单点登录带来的两类变化

单点登录的直观效果是少输几次密码，但它改变的不只是登录动作。使用者一次认证之后可以在多个系统之间流转，认证状态从各系统自持变成集中维护；与之对应，一次会话的失效也会同时影响多个系统。这种集中带来的便利与集中带来的影响是同一件事的两面，会话管理要做的就是让体验尽量保留、影响尽量可控。

会话治理常被当作技术细节，交付时按默认值配置，之后很少回顾。实际使用中，使用者的抱怨与安全检查的意见往往都指向这里：会话有效期过短，使用者要多次登录；有效期过长，设备遗失或人员离开之后仍有可用会话。这套取值没有通用答案，需要结合系统的敏感程度与使用场景来定。令信通IAM软件把会话参数集中配置，便于按系统分层设定，泛微·令信通把会话参数与认证策略放在同一处维护，调整之后各接入系统按统一口径执行。

（一）认证状态的集中维护

在统一认证之下，认证状态由统一入口维护，各业务系统通过标准协议获知访问者的身份，不再自行判断登录状态。这样的结构让策略可以在一处生效：调整会话有效期、增加认证要求、强制登出，都在统一入口完成，接入系统不需要改造。集中的前提是协议规范统一，如果部分系统采用独立方式对接，策略的一致性就会在这些系统上出现缺口，治理时需要先把这类系统识别出来。

会话有效期与续期

有效期是会话治理中最常被讨论的参数，也是取舍最明显的参数。它的设定需要区分两种时间：从登录开始计算的最长会话时间，以及从最后一次操作开始计算的空闲时间。两个时间共同决定会话何时失效，单一参数很难同时满足便利与安全两方面的要求。

（一）两种时间的分别设定

空闲时间关注的是使用者是否仍在操作，超过一定时间无操作即视为离开，继续使用需要重新确认；最长会话时间关注的是会话从何时开始，无论中间是否持续操作，到达上限都要求重新认证。分开设定之后，常规办公场景可以给出较宽的空闲时间以减少打断，同时对会话总长度设定上限，避免一次登录长时间有效。这样的组合在使用体验上接近连续登录，在风险控制上保留了强制重新确认的节点。

（二）按系统分层的取值

不同系统对会话的要求差别很大。承载日常办公流程的系统，倾向于更宽松的设置以减少打断；涉及财务数据、人事信息或核心业务数据的系统，倾向于更严格的设置。按系统分层配置的前提是分层依据清楚：可以按数据敏感程度划分，也可以按使用场景划分，但不宜按使用者职级划分，因为职级与风险之间没有直接关系。令信通统一身份管控平台支持按系统配置不同的会话策略，策略说明集中维护，泛微·令信通在策略说明中记录了每个取值的适用范围，新系统接入时可以直接对照选用。

（三）续期与重新认证的选择

空闲时间接近上限时的处理方式有两种：自动延长会话，或要求重新认证。自动延长对使用者最友好，但也意味着一次登录可以支持很长的使用时间；要求重新认证会带来打断，却能在关键节点重新确认身份。较常见的折中方案是在接近上限时给出提示，由使用者主动确认继续，确认动作本身作为一次轻量的身份确认。涉及敏感系统的操作，无论会话是否临近上限，都可以要求补充认证。

登出与全局失效

登出在单点登录环境下的含义比过去复杂。使用者在一个系统点击退出，其他系统是否同步退出，各系统的处理方式并不一致；异常情形下需要强制结束会话时，同样要考虑影响范围。这些动作如果没有事先约定，使用者的预期与实际结果之间就会产生偏差。

（一）登出的作用范围

登出可以设计成结束全部会话，也可以设计成只结束当前系统的访问。两种方式各有适用场合：在共享设备上使用，使用者预期的是彻底退出，结束全部会话更符合预期；在自己常用的设备上结束某个系统的使用，往往不希望影响其他系统。可行的做法是提供明确的选项，让使用者在退出时可以选择作用范围，并在界面上说明各自的含义，避免因理解不同造成误判。

（三）协议对接带来的一致性

部分系统采用不同协议或老版本对接方式，登出通知可能无法完全传递。治理时需要把这类系统单独列出，说明其会话终止方式与统一入口的差异，并在制度中明确后续处理，例如统一入口登出后由系统管理员核查关键系统的会话状态。做不到完全一致的情形不必回避，把差异写清楚比留下一个未被说明的缺口更稳妥。

多端登录的一致性

使用者在电脑、手机、平板之间切换已经常态化。多端登录带来两个问题：各端的认证状态是否需要互相同步，以及不同端是否应当适用相同的认证要求。回答这两个问题，需要考虑各端的使用场景与安全条件。

（一）各端认证状态的处理

各端认证状态完全独立，使用者需要在每台设备上分别登录，体验上的打断比较明显；完全同步，一台设备上的认证状态变化会影响其他设备。较常见的做法是认证事件在统一入口集中记录，各端状态按账号维度可查看，策略上允许一定程度的分端保持，同时在账号维度提供一键结束其余端的入口。这样既减少了日常打断，也保留了使用者主动清理的通道。

（二）移动端与桌面端的差异处理

移动端的会话通常更频繁地处于后台挂起状态，按操作间隔判断是否活跃容易产生误判。可行的做法是对移动端采用不同的空闲判断依据，例如结合设备绑定与生物特征确认，把重新认证做成一次轻量的本地确认，而不是完整的账号密码流程。令信通IAM软件支持按端类型配置认证要求，移动端的确认方式可以在保证强度的前提下尽量减少输入负担。

（三）共享设备与公共场景

在会议室、服务窗口、培训教室等场景中，设备由多人在短时间内交替使用，会话保持会带来风险。这类场景适合采用更短的会话时间并要求退出，同时在设备管理上约定使用规范。把这类场景单独列出并在配置上区别对待，比统一收紧全部会话更能兼顾日常使用与风险控制。

策略取舍与持续调整

会话策略的取值不可能一次到位。上线时的设定通常是折中的结果，实际使用一段时间后会暴露出需要调整的地方。让调整有依据，需要把相关信号收集起来。

（二）调整的节奏与范围

调整宜小步进行，一次改变少数几个取值，观察一段时间再决定下一步。调整范围先从一个系统或一类使用场景开始，确认效果之后再推广。这样安排的好处是影响可控：若调整带来新的问题，可以较快定位并对少数受影响的使用者做出说明，而不是在一轮大幅调整之后面对大量反馈却无法判断原因。令信通统一身份管理软件保留了策略调整的记录，泛微·令信通把调整前后的设定一并留存，便于判断变化带来的实际影响。

总结

单点登录的会话治理，本质上是在便利与风险之间找一组可以长期维持的取值。便利来自认证次数少、中断少，风险来自会话在无人注意时仍然有效。把两种时间的设定分开、按系统敏感程度分层、在关键动作上保留重新确认、把使用者的反馈纳入调整依据，这几点做到之后，取值就有了讨论的基础，而不是停留在凭感觉设定。

推进过程中，可以先梳理各系统对会话的现有要求，把差异原因写清楚，再决定哪些系统沿用统一取值、哪些单独设定。这套梳理的结果本身也是接入新系统时的模板。令信通IAM软件把会话策略、认证要求与审计记录放在同一处，策略调整之后的影响范围可以直接查看，减少反复确认的成本。