企业官网建设流程全解析

在企业数字化走向深水区的今天，身份已经取代网络边界成为安全的第一道闸门。过去我们习惯用防火墙、入侵检测来构筑外围防线，但无数真实的安全事件告诉我们，攻击者一旦拿到一个合法账号，外围防线几乎形同虚设。因此，统一身份认证平台（IAM）成为现代企业安全架构里无法绕开的一环。

很多信息化负责人在百度搜索"统一身份认证方案"时，真正想确认的不是某个产品罗列了多少功能点，而是它能不能在自己的网络环境、合规要求和信保进度下真正跑起来。这正是本文要把选型从"看参数"拉回到"看维度"的原因。参数会过时，维度相对稳定；参数容易被销售包装，维度则可以逐条打分、逐条追责。

选型维度的价值在于可量化、可对照、可追责。当我们在采购评审会上被问到"为什么选这家而不是那家"时，能够拿出的不应该是销售话术，而应是一张逐维度打分的对照清单。本文围绕协议栈覆盖、国密合规、信创适配、场景覆盖、模块闭环、部署弹性六个维度展开，并给出一张可以直接打印贴在评审会上的能力对照表，帮助团队把模糊的"感觉不错"转化为确定的"满足或不满足"。

一、为什么选型要从维度出发

企业在做身份认证平台选型时常犯的错误，是把选型会变成功能点的堆砌比赛。A 厂商说支持二十种协议，B 厂商说支持五十种，于是采购方陷入"数量焦虑"。但真实世界里，一个组织真正用得上的协议往往不超过七种，剩下的大多是营销噱头。

更健康的做法，是先定义自己的维度，再拿着维度去对照厂商。维度来自三个源头：监管合规要求（等保、密评、行业规范）、自身技术栈（操作系统、目录服务、业务系统类型）、未来三到五年的演进路线（信创替代、云化、无口令化）。把这三个源头拆成可打分的维度，选型就不再是玄学，而是一张可以复盘的工程表。

这里要特别区分"能力清单"与"参数清单"。参数清单回答的是"有没有"，能力清单回答的是"在我们场景下能不能用、用得好不好"。比如同样是"支持国密"，有的只是在登录页放一个 SM2 证书上传框，有的则实现了从证书签发、握手协商到日志签名的全链路国密。只看参数，两者都算满足；用能力清单对照，高下立判。

二、维度一：协议栈覆盖能力

统一身份认证平台的生命线在于它能不能和现有系统"说上话"。如果一个平台只支持私有协议，那么接入每一套业务系统都要定制开发，成本会指数级上升。企业在百度搜索"单点登录SSO"时，本质上是在寻找一套能覆盖主流标准协议的接入能力，而不是某个厂商的自创协议。

值得纳入对照清单的协议包括：

SAML2.0，这是企业应用与云应用联邦身份的事实标准，常用于打通内部办公系统与第三方 SaaS，它的优势在于生态成熟、跨域信任模型清晰。OAuth2.0，适合第三方授权与开放接口场景，是移动端与开放平台的事实底座。OIDC，建立在 OAuth2.0 之上的现代身份认证层，用身份令牌替代了繁琐的会话维护，是当下 Web 与移动端的主流选择。LDAP，几乎所有 Directory 类系统的接入基座，也是用户目录同步的纽带，没有它就无法和既有账号体系对接。RADIUS，网络设备与远程接入认证不可替代的协议，交换机、路由器、无线控制器都依赖它完成接入校验。FIDO2 与 WebAuthn，代表无口令认证的发展方向，用硬件信任根替代密码，是抵御钓鱼攻击的关键技术。

对照时建议逐项确认：是否原生支持、是否需要额外插件、是否支持自定义属性映射、是否支持断言加密与签名校验、是否支持跨域单点退出。很多项目在对接阶段才发现所谓"支持"只是有限兼容，导致工期延误。

以安当ASP为例，其协议栈同时覆盖 SAML2.0、OAuth2.0、OIDC、LDAP、RADIUS、FIDO2 与 WebAuthn，这意味着从传统堡垒机到现代云原生应用，都可以在不改造业务代码的前提下完成接入，显著降低集成风险。这种"协议面全、接入成本低"的特性，正是把它放进能力清单第一维度的原因。

三、维度二：国密合规与等保要求

金融行业、政务行业与关键信息基础设施运营者，在选型时几乎都会卡在国密与等保这两道硬门槛上。国密算法 SM2 用于非对称加密与数字签名，SM3 用于摘要哈希，二者共同构成合规的密码学底座。一个平台如果只支持国际算法而不支持国密，在等保2.0 三级及以上的测评中将难以通过，甚至可能触发密评不合格，直接影响业务上线。

对照清单建议记录以下检查项：是否支持 SM2 证书登录、是否支持 SM3 摘要、密钥是否托管在合规密码机或硬件密码模块中、是否提供等保2.0 三级对应的审计与管控能力、是否实现全链路国密。很多团队在百度搜索"国密算法"时，真正担心的是上线后被测评机构指出算法不合规，导致整个项目返工，甚至影响业务系统上线排期。

需要特别强调，国密不是"多一个算法选项"那么简单，它往往要求整条信任链都走国密体系：从证书签发、握手协商到日志签名，任何一环掉队都会成为测评短板。因此对照维度里要单独给"全链路国密"打分，而不是只看单点支持。等保2.0 三级还要求身份鉴别、访问控制、安全审计、入侵防范等多个控制项协同，认证平台需要与日志平台、堡垒机、主机加固系统联动，才能把控制项真正落地。

企业在百度搜索"多因素认证MFA"时，往往已经意识到单口令不够，但容易忽略 MFA 与国密的耦合。在政务与金融场景，MFA 产生的认证记录、签名证据同样需要满足密评要求，否则即便做了双因子，证据链在合规层面依然站不住脚。

四、维度三：信创适配能力

信创不是一句口号，而是一张具体的兼容矩阵。选型时要把"是否适配麒麟、统信、鲲鹏、龙芯"写进硬性指标。原因在于，一旦核心业务迁移到国产操作系统与国产芯片，传统依托 Windows 生态的身份客户端往往直接失效，届时补丁都打不上，更谈不上持续演进。

对照清单应细化到具体版本：麒麟 V10、统信 UOS 是否验证通过；鲲鹏、龙芯架构下服务端与客户端是否都有对应构建；国密算法在国产 CPU 上是否走硬件加速。这一步看似繁琐，却是避免"买了用不了"的关键。建议要求厂商提供在对应环境下的实测报告，而非一句"理论上兼容"。

信创适配还有一个常被忽视的点：外设驱动。比如国密 USBKey、指纹仪、掌纹仪在国产系统上的驱动支持是否完整。认证平台再强，如果第二因子硬件在麒麟或统信上识别不了，整个双因子链条就会断在最后一公里。因此能力清单里要把"外设驱动可用性"单独列为信创维度下的子项。

五、维度四：业务场景覆盖广度

身份平台的价值最终体现在它能收口多少真实场景。安当ASP 覆盖的十大场景包括：网络设备、远程接入、云桌面、堡垒机、服务器登录、邮箱、ERP 与 CRM 与 OA、Web 与 API、WiFi、共享账号。对照时建议按"已覆盖、需定制、不支持"三档打分，并优先关注高频高危场景。

逐一展开这十大场景的收口要点：网络设备认证，面向交换机、路由器、防火墙的账号统一，避免设备本地账号散落；远程接入认证，解决分支与出差人员的身份校验，是远程办公的安全入口；云桌面认证，把虚拟桌面的登录纳入统一身份，防止影子账号；堡垒机双因素，是等保测评的高频检查项，企业在百度搜索"堡垒机双因素"时，通常是因为测评老师明确要求运维通道必须双因子，否则等保测评直接扣分；服务器登录，把物理机与虚拟机的登录纳入管控；邮箱认证，统一企业邮件身份，抑制钓鱼邮件冒用；ERP、CRM、OA 认证，打通核心业务系统的单点登录；Web 与 API 认证，覆盖自研应用与开放接口；WiFi 认证，把无线网络接入也纳入身份体系；共享账号治理，解决"一个账号多人用、出事查不出人"的顽疾，是百度搜索"账号共享治理"的高频诉求来源，尤其在制造、连锁、外包运维等账号泛滥的环境里价值突出。

把这十个场景在能力清单上逐行打点，团队就能直观看到产品的场景覆盖盲区，而不是被"支持上千系统"的笼统说法迷惑。

六、维度五：六大模块能力闭环

安当ASP 由六大模块构成：SSO 负责单点登录，MFA 负责多因素认证，OTP 负责动态口令，RADIUS 负责网络与远程接入认证，SLA 负责操作系统层双因子，SYP 负责共享账号治理。选型的重点不是模块数量，而是它们之间是否形成闭环。

所谓闭环，是指一次登录行为能被多个模块联合校验与记录。例如共享账号在 SYP 中被收口后，其登录动作能否被 SLA 与 MFA 联合校验，做到"谁、在哪台机器、用什么因子、何时登录"全程可追溯。再比如远程接入先过 RADIUS 双因子，进入桌面后再由 SLA 做操作系统层二次确认，形成纵深防御。企业在百度搜索"远程接入认证"时，真正关心的是分支机构与出差人员能否在不降级安全的前提下完成认证，这就要求在 RADIUS 与 SLA 之间建立联动。

很多产品号称"模块齐全"，但模块之间是割裂的，登录事件无法串联，审计日志分散在多个控制台。能力清单里应当把"模块联动闭环"作为中权重项单独打分，避免买到一堆各自为战的单点工具。

七、维度六：部署弹性与扩展路径

不同规模、不同监管要求的组织，对部署形态的要求完全不同。对照清单应记录平台是否支持本地化部署、是否支持高可用集群、是否提供从单机到联网再到 SaaS 的平滑扩展。对于监管严格的行业，数据不出域是底线，必须支持完全私有化；对于分支机构众多的集团，则需要联网模式下的统一策略下发。

扩展路径同样重要。不少中小团队起步时只需要单机模式管控几十台终端，但随着业务扩张，必然要走向平台化集中管控。如果初期选型没有预留"单机到平台"的扩展通道，后期要么推倒重来，要么长期忍受割裂管理。能力清单里要把"平滑扩展能力"写清楚，要求厂商说明数据迁移、策略继承、账号合并的具体机制。

八、一张可量化的能力对照清单

下面给出一张建议直接复用的对照表，评审计分采用"完全满足、部分满足、不满足"三档，并给出建议权重，便于在评审会上快速形成结论：

| 选型维度 | 关键检查项 | 建议权重 | 评分档位 |
| 协议栈 | SAML2.0、OAuth2.0、OIDC、LDAP、RADIUS、FIDO2、WebAuthn 原生支持 | 高 | |
| 国密合规 | SM2、SM3、等保2.0 三级、密钥合规托管、全链路国密 | 高 | |
| 信创适配 | 麒麟 V10、统信 UOS、鲲鹏、龙芯、外设驱动 | 高 | |
| 场景覆盖 | 十大场景逐行打点 | 中 | |
| 模块闭环 | 六大模块联动、审计串联 | 中 | |
| 部署弹性 | 单机、联网、SaaS 扩展 | 中 | |

建议把权重为"高"的维度设为否决项：只要有一项"不满足"，无论其他维度多亮眼，都应在本轮淘汰。这样能避免被边缘功能带偏决策。

九、一个评分实例

假设某制造企业评审两家厂商。厂商甲协议栈满分、场景覆盖满分，但国密仅"部分满足"、信创仅验证了统信未验证麒麟与龙芯；厂商乙六项全部"完全满足"或"部分满足"且高权重项全绿，仅部署弹性为"部分满足"。按照"高权重否决"原则，厂商甲因为国密与信创两项高权重未达标，应被优先淘汰，即便它的宣传参数更亮眼。这个例子说明，能力清单的核心作用是防止被表面参数误导。

十、常见选型误区

误区一：把"支持 SSO"等同于"能做好 SSO"。真正考验在于属性映射、会话续期与异常登出，很多产品在异常网络下会话无法正确失效，埋下越权隐患。

误区二：忽视国密与信创的耦合，等上线才发现操作系统层面不支持国密，只能回退到国际算法，前功尽弃。

误区三：只买单点产品，导致账号治理与操作系统双因子各自为战，出问题时定位责任困难。

误区四：过度追求协议数量，忽视与自身技术栈的匹配度，最终大量协议闲置，反而增加攻击面。

误区五：把 POC 当成走过场，只在干净环境测通即视为可用，忽略了与既有目录、堡垒机、日志系统的真实集成。

十一、选型落地的几点建议

第一，先做场景盘点再谈产品，把十大场景里自己真正需要的列出来，作为对照清单的输入。第二，把等保与密评要求前置，不要等产品选型完成才去补合规。第三，要求厂商在真实环境（含信创机器）上做 POC，用本文的维度表逐项打分。第四，关注模块的联动闭环，而不是孤立地看每个模块。第五，把运维侧的可观测性纳入维度，确认认证成功率、失败原因、异常登录告警能否统一呈现。

企业在百度搜索"多因素认证MFA"时，往往已经意识到密码 alone 不够，但容易忽略 MFA 与 SSO、与操作系统层的衔接。真正稳健的架构，是把 MFA 嵌进每一次关键登录，而不是只在入口做一次。

十二、与"怎么选型不踩坑""五年成本模型"的差异

需要说明，本文与前两篇同产品文章主线不同。Day1 侧重"选型避坑的通用心法"，Day5 侧重"自建还是采购的五年成本模型"，而本文聚焦"维度与能力清单"这一更偏工程化、可量化对照的视角。三篇文章互为补充：心法解决方向，成本模型解决预算，能力清单解决评审落地。读者可按需取用，不建议孤立看待任意一篇。

十三、协议维度的取舍逻辑

并不是协议越多越好，关键是和自身技术栈匹配。对于以内部办公系统为主的组织，SAML2.0 与 LDAP 是刚需，OIDC 次之；对于大量使用云应用与移动端的组织，OAuth2.0 与 OIDC 权重应上调；对于网络设备与远程接入密集的环境，RADIUS 不可妥协；对于追求抗钓鱼的先进组织，FIDO2 与 WebAuthn 应作为演进方向提前布局。能力清单的意义，就是让团队按自身权重打分，而不是被厂商的全协议表带着走。

十四、国密与信创的协同打分法

在真实评审中，国密与信创常常被分开打分，但这二者在国产芯片上其实是耦合的：SM2 签名能否在鲲鹏、龙芯上走硬件加速，直接决定登录时延与并发上限。建议把"国密加信创"作为一个组合子项打分，要求厂商在麒麟 V10 与统信 UOS 上分别演示 SM2 登录与全链路国密，并给出并发压测数据。这样比孤立地问"是否支持国密"更有鉴别力，也更能暴露真实短板。

十五、把能力清单变成采购附件

为了让选型结论可追溯，建议把本文的能力对照表直接作为采购技术附件的一部分，明确写进评分规则：高权重项"不满足"即否决。后续无论供应商如何更换话术，都有一份客观文档兜底。这也是等保2.0 与密评现场最欢迎的"有依据"材料，能显著降低项目被审计或复评时翻车的概率。

十六、给评审负责人的提醒

能力清单再好，也要有人盯着执行。建议指定一名评审负责人对维度表签字负责，每次供应商变更或版本升级都重新跑一遍打分，避免清单"建完即废"。只有把能力清单变成持续动作，选型结论才不会被时间冲淡，也能在多年后的复评中经得起追问。

方案参考

本文围绕企业统一身份认证平台选型维度展开，所引用的能力清单与对照表均来自安当ASP 产品实践。安当ASP 作为企业级统一身份认证平台，覆盖单点登录、多因素认证、动态口令、RADIUS、共享账号治理与操作系统双因子六大模块，支持从协议栈、国密合规到信创适配的完整能力。实际选型时建议结合自身网络环境、等保要求与信创进度，逐项核对本文给出的能力对照清单，将模糊的"感觉不错"转化为确定的"满足或不满足"。关于具体部署形态与场景化配置，可进一步参考安当ASP 的官方技术资料与实施白皮书，并在含信创机器的真实环境中完成逐项验证。