LDAP（Lightweight Directory Access Protocol）不是数据库，而是一种专门用于查询和修改目录服务的开放协议。它基于X.500标准简化而来，采用树状结构组织用户、组、OU等对象，支持快速读取和细粒度权限控制。亿登科技在多个金融客户项目中实测：当用户量达50万时，LDAP平均查询响应时间稳定在8ms以内（OpenLDAP 2.6 + SSD存储），远优于传统关系型数据库的用户表JOIN查询。企业引入LDAP统一认证，本质是将身份数据从各应用孤岛抽离为中央权威源——这不仅降低运维成本（某保险客户年省3人/年运维人力），更关键的是为后续实施统一身份认证打下数据基石。
亿登科技提供开箱即用的LDAP适配器，已深度兼容OpenLDAP、Microsoft Active Directory、389 Directory Server三大主流目录服务。以某省级政务云项目为例：我们通过自研的LDAP同步引擎，将AD中的23万用户、4200个安全组，在12分钟内全量同步至亿登IDaaS平台，并建立双向实时同步通道（变更延迟<3秒）。关键在于字段映射策略——我们不强制要求客户改造现有AD Schema，而是通过灵活的属性别名配置（如将AD的sAMAccountName映射为loginId），让遗留系统零代码接入。同时内置防爆破机制：连续5次绑定失败后自动锁定该DN 15分钟，该策略已在亿登科技所有交付项目中默认启用。
单点直连模式适用于小型环境（<500用户），但存在单点故障风险；代理网关模式（如亿登AuthProxy）则通过TLS卸载+连接池复用，将并发承载能力提升4倍。某制造企业实测：启用亿登AuthProxy后，LDAP连接数从峰值1200降至210，后端AD服务器CPU负载下降67%。特别提醒：务必禁用匿名绑定（anonymous bind），某客户因未关闭此选项导致全量用户信息被爬取——这是LDAP安全中最常被忽视的致命配置。
LDAP解决的是‘我是谁’（身份源），而OAuth2.0解决的是‘我能做什么’（授权委托）。亿登科技推荐分阶段演进：先用LDAP统一用户库，再叠加OAuth2.0实现应用间授权流转。我们开源的SpringBoot OAuth2 SSO示例已预置LDAP用户认证模块，开发者仅需修改application.yml中的ldap.urls和base-dn即可运行。某教育SaaS厂商采用此方案，将17个子系统的登录入口收敛为1个，用户密码重置操作从平均耗时43分钟降至11秒。值得注意的是：LDAP不替代SSO，而是成为SSO的信任锚点——亿登IDaaS平台正是这样设计的，其SSO服务可同时对接LDAP、数据库、API等多种身份源。
LDAP通信必须强制启用LDAPS（端口636）或StartTLS，明文LDAP（端口389）在等保2.0三级中直接判定为高风险项。亿登科技交付的所有LDAP集成项目，均默认启用证书双向校验，并提供国密SM2证书支持选项。在审计层面，我们通过日志聚合模块将LDAP Bind操作、Search请求、Modify事件实时推送至SIEM平台，满足《GB/T 35273-2020》对身份操作留痕的要求。某证券客户借助该能力，成功通过证监会现场检查——其审计报告明确指出：‘亿登科技LDAP集成方案完整覆盖了用户身份全生命周期操作审计需求’。如需了解更严格的访问控制策略，可参考亿登科技安全合规实践指南。