企业官网建设流程全解析

客户画像：具有国资背景的头部基金机构

核心痛点：银河麒麟终端规模化部署后，账号与密码在本地创建，管理混乱，且存在安全隐患；无法实现统一访问管理

解决方案：部署宁盾身份域管，与AD双域并行，重构国产身份管理底座，确保业务连续性

落地成效：银河麒麟信创终端统一管理、身份安全防线强化，自服务平台覆盖80%以上账号运维操作

信创终端规模化落地，身份管理面临新挑战

随着信创建设不断深入，某头部基金机构已陆续部署Coremail企业邮箱、OA办公系统及银河麒麟KylinOS终端等国产化办公设施。但新环境的落地，也带来了新的管理难题：

• 身份问题：AD域一套身份，信创一套身份，两套身份体系不统一为用户办公和管理运维增加阻碍；

• 登录场景：银河麒麟终端无法加入AD域，账号分散在本地，密码本地存储，存在弱口令及密码泄露隐患；

• 认证场景：办公应用、业务系统、网络接入未实现统一身份认证，员工需重复输入账号密码；

• 运维场景：人员入转调离频繁，权限分配、密码重置类工单激增，运维管理面临系统化改善；

• 迁移场景：后续新增的信创应用、原集成AD的应用如何快速平滑迁移，且不增加改造成本；

• 合规问题：信创设施需符合等保、密评等安全合规要求，在密码存储、身份鉴别等环节应提前规划。

对于金融机构而言，身份基础设施不仅关系到日常办公，更直接影响业务连续性与整体安全。如何在不影响现有业务的前提下，建立适配信创环境的身份管理体系？这成为项目需要优先解决的问题。

AD域控替换怎么选？关键是控制改造风险

围绕AD域控国产替换，该机构重点评估了两种路线：

由于该基金机构 AD 域架构复杂严密，核心系统对业务连续性要求极高，任何组件级故障或侵入式操作都可能引发连锁反应。在组织多个厂商参与POC测试后，该机构最终采用宁盾身份域管与AD并行路线重构国产身份管理底座。

宁盾方案：兼容并行，重构身份管理底座

该项目未直接一步到位替换AD，而是围绕身份目录、登录认证、终端管理等展开建设：

• 新建独立信创域，降低现网改造影响

宁盾域与AD域逻辑独立，不加入AD集群，不对AD进行侵入式操作，以AD为主账号源和认证源，通过身份数据同步维持两侧账号一致，为信创应用和网络、终端等资产预留国产身份管理基础。

• 统一纳管信创终端，延续AD组策略

银河麒麟信创终端加入宁盾域实现统一登录认证与管理，延续AD组策略下发密码策略、桌面壁纸、锁屏时间等配置，保持信创终端与Windows终端安全基线一致。

• 基于域单点登录，打通多场景认证

通过身份联动，将认证后的身份信息对接OA、网络设备等系统，实现“一次认证、多场景免密登录”，改善员工日常办公体验。

• 引入自服务平台，减轻运维压力

员工可通过宁盾自服务平台自助修改/重置密码、解锁账号、修改信息等，相关操作同步写回 AD，减少人工处理需求，同时维持新旧身份体系的账号一致性。

• 优化AD常见问题，安全合规加固

不使用Samba组件与Kerberos协议，基于PKI体系构建终端登录鉴权，原生支持国密算法加密存储、MFA多因素认证、自定义弱密码库等，规避AD常见安全漏洞，且符合等保2.0、密评等安全合规要求。

• 异地多活部署，确保服务高可用

采用异地多活部署，提升身份服务可用性，支撑金融业务稳定连续运行。

图1：异地多活架构

（注：图中NDS为宁盾身份域管英文简称）

建设成效：安全与效率的双重提升

项目于2025年成功验收，上线至今已稳定运行一年多，成效已在多个维度得到验证：

• 终端管理更统一：800台银河麒麟终端纳入统一管理，从0到1完成信创终端管理质的提升；

• 身份安全有保障：以双向PKI认证、多因素认证、国密算法、密码安全策略等强化信创身份安全防线；

• 日常运维更高效：自服务平台减少了80%的密码重置类工单，显著降低管理员工作量；

• 架构演进更从容：不直接改造现网AD即完成信创身份底座建设，为后续替代积累了实施经验。

结语：国产AD替换，不必急于一步到位

该案例带来的启示：真正稳健的AD域控替换，不是把所有改造风险集中到现有身份基础设施上，而是在保障业务连续性的前提下，让新的身份体系逐步建立、验证和成长。