国产AD重构怎么稳妥落地？金融行业的两条路径

导语

金融信创的国产AD重构，是2027倒计时下的必答题。AD拴着终端登录、应用认证、网络准入和权限控制，重构涉及监管验收、供应链安全和组织归口。本文梳理四条验收线、三种终端分型和两个落地案例，给出推进路径。

正文

在金融行业信创替代清单上，终端换了、操作系统换了、办公软件换了，但有一样东西最容易被拖到最后——AD（域控/目录服务，相当于企业内部的"身份总台账"）。它不显眼，却拴着终端登录、应用认证、网络准入和权限控制。据公开报道转述，非政策明文，金融领域信创改造市场普遍预期在2027年底前后完成阶段性节点，国产AD重构的窗口正在收窄。

国产AD重构是信创替代清单上绕不开的一环，某银行的经历很典型：终端部门买了信创终端、用信创域管管终端，身份源却对接到AD上；开发部门自建单点登录（SSO）做应用统一认证，也对接到AD上。后来科技部要求信创替代AD、并指定另一个部门承担，结果几个部门互相扯皮——终端归终端部门、应用归开发部门、AD本身却没人认领，归口问题是推进中必须解决的组织执行问题，不是重构本身的原因。

一、监管要求：国产AD重构后必须达标的验收线

国产AD重构的根本驱动是信创替代本身，AD作为身份基础设施必须国产化；监管要求不是驱动原因，而是重构后必须达标的验收底线，主要来自四条线：等保2.0、金融监管总局规章、人民银行行业标准、密评。

二、国产AD重构是必答题，不是可选项

AD是金融IT架构的底座，终端、应用、网络准入都挂在上面取身份。信创替代走到今天，终端和应用换了，但认证还挂在旧AD上，信创替代就没有真正闭环。

原因之一：AD是微软闭源商业组件，信创要求全栈自主可控，这是重构国产AD的根本驱动。重构后的国产AD还要能接住监管硬要求（国密鉴别、特权账号管控等），旧AD的Kerberos架构原生满足不了，外挂补丁过不了测评。

原因之二是时间和依赖。2027节点在前，而终端、应用、网络的替代都要跟着身份认证的迁移节奏走——AD不动，各线各自为战；拖到最后再做，已替换的系统还要回头改认证，成本翻倍。

上图把监管底线和国产AD重构必须接住的能力对应起来——多因素认证（密码之外再加一种验证方式）、访问控制、特权账号管控、国密鉴别、审计留痕。这些能力不是应用层补丁能拼出来的，而是验收时逐项核查的底线。

三、供应链安全底线：不能用开源依赖替换闭源依赖

信创的本意是自主可控和供应链安全，不是把一个外部依赖换成另一个。当前国产AD重构有两条技术路线：一条基于开源组件（如OpenLDAP、Samba）复刻微软AD协议；另一条走自研安全身份架构，不依赖开源Samba。选哪条路，决定了是真正把身份底座握在自己手里，还是只是把闭源依赖换成了开源依赖。

这个底线可以从三个层面看：

第一，代码出了问题没人兜底。核心代码掌握在开源社区手里，许可证可能有传染性，代码演进和补丁节奏都不由自己说了算——身份底座不能建在"别人什么时候想改就改"的地基上。

第二，开源项目随时可能停摆。一旦维护断档或核心团队流失，身份底座就悬在半空——金融系统要求长期可维护，这与开源社区治理模式存在根本矛盾。

第三，安全漏洞爆发时响应慢。开源组件漏洞频发，依赖链被投毒已是现实威胁。身份目录是全行认证的全局单点——一处沦陷，全行受影响。

对分管领导来说，这不是技术偏好问题，而是风险底线问题：身份基础设施是全局单点，供应链安全必须与功能同等对待。

选型时可以问三个问题：

第一，这套东西是不是真正掌握在我们自己手里？代码、演进方向是国产厂商自己说了算，还是建立在开源项目之上？

第二，如果上游停止维护或爆发安全漏洞，谁来负责、多久能解决？是厂商当天就能修，还是只能干等社区发补丁？

第三，过国家检查和监管验收（密评、等保、供应链审查）时，这套方案的材料拿不拿得出来、交代不交代得清楚？

回到必答题这个判断：国产AD重构不是"换成另一个外部依赖"，而是借信创窗口把身份底座做成真正自主可控的国产基础设施。用开源复刻顶着"国产"名义进入金融身份体系，风险没有消除反而新增——这不是正解。

四、金融机构的三种信创终端分型

不同金融机构推进信创终端的节奏不同，面对域管选型时的处境也不同。下面三种情形覆盖了金融行业目前最常见的阶段，读者可以对照自己的位置——无论从哪条路进来，最后都要回答同一个问题：AD这个底座谁来重构、怎么重构。

信创终端的域管选型只是入口，国产AD重构才是终局，情形一系统域管解决不了单点和AD依赖；情形二最需要在选型前想清楚，否则三年后还要再换一次；情形三方向正确，关键是把过渡节奏规划好。

五、两个落地案例：国产AD重构怎么推进

以下两个案例是金融行业国产AD重构的具体路径建设实践。

5.1 案例一：某大型金融企业——双轨思路，先试点再扩容

思路很明确：Windows体系保障业务连续性，信创体系独立建设满足政策要求。不强行把存量AD一刀切换掉，而是独立建设一套国产域管体系，先承接信创侧的终端和应用，再逐步平滑接管。

建设形态：国产域管采用双机主备部署，从现有AD按组织单元（OU）单向同步账号，先纳管麒麟、统信等信创终端做试点。网络侧沿用既有的准入认证，上层对接企业单点登录门户，用户体验上尽量无感。

采购路径：不是一上来就全面替换，而是小额预算起步，先做授权试点，验证生产环境稳定性后再正式采购，再规模化扩容。这种路径的好处是风险可控，每一步都有生产环境验证。

经验提炼：双轨并行降低业务风险、小额试点验证后再扩容、迁移前把证书链和多账号场景作为专项测试项。双轨过渡的整体路径如下图：

5.2 案例二：某金融交易所——把"真国产AD"做成废标项

现状：办公加生产环境数千用户，内外网物理隔离。硬件和办公应用已经开始国产化，但核心应用仍绑在微软AD上，多套AD各自为政，账号靠手工创建。在国产AD重构中，他们把真国产的要求做成了硬指标，包括：

• 源代码自主可控：域控产品源代码必须自主可控，不得使用开源Samba或微软AD组件；
• 商密检测通过：必须通过国家密码管理局的商用密码产品检测；
• LDAP兼容但不依赖：遵循LDAP（目录访问协议）且兼容AD Schema扩展，但底层不能是开源LDAP（如OpenLDAP）改造；
• VDI无感接管：存量VDI（云桌面）无需变更即可迁移到国产域；
• 双向认证与加密：mTLS双向认证、终端本地凭证国密加密、弱口令字典可导入；

高可用架构上，部署多套域控，内外网各2个数据中心，单中心双活加同城双中心，同时用国密非对称加密加密码机保护传输内容。

该案例的启示：监管级金融客户在国产AD重构选型时，越来越倾向于把"真国产"从加分项提升为废标项，源代码自主可控、商密检测通过、不依赖开源组件——这些要求正在成为头部金融机构国产AD重构的招标基线。

六、金融高层推进国产AD重构三件事

金融科技部负责人推进国产AD重构可以从三件事入手：

6.1 盘点差距，明确牵头部门

第一，盘点差距，明确牵头部门。基于监管对照表，生成国产AD重构的需求清单。先定归口——国产AD重构涉及终端、应用、网络多个部门，没有明确的牵头部门就会出现前面提到的没人认领的局面。

6.2 确定重构路径

第二，重构路径。是双轨过渡还是平滑接管，取决于存量业务对AD的绑定深度。像案例一那样，Windows确保业务连续、信创轨独立建设是稳妥路径。关键是先小额试点、生产验证、再规模化扩容，不要一步到位。

6.3 定验收标准

第三，验收标准。国密鉴别和特权账号管控是密评和监管检查的高频扣分项，也是国产AD区别于AD复刻品的核心差异点。选型时要确认产品原生支持国密算法、有独立的特权账号管理模块，而不是事后加外挂。

七、结语：不是要不要做，而是怎么稳妥落地

金融信创的时间表在推进，监管检查的条款在细化。对金融机构来说，国产AD重构不是要不要做的问题，而是什么时候做、怎么做的问题。等保三级的多因素认证要求、监管总局的特权账号管控要求、密评的密码技术鉴别要求，这些条款不会因为银行还在用AD就网开一面。据公开报道转述，非政策明文，2027年底前后的信创节点是行业普遍预期——留给银行完成国产AD重构的时间，比很多人想象的要紧。