盖域内用户、计算机与安全组，范围由域边界决定，通常整域或指定 OU 纳入同步 | 范围由 Base DN、过滤条件和属性映射共同决定，可精确到某个组织单元或某类账号 |
| 组织架构同步 | 按 OU 层级映射部门结构，组对象可映射为平台内的用户组或角色载体 | 按目录树层级映射，字段对应关系通过属性映射配置，可适配非标准目录结构 |
| 实施条件 | 需要可访问的域控、具备查询权限的域账号、放通的认证端口与域环境信任关系 | 需要明确目录服务类型、可用的 Base DN、bind 账号及 TLS 配置 |
| 网络与证书要求 | 研发平台服务器需能访问域控的认证与目录端口，跨网段时需核对防火墙策略；启用 LDAPS 时需信任域控证书 | 需保证到目录服务的网络可达，启用 StartTLS 或 LDAPS 时需配置受信任的 CA 证书 |
这张表的作用是建立判断框架：认证方式决定登录体验和凭据流向，同步范围决定哪些人和组织会进入研发平台，实施条件决定项目能否顺利上线。三项中任何一项不满足，都会在实施阶段暴露为具体问题，因此建议在选型前逐项打勾确认。
账号同步范围：AD 域与 LDAP 各自能覆盖什么
同步范围是两种方式差异最直接的地方。AD 域集成的范围由域边界天然划定，LDAP 集成的范围则由配置参数人为划定。理解这一点，可以避免上线后出现“该进来的人没进来”或“不该进来的人全进来了”两类问题。
AD 域集成的同步对象
AD 域集成通常同步三类对象：域用户、安全组和组织单位（OU）。域用户是登录研发平台的主体；安全组可以作为批量授权和角色分配的载体，把“某项目组成员”对应到平台内的用户组；OU 则承载组织层级，用于映射部门树。由于域内对象数量可能很大，实际配置时一般会指定同步的 OU 范围，把计算机账号、服务账号等非人员对象排除在外，减少无效数据。
LDAP 集成的同步对象
LDAP 集成的同步对象完全由 Base DN、过滤条件和属性映射决定。Base DN 指定从目录树的哪个节点开始读取；过滤条件限定只同步满足条件的条目，例如只取人员类对象、排除停用账号；属性映射则规定目录字段与研发平台字段的对应关系，如账号名、姓名、邮箱、部门。只要目录服务支持 LDAP v3，OpenLDAP、Apache Directory Server 以及各类商业目录都可以作为来源，同步范围可以做到比 AD 域更细。
组织架构的映射方式
两种方式在层级映射上思路相近，都按目录树的父子关系还原部门结构，差异在字段映射的灵活度。AD 域集成的字段通常对应标准 AD 属性，映射关系相对固定；LDAP 集成的属性映射可按目录实际 schema 调整，适合目录结构经过自定义改造的企业。映射设计时要确认部门层级深度、人员与部门的归属关系、以及一人多部门等特殊情况在平台侧如何表达。
范围过大或过小的常见影响
同步范围过大，会把离职未清理账号、共享账号、设备账号一并带入研发平台，增加账号治理负担，也可能让权限分配出现歧义。范围过小，则会出现部分项目成员无法登录、组织架构缺层、跨部门协作时找不到人的情况。合理的做法是先按组织现状圈定范围，上线后通过同步日志核对实际进入平台的账号数量与组织层级，再逐步调整过滤条件。
实施条件：两种集成方式各自需要准备什么
实施条件的核对决定了集成项目的时间表。两种方式都需要网络可达和账号权限，差别在于对目录环境的依赖程度：AD 域集成依赖域环境的完整性，LDAP 集成依赖目录参数的准确性。
环境与权限
- AD 域集成：确认研发平台服务器能访问域控，准备具备目录查询权限的域账号，明确同步的域或 OU 范围，确认域功能级别与研发平台的兼容性。
- LDAP 集成：确认目录服务类型与版本，准备 Base DN 和 bind 账号（只读权限即可满足同步需要），梳理属性映射表，确认目录中人员对象的识别规则。
网络、端口与证书
两种方式都要求研发平台到目录服务的网络链路可达。AD 域集成涉及域控的认证与目录端口，跨网段或跨机房部署时需要提前核对防火墙策略；LDAP 集成需要放通目录服务端口，若目录侧启用了 TLS，还要在研发平台侧配置受信任的 CA 证书。证书配置是常见的卡点：证书链不完整、域名与证书主题不匹配，都会导致加密连接建立失败，建议在测试环境先完成一次完整握手验证。
验证与回退
实施阶段建议按“先同步、后认证”的顺序推进：先验证账号与组织架构同步结果，核对数量、层级和字段；再验证登录链路，用测试账号分别走一遍正常登录、密码错误、账号停用等分支。回退方面，保留本地账号作为应急登录方式，在目录服务不可用时仍能进入平台处理事务；同步配置变更前记录原参数，出现范围异常时可快速恢复。
在研发平台侧，ONES 支持对接 LDAP 协议服务与 Microsoft AD 服务，实现组织架构自动同步和登录验证；对于非标准用户目录，也可以通过标准接口更新组织架构。这意味着上述两类集成口径在平台侧有对应的接入路径，具体支持的目录版本、端口与证书要求，建议在实施前与官方确认。若企业同时使用企业微信或钉钉作为用户目录，ONES 也支持从这两类来源同步账号与组织架构，可作为混合目录环境下的补充方案。
适配场景与选择建议
选择哪种方式，取决于企业目录现状和研发平台需要覆盖的人员范围，而不是哪一种技术更先进。以下按条件给出倾向性建议。
倾向 AD 域集成的场景
企业以 Windows 域管理终端和账号，员工日常在域内登录办公电脑，希望进入研发平台时免去二次输入密码，此时 AD 域集成更顺。域信任和安全组机制可以复用现有的账号治理流程，离职停用、部门调整在域侧完成后能反映到研发平台。前提是域控对研发平台可达，且企业愿意把域账号作为研发平台的登录凭据。
倾向 LDAP 集成的场景
企业目录服务多样，除 AD 外还有 OpenLDAP 或其他 LDAP v3 目录，或者研发平台部署在无法直接访问域控的网络区域，此时 LDAP 集成更合适。通过 Base DN 和过滤条件可以精确控制同步范围，属性映射也能适配自定义目录结构。对于需要把研发平台账号范围限定在特定组织单元的企业，LDAP 集成的范围界定能力更直接。
混合环境的组合思路
不少企业同时存在 AD 域和其他目录服务。一种常见做法是以 AD 域作为人员主目录完成认证，对非域内人员（如外部合作方、子公司账号）通过 LDAP 集成或标准接口补充同步；另一种做法是统一用 LDAP 集成对接 AD 的 LDAP 接口，以一套配置覆盖认证与同步。两种组合都可行，区别在于运维上要维护几套配置、账号冲突时以哪个目录为准。建议明确一个主目录作为权威来源，其他来源只做补充，避免同一账号在多处被修改。
选择前的核验清单
- 企业主目录是 Windows AD 还是其他 LDAP v3 目录，是否存在多个目录并存。
- 需要同步的对象范围：全体人员，还是限定某些部门、某些账号类型。
- 登录体验要求：是否需要域内免密登录，是否接受在研发平台单独输入目录密码。
- 网络条件：研发平台到目录服务的链路是否可达，跨网段策略是否已放通。
- 证书条件：目录侧是否启用 TLS，CA 证书是否可获取并受信任。
- 运维安排：同步频率、异常告警、账号停用后的处理流程由谁负责。
- 应急方案：目录服务不可用时，是否有本地账号可登录。
核验完成后，把结论落到具体配置上：AD 域集成重点确认域范围和组映射，LDAP 集成重点确认 Base DN、过滤条件和属性映射。研发平台侧的组织架构同步结果应与人力资源口径保持一致，上线后定期核对账号数量与部门层级，发现偏差及时调整同步范围。这样无论选择哪种方式，账号体系都能随组织变化保持准确。
常见问题
企业同时有 AD 域和其他 LDAP 目录，能不能两套都接？
可以，但需要先确定主次关系。常见做法是以 AD 域作为人员主目录完成认证，非域内人员（如外部合作方、子公司账号）通过 LDAP 集成或标准接口补充同步；另一种做法是统一用 LDAP 集成对接 AD 的 LDAP 接口，用一套配置覆盖认证与同步。两种组合的差别在于运维上要维护几套配置、账号冲突时以哪个目录为准。建议明确一个主目录作为权威来源，其他来源只做补充，并约定账号属性变更以主目录为准。
研发平台部署在无法直接访问域控的网络区域，还能做 AD 域集成吗？
需要先解决网络可达问题。AD 域集成要求研发平台服务器能访问域控的认证与目录端口，跨网段或跨机房部署时要提前核对防火墙策略。如果链路无法放通，可以考虑改用 LDAP 集成对接 AD 的 LDAP 接口，或通过标准接口同步组织架构，把认证与同步拆开处理。具体走哪条路径，取决于网络策略能否调整以及企业是否接受在研发平台单独输入目录密码。
同步范围一开始设小了，上线后怎么调整？
调整同步范围主要改两类参数：AD 域集成调整纳入同步的域或 OU 范围，LDAP 集成调整 Base DN 与过滤条件。调整前记录原参数，变更后通过同步日志核对实际进入平台的账号数量与组织层级，确认没有带入离职未清理账号、共享账号或设备账号。建议先在测试环境验证过滤条件的效果，再应用到生产环境，避免一次性范围放大带来账号治理负担。
目录服务临时不可用，研发平台还能登录吗？
这取决于是否保留了本地账号作为应急登录方式。实施阶段建议保留本地账号通道，在目录服务不可用时仍能进入平台处理事务。同时要明确目录服务恢复后的处理流程：同步任务是否需要手动触发补同步、期间产生的账号变更如何补齐。这部分安排应在上线前与运维方确认，并写入应急操作说明。
证书配置总是失败，通常卡在哪些环节？
常见卡点有三类：证书链不完整，研发平台侧只导入了服务器证书而缺少中间 CA；证书主题或 SAN 与目录服务实际访问的域名不匹配；目录侧启用了 StartTLS 或 LDAPS，而平台侧未配置受信任的 CA 证书。建议在测试环境先完成一次完整握手验证，确认证书链、域名与信任关系都正确后，再应用到生产环境。AD 域集成启用 LDAPS 时同样需要信任域控证书。
