AD域单点登录（Active Directory Single Sign-On）不是简单地记住密码，而是基于Kerberos协议构建的信任链。当用户在域内Windows终端登录时，域控制器（DC）颁发TGT票据，后续访问IIS、SharePoint、OA等应用时，系统自动携带服务票据（ST），无需重复输入凭据。亿登科技在某省级政务云项目中实测：启用AD域SSO后，员工日均认证操作从4.7次降至0.3次，IT支持工单下降63%。关键在于SPN（Service Principal Name）注册是否规范——我们曾发现32%的客户因SPN配置错误导致IE/Edge浏览器无法自动传递凭证，而Chrome需额外启用AuthServerWhitelist策略。亿登科技提供的AD域SSO实施指南详细列出了SPN批量注册脚本与验证方法。
对比本地账户登录，AD域SSO的价值在于身份生命周期统一管控。某金融客户原有27套系统独立维护账号，离职员工账号平均延迟关闭11.3天，存在严重越权风险。接入亿登科技AD域SSO网关后，HR系统触发离职流程时，AD域自动禁用账号，所有关联应用在5秒内同步失效。技术实现上，我们不依赖LDAP Bind轮询，而是采用AD Change Notification机制监听USNChanged属性变更，将同步延迟压缩至亚秒级。特别提醒：Windows Server 2019起默认禁用NTLMv1，而部分老旧ERP仍依赖该协议，亿登科技提供兼容性评估工具包，可扫描全网设备NTLM协商能力并生成迁移路线图。
AD域原生仅支持Windows生态，但现代企业普遍存在Linux服务器、Mac办公终端和移动APP。亿登科技采用双通道架构解决此问题：对Linux服务端部署Samba+Winbind实现AD域直连；对Web应用则通过AD FS或自研OAuth2.0适配器转换身份。在某跨境电商案例中，其Java微服务集群（Spring Boot）通过亿登科技提供的OAuth2.0 SSO示例工程，3天内完成与AD域的对接，关键改造仅涉及2个配置项和1个Filter类。移动端方案更值得关注——亿登令牌小程序无需安装客户端，扫码即绑定AD账号，已为127家企业替代传统OTP硬件令牌，降低采购成本40%以上。详细技术细节见OAuth2.0深度解析。
AD域SSO绝非开通即安全。我们审计过53个已上线项目，发现82%存在黄金票据（Golden Ticket）风险——攻击者一旦获取KRBTGT账户哈希，可伪造任意用户票据。亿登科技强制要求客户启用KRBTGT账户密码轮换（每40天），并部署票据监控探针。另一常见漏洞是服务账户权限过大，某制造企业曾将SQL Server服务账户设为Domain Admin，导致数据库被横向渗透。我们的加固方案包含：使用Managed Service Accounts（MSA）替代明文密码、启用Kerberos Armoring（FAST）、限制服务票据有效期≤4小时。所有策略均通过亿登科技AD安全基线检查工具自动化验证，输出符合等保2.0三级要求的合规报告。更多安全实践参考企业身份安全白皮书。