1. 零信任身份源接入与用户目录同步

为什么身份源接入是零信任的第一块基石

零信任的核心原则是"永不信任、始终验证"，而验证的前提是知道"谁在请求访问"。企业现有的用户身份通常沉淀在 LDAP 或 Active Directory 中，零信任控制平面本身并不存储这些用户，它需要通过标准协议把目录中的用户、组和属性同步过来，形成一份可供策略引擎实时查询的身份清单。没有这一步，后续的 MFA 策略、设备绑定、最小权限访问都无从谈起。

本案例的任务是：把一台企业 LDAP 目录接入零信任控制平面，完成用户、组、属性的同步映射，并验证同步后的身份数据能够被访问策略正确匹配。

接入前需要确认的三类信息

• 目录连接信息：LDAP 服务器地址、端口（389 明文 / 636 TLS）、Base DN、绑定账号 DN 与密码。绑定账号只需读取权限，不要用域管理员。
• 同步范围：指定要同步的 OU 或组，避免把服务账号、测试账号一并拉入。常用做法是只同步 ou=employees 下的用户。
• 属性映射：零信任平台需要至少一个唯一标识（如 uid 或 sAMAccountName）、显示名（cn）、邮箱（mail）、所属组（memberOf）。这些字段决定后续策略能否按人和组匹配。

同步链路与数据映射关系

下图展示了从 LDAP 目录到零信任控制平面的完整同步链路：绑定账号发起查询，目录返回条目，控制平面按映射规则转换字段，最终写入身份库并供策略引擎调用。

关键配置与同步映射

以下是一份可直接参考的 LDAP 连接器配置示例，字段名以常见零信任平台（如 Keycloak、Okta、Azure AD Connect 等）的通用语义为准，具体界面名称可能不同，但映射逻辑一致。

# LDAP 连接器配置示例
connection:
  url: "ldaps://ldap.corp.example.com:636"
  bind_dn: "cn=zt-reader,ou=svc,dc=corp,dc=example,dc=com"
  bind_password: "<从密钥管理服务注入>"
  base_dn: "ou=employees,dc=corp,dc=example,dc=com"
  user_filter: "(objectClass=person)"
  group_filter: "(objectClass=groupOfNames)"

sync:
  mode: "incremental"          # 首次 full，后续 incremental
  interval: "15m"
  attribute_mapping:
    user_id:      "uid"        # 唯一标识，不可为空
    display_name: "cn"
    email:        "mail"
    department:   "ou"
    groups:       "memberOf"   # 多值属性，映射为组列表

group_mapping:
  - ldap_group: "cn=dev-team,ou=groups,dc=corp,dc=example,dc=com"
    zt_group:   "engineering"
  - ldap_group: "cn=ops-team,ou=groups,dc=corp,dc=example,dc=com"
    zt_group:   "operations"

同步后的验证方法

同步完成后，不能只看"同步成功"的提示，必须验证身份数据是否真正可用于策略匹配。建议按以下顺序检查：

1. 数量核对：在零信任平台查询用户总数，与 LDAP 中 ou=employees 下 objectClass=person 的条目数对比。若不一致，检查 user_filter 是否过滤掉了部分账号。
2. 属性抽查：随机抽取 3~5 个用户，核对 uid、cn、mail、memberOf 是否与 LDAP 一致。重点关注多值属性 memberOf 是否完整同步。
3. 组关系验证：确认 dev-team 和 ops-team 的成员列表与 LDAP 一致，且已映射为 engineering 和 operations 两个零信任组。
4. 策略匹配测试：创建一条测试策略，条件为 user.groups contains "engineering"，用 dev-team 中的用户发起访问，确认策略能够命中。

常见问题与排查方向