研发平台 AD 域集成验收围绕身份认证与账号两条主线展开：先确认连接与协议参数可用，再逐项核对登录、账号同步、组织与人员映射、异常处置和回退，最后以可留存的证据判断每项通过与否。这份清单按集成准备、联调验证、正式验收、上线后观察四个时点组织，每项给出通过标准、证据、负责人和阻断标记，可直接用于验收会议逐条过项。范围限定在身份认证与账号，访问授权策略与知识文档权限不在本清单内。
要点总览（TL;DR）
- AD 域集成验收围绕身份认证与账号两条主线：准备阶段核对连接与参数，联调阶段验证登录与同步用例，验收阶段按检查项类型判定通过并留存证据。
- 清单按集成准备、联调验证、正式验收、上线后观察四个时点组织，IT 身份管理员、研发平台管理员、安全或运维负责人、业务验收代表分工签字。
- 功能类以用例全部通过为准，配置类留配置截图或导出记录，日志类要求可查询可追溯，文档类要求集成说明、账号映射表与运维手册齐备。
- 域账号无法登录、同步失败或数据错乱、同步凭据权限过大、无回退方案属于阻断项，全部关闭并签字后验收才算完成。
- 访问授权策略与知识文档权限不在本清单范围，应另立权限方案验收，避免验收范围失控。
谁在什么时点使用这份清单
AD 域集成验收容易变成“IT 说通了、业务说没感觉”的扯皮，原因通常是角色和时点没有提前定好。建议在项目启动会上就明确四类角色：IT 身份管理员负责 AD 侧连接、凭据与目录数据；研发平台管理员负责平台侧配置、账号映射与同步任务；安全或运维负责人负责凭据权限、加密方式与回退方案；业务验收代表从实际使用角度确认登录体验和人员、组织数据是否正确。四类角色在每个时点各看各的部分，最后共同签字。
四个时点各自要形成明确结论，而不是“差不多可以了”的口头判断。下表给出角色、时点与结论产出的对应关系，可作为验收启动时的分工底稿。
| 时点 | 主要参与角色 | 结束时需形成的结论 | 确认方式 |
|---|---|---|---|
| 集成准备 | IT 身份管理员、研发平台管理员、安全或运维负责人 | 连接参数、凭据、证书与测试范围已就绪，可以进入联调 | 准备阶段检查表全部勾选，三方确认 |
| 联调验证 | 研发平台管理员、IT 身份管理员 | 登录与同步用例执行完毕，结果与预期一致或有明确差异记录 | 联调验证记录表签字 |
| 正式验收 | 四类角色共同参与 | 每项检查有通过结论与证据，阻断项清单明确 | 验收判定表逐项签字 |
| 上线后观察 | 研发平台管理员、安全或运维负责人、业务验收代表 | 观察期内无新增阻断问题，遗留问题已登记并有人跟进 | 观察期结束确认单 |
需要提前说明的是，本清单只覆盖“人能不能登进来、账号数据对不对”这条线。登录之后谁能看哪个项目、能操作哪些工作项，属于访问授权策略设计，应在另一份权限方案中验收，混在一起会让验收范围失控。
集成准备阶段：连接与参数先核对
准备阶段的目标是把联调时最容易卡住的前置条件一次性确认清楚。经验上，联调返工大多来自网络不通、端口未开、凭据权限不足或双方时间不同步这几类基础问题，而不是协议本身复杂。下表列出准备阶段应逐项核对的检查项。
| 检查项 | 通过标准 | 证据 | 负责人 |
|---|---|---|---|
| AD 域控地址与域名 | 研发平台配置中填写的域控地址、域名与实际环境一致，可解析 | 配置截图、域名解析结果 | IT 身份管理员 |
| 端口与网络连通性 | 研发平台服务器到域控的认证端口与目录服务端口连通，防火墙策略已放行 | 连通性测试记录、防火墙策略单 | IT 身份管理员、运维负责人 |
| 认证协议与连接方式 | 双方确认采用的协议与连接方式一致，参数逐项对照无差异 | 参数对照表 | 研发平台管理员 |
| 服务账号或应用凭据 | 凭据已创建，权限按最小化原则授予，保管方式明确到人 | 凭据创建记录、权限清单、保管登记 | IT 身份管理员、安全负责人 |
| 证书与加密方式 | 证书在有效期内，加密方式符合企业安全要求，双方配置一致 | 证书信息截图、加密配置截图 | 安全或运维负责人 |
| 时间同步 | 研发平台与域控时间偏差在可接受范围内，同步源明确 | 时间比对记录 | 运维负责人 |
| 测试账号与测试组织单元 | 已划定专用测试账号和测试 OU，覆盖普通员工、跨部门人员、离职待处理人员等类型 | 测试账号清单 | IT 身份管理员 |
凭据权限这一项值得单独强调：用于同步目录数据的服务账号，只需要读取约定范围内的目录信息，不应带有域管理员级别权限。验收时如果发现凭据权限过大，应作为阻断项处理，因为它在联调通过后很难再回头收紧。
联调阶段：登录与账号同步逐项验证
联调阶段用可复现的测试用例验证两条链路：认证链路是否通，账号数据流转是否正确。每个用例都要写清预期结果，执行后记录实际结果和证据，避免“试了一下能登”这种无法复核的结论。
登录认证用例
- 域账号首次登录研发平台：预期一次成功，无需额外建号；记录登录时间与账号。
- 同一账号再次登录：预期直接进入，会话行为符合平台设定。
- 在 AD 侧修改密码后登录：预期新密码生效、旧密码失效，平台侧无残留异常。
- 使用错误密码或已禁用账号登录：预期被拒绝，提示信息不泄露敏感细节。
账号同步用例
- 同步触发方式：确认是定时同步、手动触发还是事件驱动，并实际触发一次观察结果。
- 同步范围与频率：确认同步覆盖哪些 OU、排除哪些账号，频率是否满足人员变动时效要求。
- 字段映射：逐项核对姓名、工号、邮箱、部门等字段在 AD 与研发平台之间的对应关系，抽查若干账号比对。
- 组织与用户组映射：确认组织层级如何落到平台侧，用户组是否按规则建立，层级过深或重名时如何处理。
- 账号状态：验证停用、离职或禁用状态在平台侧的对应结果，确认账号不会被继续使用。
- 边界情况：同名、重名账号的区分方式，跨部门调动后所属组织是否随之更新。
联调记录表建议包含用例编号、用例描述、预期结果、实际结果、证据位置和执行人六列。实际结果与预期不一致时，不要当场改配置后直接标通过，应记录差异、修复后重新执行并保留两次记录，这样验收阶段才有可追溯的依据。
验收阶段的通过标准与证据要求
验收阶段的任务是把联调结果转化为可判断的结论。判断口径按检查项类型区分，避免用同一句话概括所有项。
| 检查项类型 | 通过标准 | 证据形式 | 负责人与复核人 |
|---|---|---|---|
| 功能类 | 对应测试用例全部通过，无未关闭的差异 | 联调验证记录表 | 研发平台管理员执行，IT 身份管理员复核 |
| 配置类 | 配置值与参数对照表一致 | 配置截图或导出记录 | 研发平台管理员执行，安全负责人复核 |
| 日志类 | 认证与同步日志可查询、可按账号或时间追溯 | 日志查询截图或导出文件 | 运维负责人执行，研发平台管理员复核 |
| 文档类 | 集成说明、账号映射表、运维手册齐备且为最新版本 | 文档清单与版本记录 | 研发平台管理员执行，业务验收代表复核 |
负责人与复核人分开设置，是为了让证据经过第二双眼睛。功能类由平台侧执行、AD 侧复核，配置类由平台侧执行、安全侧复核，这样任何一方都无法单独宣布通过。文档类容易被忽略，但账号映射表和运维手册是上线后处理人员变动、排查登录问题的直接依据，缺失时应记为遗留问题并限期补齐。
验收判定表按“检查项、通过标准、证据、负责人、结论”五列组织，结论只填通过、不通过、带条件通过三种。带条件通过必须写明条件和补齐期限，不能留空。
阻断项与上线完成条件
阻断项指不解决就不能上线的检查项。以下情形应直接标为阻断：域账号无法登录研发平台；账号同步失败或同步后数据错乱，例如人员归属错误、重复账号；同步凭据权限过大；没有可执行的回退方案。这四类问题分别影响可用性、数据正确性、安全性和可恢复性，任何一项带病上线都会在观察期放大。
非阻断项，例如个别字段映射暂未覆盖、文档待补充，应登记为遗留问题，写明责任人、处理计划和最晚完成时间，并在观察期内跟踪关闭。遗留问题清单与阻断项清单分开维护，避免用“已登记”掩盖阻断问题。
上线后观察期建议设定明确时长和观察指标：登录成功率、同步任务执行结果、账号状态变更是否及时反映、异常登录告警数量。观察期内出现阻断级异常，按预定路径上报并启动回退；回退操作的责任人应在准备阶段就指定到人，回退条件和操作步骤写入运维手册。全部阻断项关闭、遗留问题均有责任人和期限、观察期结束确认单签字后，本次 AD 域集成验收才算完成。
在验收项登记与跟踪环节，这类检查表、证据附件和阻断问题可以放到研发平台的工作项与文档中管理，让每项结论有对应记录、每个遗留问题有跟进状态。ONES 支持对接 LDAP 协议服务与 Microsoft AD 服务，实现自动同步组织架构与验证登录，也支持通过 CAS、SAML 等方式实现单点登录；具体协议参数、同步机制与版本差异需在实施前与厂商确认，并纳入本文准备阶段的核对项。
常见问题
AD 域集成验收时，哪些问题必须标为阻断项？
建议把以下四类直接标为阻断：域账号无法登录研发平台；账号同步失败或同步后人员归属错误、出现重复账号；用于同步的服务凭据权限过大；没有可执行的回退方案。它们分别影响可用性、数据正确性、安全性和可恢复性，带病上线后往往在观察期放大。非阻断问题如个别字段映射暂未覆盖、文档待补充，登记为遗留问题并写明责任人和最晚完成时间即可。
联调时实际结果与预期不一致，应该怎么记录？
不要当场改配置后直接标通过。应先在联调记录表中登记差异，写明用例编号、预期结果、实际结果和证据位置，修复后重新执行并保留两次记录。这样验收阶段才有可追溯的依据，也能区分“配置问题已修复”和“问题被掩盖”。
账号同步的触发方式和频率在验收时怎么确认？
先确认同步是定时、手动触发还是事件驱动，再实际触发一次观察结果；同时确认同步覆盖哪些组织单元、排除哪些账号，频率是否满足人员变动的时效要求。具体产品的同步机制与可配置范围需在实施前与厂商确认，并写入准备阶段的参数对照表。
离职或停用账号在研发平台侧应达到什么状态才算通过？
验收时应验证 AD 侧停用、离职或禁用状态在研发平台侧的对应结果，确认账号不会被继续使用。建议准备覆盖普通员工、跨部门人员、离职待处理人员的测试账号，逐类执行并留存结果截图。若产品资料未说明状态同步规则，应把该场景列为实施前需与厂商确认的核验点，不能默认其行为。
ONES 在 AD 域集成方面能提供哪些能力，验收时要注意什么？
依据官网产品资料，ONES 支持对接 LDAP 协议服务与 Microsoft AD 服务，实现自动同步组织架构与验证登录，也支持通过 CAS、SAML 等方式实现单点登录；对于非标准用户目录服务，提供标准接口用于更新组织架构。验收时需注意：具体协议参数、兼容的域控版本、同步触发机制与字段映射范围需在实施前与厂商确认，并纳入本文准备阶段的核对项；各版本在身份集成能力上的差异也需单独确认。
