眾所周知，“信創”的內容和目標是在核心晶片、基礎硬體、基礎軟體（作業系統、中介軟體、資料伺服器）等領域實現國產替代。隨著新基建理念的推出，“信創”的內容又得到了進一步的擴充套件。

隨著雲計算、人工智慧、物聯網等新興資訊科技的的日益深入應用，安全這一指標已經越來越為企業所重視，這其中既包含資料的安全，也包含應用持續性的安全。其中身份管理既屬於基礎軟體又屬於安全範疇，是必不可少的IT基礎設施。因此，從政策層面來看，身份管理也面臨重建。

目前身份管理基礎設施以微軟身份目錄服務AD為核心，部署在Windows Server中，管理著身份、應用、終端三個層面的資源。

• 身份層面，企業員工身份資訊儲存在AD，並基於AD域身份登入終端裝置；
• 應用層面，基於AD域身份資訊登入企業業務系統；
• 終端層面，合規終端需要加入AD域進行統一管理，主要指Windows桌面。

傳統IT架構以Windows+Intel架構向自主可控架構演進

而信創體系下的IT環境則是由飛騰、龍芯等國產晶片構成的PC作業系統（統信、麒麟等）以及搭載國產身份目錄的Linux伺服器等設施構成。新的IT架構下，作業系統、終端、伺服器均需重建，身份目錄在這一環境下同樣面臨著重建。

政府、軍隊、金融、教育、醫療等信建立設重點行業，預計將涉及到數十萬個單位需重構身份目錄服務。

身份目錄服務重構的兩個主要技術原因

（1）AD對國產化伺服器及終端相容性問題

AD無法安裝在Linux環境中，以及無法對國產作業系統（統信、麒麟等）相容。

（2）信創身份目錄既要相容微軟體系又要滿足信創體系

• 微軟在日常辦公中仍發揮著重要作用，對於微軟AD及應用相容應優先解決。
• 信創體系下構建身份目錄基礎設施不能照搬AD，其設計背景在區域網環境。新的身份管理面臨的環境更復雜，除傳統作業系統PC終端，還有不斷湧入企業的BYOD、IoT終端，無線網路，雲技術及非LDAP協議的各類應用等，都對身份目錄提出新要求。

以中立和開放為核心，增強廠商和客戶信任

在構建新身份目錄基礎設施時，勢必要通盤考慮產業生態的開放性與適配性。要提高產業鏈上下游相關產品的相容適配能力，則採用中立的第三方身份管理基礎設施是信創體系身份管理建設的主要方向之一。

信創身份目錄既要相容微軟體系，也需要滿足信創體系

針對信創體系設計的國產目錄服務NDS

國產身份目錄服務（Ningdun Directory Service，簡稱NDS）是由寧盾研發的一款專門面向信創場景的身份管理產品，透過它實現對信創環境下身份、應用、終端三個層面的資源管理以及既有AD體系相容管理，包括：

• 身份層面，企業員工身份資訊儲存在NDS中；
• 應用層面，基於NDS域身份資訊登入企業業務系統、針對LDAP，NDS相容AD的Schema，應用遷移認證到NDS無需單獨定製或改造，只需要簡單修改配置就可實現LDAP認證互動，另外提供SAML、OAUTH2.0、Cas、Radius等協議為雲、SaaS、網路提供相容；
• 終端層面，合規終端需要加入NDS進行統一管理，不僅限於國產桌面終端、BYOD、IOT等泛終端均支援統一接入管理；
• 身份安全：內建MFA能力，降低弱口令導致的身份風險，提升整體身份安全水準；
• 相容AD，確保既有架構正常執行。

NDS完全相容AD，意味著當應用直接使用或替換成NDS時，無需單獨定製或改造，只需簡單修改配置即可實現LDAP認證互動，大大降低重複開發和對接的成本。

NDS核心功能

• 內建MFA能力，降低身份風險

支援國密SM3演算法，硬體令牌、手機app令牌、企業微信掃碼快捷認證等。

• 國產作業系統統一登入管理

寧盾目錄服務NDS能增強AD在弱口令治理及泛終端管理能力，提供對統信、麒麟等國產作業系統的統一登入管理。

• 既相容AD，亦實現對主流協議業務系統無縫對接

以往企業內的使用者身份資訊儲存在AD上，使用者基於AD域身份資訊登入終端裝置及企業業務系統。當AD無法支援國產作業系統、業務系統時，NDS的良好相容性讓企業作業系統與業務系統能無縫對接NDS，實現無感知過渡。

• 終端准入管理

網路准入是基礎網路身份安全能力，在微軟架構下，NPS負責網路策略服務。寧盾目錄服務NDS內建網路准入能力，支援員工、訪客等不同使用者的Portal、802.1x認證方式。其中Portal認證方式靈活多樣，適用不同角色使用者。802.1x認證相容AD，可複用作業系統自帶的802.1x客戶端。

除此之外，NDS提供高階元件，用於增強對Windows、Mac、Linux等作業系統終端合規性以及BYOD、IoT管理。

NDS信創場景應用示例

• 政務、金融等信創客戶統一登入管理作業系統場景

國產作業系統率先在政務、金融領域使用，當員工在登入國產作業系統時，寧盾目錄伺服器可基於LDAP目錄結構儲存使用者身份資料，提供統一的目錄使用者認證。

• 業務系統統一登入管理場景

業務系統無感知對接NDS。以JIRA應用為例，在寧盾目錄服務中新增使用者後，到JIRA後臺配置寧盾目錄伺服器，與配置AD方式相同，匯入寧盾目錄服務中的使用者後即配置成功。

• 黨政辦終端准入控制場景

透過納管多種型別系統、終端，以加入域的終端為合規條件實施策略管控，提高企業內網終端合規率，提升企業內網安全。

NDS應用價值

• 能夠為國產作業系統提供統一登入管理 能夠為企業提供國產目錄服務
• 能夠實現BYOD、IoT泛終端准入認證
• 能夠幫助部署了微軟AD的企業更好地落地信創體系
• 能夠幫助企業無縫對接信創目錄業務系統

後記：技術生態建設

更多應用對接及相容適配，是推進信創產業能夠快速落地的核心。因此，身份目錄的後續工作目標是不斷豐富與信創生態系統下基礎硬體、基礎軟體、應用軟體的相容，幫助信創客戶落地身份管理，充分發揮各系統聯動的價值。