一、項(xiàng)目背景

自2019年以來(lái)，金融行業(yè)信創(chuàng)發(fā)展進(jìn)程加快。從2020年一期試點(diǎn)的47家到2021年二期試點(diǎn)198家，2022年三期試點(diǎn)啟動(dòng)的同時(shí)也進(jìn)入全面推廣階段，試點(diǎn)范圍由大型銀行、證券、保險(xiǎn)等機(jī)構(gòu)向中小型金融機(jī)構(gòu)滲透，涉及全行業(yè)5000余家單位。

信創(chuàng)建設(shè)成為金融機(jī)構(gòu)數(shù)字化轉(zhuǎn)型的重要抓手，在幫助金融機(jī)構(gòu)的業(yè)務(wù)提質(zhì)增效的同時(shí)，也能為金融機(jī)構(gòu)數(shù)字化轉(zhuǎn)型和以數(shù)字化為支撐的管理變革奠定基礎(chǔ)。

二、某金融機(jī)構(gòu)身份建設(shè)現(xiàn)狀

在此背景下，某大型金融機(jī)構(gòu)的信創(chuàng)建設(shè)也進(jìn)入快車道，信創(chuàng)相關(guān)預(yù)算占比逐年升高。

該大型金融機(jī)構(gòu)2002年成立至今，擁有國(guó)內(nèi)、國(guó)外近百家分支機(jī)構(gòu)，業(yè)務(wù)遍布全球180個(gè)國(guó)家和地區(qū)，雇員近4000人。隨著國(guó)產(chǎn)服務(wù)器、統(tǒng)信、麒麟等終端操作系統(tǒng)、國(guó)產(chǎn)OA、郵件如Coremail等應(yīng)用軟件投入使用，以 Windows 操作系統(tǒng)為主的 IT 底層架構(gòu)逐漸被替代，而納管這些 IT 資源（身份、應(yīng)用、終端）的微軟活動(dòng)目錄 Active Directory（AD）也將面臨替換。

1、不得不提的微軟AD

Microsoft Active Directory （微軟AD）作為一種目錄服務(wù)或身份提供商（IdP），主要是幫助管理員將用戶連接到基于Windows的IT資源，同時(shí)管理和保護(hù)基于Windows的業(yè)務(wù)系統(tǒng)和應(yīng)用。管理員可以使用AD創(chuàng)建用戶并授權(quán)用戶訪問Windows終端、服務(wù)器和應(yīng)用等。另外，AD還能用于控制系統(tǒng)組、強(qiáng)制執(zhí)行安全設(shè)置和軟件更新，而AD的訪問和控制都是基于域來(lái)實(shí)現(xiàn)的。

AD提供了終端統(tǒng)一認(rèn)證、管理能力，應(yīng)用接入能力，基于NPS的RADIUS服務(wù)，Windows文件共享以及基于AD的NDS服務(wù)。AD是微軟整個(gè)生態(tài)環(huán)境的基礎(chǔ)，也是企業(yè)IT基礎(chǔ)設(shè)施。對(duì)于長(zhǎng)期使用AD的企業(yè)，AD已經(jīng)深入到其生產(chǎn)、業(yè)務(wù)、管理方方面面。如果無(wú)法使用微軟AD了，那么企業(yè)的身份、應(yīng)用、終端的管理怎么辦？尋求可替代AD域的國(guó)產(chǎn)目錄服務(wù)產(chǎn)品成為金融行業(yè)當(dāng)前及未來(lái)的重點(diǎn)。

2、應(yīng)用

該金融機(jī)構(gòu)存在與微軟AD高度綁定的應(yīng)用，如虛擬桌面、IAM系統(tǒng)、單點(diǎn)登錄SSO系統(tǒng)、Exchange 郵箱、Office365等。除此之外，還有部分國(guó)產(chǎn)應(yīng)用，如Synology NAS、Coremail、OA系統(tǒng)等。

依賴微軟AD的應(yīng)用使用域賬號(hào)即可進(jìn)行身份認(rèn)證和訪問授權(quán)，但對(duì)于國(guó)產(chǎn)應(yīng)用軟件，IT管理員只能在各個(gè)應(yīng)用系統(tǒng)中單獨(dú)手動(dòng)維護(hù)組織架構(gòu)和用戶身份信息，不僅拖累運(yùn)維效率，也增加了人為操作失誤帶來(lái)的風(fēng)險(xiǎn)。企業(yè)急需建立統(tǒng)一身份認(rèn)證和管理體系，才能確保業(yè)務(wù)不中斷。

3、關(guān)鍵設(shè)備

對(duì)于一些關(guān)鍵設(shè)備，例如堡壘機(jī)、服務(wù)器、防火墻、交換機(jī)、虛擬桌面等設(shè)備的身份認(rèn)證同樣依賴于微軟AD，Windows Server被替換或停用，也會(huì)導(dǎo)致AD服務(wù)無(wú)法繼續(xù)。

4、終端

當(dāng)替換成統(tǒng)信、麒麟這類信創(chuàng)終端后，如何保護(hù)用戶在Windows上的使用習(xí)慣？不同品牌信創(chuàng)終端賬號(hào)能否統(tǒng)一集中管理？用戶登錄認(rèn)證是否支持集中認(rèn)證和本地認(rèn)證，以及常用的802.1x認(rèn)證？這些問題對(duì)IT部門而言都是不小的挑戰(zhàn)。

三、如何落地？

終端和AD替換不是一蹴而就的，既有Windows終端、新購(gòu)Windows終端、信創(chuàng)終端、微軟AD和AD替代方案會(huì)有階段性共存，而在過(guò)渡階段主要面臨的是遷移問題：

? 應(yīng)用系統(tǒng)從AD域向替代方案的遷移；

? AD域、信創(chuàng)域管平臺(tái)、替代方案的賬號(hào)、密碼同步；

? 加域Windows終端向替代方案的遷移，包括終端登錄、管理和用戶數(shù)據(jù)的遷移。

1、思路

針對(duì)上述痛點(diǎn)，考慮到方案可用性、覆蓋范圍和TCO（Total Cost of Ownership ，總擁有成本，產(chǎn)品采購(gòu)到后期使用、維護(hù)的成本），寧盾為該金融機(jī)構(gòu)提出了一個(gè)有效的解決思路，基于寧盾身份目錄服務(wù)來(lái)進(jìn)行，按照與AD關(guān)聯(lián)緊密度排序，關(guān)聯(lián)度小的優(yōu)先遷移，以此逐步弱化AD在企業(yè)中的作用：

? 為該企業(yè)建立統(tǒng)一身份目錄，實(shí)現(xiàn)對(duì)AD的替代；

? 關(guān)鍵業(yè)務(wù)系統(tǒng)向?qū)幎苣夸浄?wù)遷移；

? 信創(chuàng)系統(tǒng)終端和Windows終端統(tǒng)一身份認(rèn)證和管理；

? 網(wǎng)絡(luò)接入的統(tǒng)一管理；

? 完成無(wú)法覆蓋場(chǎng)景的替代，如Exchange、Windows文件共享、DNS服務(wù)等；

? 完成與AD高度綁定的產(chǎn)品改造。

寧盾目錄服務(wù)（Nington Directory Service，NDS）是基于標(biāo)準(zhǔn)LDAP協(xié)議自主研發(fā)的國(guó)產(chǎn)LDAP身份目錄服務(wù)，用來(lái)存儲(chǔ)用戶身份數(shù)據(jù)，并提供統(tǒng)一的目錄用戶認(rèn)證，可廣泛應(yīng)用于本地/云應(yīng)用、操作系統(tǒng)、網(wǎng)絡(luò)/安全設(shè)備場(chǎng)景。

它由身份目錄、應(yīng)用接入、網(wǎng)絡(luò)接入、多因素認(rèn)證、統(tǒng)一終端管理等多個(gè)能力組件構(gòu)成。其中LDAP身份目錄是核心服務(wù)，其他能力組件均為可選項(xiàng)，可通過(guò)標(biāo)準(zhǔn)協(xié)議與第三方產(chǎn)品進(jìn)行替換或集成。

（寧盾身份目錄服務(wù)能力架構(gòu)圖）

? 身份目錄負(fù)責(zé)存儲(chǔ)用戶賬號(hào)、密碼、組織架構(gòu)、用戶組等數(shù)據(jù)，并處理身份的上下游同步。

? 應(yīng)用接入組件為應(yīng)用系統(tǒng)提供身份管理和登錄認(rèn)證/SSO服務(wù)。

? 網(wǎng)絡(luò)接入處理設(shè)備的有線、無(wú)線認(rèn)證和遠(yuǎn)程接入，如VPN、虛擬桌面認(rèn)證等。

? 多因素認(rèn)證提供認(rèn)證增強(qiáng)能力，支持動(dòng)態(tài)密碼、短信密碼、掃碼認(rèn)證、推送認(rèn)證等功能。

? 統(tǒng)一終端管理為信創(chuàng)和Windows終端提供集中身份管理、認(rèn)證管理、合規(guī)性檢查和認(rèn)證增強(qiáng)等能力。

2、動(dòng)手

寧盾目錄服務(wù)主要包含身份目錄和各業(yè)務(wù)場(chǎng)景對(duì)接能力。身份目錄具有和AD高度兼容的數(shù)據(jù)結(jié)構(gòu)，降低了應(yīng)用的變更代價(jià)，為應(yīng)用遷移提供了便利。

（寧盾身份目錄服務(wù)兼容微軟AD）

2-1、以NDS為身份源的統(tǒng)一身份管理中心

為了能夠統(tǒng)一信創(chuàng)、Windows終端和其他業(yè)務(wù)場(chǎng)景的身份，寧盾目錄需要替代AD原有的生態(tài)位，建立身份源。因此，在該方案中首先構(gòu)建以寧盾目錄服務(wù)為核心身份源的統(tǒng)一身份管理中心。通過(guò)寧盾目錄的身份同步功能，將上游身份源如AD、HR、IAM系統(tǒng)或OA系統(tǒng)內(nèi)的身份數(shù)據(jù)同步到寧盾目錄服務(wù)中進(jìn)行統(tǒng)一管理維護(hù)。

此時(shí)，寧盾目錄服務(wù)可以作為L(zhǎng)DAP服務(wù)器或者SCIM服務(wù)器，由下游應(yīng)用系統(tǒng)直接調(diào)用身份數(shù)據(jù)，也可以調(diào)用下游應(yīng)用的身份API主動(dòng)推送身份數(shù)據(jù)，從而保持企業(yè)內(nèi)用戶全網(wǎng)身份一致性。

2-2、應(yīng)用對(duì)接

應(yīng)用對(duì)接場(chǎng)景中，寧盾目錄服務(wù)需要接管下列能力：

? 應(yīng)用的身份和權(quán)限管理。依賴AD的應(yīng)用可直接使用LDAP協(xié)議對(duì)接寧盾目錄，寧盾目錄與 AD 的用戶數(shù)據(jù)和接口高度兼容。權(quán)限管理可沿用AD的組織單元和用戶組；

? 登錄認(rèn)證。寧盾目錄兼容AD的登錄認(rèn)證協(xié)議，可按照AD配置對(duì)接；

? 單點(diǎn)登錄（可選）。對(duì)于使用微軟ADFS作為單點(diǎn)登錄系統(tǒng)的應(yīng)用，可通過(guò)標(biāo)準(zhǔn)SAML或OAuth協(xié)議與寧盾目錄對(duì)接；如果企業(yè)自建了SSO平臺(tái)，可將SSO平臺(tái)依照AD配置與寧盾目錄對(duì)接。寧盾目錄也可以作為獨(dú)立的單點(diǎn)登錄門戶使用。

2-3、網(wǎng)絡(luò)接入

網(wǎng)絡(luò)接入在信創(chuàng)替代中是比較容易被忽視的問題。由于微軟在AD域、Windows終端登錄和網(wǎng)絡(luò)接入上有深度耦合，不容易做到完美替代，其中的風(fēng)險(xiǎn)源自：

? 加域的Windows本身是身份票據(jù)容器，網(wǎng)絡(luò)和應(yīng)用可以基于Windows登錄身份進(jìn)行單點(diǎn)登錄，脫離域之后需要多方配合才能達(dá)到同等效果；

? 網(wǎng)絡(luò)接入通常使用RADIUS協(xié)議與設(shè)備（NAS）進(jìn)行對(duì)接，常見的產(chǎn)品有NPS（微軟）、iMC（H3C）、AgileController（華為）、ISE（Cisco）等。這些產(chǎn)品需要加入域才能實(shí)現(xiàn)一些常見場(chǎng)景，和AD有強(qiáng)綁定關(guān)系。

2-4、有線無(wú)線網(wǎng)絡(luò)認(rèn)證場(chǎng)景

對(duì)于主流內(nèi)網(wǎng)認(rèn)證方式802.1x認(rèn)證或Portal認(rèn)證，在Windows加域模式下可以實(shí)現(xiàn)登錄Windows自動(dòng)認(rèn)證、計(jì)算機(jī)名認(rèn)證或證書認(rèn)證，前提是RADIUS服務(wù)器加域。寧盾目錄服務(wù)的網(wǎng)絡(luò)接入組件有較高的內(nèi)部耦合性，同樣能夠?qū)崿F(xiàn)三種認(rèn)證。當(dāng)原有RADIUS服務(wù)器脫域之后，寧盾網(wǎng)絡(luò)接入組件可代替原有RADIUS服務(wù)器，提供RADIUS認(rèn)證服務(wù)。

應(yīng)對(duì)策略如下兩種：

將802.1x認(rèn)證直接指向?qū)幎苣夸洠荛_原有產(chǎn)品加域限制；

圖 繞開原有RADIUS

推動(dòng)原有產(chǎn)品與寧盾互信。

圖 原RADIUS與寧盾互信

2-5、遠(yuǎn)程接入場(chǎng)景

遠(yuǎn)程接入主要為VPN、堡壘機(jī)、虛擬桌面等接入認(rèn)證場(chǎng)景。

VPN、堡壘機(jī)等設(shè)備主流的認(rèn)證協(xié)議是RADIUS或LDAP，該金融機(jī)構(gòu)內(nèi)部署了RADIUS，直接由寧盾目錄服務(wù)替代。寧盾支持更多品牌的網(wǎng)絡(luò)設(shè)備和廠商私有協(xié)議，可實(shí)現(xiàn)比以往更優(yōu)的效果，如權(quán)限控制、IP下放、多因素認(rèn)證等。

在身份認(rèn)證方面，寧盾對(duì)主流產(chǎn)品有良好支持，如深信服、華為、Citrix、VMWare。但各虛擬桌面廠商的運(yùn)行機(jī)制對(duì)AD依賴性比較高，需要推動(dòng)廠商去AD化。

2-6、終端統(tǒng)一認(rèn)證和管理

終端的統(tǒng)一管理在方案的選擇上需要遵循幾個(gè)原則：

? 客戶端數(shù)量越大，對(duì)方案的成熟度和可靠性要求越高；

? 方案選型：

①方案客戶端側(cè)工作盡量輕，不引入新的客戶端；②方案依賴系統(tǒng)原裝客戶端 ；③方案需引入新客戶端，但支持統(tǒng)一推送客戶端；④方案需引入新客戶端，但需手動(dòng)安裝客戶端。 ①>②>③>④

①方案對(duì)AD域的依賴盡量低，完全不依賴AD；②方案僅要求已入域終端依賴AD；③方案要求新購(gòu)Windows終端也依賴AD。 ①>②>③

簡(jiǎn)而言之，方案最好不要引入新的客戶端，如需引入客戶端，需具備完備的客戶端方案，且對(duì)AD的依賴越輕越好。

有以下四種方式可供客戶選擇：

? 使用各平臺(tái)域管平臺(tái)，如Windows使用AD，麒麟使用天域，統(tǒng)信使用統(tǒng)信域管，由寧盾目錄同步幾種域管平臺(tái)數(shù)據(jù)；

? 使用寧盾安全連接器接管終端登錄認(rèn)證，實(shí)現(xiàn)集中認(rèn)證和本地用戶管理；

? 使用Samba替代AD，管理Windows終端；

? 終端不加域，使用桌管平臺(tái)管理Windows終端。

在該方案中企業(yè)最終采用了第一種方式，將AD、麒麟天域和統(tǒng)信域管作為寧盾目錄的下游應(yīng)用，由寧盾目錄統(tǒng)一推送或域管主動(dòng)調(diào)用寧盾目錄身份。這種方式盡管依賴AD，但可靠性更高，不需要引入客戶端，適合有已加域終端和信創(chuàng)終端的場(chǎng)景。

? AD：寧盾目錄調(diào)用AD的LDAP接口，進(jìn)行身份同步；

? 麒麟天域：將寧盾目錄作為身份源，使用LDAP協(xié)議調(diào)用寧盾目錄；

? 統(tǒng)信域管：將寧盾目錄作為身份源，使用LDAP協(xié)議調(diào)用寧盾目錄。

對(duì)于終端的認(rèn)證和密碼管理方面，信創(chuàng)域管支持向AD發(fā)起認(rèn)證，寧盾目錄數(shù)據(jù)結(jié)構(gòu)和AD高度兼容，信創(chuàng)域管可將寧盾目錄作為AD替代品。Windows僅支持向AD發(fā)起認(rèn)證，AD無(wú)法將認(rèn)證請(qǐng)求代理到第三方，可通過(guò)組策略禁用Windows修改密碼，強(qiáng)制用戶在身份自服務(wù)平臺(tái)修改密碼，寧盾目錄接收到密碼變更后同步給AD。

AD有被替代的預(yù)期，信創(chuàng)域管平臺(tái)產(chǎn)品化程度尚不完善，由寧盾安全連接器客戶端實(shí)現(xiàn)終端集中管理和認(rèn)證，可靠性較高，終端依賴度較高，完全不依賴AD。如您對(duì)模擬加域方案或其他方式感興趣，可在線咨詢客服獲取更詳細(xì)的方案，這里就不再贅述。

2-7、多因素認(rèn)證增強(qiáng)各場(chǎng)景登錄安全

作為金融行業(yè)頭部企業(yè)，客戶對(duì)信息安全的重視也在本次方案中體現(xiàn)。通過(guò)對(duì)用戶連接網(wǎng)絡(luò)或訪問辦公資源時(shí)的登錄入口添加動(dòng)態(tài)密碼進(jìn)行二次身份認(rèn)證，以降低因賬密泄露引起的安全風(fēng)險(xiǎn)。寧盾多因素認(rèn)證支持的認(rèn)證形式十分豐富，有動(dòng)態(tài)令牌（APP、H5、小程序、硬件Key）、短信令牌、推送認(rèn)證、掃碼認(rèn)證、生物認(rèn)證等多種。該客戶選用了寧盾手機(jī)APP令牌形式，用以加強(qiáng)賬號(hào)安全。

多因素認(rèn)證常用的使用場(chǎng)景有：

? 遠(yuǎn)程接入，支持VPN、堡壘機(jī)、虛擬桌面等；

? 運(yùn)維，支持Linux、AIX等服務(wù)器，各種網(wǎng)絡(luò)設(shè)備認(rèn)證授權(quán)和審計(jì)，替代ACS/ISE；

? 應(yīng)用登錄，支持API調(diào)用或SSO門戶增加多因素認(rèn)證；

? 操作系統(tǒng)登錄，支持Windows、Linux、Mac OS，需安裝寧盾安全連接器；

? 網(wǎng)絡(luò)接入，僅Portal或證書認(rèn)證。

2-8、高可用

身份系統(tǒng)是關(guān)鍵基礎(chǔ)設(shè)施，尤其對(duì)于金融這類關(guān)系國(guó)計(jì)民生的行業(yè)，基礎(chǔ)設(shè)施更需要支持高可用、負(fù)載均衡、備份和恢復(fù)。

寧盾目錄服務(wù)支持集中式部署和分布式部署，集中部署模式下，關(guān)鍵目錄服務(wù)互為主備，應(yīng)用接入節(jié)點(diǎn)可多臺(tái)集群部署，實(shí)現(xiàn)負(fù)載均衡。它的好處在于結(jié)構(gòu)簡(jiǎn)單，在提供較好的高可用性能下，維護(hù)成本低。

集中部署

分布式部署模式下，每個(gè)物理分支都可以有多個(gè)寧盾目錄實(shí)例。實(shí)例之間互相同步，物理分支之間互相同步。

分布式部署

寧盾目錄服務(wù)同樣支持故障回退、數(shù)據(jù)恢復(fù)。由于寧盾目錄服務(wù)和AD具有高度兼容性，大部分業(yè)務(wù)場(chǎng)景下可以互換，因此也建議該金融機(jī)構(gòu)保留AD較長(zhǎng)時(shí)間，有突發(fā)情況時(shí)可以將應(yīng)用對(duì)接恢復(fù)為 AD，將業(yè)務(wù)可持續(xù)作為首要目標(biāo)。

3、效果

目前，寧盾目錄服務(wù)方案已在該金融機(jī)構(gòu)OA部門試用中。通過(guò)寧盾目錄服務(wù)替代微軟AD，接管企業(yè)內(nèi)的身份、應(yīng)用、網(wǎng)絡(luò)、終端，進(jìn)而打造基于信創(chuàng)體系的身份管理解決方案，加快國(guó)產(chǎn)化數(shù)字化建設(shè)。

四、啟示與思考

目前信創(chuàng)操作系統(tǒng)推進(jìn)重點(diǎn)在金融行業(yè)，2021年各單位著重解決終端用戶在信創(chuàng)系統(tǒng)上處理業(yè)務(wù)的問題。從2022年開始，微軟 AD 面臨較大的替換預(yù)期，一些銀行和金融機(jī)構(gòu)開始探索 AD的替代解決方案。而從寧盾接觸到的信創(chuàng)用戶來(lái)看，普遍關(guān)注的技術(shù)點(diǎn)為：

? 信創(chuàng)操作系統(tǒng)的統(tǒng)一管理和認(rèn)證。截至2022年4月，信創(chuàng)域管平臺(tái)主要采用定制方法適配客戶需求，產(chǎn)品化程度尚未成熟。用戶在尋求其他解決方案；

? 應(yīng)用遷移。過(guò)去二十多年微軟 AD 是主要身份標(biāo)準(zhǔn)，大量應(yīng)用構(gòu)建在 AD 上，應(yīng)用的遷移成本不能太大；

? Windows 統(tǒng)一管理的過(guò)渡方案。

? 網(wǎng)絡(luò)認(rèn)證，是企業(yè)比較容易忽略的點(diǎn)，比應(yīng)用遷移更為復(fù)雜，涉及到原有認(rèn)證平臺(tái)的替換和對(duì)接。

大多數(shù)單位在尋找和測(cè)試解決方案時(shí)都暴露出不少問題，比如域管平臺(tái)能力、業(yè)務(wù)系統(tǒng)歷史遺留問題、Windows脫域問題等，因此替換微軟AD對(duì)于企業(yè)自身而言也是一個(gè)查漏補(bǔ)缺的契機(jī)。

其實(shí)，國(guó)內(nèi)外在非信創(chuàng)領(lǐng)域 AD 替換或部分替換同樣很常見，主要驅(qū)動(dòng)因素有：

? 性能問題，當(dāng)企業(yè)員工人數(shù)很多或分支較多情況下，如果沒有持續(xù)規(guī)劃和更新，AD比較容易面臨LDAP服務(wù)超載、數(shù)據(jù)同步不及時(shí)等問題；

? 安全性問題，近年來(lái)AD漏洞被利用的次數(shù)在增多，AD作為關(guān)鍵服務(wù)不能經(jīng)常重啟，導(dǎo)致有許多0day漏洞被利用；AD的默認(rèn)配置有一定安全隱患，需要經(jīng)驗(yàn)豐富的管理員持續(xù)關(guān)注；

? 無(wú)法適用云和移動(dòng)化，AD在本世紀(jì)初推出以來(lái)，架構(gòu)上沒有特別更新，對(duì)業(yè)務(wù)上云和SaaS支持薄弱；AD也不能管理Mac、Linux等終端，許多企業(yè)雖然架設(shè)了AD，并未有效使用起來(lái)。

篇幅所限，對(duì)于金融行業(yè)微軟 AD 替換方案有較多省略之處，若您有金融、教育、醫(yī)療等相關(guān)行業(yè)的信創(chuàng)項(xiàng)目，可咨詢?cè)诰€客服獲取詳盡的解決方案，更歡迎上下游廠商合作交流。

（本文來(lái)源于寧盾，僅供學(xué)習(xí)和參考，未經(jīng)授權(quán)禁止轉(zhuǎn)載和復(fù)制。如欲了解更多內(nèi)容，可前往寧盾官網(wǎng)博客解鎖更多干貨）