4. 企业身份体系现状与迁移评估
在决定把 Passkey 与 FIDO2 引入企业之前，必须先回答一个比“技术能不能用”更关键的问题：现有身份体系能不能承接无密码登录。多数企业并不是从零开始，而是已经运行着 LDAP/AD、SSO、MFA、密码库等多层设施。这些设施既是迁移的基础，也是约束来源。本节的目标是建立一套可操作的现状盘点与成熟度评估方法，让迁移决策有据可依。
一、四类现有设施的角色与约束
企业身份体系通常由四类设施构成，它们在无密码迁移中扮演不同角色，也带来不同约束。
LDAP/AD 目录是身份主数据源，存储用户、组、属性与凭据。它的约束在于：传统目录以密码哈希为凭据核心，Passkey 的公钥凭据需要新的存储位置。AD 可通过 Windows Hello for Business 或第三方 IdP 桥接，OpenLDAP 则通常需要扩展 schema 或引入外部凭据库。迁移时必须确认目录能否保存 FIDO2 凭据 ID、公钥、签名计数器与 AAGUID，否则 Passkey 注册后无处落库。
SSO 平台（如 Entra ID、Okta、Keycloak、CAS）是认证入口。它的约束在于协议支持：SAML 与 OIDC 本身不直接承载 WebAuthn，需要 IdP 在登录页实现 WebAuthn 流程，再把结果映射为断言。若 SSO 只支持密码表单，则 Passkey 只能作为前置认证，无法真正替代密码。
MFA 设施（TOTP、短信、推送、硬件令牌）是当前最强的安全层。它的约束在于定位冲突：Passkey 本身是抗钓鱼的多因素凭据，若继续叠加 TOTP，会降低体验且不增加实质安全。迁移评估要判断哪些场景可以“Passkey 替代 MFA”，哪些场景需要“Passkey + 设备绑定”组合。
密码库（如自研密码管理、浏览器保存、PAM 系统）是迁移的阻力与清理对象。它的约束在于：密码库往往与业务系统深度耦合，直接删除会中断服务。合理路径是让密码库进入只读或降级状态，新注册走 Passkey，存量逐步迁移。
二、集成约束的评估维度
把上述设施放到同一张评估表上，可以从五个维度打分：协议支持度、凭据存储能力、用户覆盖范围、运维可控性、回退可行性。每个维度按 0～3 分评估，0 表示完全不具备，3 表示原生支持。
| 设施 | 协议支持 | 凭据存储 | 用户覆盖 | 运维可控 | 回退可行 |
|---|---|---|---|---|---|
| AD / Entra ID | 3（OIDC/SAML） | 3（可存 FIDO2） | 3 | 3 | 3 |
| OpenLDAP | 1（需网关） | 1（需扩展） | 2 | 2 | 2 |
| Keycloak SSO | 3（WebAuthn 内置） | 3 | 2 | 3 | 3 |
| 自研 SSO | 1（仅密码） | 0 | 3 | 1 | 1 |
| TOTP MFA | 2（可共存） | — | 3 | 3 | 3 |
| 自研密码库 | 0 | 0 | 3 | 1 | 1 |
示例评分仅用于说明方法：总分低于 8 分的设施应列为“高风险改造点”，需要在迁移前完成接口或存储改造；总分 8～11 分可纳入首批试点；12 分以上可直接作为 Passkey 承载平台。实际评分应由身份团队、安全团队与业务系统负责人共同确认，不能由单一角色拍板。
三、成熟度评估方法
成熟度评估不是给企业贴标签，而是定位“下一步该做什么”。建议采用五级模型，每级有明确的进入条件与退出条件。
- L1 密码主导：所有系统依赖密码，MFA 覆盖率低于 30%，无统一 SSO。进入条件：完成资产盘点。退出条件：至少一个系统支持 OIDC/SAML。
- L2 集中认证：SSO 覆盖核心系统，MFA 覆盖率 30%～70%，目录可扩展。退出条件：IdP 支持 WebAuthn 或可外挂 WebAuthn 服务。
- L3 试点无密码：选定 1～2 个系统试点 Passkey，用户可注册并使用，密码仍保留为回退。退出条件：试点系统 Passkey 登录成功率稳定在 95% 以上。
- L4 默认无密码：新用户默认注册 Passkey，密码仅用于遗留系统，MFA 逐步被 Passkey 替代。退出条件：80% 活跃用户拥有至少一个 Passkey。
- L5 无密码优先：密码库进入只读，所有新系统必须支持 FIDO2，异常回退有审计与限时策略。
评估时对每个业务域单独打分，再取加权平均。权重建议按用户数、安全等级、迁移成本分配，例如核心财务系统权重 0.3，普通办公系统权重 0.1。这样得到的成熟度分数能反映真实短板，而不是被大而全的平均值掩盖。
四、迁移约束的优先级排序
盘点完成后，约束不会自动消失，需要排序。排序依据是“阻断性”与“影响面”：阻断性指该约束不解决就无法继续迁移；影响面指它影响多少用户或系统。两者都高的约束必须最先处理。
典型的高优先级约束包括：目录无法存储 FIDO2 凭据、IdP 不支持 WebAuthn、关键业务系统只接受密码表单。中优先级包括：MFA 策略与 Passkey 冲突、密码库无法降级。低优先级包括：个别边缘系统、非活跃用户、历史遗留账号。
五、评估输出与决策依据
一次完整的迁移评估应输出三份可直接使用的成果：设施清单与评分表、成熟度分级结论、约束优先级列表。设施清单记录每个系统的协议、存储、负责人、改造窗口；成熟度结论给出当前级别与目标级别；约束列表按优先级排列，并标注责任人与预计完成时间。
基于这些输出，可以形成迁移路线：先改造 IdP 与目录，使其具备 WebAuthn 承载能力；再选择 1～2 个低风险系统试点；试点稳定后，把 Passkey 注册纳入新用户入职流程；最后逐步降低密码与 MFA 的使用比例。每一步都应有明确的进入条件与回退方案，避免迁移过程中出现认证中断。
把这张图与前面的评分表结合使用，就能把“现状”转化为“可执行的迁移计划”。评估不是一次性的，建议每季度复评一次，因为目录能力、IdP 版本、业务系统接口都会变化。只有持续评估，才能让无密码迁移从试点走向默认，最终实现企业身份体系的安全与体验双赢。