围绕身份来源、账号关系与应用入口
建立约定范围内的统一登录环境
很多企业已经同时运行本地 AD、Microsoft Entra ID、Microsoft 365、第三方 SaaS 和自建业务系统。员工虽然只是一名用户，但在不同系统中往往拥有多套账号、多种登录方式和不同的身份属性。
统一身份与 SSO 集成并不是增加一个登录门户，而是先明确身份从哪里产生、账号之间如何对应，以及哪些应用能够直接接入、需要改造或暂时保留。只有这些关系建立清晰之后，统一登录环境才真正能够长期运行。
统一登录能否成立，不只取决于身份平台本身，还取决于身份来源、账号对应关系、应用接入能力以及后续运行责任是否能够形成统一关系。
统一身份与 SSO 项目，通常需要
同时处理身份、账号和应用三类对象
企业很少从零开始建设身份体系。实际项目中更常见的情况是已经存在目录服务、云身份平台和大量应用系统，本次建设需要确定哪些对象纳入、哪些继续保留。
身份来源与主身份
确认员工、管理员、外包人员以及其他身份分别来自哪些系统，并明确项目期间由哪个平台承担主身份管理责任。
账号对应关系
梳理同一用户在不同系统中的账号、登录名与身份属性，判断哪些能够直接对应、哪些需要清理或修正。
应用接入范围
建立应用清单，并区分哪些应用可直接接入统一登录、哪些需要改造、哪些暂时保留现有方式。
认证入口与登录路径
明确统一登录入口、认证路径以及现有门户、客户端和业务入口是否继续保留。
切换与运行机制
确定试点范围、验证方式、异常回退以及新增应用接入后的持续管理方式。
以下情况出现时，组织通常会
重新讨论统一身份与 SSO 建设
项目启动往往不是因为缺少登录功能，而是现有账号和认证关系已经难以支撑新环境。
同一人员拥有多套账号
用户需要分别维护多个系统账号，账号状态变化无法自动同步，管理成本持续增加。
新增应用无法继续纳入现有登录体系
原有身份平台仍在使用，但新增 SaaS、Microsoft 365 或业务系统无法采用相同认证方式。
本地与云身份长期并存
本地 AD 与云端身份平台同时管理账号，但边界、同步方式和责任划分并不明确。
应用替换或平台迁移即将进行
准备切换身份平台、迁移应用系统或推进云服务，需要提前确认账号和认证依赖关系。
登录问题无法明确责任边界
身份平台、应用系统和基础设施分别由不同团队维护，出现问题后缺少统一判断入口。
开始讨论建设方案之前，
通常需要先了解这些信息
这些内容不仅用于项目评估，也会直接影响接入顺序、建设范围以及实施方式。
当前身份来源
了解本地 AD、Microsoft Entra ID、人事系统或其他身份平台情况，用于判断身份主线。
用户与账号类型
了解员工、外包、共享账号和管理员账号情况，用于确定纳入范围。
应用系统清单
了解计划统一登录的系统、认证方式和负责人，用于判断接入条件。
账号属性情况
了解登录名、邮箱、工号等关键属性，用于判断跨系统账号能否建立稳定对应关系。
当前登录入口
了解员工目前通过哪些门户、客户端或入口访问系统，用于确定切换方式。
变更与验证要求
了解试点用户范围、关键业务时间和回退要求，用于规划验证边界。
搜维关注的不是一个登录页面，而是
身份、账号与应用之间是否形成可持续关系
哪个身份来源承担主身份责任
搜维协助梳理现有目录服务、人事系统和云身份平台之间的关系，明确谁负责产生和维护身份。
多套账号如何建立对应关系
围绕登录名、邮箱和组织信息识别账号对应关系，处理重复账号、历史账号和例外情况。
哪些应用优先接入统一登录
根据认证能力和业务影响判断哪些系统适合优先纳入，哪些需要额外改造或暂时保留。
如何在不影响业务的情况下完成切换
根据应用重要性和使用人群设计试点和验证范围，确认上线后的切换路径和回退方式。
新应用如何持续纳入统一体系
明确新增应用接入流程、身份变更处理方式以及后续运行责任，避免项目结束后重新分散管理。
身份来源、账号对应、统一认证和应用接入并不是独立建设对象。企业最终获得的登录体验，通常来自这些部分的共同协同，而不是某一个孤立模块。
项目完成后，通常会形成以下
可运行、可验证的建设成果
明确的身份来源边界
身份来源、同步方向和维护责任已经明确，能够说明哪些身份属于统一管理范围。
可验证的账号对应关系
约定范围内的账号关系已经建立，重复账号、历史账号和特殊账号具有明确处理方式。
已完成接入的统一登录环境
约定范围内的应用完成统一认证验证，并具备明确的接入边界和例外说明。
统一的登录路径
用户能够通过确认后的入口访问已授权应用，并明确原有入口是否继续保留。
可持续运行的身份接入机制
新增应用、账号变更和认证异常具有明确的处理责任与维护方式。
进一步了解项目判断方式
以下问题主要用于帮助企业判断项目起点和可能涉及的范围。
统一身份与 SSO 是同一件事吗？
不完全相同。
统一身份关注身份来源、账号关系和应用访问管理；SSO主要解决统一登录体验。
是否必须使用 Microsoft Entra ID？
不一定。
实际方案需要结合现有身份平台和应用环境判断。
所有应用都能够接入统一登录吗？
取决于应用认证能力。
部分可以直接接入，部分需要改造，也可能存在保留现状的系统。
已有本地 AD 是否仍然需要建设统一身份？
很多情况下仍然需要。
尤其是在云服务持续增加之后。
统一身份建设是否等于权限治理？
不完全相同。
统一身份解决认证问题，权限治理更多关注授权和生命周期管理。
是否可以分阶段建设？
可以。
很多组织会先完成核心身份与关键应用，再逐步扩展接入范围。
在讨论产品和平台之前，
先确认现有身份与应用是否具备统一条件
如果组织已经同时使用本地目录服务、Microsoft 365、SaaS 应用或自建业务系统，可以先从身份来源、账号关系和应用清单开始沟通。
搜维通常会先帮助客户判断哪些系统适合纳入本次项目、哪些需要改造以及哪些适合暂时保留，再确定统一身份与 SSO 建设范围。
- 01当前身份平台情况
- 02计划接入应用清单
- 03用户与账号类型
- 04最希望解决的问题