Language
LDAP与SSO：差异与互补，共筑统一身份认证体系
在企业身份管理体系的范畴内，协议的选择与运用至关重要。LDAP 和 SSO 作为其中的关键协议，均可以用于实现统一认证，但两者在诸多方面既有显著差异，又存在紧密的协同互补关系。
LDAP
LDAP，即轻量目录访问协议，核心目标是提供结构化身份数据的集中存储、查询与管理能力。它采用目录树结构，有序存储用户账号、密码哈希、部门、邮箱等静态数据。同时，作为基础的身份数据源存在，LDAP 为各类应用系统提供身份验证所需的数据支持，确保应用能够准确核实用户身份及密码的有效性。通过 LDAP，企业得以整合分散的身份数据，打破数据孤岛，确保多应用系统间身份数据的一致性与实时性。例如，当员工离职时，在 LDAP 中更新用户账号状态为“禁用”，依赖 LDAP 服务的所有应用将同步生效，从而有效阻止离职员工对企业应用的访问。
SSO
相较之下，SSO（单点登录）并非单一协议，而是涵盖 SAML、OAuth、OpenID 等此类跨应用认证协议的统称。SSO 的核心目标是达成“一次认证，多应用免密访问”，解决用户在多应用环境下重复登录的问题。SSO 本身并不存储身份数据，而是借助标准化的协议流程，实现跨应用、跨域的认证互通，这不仅提升了用户体验，减少用户因重复输入密码产生的“密码疲劳”，同时通过集中认证与统一密码策略，强化了安全性，简化了管理流程。
LDAP与SSO协同
在实际应用场景中，SSO 服务，也就是 SSO 门户负责在用户和用户要访问的应用系统之间传递认证状态。此时，SSO 服务对于应用系统而言扮演着 IdP（Identity Provider，身份提供者）的角色。而 IdP 通常将 LDAP 作为自身的身份源。当用户在 IdP 的登录页面（即 SSO 统一门户）输入用户名和密码时，IdP 会将这些凭据转发至后端的 LDAP 目录服务器进行验证。若 LDAP 验证通过，IdP 确认用户身份合法，并生成相应的 SSO 认证状态凭据（如 SAML 认证流程中的断言，或 OIDC 中的 ID Token）。之后，当用户要访问 SAML 或 OIDC 接入的应用时，IdP 会将这些凭据发送给应用，实现应用系统免密认证。
值得注意的是，在 SSO 认证流程中，断言与 ID Token 通常包含用户的属性信息，如部门、邮箱、用户组等。这些关键信息同样由 IdP 从 LDAP 目录中查询获取，并嵌入到 SSO 凭据中，供应用系统进行用户授权决策。
以上可以看出，IdP 使用 LDAP 验证用户，然后使用 SSO 协议告知应用系统该用户已通过验证，并使用 LDAP 获取用户属性，供应用系统授权使用。
LDAP 协议主要服务于企业内部应用，如 OA 办公系统、邮件系统、上网认证、VPN 等，或者支撑企业 IAM 系统的底层数据源。而 SSO 协议更多应用于企业内部员工通过统一门户访问云服务、互联网应用及 SaaS 服务，以及合作伙伴通过统一门户访问企业采购平台等场景。二者从不同维度共同支撑企业统一认证的整体目标。
因此，LDAP 与 SSO 不是竞争关系，而是相辅相成，协同服务于企业统一身份战略，共同构建完整、高效的统一认证解决方案，助力企业在数字化转型过程中实现身份管理的安全性、便捷性与高效性。
宁盾（www.nington.com）版权所有
—END—
