账号分散且重复
有线、无线、VPN 和业务系统分别维护账号，人员变动后容易留下权限。
先把身份放回接入现场
身份认证不是单独登录页，而是网络和业务入口的共同判断
当企业同时存在有线、无线、VPN、分支和多套业务系统时，账号、设备和权限容易各自维护。统一身份认证把接入主体、设备状态、访问位置和资源权限放在一个可复核的关系里。
01 / 认证问题
身份认证失去统一入口，访问关系就会越来越难管理
认证平台要解决的不是增加一次密码输入，而是减少共享账号、重复账号、临时权限和无法追溯的接入。身份、设备、入口和资源之间如果没有共同基线，安全策略就很难随着组织变化保持一致。
设备状态无人判断
同一个账号从不同设备接入时，系统无法区分合规终端和未知终端。
临时访问没有边界
访客、供应商和远程人员需要访问资源，但权限、时效和审计不清楚。
02 / 身份与准入
把认证、设备准入和资源权限放到同一条访问链
身份平台通常需要对接目录、网络设备、无线控制器、VPN、应用和日志系统。设计时不只确认认证协议，还要确定不同身份在不同入口、设备状态和网络区域下可以获得什么访问范围。
统一身份源
明确员工、访客、合作方和管理员的身份来源、生命周期和责任。
入口与设备条件
把有线、无线、VPN、分支和应用入口与终端状态、证书或其他条件关联。
权限与审计
把资源权限、临时授权、异常登录和管理员操作纳入可追溯记录。
03 / 联调与上线
先从一个接入场景验证，再扩展到全企业入口
身份认证会影响真实用户登录和设备接入，所以需要从代表性入口开始联调。先验证成功、失败、例外和回退路径，再逐步纳入无线、VPN、分支和业务应用。
- 01
梳理身份
盘点身份源、人员类型、生命周期、管理责任和现有账号。
- 02
确定入口
确认网络设备、无线、VPN、分支和业务系统的认证方式与依赖。
- 03
试点联调
用员工、访客、管理员和未知设备场景验证准入与例外。
- 04
上线交接
完成日志、权限、配置、账号生命周期和故障回退的交接。
04 / 交付基线
交付的不只是认证服务，还有一套可持续维护的访问关系
身份认证的长期价值在于人员和设备变化后仍然能清楚回答访问责任。交付资料需要同时说明身份源、入口、策略、例外、日志和管理员权限。
身份与生命周期
记录身份源、账号责任、入离职或合作关系变化的处理方式。
接入与策略表
说明入口、设备条件、认证方式、资源权限和临时访问时效。
日志与审计
保留登录、准入、权限变化、异常和管理员操作的查询路径。
05 / 常见问题
项目开始前，应该先把这些问题问清楚
身份认证平台只管无线接入吗？
不是。它可以根据实际环境衔接有线、无线、VPN、分支和业务系统入口，重点是统一身份与访问关系。
访客和员工需要用同一套账号吗？
通常不建议。应按身份类型、访问范围、时效和审计要求定义不同的认证与权限。
下一步
从现有网络、用户和业务路径开始沟通。
说明现有拓扑、反复出现的问题、扩容计划或安全要求，再围绕真实运行环境确认实施范围。