导语
结论先行：79号文要求2027年底完成信创替代，节点距今约15个月。技术视角下，央国企信创替代的真正难点是把分散在二三级公司的认证体系收敛为统一认证执行层：总部IAM已建成统一身份源，而终端加域、网络准入、应用认证仍各自挂在本地AD上。本文从79号文的替换要求出发，梳理三档替换、时间节点、身份基础设施定位与落地三步走，供技术负责人与决策层对照排期。
正文
一、79号文督导机制与三档替换节奏解读
1.1 三档替换节奏：办公类、经营类、生产类的差异化要求
据蓝鲸财经、环球网等媒体对文件的报道转述，不同系统采取差异化替换节奏，业界概括为三档替换：
| 档位 | 覆盖系统 |
|---|---|
| 全面替换 | OA、门户、邮箱、纪检/党群、档案、经营管理等办公类系统 |
| 应替就替 | 战略决策、ERP、风控管理、CRM等经营管理类系统 |
| 能替就替 | 生产制造、研发系统等与工业生产耦合较深的系统 |
分档的含义是：替换不是一刀切。办公类先行，经营管理类跟进，生产类视耦合程度稳妥推进，总体目标指向2027年底，各档节奏可留有差异空间。
1.2 时间表：从2022年报送方案到2027年100%替代
| 时间节点 | 政策要求（据披露文件转述） |
|---|---|
| 2022年11月底前 | 各央企报送安可替代总体方案 |
| 2023年1月起 | 每季度末向国资委报送替换进度 |
| 过渡期间 | 按三档替换分系统推进 |
| 2027年底前 | 所有央企信息化系统100%完成信创改造 |
1.3 AD定位分析：统一认证执行层底座
三档替换列举的是OA、ERP、生产制造等业务系统，AD（域控/认证服务）不在任何一档的具体名单里。从央国企视角看，AD属于认证执行层------它的国产化对象不是总部的身份数据（总部统一身份源已由IAM建成），而是二三级实体经营公司的认证执行。这些公司的终端加域、网络准入、本地应用认证由本地AD承载，各家AD各自为政，集团层面没有统一认证。
办公类系统要在二三级公司全面替换，承载认证的本地AD如果还留在旧体系里，就会出现应用换了、认证还挂旧AD的局面，替换无法闭环。经营管理类系统（应替就替档）下放到二三级公司时同样依赖本地认证做权限控制。因此可以定性：AD的国产化本质上是统一认证的国产化------把二三级公司分散在各自AD上的终端加域、网络准入、应用认证，统一到国产认证底座上，是办公类系统全面替换能否真正落地的前置条件。
二、身份基础设施为什么是信创替代的核心组件
将身份基础设施定位为信创替代中的核心组件，是从落地逻辑出发的技术判断。很多央企排信创计划时把身份系统当配套项------先换终端、换操作系统、换办公软件，认证放后面再说。这个顺序在实操中会出问题，因为国产AD不是孤立系统，它是二三级公司终端、网络、应用三层认证能否真正统一的交汇点：
-
终端层：麒麟、统信等信创终端要加入哪个域？继续加入即将退出的旧AD，等于在有明确退出时间表的认证体系上继续加深依赖；
-
应用层：二三级公司新建的国产应用直接对接哪个认证体系？还按旧AD接口规范做集成，后续迁移要返工；
-
网络层：802.1X网络准入、VPN接入、零信任网关，都依赖认证服务做身份校验。
金融与央国企的路径不同：金融通常是总行/分行统一建设、统一身份治理；央国企是总部IAM已完成统一身份源，但统一认证缺失------二三级公司各自管着本地认证，国产AD解决的是把这些分散认证统一起来的问题，不能以金融口径套用。
IAM与国产AD是互补关系，不是重复建设：IAM管统一身份源（人是谁、账号在哪、组织关系），总部已建成；国产AD管统一认证执行（终端能不能加域、应用能不能登录、网络能不能准入），因业务在二三级公司而缺失。IAM给身份数据，国产AD给认证执行，合起来才是完整的身份体系。
某多业态央企在方案中把身份基础设施定位为2027年底信创单轨目标下的核心组件，逻辑很直接：二三级公司的终端换了、应用换了，但认证还挂在各自的旧AD上，就谈不上单轨，只是换了一批跑在旧认证轨道上的车。
实践中常见的偏差是：集团IAM实现了统一账号生命周期管理，但二三级公司的认证执行还没做，没有下沉到终端登录、网络准入和本地应用认证这一层，认证在末端仍然碎片化。
身份基础设施重构是组织工程而不仅是IT项目：安全管认证强度和权限收敛，运维管域控可用性和账号同步，网络管准入和边界，应用管集成改造，四个部门各有各的KPI。通常需要C-Level牵头定归口，否则排期会让给季度报表的短期压力。
三、国产AD与79号文执行的闭环设计
79号文的执行终点是信创替代目标落地，但二三级公司的终端、网络、应用三条线替代不是各自独立完成的------它们共同依赖统一认证底座。终端要加域才能纳管，应用要接入认证才能受控，网络要做准入才能防违规接入，这些达标项几乎都落在国产AD上。
| 79号文推进中的达标项 | 依赖国产AD的统一认证能力 |
|---|---|
| 信创终端规模化纳管 | 国产域控、终端加域、登录认证统一 |
| 国产应用接入认证 | 统一认证接口、账号同步 |
| 网络准入与边界管控 | 802.1X身份校验、VPN认证、零信任对接 |
| 审计与合规上报 | 统一认证日志、操作可追溯 |
从报送与检查视角看，各阶段报送的替换进度如果只是终端数、应用数的简单累加，而这些终端和应用没有统一的认证体系串联，实际运行中仍然碎片化------报表上达标了，运维中还是多套AD并行。身份基础设施重构的作用，是把分散在各条线的信创投入拧成一个闭环：终端有域可加、应用有认证可接、网络有身份可校验，替代成果才能在报送中说清、在内部检查中经得起核对。
3.1 三步走：定归口、分型施策、立项目标
基于先想清楚规划、再谈选型的思路，结合二三级公司现状，落地分三步：
第一步：定归口，摆正三层关系。 身份领域存在三层混淆------身份域管AD、终端管理、IAM。决策时划清边界：总部IAM已管统一身份源，本次在二三级公司建设国产AD补齐统一认证执行层，终端管理是叠加在国产AD之上的能力。不要让选型反过来定义架构。验收动作：归口发文明确、三层边界写进方案。
**第二步：分型施策，不搞一刀切。**二三级公司现状差异大，按现有AD绑定程度分四类：
| 类型 | 现状 | 路径 |
|---|---|---|
| A类：有AD、深绑定 | 工业软件依赖Kerberos/GPO | 办公域先建国产认证域，生产域保留并行窗口 |
| B类：有AD、浅绑定 | AD主要管终端和LDAP认证 | 同步AD数据，终端灰度迁移到统一认证 |
| C类：无AD、需SSO | 本地账号或独立SSO | 直接新建国产认证域+SSO+MFA |
| D类：无AD、特殊网络 | 涉密网、VDI、多节点 | 标准模板+UKey+证书+多活，涉密环境需同步过密评 |
判断自己属于哪一类，看一个问题：二三级公司现有的工业软件和研发系统，是不是强依赖Kerberos认证或组策略下发。是，归A类；只是用AD管终端登录和LDAP认证，归B类；没有域、账号散在各系统，归C类；网络环境特殊，归D类。验收动作：分型清单完成、试点单位国产认证域上线。
第三步：立项目标要写清单轨和连续性。 项目目标聚焦两条可验收的主线：单轨信创是目标（不是长期双轨并存，而是有时间表的过渡），业务连续性是底线（生产类系统并行窗口提前评估，不能为了赶报表停业务）。建议写入可量化验收条件：2027年底前旧AD账号清零或转为只读保留、国产认证域纳管终端覆盖率达到集团规划目标、二三级公司新上应用100%对接国产统一认证。验收动作：旧AD只读、覆盖率达标、新应用全对接。
3.2 身份侧里程碑建议：季度节奏与报送价值
以下为作者建议的推进节奏，非文件要求，各集团可按自身规模调整：
| 时间 | 身份侧里程碑 | 对应报送/检查价值 |
|---|---|---|
| 2026年Q4 | 完成二三级公司AD绑定摸排（A/B/C/D分型）、完成归口发文、启动国产认证域选型 | 摸排结果纳入年度方案报备 |
| 2027年Q1---Q2 | 试点单位（建议B类浅绑定公司）国产认证域上线、终端灰度加域 | 纳管终端数、用户数可填入季度报送 |
| 2027年Q3 | 经营管理类应用批量对接国产统一认证、A类生产域并行运行评估 | 对接应用数可量化上报；并行评估报告备纪检检查 |
| 2027年Q4 | 旧AD转为只读/缩容、完成全量纳管数据核对 | 替代率数据在报表与现场可核对一致 |
四、结论与下一步建议
79号文给出的时间表，本质上是把信创替代从技术选择题变成排期工程。对央国企决策层来说，今年要做的不是判断要不要做，而是回答三个问题：归口部门是谁、二三级公司怎么分型、2027年单轨目标对应的中间节点怎么拆。
**央企的本质是：统一身份源已有（IAM），统一认证缺失（业务在二三级公司），国产AD就是把统一认证补齐的核心。**二三级公司的终端、应用、网络三层国产化能不能真正单轨落地，取决于统一认证底座什么时候切过去。越早启动越主动------越晚动，在旧AD上新增的集成和应用就越多，后续迁移的协调成本也越大。
79号文剩下的15个月里，身份基础设施的排序不是要不要做，而是先定归口、再分型施策、年底前把二三级公司的统一认证底座立起来。