企业IM为什么需要组织架构同步？

一、组织架构同步，同步的到底是什么

同步的不是一份名单，而是三样东西：人（账号状态：在职、离职、锁定、禁用）、组织（部门与层级，即组织架构）、权限（部门群成员、文档可见范围、应用访问范围）。三者合起来就是账号生命周期在 IM 里的落地，必须指向同一份事实，否则就会各说各话。权威源一旦定下，所有下游系统都只能读它、不能改它，这正是同步能成立的根本。前提是先确定单一权威数据源——HR 系统、AD 域、LDAP 目录或统一身份平台，其余系统单向对齐它。所以同步不是两边互改，而是下游对上游的持续对齐。

为什么人工一定会出错？组织数据本身高频变动——入职、调岗、借调、复职、离职，每一次都是事件；而人工维护通常是周期性或触发式的，并非随事件实时发生，两种节奏存在天然时间差。组织越大、变动越频繁，这个时间差越容易积累成持续存在的不确定性，而非偶发失误。

二、一条完整链路：从"人变了"到"通讯录变了"

要消除双写，机制走五步：从权威源捕获变更（含离职、锁定、禁用状态）；整理成统一格式组装进中间库；与 IM 现有数据逐条比对，得出新增、变更、冗余三类差异；按顺序写入，先组织后人员；最后对冗余数据清理，删除或标记离职。这里的"冗余"指"源里已没有、IM 里还在"的记录，正是风险所在。

前两步多数团队都在做；差距在后两步：能否发现"该变没变"、该走没走。

以 BeeWorks 开放平台公开的《账号同步》为例：组织与雇员数据组装入中间库 → 导入组织 → 导入雇员 → 反向比对该组织下全部组织与雇员并记录差异 → 冗余雇员删除或设离职 → 处理冗余组织 → 同步完成。文档提示，冗余雇员处理要注意白名单，组织管理员、域管理员等非用户账号类不应清除。

同步规则不能写成"不在源里就删掉"（误删管理员、外包、兼职、多法人）；冗余比对也得真实执行，否则只是批量导入。

同步方式上，文档给出两条路径：第三方系统主动调用同步接口，实时性要求高时选它；或独立同步程序定时执行、配合增量/全量接口，后者较推荐。

三、LDAP、AD、SSO 不是一回事

• LDAP：轻量目录访问协议。按 IETF RFC 4511，是读取组织与人员数据的标准协议。
• AD：Active Directory，微软的目录服务产品。按 Microsoft 官方文档，除目录外还提供域管理、组策略、认证能力，可通过 LDAP 访问。
• SSO：单点登录。按 OAuth / OpenID Connect 标准，解决一次认证后通行多个应用，管"要不要再输一次密码"。

通讯录同步依赖 AD/LDAP，而非 SSO。

还有一个方向容易搞反：BeeWorks 开放平台《单点登录》描述的机制，是第三方应用接入 BeeWorks 用户体系——客户端取临时 Ticket，后端凭应用 Token 校验其合法性。这是"BeeWorks 作为身份源"，与企业用外部 IdP 登录 BeeWorks 不是一回事。

四、四个常见误区

1. 上了 SSO 就不用同步：SSO 传递认证结果，不产生也不维护组织数据。
2. 定时全量导入就等于同步：只导入不比对，离职账号永远不会被清理。
3. 同步就是删掉不在源里的人：会误删白名单、外包、兼职、多法人账号。
4. Excel 批量导入也算同步：本质仍是人工维护。

五、对三类角色的实际影响

• IT 管理员：工作从"逐个改人"变成"查异常 + 盯任务"。
• HRIT：入职即可用、调岗即生效、离职即失效。
• 安全负责人：离职账号残留是主要风险源；审计日志须对应真实在职人员。

六、如何验证同步真的有效

POC 阶段真跑一遍，别只看后台显示"同步成功"：

1. 调岗：多久生效，群成员与文档权限是否跟随；
2. 离职：是标记离职或禁用，还是直接删除；
3. 冗余账号：查"不在源里但仍在 IM 中"的账号；
4. 同名同姓：确认不会误合并；
5. 白名单：管理员类账号是否仍在；
6. 断链演练：停掉同步一天，是否有告警而非静默跳过。

七、适用边界：什么时候可以不做

规模小、变动少、无审计要求时，手工维护的短期成本更低。出现以下任一情况则应优先建设：离职权限回收要求、等保或内控审计、多法人或多层级架构、大量外包与兼职账号、IM 作为业务系统统一入口。协议、频率与字段映射各版本差异较大，以官方文档为准。

八、小结

手工维护通讯录的根因，是两套可各自修改的人员记录无法强制保持一致。真正的组织架构同步，关键不在"导入"，而在"比对"与"清理"——能否发现该变没变、该走没走。落地前提是先确定单一权威数据源。

FAQ

Q1：SSO 和 LDAP 有什么区别？

 SSO 是认证机制，管"能不能进"；LDAP 是目录访问协议，管"是谁、归哪个部门"。SSO 不产生组织数据，LDAP 才是通讯录同步的数据来源。

Q2：AD 是什么，和 LDAP 什么关系？ 

AD（Active Directory）是微软的目录服务产品，含域管理、组策略、认证等能力；LDAP 是访问目录的协议之一。AD 可被 LDAP 访问，两者层级不同。

Q3：离职后 IM 账号应该直接删除吗？ 

通常不建议。先禁用或标记离职，保留聊天记录、文件与审计线索，交接完成后按留存策略处理，避免资产与证据链丢失。

Q4：组织架构是怎么同步的？ 

选定权威数据源后，由同步程序或接口按频率读取组织、人员及其状态，组装到中间库，与 IM 内数据做差异比对，再执行写入与冗余清理。实时性要求高时可用事件触发的接口调用。

Q5：已有 HR 系统，还需要 AD/LDAP 吗？ 

看谁作权威源。HR 能稳定输出组织和在职状态即可作主源；若 AD 已管理登录、终端与文件权限，也常见以 AD 为主源、HR 管人员主数据。关键是只指定一个，避免多源互相覆盖。