一个单位里往往同时跑着好几套系统，办公一套、业务一套、财务一套，每套一个账号，密码要求还不一样。用户把密码写在便签上贴在显示器边框，安全反而更差。
统一登录能解决这个问题，但怎么做有讲究，不是把所有系统合并成一套那么简单。
一、三种做法，代价差别很大
最简单的一种叫账号同步。各系统还是各自登录，但账号和密码由一处统一维护，改密码时同步到所有系统。这种做法改动最小，适合系统来自不同厂商、不方便统一改造的情况。缺点是用户仍然要登好几次。
第二种叫统一认证。用户登录一次，其他系统信任这次登录的结果。具体做法是建一个认证中心，所有系统登录时跳到认证中心，认证通过后带着凭据回来。用户感觉是登一次就能用所有系统。这种需要各系统做对接改造，工作量取决于系统数量和它们的开放性。
第三种叫统一门户。把各系统的功能以卡片或者菜单的形式聚到一个页面上，用户在门户里点进去直接就是已登录状态。门户的做法体验最好，但改造量最大，通常适用于新建系统群或者有整体规划的情况。
二、动手前先解决账号对应关系
统一登录真正的难点不在技术对接，在于同一个人的账号在各系统里对不上。
常见的情况是，姓名相同的有两个，一个人的账号在这套系统里叫拼音、在那套系统里叫工号，还有离职人员的账号残留。这些问题不清理，统一登录上线后会出现身份混淆，比现在更难查。
建议先建一份人员主数据。以人事系统或者组织架构为准，每个人一个唯一标识，然后把各系统的账号都挂到这个标识上。挂的过程中一定会发现对不上的情况，一条条核实。这项工作枯燥但没有捷径，做完之后统一的登录才有意义。
三、登录统一了，权限还是各管各的
统一登录只解决身份问题，不解决权限。用户在业务系统里能看哪些数据、能做哪些操作，仍然由各系统自己管。
这样安排是有道理的。各系统的业务规则不同，权限模型很难统一，强行统一会把简单问题复杂化。统一身份加分散权限，是多数情况下的合理选择。
但要注意一个衔接点，人员离职或者调岗时的处理。如果只在人事系统里改了状态，其他系统的权限不会自动失效。需要建立联动机制，要么各系统定期同步人员状态，要么在离职流程里增加一步，明确谁负责去各系统清理权限。这一步不做，会留下隐患。
四、安全上要额外注意两点
统一登录之后，一个账号能进所有系统，账号泄露的后果被放大了。所以安全措施要跟着加强。
一是登录方式。建议至少给管理员和涉及敏感数据的岗位加上第二重验证，比如手机验证码或者动态口令。普通账号可以先用强密码策略加登录失败锁定。
二是登录凭据的有效期。统一登录后，如果凭据有效期太长，一旦被截获，攻击者在很长时间内都能用。建议设置合理的过期时间，办公场景下一般几小时比较合适，敏感系统要更短，并且要能强制下线某个账号。
上一篇系统备份到底做对没有