研发平台身份集成通常按“梳理身份源与账号口径—确定认证协议和同步方向—配置单点登录与账号映射—处理账号生命周期—试运行验证—上线与回退准备”推进。核心是把企业身份源作为账号权威，研发平台只消费身份并保留可追溯的映射记录。每一步都要有输入、负责人、产出和完成标志，避免只完成登录跳转却留下账号对不上的隐患。
要点总览（TL;DR）
- 身份集成的主线是：先定身份源和账号字段口径，再定认证协议与同步方向，然后按身份源到平台的顺序配置，最后用试运行和检查清单验收。
- 认证协议按双方实际支持情况选择，SAML、OIDC、OAuth 各有适用场景；账号同步建议以身份源为权威做单向同步，例外账号单独登记审批与回收责任人。
- 生命周期规则要覆盖入职建号、转岗调整、离职停用三类触发，写明触发源、时效和第一响应人，离职停用时效是验收重点。
- 验收至少看登录成功率、属性一致性、停用时效三项，并提前约定回退条件和回退操作人；遗留问题未关闭时验收结论标注为有条件通过。
- 角色分工按身份管理、平台管理员、安全审计、业务验证四类划分，每次交接以交付物签收为准，配置文档与验证记录归档备查。
先定身份源与账号口径：集成前要准备什么
开工前先回答一个问题：研发平台里的账号，以谁为准。多数企业以企业目录、统一身份平台或人事系统作为权威身份源，研发平台作为消费方接收身份。若存在多个来源，例如人事系统提供组织与在职状态、统一身份平台提供登录凭证，需要明确主源和辅助源，避免同一字段出现两个口径。
账号口径要落到字段层面。至少确认唯一标识、登录名、邮箱、姓名、部门五项，并说明每项的来源系统、是否必填、变更后是否同步。唯一标识建议选择在身份源内稳定且不复用的字段，避免用可能变化的邮箱或姓名作为主键。研发平台侧还要盘点现有账号：哪些能与身份源匹配、哪些是历史遗留、哪些属于外部协作或测试用途，形成清理范围。
| 准备项 | 需要确认的内容 | 产出 |
|---|---|---|
| 身份源 | 主源系统、辅助源系统、权威字段范围 | 身份源说明 |
| 账号字段 | 唯一标识、登录名、邮箱、姓名、部门的口径与必填规则 | 字段对照清单 |
| 平台账号现状 | 可匹配账号、历史账号、外部协作账号的数量与处理范围 | 账号盘点表 |
| 责任人 | 对接负责人、审批人、验证人 | 责任人确认表 |
完成标志是字段对照清单和责任人确认表经过审批人签字确认。缺少任一项，后续配置容易在属性映射或异常账号处理上返工。
选择认证方式与同步方向：单点登录和账号同步怎么配
认证方式的选择取决于身份源和研发平台双方实际支持的协议。SAML 适合企业级单点登录场景，属性以断言形式传递；OIDC 基于 OAuth 2.0，适合现代 Web 应用和移动端；OAuth 更多用于授权场景，单独承担身份认证时需要配合用户信息接口。选型时先核实双方支持的协议清单，再比较属性传递能力和运维成本，不凭经验假定某一方支持。
账号同步方向建议以身份源为准做单向同步，研发平台不反向写回身份源。这样账号的创建、变更、停用只有一个入口，责任清晰。例外情况需要单独登记：外部协作账号、测试账号、服务账号通常不在身份源内，应明确审批人、有效期和回收责任人，避免成为长期无人管理的账号。
同步触发方式有三种常见选择。实时同步依赖身份源的事件推送，时效最好，但对接口稳定性要求高；定时同步按固定周期拉取，实现简单，存在延迟窗口；登录时创建只在用户首次登录时建号，覆盖不到从未登录的离职人员。实际方案常组合使用，例如定时同步为主、登录时校验为辅。
| 决策项 | 可选方式 | 选择依据 |
|---|---|---|
| 认证协议 | SAML、OIDC、OAuth | 双方支持情况、属性传递需求、客户端类型 |
| 同步方向 | 身份源到平台单向同步 | 账号权威唯一、责任可追溯 |
| 触发方式 | 实时、定时、登录时创建 | 时效要求、接口能力、离职覆盖范围 |
| 映射规则 | 唯一标识匹配、冲突时以身份源为准 | 避免重复账号和属性覆盖错误 |
映射规则要写明冲突处理：当平台已存在同登录名但唯一标识不同的账号时，以身份源记录为准进行合并或停用，并保留操作日志。完成标志是形成一份配置方案，包含协议、方向、触发方式、映射规则和例外账号清单，经身份管理负责人和平台管理员共同确认。
按步骤完成配置：从身份源到研发平台的操作顺序
配置按身份源侧到平台侧的顺序推进，每步留下参数记录，便于回查和回退。
- 身份源侧创建应用。输入是已确认的协议和平台访问地址；动作是在身份源注册研发平台应用，配置回调地址和登出地址；输出是应用标识、密钥或证书；完成标志是用测试账号能发起认证请求。
- 平台侧填写认证参数。输入是上一步的应用标识、密钥、元数据地址；动作是在研发平台认证配置中填入参数并保存；输出是认证配置记录；完成标志是平台能正确跳转到身份源登录页。
- 配置属性映射。输入是字段对照清单；动作是把身份源断言或用户信息中的字段映射到平台账号字段，重点核对唯一标识和邮箱；输出是映射配置表；完成标志是测试登录后平台账号属性与身份源一致。
- 配置账号同步或登录建号规则。输入是同步方向、触发方式和映射规则；动作是设置同步任务或首次登录建号逻辑，配置冲突处理策略；输出是同步任务配置和日志查看方式；完成标志是同步任务能正常执行并生成预期账号。
- 测试账号验证。输入是覆盖不同部门、不同状态的测试账号；动作是分别验证登录、属性写入、账号归属和重复登录；输出是验证记录；完成标志是所有测试场景通过并留存参数清单与配置截图。
操作记录要包含配置项名称、取值、修改人和时间。上线后出现登录异常时，这份记录是定位问题的第一手依据。
角色与交付物分工：谁负责哪一段
身份集成涉及配置、验证和审批三类工作，角色边界不清时容易出现配置完成但无人验证、验证通过但无人审批上线的情况。建议按下表划分职责，每个交接点都有明确交付物。
| 角色 | 主要职责 | 关键交付物 |
|---|---|---|
| 身份管理/IT负责人 | 确认身份源权威性、审批字段口径和例外账号 | 字段对照清单、例外账号审批记录 |
| 研发平台管理员 | 执行平台侧配置、账号映射和同步任务设置 | 配置记录、参数清单、操作日志 |
| 安全与审计角色 | 审查认证方式、密钥保管、日志留存和停用时效 | 安全审查意见、审计日志要求 |
| 业务侧验证人 | 用真实业务场景验证登录和账号归属 | 试运行验证记录 |
交接节点设在三处：配置方案确认后移交平台管理员执行；测试账号验证通过后移交业务侧试运行；试运行通过后由安全与审计角色出具意见，审批人确认上线。每次交接以交付物签收为准，口头确认不计入完成。
账号生命周期与异常处理：入职、转岗、离职怎么接
生命周期规则要覆盖三类触发，并写明触发源、时效和责任人。入职以人事系统生效日期为触发，建议当日或次日完成建号，账号默认进入待分配状态；转岗以组织变更生效为触发，同步调整部门和所属团队，权限按新岗位重新申请；离职以离职生效时间为触发，要求当日停用登录，保留数据归属以便交接。停用时效是验收时的重点检查项，需要提前与身份源确认事件推送或同步周期能否满足。
异常场景按类型处置：同步失败先查身份源事件记录和平台同步日志，确认是网络、字段还是规则问题，修复后补同步并记录；重复账号以唯一标识比对，保留主账号、停用重复账号并迁移必要数据；属性缺失时在身份源补齐字段后重新同步，不直接在平台侧手工修改，避免下次同步被覆盖。
历史账号和外部协作账号单独处理。历史账号在集成前完成盘点，能匹配的纳入同步管理，无法匹配的限期停用或转为例外登记；外部协作账号登记审批人、使用期限和回收责任人，到期前提醒复核。完成标志是形成账号生命周期规则文档和异常处置清单，并明确每类异常的第一响应人。
在账号生命周期运行阶段，ONES 可作为承载账号相关管理动作的平台：账号申请、例外账号审批、同步异常处理都可以作为工作项流转，处理记录和状态变更留存在系统中，便于审计时追溯。具体账号目录与认证对接能力以官方资料和实际部署核实为准。
试运行与上线验收：怎么判断集成做完了
试运行选择小范围账号，覆盖不同部门、不同角色和不同账号状态，至少包括正常在职、新入职、转岗和已离职四类。验证场景包括首次登录、已登录会话、属性变更后重新登录、离职后登录被拒绝。
验证项按三项核心指标检查：登录成功率，统计试运行期间成功与失败次数及失败原因；属性一致性，抽查账号的姓名、邮箱、部门与身份源是否一致；停用时效，记录离职触发到平台拒绝登录的实际耗时，与约定时效比对。三项都达到约定标准才进入上线。
上线切换前约定回退条件，例如登录失败率超过设定阈值、关键属性大面积不一致、停用时效明显超出约定。回退操作包括恢复原登录方式、暂停同步任务、保留已同步账号数据，并明确回退操作人和决策人。切换建议选择业务低峰时段，切换后保持一段观察期。
验收记录包含验证项结果、遗留问题清单、责任人和计划完成时间。遗留问题未关闭前，验收结论标注为有条件通过，并在下次复检时逐项核对。
完成检查：上线前逐项确认的清单
上线前按下表逐项勾选，任一项未通过则暂缓上线或标注例外并说明补偿措施。
| 检查类别 | 检查项 | 通过标准 |
|---|---|---|
| 身份源与平台配置 | 认证参数、回调地址、登出地址、证书有效期 | 与配置方案一致，测试登录通过 |
| 账号映射 | 唯一标识、登录名、邮箱、姓名、部门映射 | 抽查账号属性与身份源一致 |
| 生命周期规则 | 入职建号、转岗调整、离职停用的触发与时效 | 四类测试场景均按规则执行 |
| 异常处置 | 同步失败、重复账号、属性缺失的处置流程 | 每类异常有第一响应人和处置记录 |
| 回退方案 | 回退条件、操作步骤、操作人与决策人 | 回退演练或桌面推演完成 |
| 责任人与文档 | 角色分工、交接记录、配置文档、验收记录 | 文档归档，责任人确认签收 |
清单全部通过后，由审批人确认上线，并将配置文档、验证记录和异常处置清单归档到团队可访问的位置。上线后首个同步周期内安排一次复检，确认登录和停用时效稳定，再转入日常运维。
常见问题
身份源和研发平台都支持多种认证协议时，怎么选？
先看双方共同支持的协议清单，再结合客户端类型和属性传递需求取舍。SAML 适合企业级单点登录，属性以断言传递；OIDC 基于 OAuth 2.0，适合现代 Web 应用和移动端；OAuth 单独承担认证时需要配合用户信息接口。选型结论要写进配置方案，并经身份管理负责人和平台管理员共同确认，避免配置阶段才发现某一方不支持。
账号同步用实时、定时还是登录时创建？
三种方式各有覆盖盲区：实时同步时效最好，但依赖身份源事件推送的稳定性；定时同步实现简单，存在延迟窗口；登录时创建覆盖不到从未登录的离职人员。常见做法是定时同步为主、登录时校验为辅，并把离职停用时效要求作为选择依据。无论选哪种，都要确认同步失败后的补同步方式和日志查看入口。
外部协作账号和测试账号不在身份源里，怎么管？
这类账号按例外处理，单独登记审批人、使用期限和回收责任人，到期前提醒复核。集成方案中要列出例外账号清单，明确它们不参与单向同步，也不因身份源变更而自动调整。例外账号数量较多时，建议定期盘点，避免长期无人管理。
试运行时发现属性不一致或重复账号，先修哪里？
先查身份源侧字段是否完整、口径是否与字段对照清单一致，再查平台侧映射配置。属性缺失应在身份源补齐后重新同步，不建议直接在平台侧手工修改，否则下次同步会被覆盖。重复账号以唯一标识比对，保留主账号、停用重复账号并迁移必要数据，操作过程留存日志。
上线后出现登录异常，回退要做什么准备？
切换前就约定回退条件，例如登录失败率超过设定阈值、关键属性大面积不一致、停用时效明显超出约定。回退操作包括恢复原登录方式、暂停同步任务、保留已同步账号数据，并明确回退操作人和决策人。建议在业务低峰时段切换，切换后保持一段观察期，首个同步周期内安排一次复检。
