微软AD逐步退出后，企业原有的身份管理经验该如何延续？

导语

在许多企业的 IT 系统里，微软 AD 已经运行了很多年。

它并不显眼。员工每天登录电脑、打开邮箱、连接办公网络，很少会想到后台还有一套身份服务在维持这些流程。直到国产化改造提上日程，原本安静运行的系统，才重新进入人们的视野。

有人首先想到组策略：壁纸怎么设置，浏览器配置怎么下发，锁屏规则怎么保留。这些问题重要，但它们并不是全部。

更值得关注的是，当一套旧系统准备退出时，那些长期依靠它运转的身份关系，应该如何得到延续。

一、被看见的是配置，看不见的是连接

组策略是管理员熟悉的工具。

一次统一配置，可以让不同电脑采用相同的桌面设置、密码规则或浏览器选项。员工能够感受到这些变化。但一个企业的日常运转，还有许多不容易被注意到的环节。

员工登录电脑，需要验证身份。邮箱需要知道访问者是谁。VPN 需要确认用户是否有权限连接。OA 和文件系统，也可能依赖同一套目录或认证服务。

这些关系共同构成了企业身份基础设施的一部分。

如果把 AD 环境中的能力加以归纳，可以看到六个方面：

组策略处于其中的终端管理部分。它重要，却不能代表其他所有职责。

二、新旧系统交替，不能只考虑如何替换

一套信息系统运行多年之后，往往已经与许多业务形成联系。这种联系有时写在技术文档里。有时，则沉淀在长期形成的运维习惯中。

当国产操作系统逐步进入企业，新的终端管理需求开始出现。与此同时，原有 Windows 设备可能仍然需要继续服务业务。意味着，系统调整必须面对现实中的过渡阶段。

一种可以考虑的方式，是让国产身份域控与 AD 并行存在。Windows 终端由原有微软 AD 管理，信创终端由国产域管管理。通过身份数据同步及相关管理机制，两种环境可以在过渡过程中维持账号信息的一致性。

不过，员工体验是否能够保持稳定，需要经过实际业务测试，不能仅凭架构设计作出承诺。好的系统交接，不是让旧系统突然消失，而是让每一项仍被使用的能力都有清楚的去向。

三、一次需求梳理，重新认识了老系统

某航天类机构在开展国产化改造时，最初注意的是浏览器信任站点、锁屏壁纸等终端配置。在当时看来，这些是比较明确的迁移任务。但随着调研继续，项目团队发现，邮箱、OA、VPN 和 NAS 也与原有 AD 身份服务相关。新增的银河麒麟终端，则提出了新的统一登录认证需求。

原本围绕组策略展开的项目，不得不重新审视身份系统承担的职责。该项目涉及约 500 名用户，实施工作量约 20 人天。项目规模和技术条件并不能直接复制，但这种发现问题的过程具有参考价值。

人们在替换一套熟悉的系统时，往往先关注它最直观的功能。真正开展梳理之后，才会看到它与其他系统之间的联系。

四、技术经验应该如何传递给下一套系统？

系统更替不仅涉及新软件部署，还涉及原有经验的整理。

• 哪些账号需要继续保留？

• 哪些业务依赖原有认证方式？

• 哪些终端策略必须重新实现？

• 哪些网络服务和证书关系需要持续维护？

这些问题都需要留下明确记录。

对管理团队来说，完整的能力清单比笼统的产品描述更有价值；对运维人员来说，可执行的测试步骤与回退流程，比抽象的架构目标更容易转化为工作依据；对员工来说，重要的则是日常办公流程尽可能保持清晰、稳定。

这几种不同视角，共同决定了系统交接的实际质量。

五、从系统更替走向长期身份治理

当企业逐步完成目录、认证、终端、应用和网络相关能力的调整后，新的身份基础设施还需要进入日常管理。

账号新增与停用、权限调整、终端配置、安全审计，这些工作不会因为某次迁移项目完成而停止。因此，国产化建设的价值不应只从“是否替换了一套旧系统”来理解。它也提供了重新梳理身份管理责任、业务依赖和运维机制的机会。原有 AD 是否能够退出，需要根据实际迁移范围、验证结果及项目要求判断。

但无论采用何种技术架构，组织对身份信息和访问权限进行持续治理的责任都不会改变。

结语：改变的是系统，延续的是秩序

企业 IT 的发展，常常伴随着一代代系统的更新。一套旧系统的退出，不只是功能的替换，更是长期形成的身份管理秩序向新技术环境的延续。

在这一过程中，宁盾身份域管等国产身份管理方案提供了新的技术选择，使企业能够围绕跨操作系统统一身份认证、终端管理和应用接入等需求，重新规划原有身份服务的承接方式。从组策略迁移出发，最终看到的是整个身份体系的延续。

真正值得留下的，不是某种特定的软件形态，而是清楚的身份关系、可靠的管理流程，以及长期积累的运维经验。技术可以交替，业务秩序需要延续。