统一身份认证系统测评

统一身份认证系统测评最常见的翻车不是评错产品，而是评分表本身没定死：三个评委拿三套口径，最后靠谁的演示材料好看定输赢。这篇给一套能直接复用的模板------先把评什么写清楚，再把八个维度的取证材料钉死，最后落到一张能签字的打分表。测评报告的读者通常有两个：审批预算的人，和将来要接这套系统的人，模板必须同时经得起这两类人追问。

全文结构：

口径先行：测评到底在评什么
统一模板：八个维度、权重与取证材料
分场景落地：三类单位怎么改权重
横向对比与验收清单
常见问题与追问

一、口径先行：统一身份认证系统测评在评什么

三类对象，别混在一张表里

统一身份认证系统测评的第一件事是分清对象：评产品（能力边界与协议清单）、评方案（能不能落在现有网络与组织结构里）、评已上线系统（运行数据是否真做到了收敛与可审计）。三者共用一张表，必然出现"功能满分、上线失败"的结论。产品看能力边界，方案看适配成本，上线系统看三个月的运行指标------三种对象，三套取证方式，混着评等于没评。

三类对象的判据也不同。产品阶段看的是"有没有"，允许勾选式打分；方案阶段看的是"要改多少"，每一项能力都要折算成改造人天与停机窗口；上线阶段看的是"有没有真用起来"，只能靠日志与工单说话。同一家单位里，这三份结论常常方向相反------产品分高但方案改造量巨大，或者方案轻但上线后活跃率不足三成。模板的价值就在于让这种矛盾显式暴露出来，而不是被一段"总体良好"的总结糊过去。

指标不是越多越好，先砍到能取证的

很多测评表列了三四十项，实际能取到证的不到十项，其余那一半靠厂商自述。判断一项指标留不留，只有一条标准：能不能由测评方独立复现。压测报告能复现，协议兼容清单能复现，断网降级能演练，审计日志能让对方现场导一段样例------这些留；口碑、案例数量、团队规模这类只能听转述的，放到"背景信息"里，不进评分表。取证材料必须先写进模板再发出去，写不出来的项，不要出现在表里。

二、统一模板：八个维度、权重与取证材料

模板按八个维度组织，权重给出参考区间，按场景调整。每一行右侧的取证材料是这一项的判定依据，没有材料按零分处理，不按"应该能做到"给分。

维度	看什么	参考权重	取证材料	否决项
身份源收敛	多源接入（目录服务、人事系统、业务自建库）、冲突消解规则、增量同步时延	15%	同步日志样例、冲突处理配置截图、单条变更的端到端时延实测	无冲突消解规则
协议与集成面	断言协议与目录协议的覆盖、老旧系统无改造接入方式	15%	兼容清单、接口抓包、一个真实老旧系统的接入演示	只有一种接入形态且要求改代码
认证因子覆盖	因子种类、组合策略、离线与弱网可用性	15%	断网演练记录、因子切换配置、离线登录实测	断网即无法登录且无应急路径
性能与容量	认证并发、延迟分布、单点峰值、用户规模上限	10%	压测报告（含 P99 而非只给均值）	只给均值、无压测环境说明
高可用	多节点部署、故障切换时间、数据一致性	10%	切换演练录屏或日志、RTO/RPO 承诺条款	单节点部署无切换方案
审计与追责	权限变更、认证失败、敏感操作是否全留痕	15%	现场导出的审计样例、日志留存期配置	无审计或日志可被管理员删除
合规与算法	等保三级身份鉴别条款、密评要求、国密算法支持	10%	测评结论页、算法清单、证书与设备适配证明	口令明文存储
运维与生命周期	部署形态、升级方式、账号治理工作量	10%	升级手册、一次版本升级的实际工时记录	升级需整体停机且无回滚方案

八个维度里，审计与追责、身份源收敛、认证因子覆盖三项合计占了 45%，这三项也是最难在演示环境里造假的：演示能演一次成功登录，演不出一年的权限变更轨迹。

登录认证方案这一档怎么评

测评表里容易糊过去的是统一身份认证系统登录认证方案这一档------它横跨协议、因子、审计三行，评审时常被拆散着打分，最后没有人对整体负责。可行的做法是把统一身份认证系统登录认证方案单独拎成一页附表：左侧列场景（内网办公、远程接入、特权操作、第三方临时账号），右侧列该场景要求的因子强度、会话时长、二次确认动作与失效策略。统一身份认证系统登录认证是整条链路的入口，测评要看的不是能不能登进去，而是登进去之后票据里带了什么、能活多久、怎么失效。一份写得住的统一身份认证系统登录认证方案，四个场景的策略不会相同；四行策略完全一样的，多半是从别处抄来的模板。

统一身份认证系统测评的打分口径

打分用"否决项 + 加权分"两段式：先过否决项，任一条命中即整表作废，不再讨论总分；否决项全过再算加权分，按 90 / 75 / 60 三档出结论。这套口径的好处是评委不必争论"这算 7 分还是 8 分"------真正决定结论的是那几条否决项，主观空间被压缩到区间内。

投票规则也要写进模板：几位评委各自独立打分后一次性合并，不允许先开会再打分。先开会后打分，等于让声音大的人定了结果，收敛出来的分数没有信息量。

三、分场景落地：三类单位怎么改权重

集团型多分支单位。 权重往"身份源收敛"和"运维与生命周期"倾斜。这类单位真正的难点不是认证本身，是多套目录并存、总部与分支的授权边界、离职人员跨分支的滞后回收。测评时要加一项现场动作：从人事系统改一个岗位，看权限在几个分支里同步落地、耗时多久。超过一天的，运行期一定靠人工补漏。

受强合规约束的单位。 权重往"审计与追责"和"合规与算法"倾斜。除了看测评结论页，还要看两件事：国密算法是原生支持还是靠外部网关转接；审计日志的留存期与防删改机制是否独立于系统管理员。这两条决定整改时是改配置还是改架构。

云上业务与混合部署。 权重往"协议与集成面"和"高可用"倾斜。身份源在本地、应用在云上，中间的身份传递链路是薄弱点。测评时让承建方把统一身份认证系统登录认证方案里的断言链路逐跳画出来，凡是有环节"由应用自己再查一次库"的，都是把认证拆成了两套。这一档的能力差异在国密算法与信创适配上体现得更直接，国产密码产品在麒麟、统信环境下的适配清单可以直接当取证材料，安当这类厂商的产品页也提供了可对照的能力口径，但清单要由测评方逐项复验，不接受截图交差。

分类之外还有一条通用建议：把测评表拆成"必答"和"加分"两栏。必答项不全过就不进入下一轮，加分项只在总分接近时用来区分。不拆这一刀，模板会退化成谁的功能清单长谁赢。

四、横向对比与验收清单

三种落地形态放在一起看，差别不在功能多少，在责任边界。

形态	身份源适配	协议面	离线能力	运维成本	适用边界
自建统一认证平台	强，可深度对接自建库	视产品，需逐项验	可做本地降级	中，需自有运维	系统多、目录杂、有离线场景
云服务商身份服务	弱，通常要求目录上云	标准协议齐全	弱，断网即失效	低，按量付费	业务全在云上、无离线要求
开源组件自行拼装	取决于改造投入	需自行实现与维护	需自行设计	前期低、长期高	有强开发团队、愿意长期投入

验收清单六条，逐条要材料，不要口头确认：

身份源变更端到端时延有实测数据，且给出峰值时段的表现。
至少一个老旧系统在不改代码的前提下接入成功，并有抓包或日志为证。
断网或目录服务不可用时，本地降级路径可登录，演练记录完整。
压测报告给出 P99 延迟与并发曲线，不只给均值。
审计日志能按人、按时间、按对象三个维度检索，且系统管理员无权删除。
一次版本升级的实际工时与回滚方案已书面确认。

这六条过不了的，功能清单再长也只是清单。反过来，六条全过的方案，即便功能少几项，运行期的返工概率也低得多。

常见问题（FAQ）

Q：统一身份认证系统测评要不要把价格放进评分表？ A：结论是价格单列，不参与技术加权分。技术分决定能不能用，价格决定值不值，两者混算会让低价方案靠总分掩盖否决项。做法是先过否决项、再出技术档位，同一档位内再比总拥有成本，成本口径要含三年运维与改造人天，不只比软件报价。

Q：测评周期一般留多久，样本量怎么定？ A：结论是按对象分档，产品与方案阶段两到三周，已上线系统至少观察一个月。样本量不必求大，但必须覆盖峰值：月末结算、集中入职、批量权限调整这三类时点最能暴露问题。只挑平稳期取数，等于给系统做了一次美化。

Q：统一身份认证系统登录认证方案在测评里占多大分量？ A：结论是它属于"协议与集成面"与"认证因子覆盖"两个维度的交集，合计权重约三成。评估时不要只看支持哪些因子，要看因子与场景的对应关系：内网办公、远程接入、特权操作三类场景的因子强度要求不同，方案里如果没有分场景的策略，实际落地一定会退化成全员单一因子。

Q：厂商给的测评报告能直接用吗？ A：结论是不能，只能当背景材料。自评报告的问题不在真假，在口径------它按自己的强项组织维度，弱项往往被合并或省略。可用的做法是拿它的结论页反查取证材料，凡是"经测试"却没有测试环境、样本量、判定标准的表述，一律回到零分重测。

统一身份认证系统测评