0. 架构

1. 背景

最近公司内网的各种系统部署得越来越多，每个系统都有自己的认证方式和账号体系，这导致大家在每个地方都要去注册一个账号，并且不利于公司统一管理密码安全策略，例如密码到期策略、密码复杂度策略以及强制二次验证等。

以及对于一部分短平快的内网应用来说，我们并没有时间去为它开发一套用户体系，这个时候还是希望能有一个统一的前端反向代理来处理用户认证这个流程。

为此，我就去寻找了一些解决方案，并且为了解决开源系统并不能对接外部用户系统的问题，开发了一个 Node.JS Package（Virtual-LDAP）来提供 LDAP 能力。

2. 问题

虽然总的需求是一个很简单的功能，但是这其中还是有很多细节的问题需要考虑。

认证方式

对于有一些开源系统，它本身是支持 OAuth 来进行用户认证的，这个时候只需要去选择一个支持 OAuth 的用户管理系统就可以了，甚至基于开源库自己去开发一个也并不困难。但是对于某一些开源系统来说，它并没有提供 OAuth 认证接入的支持，只提供了 LDAP 接入。

例如最近我们引入了 Metabase 作为面向运营的快速 BI 分析工具，但是它除了可以接入 Google 账号作为认证方式，就只能接受 LDAP 作为认证方式了。这个时候就得去寻找一个认证系统，同时能支持 OAuth 以及 LDAP。

用户体系

引入用户管理系统之后，还有另外一个问题需要考虑，就是现在员工的用户体系需要去管理。对于一个小公司来说，目前并没有一个统一的工具去同时管理员工的各种信息以及状态。

但是目前公司已经引入钉钉作为公司的交流沟通工具，以及作为各种流程的审批处理系统，HR 也会在钉钉上去管理所有员工的状态，以及员工的组织架构。

因此，这个用户管理系统最好需要能支持同步钉钉中的用户体系，这样就不需要额外的人力去维护用户管理系统，以及在有员工状态变更的时候，能及时同步，避免出现授权外的访问。

数据同步

有了 OAuth，有了 LDAP，还有了钉钉这个数据源，因此就需要处理好各个 Provider 之间的数据同步问题，避免人工去维护各个系统里面的用户数据，做到以钉钉的数据为基础，用户管理系统提供能力，做到各个系统各个认证方式得到的用户数据都是一致的。

以及，对于 …

阅读全文 »