archive node
Security
Security
Keywords
SSH
Linux users
Input Safety
Make Certificate
Cryptography
Trusted Computation
SailPoint
- 类型: 身份治理和管理(IGA)平台
- 用途: 企业级身份生命周期管理、访问控制、合规审计
- 场景: 管理员工账号、权限审批、访问审查、合规报告
- 层级: 企业管理层面的完整解决方案
Kerberos
- 类型: 网络认证协议
- 用途: 单点登录(SSO)，基于票据的认证
- 特点: 使用对称密钥加密，需要可信的第三方(KDC)
- 场景: 企业内网环境(如Windows Active Directory)
- 优势: 无需在网络中传输密码
OAuth 2.0
- 类型: 授权框架
- 用途: 第三方应用授权访问用户资源
- 核心: 授权而非认证
- 场景: “使用Google账号登录”、API访问授权
- 流程: 颁发访问令牌(access token)给第三方应用
OpenID Connect (OIDC)
- 类型: 身份认证层(基于OAuth 2.0)
- 用途: 用户身份验证和单点登录
- 核心: 认证 + 授权
- 场景: 现代Web/移动应用的身份验证
- 扩展: 在OAuth 2.0基础上添加ID令牌(ID token)
Microsoft 域服务
Active Directory Domain Services (AD DS)
- 类型: 目录服务 / 域控制器
- 用途: 集中管理企业网络中的用户、计算机、组和策略
- 核心组件:
- 域控制器 (Domain Controller, DC): 负责认证和授权请求的服务器
- LDAP: 目录信息的查询协议
- Kerberos: AD 默认使用的认证协议
- DNS: AD 依赖 DNS 进行服务发现
- Group Policy (GPO): 集中配置和管理客户端策略
- 场景: 企业内网，Windows 机器加域、统一账号登录
Azure Active Directory / Microsoft Entra ID
- 类型: 云端身份与访问管理服务(IDaaS)
- 用途: 云应用的身份认证、SSO、MFA、条件访问
- 与 AD DS 的区别:
- AD DS 面向内网/本地，基于 Kerberos/LDAP
- Entra ID 面向云端/互联网，基于 OAuth 2.0/OIDC/SAML
- 混合场景: 通过 Azure AD Connect 将本地 AD DS 同步到云端 Entra ID
- 场景: Microsoft 365、Azure 资源访问、第三方 SaaS 应用 SSO
AD DS vs Entra ID 对比
| 特性 | AD DS (本地) | Microsoft Entra ID (云端) |
|---|---|---|
| 部署位置 | 本地服务器 | 云端 (Azure) |
| 认证协议 | Kerberos / LDAP | OAuth 2.0 / OIDC / SAML |
| 管理对象 | 域内机器、用户、GPO | 云用户、应用、设备 |
| 访问场景 | 企业内网资源 | 云应用、SaaS、API |
| 加入方式 | 域加入 (Domain Join) | Azure AD Join / 混合加入 |
| 典型用途 | 传统企业 IT 基础设施 | 现代云优先组织 |
关键区别
| 技术 | 主要功能 | 使用场景 |
|---|---|---|
| AD DS | 本地目录服务/域管理 | 企业内网统一账号与策略 |
| Entra ID | 云端身份与访问管理 | 云应用 SSO、MFA、条件访问 |
| SailPoint | 身份治理 | 企业身份生命周期管理平台 |
| Kerberos | 内网认证协议 | 企业内部 SSO (AD 内置) |
| OAuth 2.0 | 授权框架 | 第三方应用授权 |
| OpenID Connect | 认证+授权 | 现代 Web/移动应用身份验证 |
简单类比:
- AD DS 是公司大楼的门禁系统（内网）
- Entra ID 是云端的数字护照系统
- Kerberos 是大楼内部的通行票据机制
- SailPoint 是管理谁有哪些权限的 HR 系统
- OAuth 2.0 是授权书（允许第三方代为操作）
- OpenID Connect 是附带身份信息的授权书