标签：身份认证

1. 概述与目标定义 目标：将堡垒机作为零信任（Zero Trust）执行面，控制和审计特权访问，做到身份为边界、最小权限与持续验证。小分段：列出业务方、运维、安全团队负责人；明确合规和可用性要求（RTO/RPO）；定义成功指标（会话录制率、未授权拒绝率）。 2. 准备与需求梳理 步骤：1）清点需要纳管的系统与服务（IP、端口、访问频率）；2

概述：为什么以及怎样选择最好/最佳/最便宜的方案 在企业服务器安全体系中，将堡垒机的认证委托给sash接入的第三方身份服务，既可以统一身份源又能实现单点登录与审计集中化。对于不同规模的组织，最好的做法可能是使用企业级IdP（如Azure AD/Okta）来获得高可用与合规支持；而最便宜的方案通常是使用开源IdP（如Keycloak）在自有服务器