Active Directory（AD）是Windows域环境中最成熟的身份目录服务，但原生AD仅提供域内登录能力，无法跨Web应用实现统一认证。某金融客户曾因AD未与CRM、BI平台打通，导致员工平均每天输入密码11次，密码重置工单占IT支持总量的37%。亿登科技基于AD的单点登录方案，不是简单代理AD认证，而是构建AD为根证书颁发机构的信任链——通过Kerberos票据转发+OAuth2.0令牌转换，让AD用户一次登录即可访问200+个异构系统。实测某省级政务云项目中，登录耗时从平均8.4秒降至1.2秒，会话超时策略可精确到分钟级，且完全兼容AD组策略（GPO）的权限继承机制。
第一步：AD域控侧配置SPN与Keytab。在域控制器上为SSO网关服务器注册服务主体名称（SPN），如HTTP/sso.yidengtech.com@YIDENGTECH.COM，并导出keytab文件。这步常被忽略导致Kerberos认证失败，亿登科技工具集内置spn-checker.bat可自动验证SPN唯一性与端口绑定状态。第二步：部署亿登SSO网关中间件。该组件不修改AD架构，采用反向代理模式，在IIS或Nginx后部署Java微服务，支持AD用户属性映射（如sAMAccountName→用户名，mail→邮箱），并自动同步AD组成员关系至本地权限引擎。第三步：应用接入改造。对Spring Boot应用，仅需引入yideng-sso-starter依赖，添加@EnableSsoClient注解；对PHP老系统，提供轻量级SDK，5行代码完成OAuth2.0令牌校验。某制造业客户用此方案3天内完成MES系统接入，零代码修改其原有RBAC模块。
单纯AD-SSO存在两大风险：AD域管理员可绕过所有应用级审计；密码策略变更无法实时同步至Web应用。亿登科技方案强制启用双因素认证（MFA）作为AD登录的增强层，当用户首次通过AD凭证访问SSO网关时，触发短信/邮件/亿登令牌小程序二次验证。验证通过后生成带时间戳和设备指纹的JWT令牌，该令牌包含ad_groups声明字段，供下游应用做细粒度授权。某医疗客户通过此机制满足等保2.0三级要求中‘身份鉴别’条款，审计日志完整记录AD账号、终端IP、应用系统、操作时间四元组。我们建议将AD-SSO与多因素认证方案联动部署，尤其对财务、HR等高危系统设置更严苛的MFA策略。同时，所有令牌签发均调用亿登合规密钥管理服务，私钥永不离开HSM硬件模块。
该央企拥有12万AD用户、38个独立业务系统（含自研OA、采购平台、知识库）。传统方案需为每个系统单独开发AD集成模块，维护成本极高。亿登科技采用分阶段实施：第一阶段（2周）完成SSO网关部署与AD域控对接，验证Kerberos票据流转；第二阶段（3周）接入核心OA与邮件系统，启用基于AD组的动态菜单权限；第三阶段（4周）完成全部38个系统接入，其中17个遗留系统通过反向代理模式零改造上线。上线后，IT部门统计显示：密码相关求助下降62%，员工单日有效工作时长增加23分钟。关键数据在于审计能力提升——所有系统登录事件统一汇聚至亿登SIEM平台，支持按AD组织单元（OU）维度生成合规报告，例如‘研发二部近30天未登录ERP系统的用户清单’。该方案已沉淀为亿登科技单点登录标准实施手册，包含AD域策略检查清单、网络端口放行矩阵、故障排查决策树等23项交付物。