研发平台身份集成要解决两件事：登录入口统一，账号随人员变动自动更新。落地时先确定企业目录为唯一身份源，再设计账号映射规则，配置单点登录与同步任务，经试点验证后上线巡检。本文按六个阶段给出输入、动作、输出与完成标志，交付账号映射表、角色职责表和完成检查表。
要点总览（TL;DR）
- 先盘点账号来源并确定唯一身份源，以员工唯一ID或工号作为主账号字段，首批范围从人员集中、变动频繁的研发团队开始。
- 协议选型结合企业目录能力判断，SAML、OIDC、LDAP/AD同步各有前提；账号映射表需覆盖唯一标识、登录名、邮箱、显示名、组织归属和账号状态，并提前定好重名、改名、合并规则。
- 配置阶段先完成账号全量初始化再做增量同步，随后开放单点登录；入职、调岗、离职三类变更分别定义触发来源、处理动作和完成标志。
- 试点选一个团队覆盖正常登录、首次登录、离职停用、调岗变更四类用例，异常按登录失败、属性缺失、账号重复、同步未生效的顺序排查。
- 上线后每日查看同步任务状态、每月抽查账号状态，按身份源唯一、映射完整、三类变更可处理、异常有记录、责任人有归属五项检查表放行。
先定身份源与账号范围
身份集成的第一步是盘点账号从哪里来、要覆盖谁，再确定唯一身份源。判断依据是：哪个系统最接近人员变动的源头、数据维护责任最清晰，就把它作为主身份源。多数企业以HR系统或企业目录（如AD/LDAP）为主，研发平台本地账号作为历史遗留逐步收敛。
盘点时按来源分类记录：企业目录中的账号、HR系统的人员与组织数据、研发平台及各工具的历史本地账号。对每个来源记录账号数量、维护部门、更新频率和是否存在停用账号。历史本地账号要单独标注，因为它们往往缺少统一标识，是后续合并的重点。
确定唯一身份源后，明确主账号字段。常用做法是以企业目录中的员工唯一ID或工号作为主键，登录名和邮箱作为辅助匹配字段。主键一旦确定，后续映射、同步和异常处理都以它为准，避免中途更换导致账号重复。
首批集成范围建议从人员集中、变动频繁的研发团队开始，系统范围先覆盖登录入口和核心研发平台，再逐步扩展到周边工具。范围界定要写清纳入的人员部门、系统清单和暂不纳入的部分及原因。
本阶段输出《账号来源与范围清单》，至少包含：来源系统、账号数量、维护部门、是否作为唯一身份源、主账号字段、首批纳入人员与系统、暂缓项及原因。完成标志是清单经身份管理员和平台管理员共同确认。
选择认证协议并设计账号映射规则
协议选型取决于企业现有目录能力和研发平台的接入方式。已有企业目录并希望统一登录入口时，优先考虑基于标准协议的单点登录；需要保留目录中的账号与组织结构时，可考虑目录同步方式。具体协议支持情况需在选型阶段与研发平台逐项核验，不能仅凭厂商宣传判断。
| 认证方式 | 适用条件 | 前提与注意点 |
|---|---|---|
| SAML 2.0 | 企业已有支持SAML的身份提供方，研发平台作为服务提供方接入 | 需交换元数据、配置证书与回调地址；属性传递需提前约定 |
| OIDC/OAuth 2.0 | 身份提供方支持OIDC，适合Web与移动端统一登录 | 需注册应用、配置回调地址与授权范围；令牌有效期影响登录体验 |
| LDAP/AD 同步 | 需要保留目录账号结构，或平台以目录作为账号来源 | 需网络可达、同步账号具备读取权限；关注同步频率与增量机制 |
账号映射表是本节的核心交付物。建议至少包含以下字段，并逐条填写规则而非留空：
- 唯一标识：取自身份源的主键字段，作为跨系统匹配依据。
- 登录名：命名规则（如工号或邮箱前缀），以及冲突时的处理方式。
- 邮箱：是否作为必填、是否允许一人多邮箱。
- 显示名：来源字段与格式，改名后是否同步更新。
- 组织归属：部门、团队字段的来源与层级对应关系。
- 账号状态：启用、停用、锁定的取值与来源。
重名、改名和多账号合并要提前定规则。重名时以唯一标识区分，登录名可加后缀并记录在映射表中；改名只更新显示名，登录名保持稳定以免影响历史记录；同一人存在多个历史账号时，指定一个主账号，其余账号停用并保留关联记录，不做物理删除。
本阶段输出《账号映射表与协议选型说明》，说明中记录候选协议、选择理由、未选方案及原因、待核验事项。完成标志是映射表覆盖全部首批字段，且重名、改名、合并规则经业务负责人确认。
配置单点登录与账号同步
配置阶段分两条线推进：登录链路和账号同步。两条线可以并行准备，但上线顺序建议先完成账号同步初始化，再开放单点登录，避免用户登录后找不到对应账号。
单点登录配置按以下顺序执行：
- 应用注册：在身份提供方注册研发平台应用，获取客户端标识与密钥。输入为平台接入信息，输出为应用注册记录，完成标志是注册信息双方核对一致。
- 证书与密钥：配置签名证书或密钥对，记录有效期与保管人。完成标志是证书在测试环境验证通过。
- 回调地址：按平台要求填写登录回调与登出地址，区分测试与生产环境。完成标志是地址在测试环境可正常跳转。
- 属性传递：按映射表配置需要传递的用户属性，逐项核对字段名与取值。完成标志是测试账号登录后属性完整。
账号同步先做全量初始化，再做增量同步。全量初始化把首批范围内的账号一次性写入研发平台，输出初始化结果报告，记录成功、失败和跳过数量；增量同步按变更事件或固定周期拉取差异，输出每次同步的任务日志。完成标志是全量结果中失败项已逐条处理，增量任务连续运行无异常。
入职、调岗、离职三类变更要分别定义触发来源、处理动作和完成标志：
| 变更类型 | 触发来源 | 处理动作 | 完成标志 |
|---|---|---|---|
| 入职 | HR系统新增人员或目录新建账号 | 创建平台账号，分配基础角色，通知业务负责人 | 新员工首次登录成功，账号状态为启用 |
| 调岗 | HR系统部门变更或目录组织调整 | 更新组织归属与显示信息，按需调整角色 | 平台内组织信息与源系统一致 |
| 离职 | HR系统离职流程或目录账号停用 | 停用账号、回收会话与权限，保留历史记录 | 账号状态为停用，无法再登录 |
本阶段输出《集成配置说明与同步任务清单》，逐项记录配置项、取值、责任人和验证结果。完成标志是登录链路与同步任务在测试环境均通过，且三类变更各有一次成功处理记录。
角色分工与交付物
身份集成涉及目录、平台和业务三方，责任不清最容易出现账号该停未停、配置改了没人知会的情况。建议按下表划分职责，并在启动会上确认。
| 角色 | 主要职责 | 关键交接节点 |
|---|---|---|
| 身份管理员 | 维护企业目录与HR数据，确定唯一身份源与主账号字段，审批账号合并与例外 | 向平台管理员提供账号来源清单与映射字段 |
| 平台管理员 | 配置单点登录与同步任务，处理同步失败，维护平台侧账号状态 | 向业务负责人提交试点结果与上线通知 |
| 业务负责人 | 确认首批人员范围，核对调岗与离职处理结果，提出角色调整需求 | 在试点验证记录上签字确认 |
| 安全负责人 | 审核协议与证书配置，确认离职回收与异常处置流程 | 在上线前完成安全核查并留存记录 |
交付物包括：账号来源与范围清单、账号映射表与协议选型说明、集成配置说明与同步任务清单、试点验证记录、巡检计划与完成检查表。归档位置建议统一放在研发平台的项目文档库或配置管理库中，按版本留存，配置变更时同步更新说明文档。
审批节点至少设置三个：范围确认、上线前安全核查、试点通过放行。每个节点记录审批人、时间和结论，避免口头确认。
试点验证与异常处置示例
试点选一个人员规模适中、变动较频繁的研发团队，覆盖正常登录、首次登录、离职停用、调岗变更四类用例。每类用例记录验证时间、验证人、预期结果、实际结果和异常处置。
示例（演示情景）：某研发团队接入企业目录，首批纳入30人。验证过程为：先确认目录中30个账号的主键与映射字段完整；执行全量同步，28人成功、2人因邮箱缺失失败，补齐后重跑成功；测试账号通过单点登录进入平台，属性显示部门与显示名正确；模拟一名成员离职，目录停用后同步任务在下一周期将其平台账号置为停用，登录被拒绝；模拟一名成员调岗，组织归属在同步后更新。整个过程记录在验证表中，由业务负责人确认。
常见异常按以下顺序排查：
- 登录失败：先查应用注册与回调地址是否与当前环境一致，再查证书是否过期，最后看身份提供方日志中的错误码。
- 属性缺失：核对映射表中字段名与身份提供方实际发出的属性名，检查该属性是否在授权范围内。
- 账号重复：以唯一标识检索平台内账号，确认是否历史本地账号未合并，按合并规则停用非主账号。
- 同步未生效：查看同步任务日志与执行时间，确认增量触发条件是否满足，必要时手动触发一次并观察结果。
验证记录模板字段：用例编号、用例类型、测试账号、预期结果、实际结果、异常描述、处置动作、验证人、验证时间、结论。完成标志是四类用例全部通过，异常均有处置记录。
上线后的巡检与完成检查
上线后需要把身份集成当作持续运行的服务来维护。同步任务建议每日查看运行状态，失败告警当日处理；每周核对一次失败任务与积压账号；每月对照HR或目录数据抽查账号状态，重点检查离职未停用和调岗未更新两类问题。
账号生命周期与权限回收的定期核对，建议与人事变动周期对齐：离职账号在停用后确认会话已失效、权限已回收；长期未登录账号列入观察清单，由业务负责人确认是否保留。巡检结果记录在巡检计划表中，异常项标注责任人和处理期限。
上线放行前逐项核对以下检查表：
| 检查项 | 判断标准 | 结论 |
|---|---|---|
| 身份源唯一 | 首批范围内账号均来自同一身份源，历史本地账号已标注处理方式 | 通过/阻断 |
| 映射完整 | 映射表字段全部填写，重名、改名、合并规则已确认 | 通过/阻断 |
| 三类变更可处理 | 入职、调岗、离职各有一次成功处理记录 | 通过/阻断 |
| 异常有记录 | 试点异常均有处置记录和结论 | 通过/阻断 |
| 责任人有归属 | 身份管理员、平台管理员、业务负责人、安全负责人均已确认职责 | 通过/阻断 |
阻断项包括：身份源未确定或存在两个并行主源、映射表关键字段缺失、离职停用无法验证、无明确责任人。出现阻断项时暂缓开放全量登录，先在小范围修复并复验。全部检查项通过后，由平台管理员发布上线通知，同步更新配置说明与巡检计划。
在研发平台侧承接身份变更时，账号同步结果需要与成员状态衔接，例如离职停用后成员在平台内的工作项与文档归属应有明确交接人。ONES 可在成员状态变更后承接工作项与文档的归属调整，具体能力以实际部署版本为准，集成前建议与平台管理员确认对应配置。
常见问题
企业同时存在HR系统和企业目录，应该以哪个作为唯一身份源？
判断依据是哪个系统最接近人员变动的源头、数据维护责任最清晰。多数企业以HR系统作为人员与组织数据的源头，企业目录作为登录凭据的承载，两者之间已有同步关系时，可把目录作为研发平台直接对接的身份源，同时确认目录数据来自HR且更新及时。
关键是避免两个系统并行作为主源。若两边都能独立新增或停用账号，就会出现同一人在两个系统中状态不一致，同步任务无法判断以谁为准。确定主源后，另一方的数据只作为输入，不再直接写入研发平台。
历史本地账号很多，集成时是全部合并还是先保留？
建议先标注、再收敛，不做一次性物理删除。盘点阶段把历史本地账号单独列出，按唯一标识尝试与目录账号匹配：能匹配的指定目录账号为主账号，本地账号停用并保留关联记录；无法匹配的，由业务负责人确认归属后再处理。
合并规则要写进账号映射表，包括主账号如何选定、停用账号的历史记录如何保留、合并后原账号创建的工作项和文档归属如何交接。首批集成可以只处理活跃账号，长期未登录的账号列入观察清单，避免合并工作量拖慢上线。
单点登录已经配好，为什么还有用户登录后看不到自己的项目？
这通常属于账号同步与授权两个环节的衔接问题，而非登录链路本身。单点登录只解决身份验证，用户进入平台后能看到什么，取决于平台内账号是否已创建、组织归属是否正确、角色是否已分配。
排查顺序是：先确认该用户在平台内是否存在账号、账号状态是否启用；再核对同步任务是否已把其组织归属写入；最后检查角色分配是否完成。若账号是首次登录时自动创建，需确认自动创建规则是否带上了组织与基础角色。授权策略的具体设计属于权限治理范围，可与平台管理员另行确认。
离职账号停用了，还需要做哪些后续动作？
停用只是第一步。建议在停用后确认三件事：该用户的活跃会话已失效，无法继续访问；其在平台内持有的角色与权限已回收；其名下的工作项、文档等资产已有明确交接人。
第三项最容易被遗漏。账号停用后资产仍挂在该用户名下，会影响后续统计与协作。可在离职处理流程中增加一步资产交接确认，由业务负责人指定接收人，并在巡检时抽查离职账号的资产归属是否已调整。
同步任务偶尔失败，需要每次都人工处理吗？
取决于失败原因。字段缺失、网络抖动这类偶发失败，重跑通常可以恢复；唯一标识冲突、账号重复这类数据问题，重跑不会自动解决，需要人工核对映射表并修正源数据。
建议在巡检中区分两类失败：可自动重试的失败设置重试次数并记录日志，超过次数再告警；数据类失败直接进入待处理清单，标注责任人和处理期限。每周汇总一次失败原因分布，若某类失败反复出现，应回到映射规则或源数据质量上修正，而不是持续人工补录。
