导语
金融信创国产AD重构的核心矛盾，不在"要不要做"，而在"怎么稳妥落地"。本文从技术角度拆解四条监管验收线、开源复刻与自研两条技术路线的供应链安全差异、金融机构三种终端分型，以及双轨过渡与废标项招标两个落地案例，为选型与路径规划提供参考。
正文
在金融行业信创替代清单上，终端换了、操作系统换了、办公软件换了，但有一样东西最容易被拖到最后------AD（域控/目录服务，相当于企业内部的"身份总台账"）。它不显眼，却拴着终端登录、应用认证、网络准入和权限控制。据公开报道转述，非政策明文，金融领域信创改造市场普遍预期在2027年底前后完成阶段性节点，国产AD重构的窗口正在收窄。
国产AD重构是信创替代清单上绕不开的一环，某银行的经历很典型：终端部门买了信创终端、用信创域管管终端，身份源却对接到AD上；开发部门自建单点登录（SSO）做应用统一认证，也对接到AD上。后来科技部要求信创替代AD、并指定另一个部门承担，结果几个部门互相扯皮------终端归终端部门、应用归开发部门、AD本身却没人认领，归口问题是推进中必须解决的组织执行问题，不是重构本身的原因。
一、监管验收线：国产AD重构必须达标的四条底线
|------------------------------------------------------------|------------------------------------------------------------------------------|
| 监管要求来源 | 对国产AD域意味着什么 |
| 等保2.0GB/T 22239-2019 （网络安全等级保护） | 旧AD的Kerberos（微软AD的认证协议）不满足国密/密码鉴别要求，认证能力无法升级到达标线。国产AD重构不是换个目录，而是把认证底座升级到合规线。 |
| 金融监管总局规章《商业银行信息科技风险管理指引》 《银行保险机构数据安全管理办法》 | 特权账号管控、账号全生命周期、岗位变动联动注销，这些需要统一的目录和认证体系承载，散在各套AD和应用里难以持续合规。 |
| 人民银行行业标准JR/T 0068-2020 《网上银行系统信息安全通用规范》 | 远程接入认证（如VPN）挂在AD上，重构后需目录侧统一管理，而非各业务线各自为政。 |
| 密评要求GM/T 0054-2018 （已上升为GB/T 39786-2021，国家对密码应用安全性的评估） | 旧AD的认证协议不满足密评的密码鉴别要求，国产AD必须原生支持国密算法，而非事后外挂。 |
从驱动与验收的区分看：国产AD重构的根本驱动是信创替代本身，AD作为身份基础设施必须国产化；监管要求不是驱动原因，而是重构后必须达标的验收底线。验收线主要来自四条：等保2.0、金融监管总局规章、人民银行行业标准、密评。四条线构成重构项目的验收约束集。
二、必答题逻辑：为什么AD重构无法回避
从架构依赖分析：AD是金融IT架构的底座，终端、应用、网络准入都挂在上面取身份。信创替代走到今天，终端和应用换了，但认证还挂在旧AD上，信创替代就没有真正闭环。
原因之一：AD是微软闭源商业组件，信创要求全栈自主可控，这是重构国产AD的根本驱动。重构后的国产AD还要能接住监管硬要求（国密鉴别、特权账号管控等），旧AD的Kerberos架构原生满足不了，外挂补丁过不了测评。
原因之二是时间和依赖。2027节点在前，而终端、应用、网络的替代都要跟着身份认证的迁移节奏走------AD不动，各线各自为战；拖到最后再做，已替换的系统还要回头改认证，成本翻倍。
上图把监管底线和国产AD重构必须接住的能力对应起来------多因素认证（密码之外再加一种验证方式）、访问控制、特权账号管控、国密鉴别、审计留痕。这些能力不是应用层补丁能拼出来的，而是验收时逐项核查的底线。
三、供应链安全：开源复刻路线与自研路线的取舍
从技术路线比较：信创的本意是自主可控和供应链安全，不是把一个外部依赖换成另一个。当前国产AD重构有两条技术路线：一条基于开源组件（如OpenLDAP、Samba）复刻微软AD协议；另一条走自研安全身份架构，不依赖开源Samba。选哪条路，决定了是真正把身份底座握在自己手里，还是只是把闭源依赖换成了开源依赖。
这个底线可以从三个层面看：
第一，代码出了问题没人兜底。核心代码掌握在开源社区手里，许可证可能有传染性，代码演进和补丁节奏都不由自己说了算------身份底座不能建在"别人什么时候想改就改"的地基上。
第二，开源项目随时可能停摆。一旦维护断档或核心团队流失，身份底座就悬在半空------金融系统要求长期可维护，这与开源社区治理模式存在根本矛盾。
第三，安全漏洞爆发时响应慢。开源组件漏洞频发，依赖链被投毒已是现实威胁。身份目录是全行认证的全局单点------一处沦陷，全行受影响。
对分管领导来说，这不是技术偏好问题，而是风险底线问题：身份基础设施是全局单点，供应链安全必须与功能同等对待。
选型时可以问三个问题：
**第一，这套东西是不是真正掌握在我们自己手里？**代码、演进方向是国产厂商自己说了算，还是建立在开源项目之上？
**第二，如果上游停止维护或爆发安全漏洞，谁来负责、多久能解决？**是厂商当天就能修，还是只能干等社区发补丁？
第三，过国家检查和监管验收（密评、等保、供应链审查）时，这套方案的材料拿不拿得出来、交代不交代得清楚？
回到必答题这个判断：国产AD重构不是"换成另一个外部依赖"，而是借信创窗口把身份底座做成真正自主可控的国产基础设施。用开源复刻顶着"国产"名义进入金融身份体系，风险没有消除反而新增------这不是正解。
四、终端分型：金融机构的三种信创处境
|-----|-------------------|-------------------------------------|------------|--------------------------------------------------------------------------------------------|
| 情形 | 现状 | 核心痛点 | 当前倾向 | 为什么值得重新想清楚 |
| 情形一 | 已采用操作系统厂商域管纳管信创终端 | 域单点（全局单点风险）；身份源和认证仍对接到AD，AD并未拆解 | 希望更换为第三方域管 | 系统域管把终端管起来了，但认证底座还挂在AD上，单点风险和AD依赖都没解决。换第三方域管的实质，是开始重构认证底座、与现有AD并轨运行、逐步将身份认证迁移到国产底座。 |
| 情形二 | 上了一部分信创终端，域管选型中 | 容易只看终端管理能力，忽略身份源和统一认证底座是否仍挂AD | 倾向操作系统厂商域管 | 域管只是终端侧管理工具，国产AD重构的终局还是要做。现在选的方案三年后国产AD重构时是否还要再换一次？选型时把"与AD的关系、后续AD退出路径"一起评估，避免走弯路。 |
| 情形三 | 上了一部分信创终端，希望一步到位 | 需要理清与现有AD、IAM（统一身份管理平台）的关系，规划双轨过渡节奏 | 直接用第三方域管 | 一步到位与国产AD重构和国产目录底座衔接，方向是对的。但要同步规划：现有AD何时退出、IAM与新域管如何分工、终端和应用迁移的先后顺序，避免"上了新域管、旧AD还在跑"的长期双轨。 |
不同金融机构推进信创终端的节奏不同，面对域管选型时的处境也不同。下面三种情形覆盖了金融行业目前最常见的阶段，读者可以对照自己的位置------无论从哪条路进来，最后都要回答同一个问题：AD这个底座谁来重构、怎么重构。
信创终端的域管选型只是入口，国产AD重构才是终局，情形一系统域管解决不了单点和AD依赖；情形二最需要在选型前想清楚，否则三年后还要再换一次；情形三方向正确，关键是把过渡节奏规划好。
五、落地案例：双轨过渡与废标项招标实践
以下两个案例是金融行业国产AD重构的具体路径建设实践。
5.1 案例一：某大型金融企业------双轨思路，先试点再扩容
该案例的技术路径：Windows体系保障业务连续性，信创体系独立建设满足政策要求。不强行把存量AD一刀切换掉，而是独立建设一套国产域管体系，先承接信创侧的终端和应用，再逐步平滑接管。
建设形态：国产域管采用双机主备部署，从现有AD按组织单元（OU）单向同步账号，先纳管麒麟、统信等信创终端做试点。网络侧沿用既有的准入认证，上层对接企业单点登录门户，用户体验上尽量无感。
采购路径：不是一上来就全面替换，而是小额预算起步，先做授权试点，验证生产环境稳定性后再正式采购，再规模化扩容。这种路径的好处是风险可控，每一步都有生产环境验证。
经验提炼：双轨并行降低业务风险、小额试点验证后再扩容、迁移前把证书链和多账号场景作为专项测试项。双轨过渡的整体路径如下图：
5.2 案例二：某金融交易所------把"真国产AD"做成废标项
现状：办公加生产环境数千用户，内外网物理隔离。硬件和办公应用已经开始国产化，但核心应用仍绑在微软AD上，多套AD各自为政，账号靠手工创建。在国产AD重构中，他们把真国产的要求做成了硬指标，包括：
-
源代码自主可控：域控产品源代码必须自主可控，不得使用开源Samba或微软AD组件；
-
商密检测通过：必须通过国家密码管理局的商用密码产品检测；
-
LDAP兼容但不依赖：遵循LDAP（目录访问协议）且兼容AD Schema扩展，但底层不能是开源LDAP（如OpenLDAP）改造；
-
VDI无感接管：存量VDI（云桌面）无需变更即可迁移到国产域；
-
双向认证与加密：mTLS双向认证、终端本地凭证国密加密、弱口令字典可导入；
高可用架构上，部署多套域控，内外网各2个数据中心，单中心双活加同城双中心，同时用国密非对称加密加密码机保护传输内容。
该案例反映的招标趋势：监管级金融客户在国产AD重构选型时，越来越倾向于把"真国产"从加分项提升为废标项，源代码自主可控、商密检测通过、不依赖开源组件------这些要求正在成为头部金融机构国产AD重构的招标基线。
六、推进路径：金融高层需要抓的三件事
金融科技部负责人推进国产AD重构可以从三件事入手：
6.1 盘点差距，明确牵头部门
**第一，盘点差距，明确牵头部门。**基于监管对照表，生成国产AD重构的需求清单。先定归口------国产AD重构涉及终端、应用、网络多个部门，没有明确的牵头部门就会出现前面提到的没人认领的局面。
6.2 确定重构路径
**第二，重构路径。**是双轨过渡还是平滑接管，取决于存量业务对AD的绑定深度。像案例一那样，Windows确保业务连续、信创轨独立建设是稳妥路径。关键是先小额试点、生产验证、再规模化扩容，不要一步到位。
6.3 定验收标准
**第三，验收标准。**国密鉴别和特权账号管控是密评和监管检查的高频扣分项，也是国产AD区别于AD复刻品的核心差异点。选型时要确认产品原生支持国密算法、有独立的特权账号管理模块，而不是事后加外挂。
七、结语：不是要不要做，而是怎么稳妥落地
金融信创的时间表在推进，监管检查的条款在细化。对金融机构来说，国产AD重构不是要不要做的问题，而是什么时候做、怎么做的问题。等保三级的多因素认证要求、监管总局的特权账号管控要求、密评的密码技术鉴别要求，这些条款不会因为银行还在用AD就网开一面。据公开报道转述，非政策明文，2027年底前后的信创节点是行业普遍预期------留给银行完成国产AD重构的时间，比很多人想象的要紧。