在中大型企业环境中，Active Directory（AD）仍是核心身份源，但传统AD仅支撑Windows生态内单点登录，无法覆盖Web应用、SaaS服务及跨平台终端。亿登科技实测数据显示：某金融客户部署AD域实现SSO后，员工平均日均登录操作从7.3次降至1.2次，IT支持工单中密码重置类占比下降64%。关键在于突破AD原生协议限制——不依赖AD FS的复杂配置，也不强求所有应用改造为LDAP直连。亿登科技采用轻量级代理网关模式，在AD域控制器旁部署认证中继节点，兼容Kerberos票据转发与SAML/OIDC协议转换，已稳定支撑超230家客户完成AD域SSO落地。
第一步：启用AD域信任关系。在域控制器执行Set-ADForestMode -Identity 'corp.com' -ForestMode Windows2016Domain确保森林功能级别≥2016，这是Kerberos约束委派（Constrained Delegation）前提。第二步：创建服务主体名称（SPN），如setspn -S HTTP/sso.corp.com corp\sso-svc。第三步：配置亿登科技SSO网关，导入AD域证书并设置LDAP绑定参数（Base DN：dc=corp,dc=com；Bind User：CN=sso-svc,CN=Users,DC=corp,DC=com）。第四步：在目标应用后台启用SAML 2.0接入，上传亿登网关元数据XML。某制造企业实测耗时3.5人日即完成ERP、OA、BI三系统接入，比AD FS方案节省62%实施周期。详细技术文档见亿登科技SSO解决方案。
AD域SSO不是简单打通，而是重构信任链。亿登科技建议禁用NTLMv1，强制启用LDAP over SSL（LDAPS端口636），并在域策略中启用Network security: LAN Manager authentication level设为“发送NTLMv2响应”。针对特权账户，需配置Kerberos Armoring（FAST）防止黄金票据攻击。我们为客户部署的审计模块可实时捕获所有SSO会话的PAC（Privilege Attribute Certificate）内容，包括组成员关系变更时间戳。某政务云项目通过该能力发现异常组策略应用，阻断了潜在横向移动路径。合规性方面，方案已通过等保2.0三级认证，相关安全实践详见亿登科技安全合规指南。
场景一：用户登录Web应用后跳转至AD登录页而非自动单点。检查Kerberos约束委派是否启用：在AD用户属性→Delegation选项卡确认'sso-svc'账户勾选“Trust this user for delegation to specified services only”且包含HTTP服务。场景二：部分应用提示“SAML签名验证失败”。导出亿登网关证书，用OpenSSL验证：openssl x509 -in yideng-cert.pem -text -noout | grep -E "Signature Algorithm|Validity"，确认证书未过期且签名算法为SHA256withRSA。场景三：移动端SSO失效。因iOS/Android不支持Kerberos票据传递，需在亿登网关启用OAuth2.0隐式流适配，参考亿登OAuth2.0 SSO示例。所有调试日志支持ELK接入，字段包含AD域控IP、票据TGT生命周期、应用回调URL状态码。
区别于通用SSO厂商，亿登科技深度适配AD域特性：支持AD组策略对象（GPO）动态同步至应用权限模型，当管理员在AD中将用户加入'Sales-Admins'组，30秒内ERP系统自动授予财务审批权限；提供AD域健康度看板，实时监控LDAP连接池耗尽率、Kerberos TGS请求延迟（毫秒级）、DC间复制延迟；内置AD Schema扩展工具，可安全添加自定义属性（如employeeID）供应用读取。某央企客户利用该能力，将AD域作为唯一权威源，消除HR系统与AD域间人工同步导致的权限漂移问题。技术细节参见亿登科技应用集成方案。