园区WiFi认证怎么做跨系统单点登录

员工进园区大门刷一次工牌、打卡考勤输一次账号密码、连WiFi输一次账号密码、打印文件还要再登录一次打印服务器。一天下来同一个身份要反复证明好几次。单点登录（SSO）的思路就是：员工在WiFi认证的时候证明过一次身份，园区里其他系统就认这次认证，不用再输第二次。

WiFi认证做SSO的基础是：认证系统已经知道当前连网的这台终端是谁、是哪个员工、属于哪个部门。这个身份信息不是只给网络准入用的，它可以作为整个园区其他业务系统的身份来源。员工连上WiFi、完成认证之后，手机或者笔记本在同一个园区网络里访问内网系统，这些系统不用再单独要账号密码，直接根据网络层的身份放行。

具体能联动哪些系统。

门禁联动。员工在办公楼门口刷脸进楼，这个身份和WiFi认证的身份是同一个员工账号。员工走到自己部门楼层，门禁根据WiFi认证时的位置信息判断：你是这个部门的人，这层门应该对你开。不需要员工再刷一次卡。当然门禁系统本身有自己的生物识别流程，这里的联动是把WiFi认证的位置信息作为门禁权限的辅助判断，而不是替代门禁本身的认证。

考勤联动。员工到公司楼下连上网，WiFi认证时间和位置记录下来，考勤系统自动记录这位员工到岗时间。员工不需要再到考勤机上打卡。当然这种方式要考虑边界：员工在楼下咖啡店连了园区WiFi算不算到岗？通常考勤还是以进入办公楼的门禁记录为准，WiFi记录作为辅助参考，不是唯一依据。

打印联动。员工走到打印机旁边，打印机自动识别这台设备的WiFi身份，员工在自己手机上选择打印任务，直接推送到最近的打印机，不需要在打印机上输入账号。这就是"Follow Me打印"的基本逻辑：设备身份来自WiFi认证，打印任务跟着人走，不绑定具体打印机。

内网系统单点登录。员工连上WiFi之后，打开OA、邮箱、内部文档系统，这些系统自动识别这位员工是谁，不用再登录。这是最常见的SSO场景，技术上通过内网统一认证网关实现：所有内网系统的请求都经过网关，网关根据网络层的身份信息加上会话票据，告诉后端系统"这位员工已登录"。后端系统不需要自己维护账号密码。

会议签到联动。员工进入会议室，WiFi位置识别到他在这个会议室，会议系统自动签到，不需要人工扫码或者点名。这个功能在大型园区会议里很实用。

这些联动的核心是：WiFi认证系统变成了园区的身份入口，而不只是网络准入工具。员工一次认证，网络层记住身份，其他系统通过标准接口（比如LDAP、OAuth、SAML）从认证系统或者统一身份平台拿到身份信息。

做SSO要注意几个问题。

第一，身份源要唯一。不要WiFi认证系统维护一套员工账号，AD域维护另一套，OA再维护第三套。最终所有系统都应该从同一个身份源（通常是AD域或者统一HR系统）拿数据，WiFi认证系统只是这个身份源的一个消费方。员工入职、调岗、离职的时候，HR系统改一次，所有系统的权限都跟着变。如果身份源有好几个，迟早会出现"员工已经离职但WiFi账号还能用"的漏洞。

第二，权限边界要清楚。WiFi认证能告诉其他系统"这是谁"，但不能告诉系统"他应该有什么权限"。权限还是按岗位和部门在各业务系统里配置。WiFi只做身份认证，不做授权决策。这样即使某个业务系统单独出问题，也不会影响其他系统。

第三，安全边界要想清楚。既然WiFi认证之后员工不用再登录其他系统，那如果员工把手机借给别人用，别人拿着手机连园区WiFi，是不是就能直接访问所有内网系统？这要求手机本身要有锁屏密码，并且敏感系统（比如财务、HR）在WiFi免登的基础上再加一层二次验证（比如短信验证码、动态口令）。普通办公系统（OA、文档、打印）可以免登，敏感系统不能完全免登。

第四，访客和员工要分开。访客连的是访客SSID，只能访问外网和有限的访客服务，不能走员工SSO那套。访客的身份和员工身份完全隔离，不能因为访客连了WiFi就自动获得任何内网权限。

第五，离职回收要及时。员工离职，HR系统把账号禁用，WiFi认证系统同步禁用这个账号。之后这位员工的设备再连WiFi，认证失败，自然也访问不到任何内网系统。整个回收流程是自动的，不需要IT单独去每个系统删账号。

SSO不是一蹴而就的大工程。可以先从打印和内网系统免登开始做，这两个最容易落地，员工感知也最明显。门禁和考勤联动要和对应的业务系统厂商配合，因为它们本来就有自己的流程，不是网络部门单独能决定的。一步一步来，每做一个联动，员工就少输一次密码，少记一套账号。

园区WiFi认证系统做到最后，不只是一个让你连网的工具，它是整个园区数字身份的入口。员工一次证明身份，网络、门禁、打印、办公系统都认他，这才是企业网络体验的理想状态。技术上不是什么新鲜事，关键是把身份源统一好、权限边界划清楚、敏感系统留好二次验证、离职回收做及时。这些基础做扎实，SSO才能真正用起来，而不是只做一个演示。