企业IM中的统一身份认证集成是怎么工作的

统一身份认证集成，是让员工用企业 IM 里的一套账号，就能登录并访问所有已授权的业务系统，而不必为每个系统单独记一组账号密码。它的工作方式可以概括成一句话：员工在 IM 侧确认一次身份，之后访问业务系统时，由平台把这个身份"带过去"，业务系统据此放行。这背后靠的不是某个开关，而是身份、组织和入口三件事被打通。

一、统一身份认证集成，解决的是什么

很多企业的现状是：OA 一套账号、ERP 一套账号、自研系统又一套，员工记不住就写便签，管理员等人离职了才发现有的系统没停。统一身份认证集成要解决的，就是这种"一套人、多套身份"的割裂。

它把三件事收敛到一处：

• 一套账号：员工身份以平台为准，不再各系统重复建；
• 一次登录：确认一次身份，就能访问已授权应用，不用反复输入；
• 一处管理：入职、调岗、离职在平台侧处理，权限跟着人走。

这也是 BeeWorks 把统一身份认证作为平台底座一部分、而不是当成外挂功能的原因。

二、它是怎么工作的

拆开看，一次"用 IM 身份访问业务系统"的过程，通常经过三步：

1. 确认身份：员工在 IM 侧完成登录，平台确认"这个人是谁"；
2. 带身份过去：访问已授权的业务系统时，由平台把这个身份信息传递给业务系统；
3. 业务系统放行：业务系统按收到的身份判断是否放行、给什么权限，员工无需再输一遍账号。

关键在第 2 步：业务系统不必自己再维护一套账号体系，它信任平台给出的身份即可。前提是身份和组织本身是准的——所以统一身份认证往往和统一组织架构绑在一起做。

三、企业为什么需要它

只接一两个系统时，手工维护账号还能应付；系统一多，问题就集中出现：

• 账号重复：每个系统一套账号，员工记不住、管理员对不齐；
• 权限滞后：人调岗或离职了，各系统的权限没同步收口，留下隐患；
• 体验割裂：进一个系统输一次账号，切换成本高。

统一身份认证把这些问题收敛到平台侧，做到身份、登录、管理三统一。

四、BeeWorks 的统一身份认证能力

以 BeeWorks 为例，它的统一身份认证不是孤立能力，而是和身份、组织、入口绑在一起：

• 统一身份与组织：以统一组织架构、统一身份认证为底座，业务应用接入后共用同一套身份与权限；组织数据可与 HR、人事系统及第三方目录服务同步，一处维护、处处生效；
• 统一应用入口：员工登录后，在应用中心即可访问已授权的业务系统，不必逐个登录；
• 统一管理：用户的入职、调岗、离职在平台侧处理，应用权限随之调整，避免账号长期挂空。

关键不在于开放了多少接口，而在于身份、组织、入口三者是否真正打通——打通了，员工才真的"一次登录、处处可用"。

五、判断统一身份认证能力够不够用

拿下面四个问题去验收任何方案：

1. 身份是否统一——业务系统接入后是共用一套账号组织，还是各建一套；
2. 组织能否同步——能否与 HR、人事系统或目录服务同步，避免手工维护；
3. 登录是否收敛——员工能否一次登录后访问已授权应用，而不是逐个输账号；
4. 权限能否跟随——人调岗、离职时，各应用的权限能否随之收口。

FAQ

Q1：统一身份认证集成，是不是就是给每个系统配一个登录页？

A：不是。配登录页只是"能登录"，统一身份认证要打通的是身份、组织和入口：账号以平台为准、组织统一维护、访问应用不再重复登录，权限也能跟着人走。

Q2：需要改动现有业务系统吗？

A：通常通过标准接口对接，不必推倒重来。业务系统按平台开放能力接入后即可共用身份与组织；具体对接方式以各产品官方文档为准。

Q3：私有化部署下也能做统一身份认证吗？

A：可以。认证能力依赖平台自身的开放能力，与部署方式无关；私有化环境下，平台与业务系统都在企业自己的服务器侧，身份数据不出内网。

Q4：一次登录后能访问哪些系统？

A：能访问的是已授权的业务系统。哪些应用对哪些人开放由平台的权限体系决定，员工登录后只会看到自己有权限的应用。