什么是统一身份认证平台（IAM）？和单点登录有什么区别

IAM 由哪几部分组成

• 账号管理：用户、组织架构、用户组的创建、修改和停用，以及从人事系统、AD 域、办公平台同步数据。
• 认证：确认“你是谁”，包括密码、短信验证码、扫码登录、多因素认证和单点登录。
• 授权：确定“你能做什么”，常见模型有 ACL、RBAC（基于角色）和 ABAC（基于属性）。
• 审计：记录谁在什么时候登录了什么系统、做了什么操作，满足合规和事后追查。

业内常说的 4A，指的就是账号（Account）、认证（Authentication）、授权（Authorization）、审计（Audit）这四件事，和 IAM 说的是同一个范畴。

IAM 和单点登录的区别

单点登录只是“认证”里的一项能力：登录一次，访问多个系统。IAM 的范围要大得多。举个例子，单点登录能让新员工用一个账号登录所有系统，但“新员工入职时自动开好账号、按岗位分配好权限、离职当天自动停用所有账号、每季度让部门负责人复核一次权限”，这些都属于 IAM 的账号生命周期和权限治理。

员工身份、客户身份和智能体身份

• 员工身份（Workforce IAM）：面向企业内部员工，重点是对接办公平台和人事系统、单点登录内部系统、满足合规。
• 客户身份（CIAM）：面向 C 端用户或企业客户，重点是注册转化率、微信等社交登录、会员体系、防刷和个人信息保护。
• AI 智能体身份：AI 智能体代表用户调用工具和接口，需要可验证的身份、按工具授权和调用审计。这是近两年新出现的需求，MCP 授权规范就是基于 OAuth 的。

私有化部署还是 IDaaS

IDaaS（身份即服务）是厂商托管的云端 IAM，开通即用；私有化部署则把系统装在企业自己的机房或云账号里。国内政企、金融、医疗和高校客户通常选择私有化部署：数据不出内网，便于过等保和密评，也能运行在信创环境里。业务主要在海外、团队不想运维的，可以考虑托管服务。

选型要看的要点

• 协议覆盖：OIDC、SAML、CAS、LDAP、RADIUS 能不能都支持，决定了多少系统能直接接入。
• 本土化：企业微信、钉钉、飞书、微信登录和组织同步是否开箱即用。
• 合规：是否支持国密、等保三级要求的三员分立和防篡改审计，能否配合测评。
• 信创：能否运行在国产 CPU、操作系统和数据库上。
• 权限：只做认证，还是也能管细粒度权限。
• 计费：按用户数还是固定价格；用户规模增长时成本会不会失控。
• 支持：是否有原厂团队提供部署、定制开发和故障支持。

Casdoor 是什么样的统一身份认证平台

Casdoor 是开源的统一身份认证平台，覆盖员工身份、客户身份和 AI 智能体身份，支持主流协议和国内常用的登录方式，内置基于 Casbin 的权限管理。企业版和信创版私有化部署，固定年费、不限用户数，提供国密、等保合规、人事和 OA 连接器、账号治理等专属功能。