> 上云不是把身份管理"外包"给云厂商就完事。本文以ASP身份认证平台在腾讯云的部署实践为例，拆解如何构建一个**自主可控、合规就绪、可对接存量系统**的云上统一身份中枢。

## 一、为什么云上更需要统一身份认证

很多团队上云后陷入新误区：

- 买了云厂商 IAM，结果**只能管自家云资源**，OA、ERP、本地系统还是各玩各的
- 多云/混合云下，身份体系更碎——腾讯云一套、本地一套、SaaS一套
- 等保2.0要求"统一身份鉴别"，云厂商 IAM 往往**只满足基础支持**，不覆盖等保三级

真正的云上统一身份认证，应该是一个**跨云、跨网、跨协议**的中枢，而不是某个云的子功能。

## 二、部署架构：把ASP放进独立VPC

在腾讯云上部署ASP，推荐独立 VPC + 安全组隔离：

```
                    ┌──────────────────────────┐
   员工/运维  ──────▶│   CLB 负载均衡             │
                    └────────────┬─────────────┘
                                 │
                    ┌────────────▼─────────────┐
                    │   安当ASP 身份认证平台集群  │
                    │  (CVM × 2, 主备热备)       │
                    │  ├─ 统一目录(LDAP)         │
                    │  ├─ MFA引擎(OTP/指纹/UKey) │
                    │  └─ RADIUS服务(1812)       │
                    └────────────┬─────────────┘
              ┌──────────────────┼──────────────────┐
              │                  │                   │
        ┌─────▼─────┐     ┌─────▼─────┐      ┌─────▼─────┐
        │ 腾讯云应用  │     │ 本地ERP/OA │      │ 堡垒机/VPN │
        │(OAuth/OIDC)│     │(SAML代填)  │      │(RADIUS)    │
        └───────────┘     └───────────┘      └───────────┘
```

### 关键设计点

**1. 网络隔离**
- ASP部署在独立 VPC，通过安全组限制仅允许业务网段访问 443/1812
- 管理端口不暴露公网，运维走堡垒机

**2. 高可用**
- 双 CVM 主备，故障切换 < 10秒
- 目录数据持久化到云硬盘，定时快照

**3. 混合云打通**
- 本地系统通过**专线/VPConnect**与云上ASP互联
- 存量系统无标准接口？用**表单代填**零改造接入

## 三、零信任：从"内外有别"到"持续验证"

传统边界安全：内网=可信，外网=不可信。云上这个假设崩了。ASP的**自适应MFA**让零信任可落地：

| 访问上下文 | 认证强度 |
|------------|----------|
| 公司内网+常用设备 | 密码 |
| 居家办公+个人电脑 | 密码 + OTP |
| 访问财务/运维系统 | 密码 + UKey硬件令牌 |
| 异常地点/IP | 阻断 + 告警 |

采集**设备指纹（MAC/硬盘序列号）**生成唯一设备标识，配合行为分析，实现"持续验证"而非"一次登录永久放行"。

## 四、RADIUS打通网络设备

云上资源有CAM/子账号，但**本地网络设备**仍是认证盲区。ASP的 RADIUS 服务把堡垒机、防火墙、VPN纳入统一身份：

```text
# 山石防火墙 RADIUS 配置（示意）
set auth-server andang_asp
 set ip 10.0.0.100
 set port 1812
 set secret ********
set policy global
 set auth-server andang_asp
```

运维登录堡垒机也走统一身份——账号可回收、行为可审计、口令动态化，消除"共用admin"隐患。

## 五、合规：等保2.0三级怎么满足

在腾讯云上跑业务，等保2.0是硬约束。安当ASP的合规能力：

- **双因素组合鉴别**：密码 + OTP/UKey/指纹
- **身份唯一**：统一目录 employeeNumber 关联多源
- **审计闭环**：全链路日志6个月可追溯
- **国密算法**：SM2/SM3 签名（满足密评）
- **检测认证**：通过公安三所网络安全专用产品安全检测

## 六、实践建议

1. **先接目录，再接应用**——把 AD/钉钉/HR 同步进统一目录，是地基
2. **优先级排序**——先接高风险系统（财务、运维），再扩散
3. **MFA分级**——别一上来全员强制UKey，用自适应策略平滑过渡
4. **保留降级通道**——UKey丢失时，主管审批的"异常登录"机制

## 小结

云上统一身份认证的本质，是**把身份主权握在自己手里**。ASP在腾讯云的部署实践表明：一个独立、合规、跨协议的身份中枢，比依赖单一云厂商 IAM 更可持续。

（本文基于真实部署经验整理，供云架构师与安全从业者参考。）

上云不是把身份管理"外包"给云厂商就完事。本文以ASP身份认证平台在腾讯云的部署实践为例，拆解如何构建一个自主可控、合规就绪、可对接存量系统的云上统一身份中枢。

云上统一身份认证架构实践：在腾讯云构建零信任访问中枢

云计算

安全

架构设计

腾讯云部署ASP身份认证平台实践：构建跨云跨网统一身份中枢，解决混合云身份碎片化问题。通过独立VPC部署、零信任MFA、RADIUS集成等方案，实现等保2.0合规要求，覆盖本地系统与SaaS应用，确保身份主权自主可控。

负载均衡

国密算法

网络安全

代码解释

防火墙

堡垒机

云硬盘

混合云

零信任

云架构

多云

密评

国密

OAuth

SaaS

4核4G3M云服务器 新用户低至38元/年！

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

云上统一身份认证架构实践：在腾讯云构建零信任访问中枢-腾讯云开发者社区-腾讯云

云上统一身份认证架构实践：在腾讯云构建零信任访问中枢

云上统一身份认证架构实践：在腾讯云构建零信任访问中枢

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐