选择上游身份数据集成方式

本文面向身份架构师和实施负责人，帮助你在标准连接器、SCIM、LDAP/AD、数据库和连接流之间选择上游身份数据接入方式。推荐结论以可维护性、安全性和可验证性为评价维度。

适用版本与验收边界

本文按 6.7.1 系列固定源码基线整理。第三方 API、字段、权限和限流会随目标系统变化，实施时必须重新核对。

适用范围

适用于从企业通讯录、人力系统、目录服务或业务数据库向数犀平台采集用户、组织和相关属性的场景。本文不覆盖单点登录协议或下游账号分发。

标准连接器通常已经定义连接、分页、对象模型、属性映射和任务日志，维护成本较低。连接流提供更高自由度，但实施者需要自行保证触发、分页、幂等、错误处理、完成标记和删除治理。选择越灵活，验证和运维责任越大。

条件	推荐方式	必须验证
平台已有目标系统标准连接器	标准连接器	权限、字段、分页、增量与删除策略
目标系统提供稳定 SCIM 服务	SCIM	Base URL、Token、Schema、唯一键和状态语义
目标为企业内网目录	AD/LDAP 连接器	网络、TLS、Bind 权限、Base DN 和唯一键
目标数据来自关系数据库	数据库连接器	只读账号、SQL、分页、一致性与字段类型
需要复杂接口编排或转换	连接流	触发、幂等、重试、返回、完成和失败路径

明确数据 Owner

记录哪个系统是用户、组织、状态和关键属性的权威来源。

确认对象与唯一键

定义用户、部门和关系的唯一标识，准备重复、空值和变更测试数据。

选择最小复杂度方式

优先选择能满足要求的标准连接器，不为少量格式转换直接引入完整连接流。

完成最小范围验收

使用一个用户、一个部门和一个失败对象验证创建、更新、重复执行与错误定位。

未确认数据权威来源就同时启用多个上游写同一字段。

把手机号或邮箱默认视为永远稳定且唯一的账号键。

在生产首次执行全量同步，且没有删除阈值、范围和回滚基线。

只验证连接成功，不验证用户、部门、关系和错误对象。

在文档、连接流或日志中保存明文 Token、密码或证书私钥。

连接流适合复杂转换和多系统编排，但需要承担更多幂等、分页、重试和运维责任。标准连接器适合固定系统和常规模型，但扩展规则受连接器能力约束。数据库方式部署快，但应限制为最小只读权限，并处理查询一致性和大数据分页。SCIM 契约清晰，但双方对 Schema、状态和删除语义的实现仍需实测。

数据 Owner、同步方向和对象范围已记录。

用户与部门唯一键已通过重复、空值和变更测试。

凭据权限最小，网络与 TLS 可验证。

属性映射包含必填、枚举、时间和多值边界。

重复执行不产生重复对象。

失败对象可定位并安全重试。

停用、删除、恢复和回滚均使用测试对象验证。