企业单点登录方案选型：AD FS vs Azure AD 怎么选？

2026 年 7 月 14 日 标签：Windows Server 2022 · 单点登录 · 身份认证

三个系统三套密码，IT 成了密码重置专员

2026 年初，一家苏州 200 台规模的制造企业找到我们。他们的 IT 主管说了一句很真实的话——「我现在一半的工作时间在帮人重置密码」。

这家企业的现状很典型：

  • ERP 系统一套账户密码
  • OA 系统（致远 OA）一套账户密码
  • Office LTSC 2021 本地安装无统一身份认证
  • 员工每天上班要在三个系统各输一次密码，一天至少 3~5 次登录
  • IT 部门每月接到 30+ 个密码重置工单

更深层的问题是：没有统一身份源。员工离职时，IT 需要在三个系统分别禁用账号，漏掉一个就是安全隐患。公司的安全审计也指出——没有集中式身份管理，无法满足合规要求。

企业的诉求很明确：用一个账号登录所有系统，新员工入职只需开一个账号，离职一键禁用。

单点登录方案选型：三条路怎么选？

实现单点登录（SSO）有三条主流路线。选错了，后续改造成本翻倍。

对比维度 AD FS（本地） Azure AD（云端） 第三方 SSO（如 Keycloak）
部署位置 企业内网服务器 微软云 企业内网或云上
对接 AD 原生对接，深度集成 需 AD Connect 同步 需 LDAP 桥接或 AD 同步
内部系统支持 支持 SAML/WS-Fed，适合内网系统 支持 SAML/OAuth，适合 SaaS 支持标准协议，适配广泛
生命周期成本 一次性部署，无订阅费，需运维人力 按用户月费，长期成本高 开源免费，但运维门槛高
Internet 依赖 不依赖，内网即可 必须联网 不依赖
外部访问 需 WAP 服务器代理 原生支持 需反向代理配置
运维门槛 中，需 Windows Server 管理能力 低，微软托管 高，需 Java/Linux 运维
推荐场景 内网系统为主、无 Internet 依赖 → AD FS；纯 SaaS 办公、全员可联网 → Azure AD；预算有限、有 Linux 运维团队 → 第三方 SSO

案例中这家制造企业的特点很明确：内网系统为主、ERP 和 OA 都是本地部署、员工无 Internet 访问权限。AD FS 是最合适的选择——一次部署，无订阅费，与现有 AD 域环境无缝集成。

部署架构：两台 DC 实现高可用

我们推荐的架构方案如下：

  • DC01（192.168.10.254）：AD 域控 + DNS + AD FS（主）
  • DC02（192.168.10.253）：AD 域控 + DNS + AD FS（备）+ 全局编录
  • ERP（192.168.10.249）：ERP 应用服务器
  • OA（192.168.10.250）：OA 应用服务器
  • 域/域名：iehang.cn / AD FS 服务名 fs.iehang.cn

两台 DC 各部署 AD FS，配合 DNS 轮询或负载均衡实现高可用。一台故障时，另一台自动接管认证请求。

系统与软件版本
  • 服务器操作系统：Windows Server 2022 数据中心版
  • 客户端操作系统：Windows 10 LTSC 2021
  • Office 套件：Office LTSC 2021（本地部署）
  • 下载渠道：

核心配置：4 个关键步骤

AD + AD FS + DNS 的部署真正核心的配置只有 4 个，其他都是标准操作。

1. 部署 AD 域控并正确配置 DNS

所有配置的前提。在 DC01 上安装 Active Directory 域服务和 DNS 服务器角色，提升为域控制器（新建林，域名 iehang.cn）。最容易忽略的一步：域控的 DNS 必须指向自己（127.0.0.1），不能指向路由器或其他 DNS，否则客户端无法加入域。

域控部署完成后，记得在 DNS 中为 ERP、OA 等应用服务器添加 A 记录。客户端无需手动配置 DNS——加入域时自动下发域控地址。

2. 安装 AD FS 并配置 SSL 证书

AD FS 是所有 SSO 流程的核心。在 DC01 上安装 Active Directory 联合身份验证服务角色后，通过 AD FS 向导配置：

  • SSL 证书：主题名称必须为 fs.iehang.cn（与 AD FS 服务名一致），推荐使用内部 CA 颁发或购买第三方证书
  • 服务名称：fs.iehang.cn
  • 服务账户：创建 gMSA 组托管服务账户，避免密码过期问题

注意：AD FS 的 SSL 证书主题名称和 AD FS 服务名必须完全一致，否则客户端认证时会报证书不匹配错误。这是配置中最容易翻车的地方。

3. 配置信赖方信任对接业务系统

AD FS 部署完成后，需要告诉它「哪些系统可以使用我的 SSO」。在「AD FS 管理」控制台中，为 ERP 系统和 OA 系统分别添加「信赖方信任」：

  • ERP 系统提供 SAML 2.0 元数据 URL
  • 添加声明规则，将 AD 中的 UPN、Email、部门属性映射到 SAML 断言
  • OA 系统（致远 OA）同理配置

配置完成后，用户访问 ERP 或 OA 时，系统会重定向到 AD FS 登录页，验证通过后自动跳回，全程无密码输入。

4. 部署第二台 AD FS 实现高可用

单点故障是所有身份系统的致命问题。在 DC02 上安装 Active Directory 联合身份验证服务角色，使用相同的 SSL 证书和服务名配置，加入同一个 AD FS 场。两台 AD FS 服务器共享配置数据库，一台故障时另一台无缝接管。

验证方法：在浏览器中分别访问两台 AD FS 的登录页面，确认都能正常认证。

避坑指南：AD FS 部署中最容易踩的 5 个坑

坑 1：SSL 证书主题名称与服务名不一致

现象：浏览器访问 AD FS 登录页时提示「证书错误」，或者应用系统回调时报「令牌签名验证失败」。

原因：AD FS 配置时指定的服务名（如 fs.iehang.cn）与 SSL 证书中的主题名称不一致。

解决：证书的主题名称必须等于 AD FS 服务名。如果使用内部 CA，申请证书时主题名称填写 fs.iehang.cn。如果证书已颁发需更换，需要重新运行 AD FS 向导。

坑 2：AD FS 服务账户密码过期

现象：AD FS 服务突然停止，查看事件日志显示「服务账户登录失败」。

原因：使用了普通域用户账户作为 AD FS 服务账户，密码过期后服务无法启动。

解决：使用 gMSA（组托管服务账户），密码由 AD 自动管理，永不过期。AD FS 向导中有创建 gMSA 的选项。

坑 3：信赖方信任的断言消费者终结点配错

现象：用户在 AD FS 登录成功，但浏览器跳不回应用系统，停留在空白页。

原因：信赖方信任中配置的断言消费者服务（ACS）URL 与应用系统实际注册的回调地址不一致。

解决：从应用系统管理员处获取准确的 ACS URL，在 AD FS 中逐一核对。ERP 和 OA 系统的回调地址通常格式为 https://erp.iehang.cn/saml/acs 或类似。

坑 4：DNS 名称解析顺序问题

现象：客户端加入域后，偶尔出现网络共享无法访问、组策略不生效等奇怪问题。

原因：域控的 DNS 指向了外部 DNS 服务器的 IP（如路由器的地址），导致内部域名解析混乱。

解决：域控网卡的 DNS 必须指向自身（127.0.0.1），然后在 DNS 管理器中配置转发器（如 223.5.5.5）用于解析外部域名。客户端 DNS 通过 DHCP 或组策略自动获取域控地址。

坑 5：AD FS 时间偏差导致认证失败

现象：用户登录时提示「令牌已过期」或「签名验证失败」。

原因：AD FS 服务器与客户端的时间差超过 5 分钟。SAML 令牌的有效时间窗口很短，时间偏差会导致令牌验证不通过。

解决：确保所有域成员服务器和客户端与域控保持时间同步。域控配置 NTP 服务器（如 ntp.aliyun.com），客户端自动通过域同步时间。

部署效果：数据会说话

指标 部署前 部署后
员工每天登录操作 每个系统 3~5 次 × 3 套 = 15 次密码输入 只需登录电脑一次，后续全自动
IT 密码重置工单 月均 30+ 次 降至月均 3~5 次（主要是解锁账户）
新员工入职开通 开 3 个账号，耗时 1 小时 开 1 个 AD 账号，耗时 10 分钟
离职账号清理 容易漏禁，平均每季度发现 1 个遗留账号 AD 禁用即全部禁用，零遗留
IT 运维时间 50% 时间处理身份相关问题 10% 时间，省下时间做信息化建设

IT 主管说了一句话我觉得很真实——「搞完 AD FS 后，我终于有时间去研究公司之前想上的 MES 系统了。」

维护建议：部署后还要做什么？

1. SSL 证书到期提醒

AD FS 的 SSL 证书到期后，所有 SSO 流程都会中断。建议在证书到期前 30 天设置提醒。如果使用内部 CA 颁发的证书，可以组策略自动续期；如果使用第三方证书，手动续期后导入并绑定到 AD FS。

2. 定期检查 AD FS 健康状态

每月登录 AD FS 管理控制台，查看「服务」→「服务器角色」，确认所有 AD FS 服务器状态为「联机」。同时浏览器访问 https://fs.iehang.cn/adfs/ls/idpinitiatedsignon.aspx，确认登录页正常显示。

3. 监控 AD 复制状态

DC01 和 DC02 之间的 AD 复制一旦中断，用户修改密码后可能出现「DC01 能登录、DC02 不能登录」的现象。建议每周运行一次 repadmin /replsum 检查复制状态。如果发现复制错误，排查网络连通性和 DNS 解析。

4. 备份 AD 和 AD FS 配置

Windows Server 备份功能可以备份系统状态（含 AD 数据库）。配置每日凌晨备份到独立卷或网络路径。AD FS 配置通过导出 XML 文件单独备份，便于灾难恢复时快速重建。

常见问题

AD FS 和 Azure AD 可以同时用吗？

可以。很多企业采用混合方案：内网系统走 AD FS，SaaS 应用（如 Microsoft 365）走 Azure AD，通过 Azure AD Connect 将本地 AD 同步到云端。用户账号统一在本地 AD 管理，云和本地各自负责对应的 SSO 场景。

AD FS 需要独立的服务器吗？

生产环境建议至少 2 台 AD FS 服务器实现高可用。小规模环境（200 台以内）可以与域控合设，但如果域控需要维护重启，AD FS 会同时不可用，影响所有 SSO 认证。

外部用户（如供应商）能否通过 AD FS 访问内网系统？

可以。需要部署 Web 应用程序代理（WAP）服务器，放在 DMZ 区，将外部请求代理到内网 AD FS。WAP 支持传递给用户的浏览器进行 AD FS 认证，且不暴露内网 AD FS 服务器。

旧系统不支持 SAML 怎么办？

如果业务系统只支持 LDAP 认证（很多旧系统如此），AD FS 可以配置 LDAP 声明提供程序，将 LDAP 属性映射为 SAML 断言，间接实现 SSO。如果系统完全不支持标准协议，可以考虑部署身份代理中间件，但会增加架构复杂度。

总结

AD FS 是微软生态中最成熟的企业级 SSO 方案。对于以内网系统为主的制造企业，它不需要订阅费、不依赖互联网、与 AD 深度集成，是性价比最高的选择。

如果你的企业也面临以下情况：

  • 内部有 2 个以上业务系统需要统一登录
  • IT 部门人手有限，希望减少密码重置工作量
  • 计划在未来扩展更多信息化系统（MES、WMS 等）
  • 安全审计要求统一身份管理和访问审计

我们提供免费的 SSO 方案评估服务——20 分钟线上沟通，帮你分析当前环境和系统兼容性，推荐最适合的部署方案。

免费 SSO 方案评估

20 分钟线上沟通，分析你的企业适合哪种单点登录方案。

立即预约免费评估 →