簡介企業(yè)微信-AD同步工具是一款基于LDAPS協(xié)議開發(fā)的同步軟件面向需要將企業(yè)微信與活動(dòng)目錄AD深度集成的大型企業(yè)及IT運(yùn)維人員用于自動(dòng)同步用戶信息、賬號(hào)狀態(tài)與用戶組數(shù)據(jù)提升身份管理效率并保障通訊安全。壓縮包內(nèi)共8個(gè)文件大小約118MB包括4個(gè)exe可執(zhí)行程序、2個(gè)Python源碼文件和2個(gè)txt說明文檔執(zhí)行文件同時(shí)提供控制臺(tái)與圖形界面兩種操作方式另附API與LDAP連通性測(cè)試工具源碼文件則便于根據(jù)實(shí)際業(yè)務(wù)需求二次修改。使用說明和依賴清單幫助使用者快速完成環(huán)境準(zhǔn)備與參數(shù)配置。資源已有205人學(xué)習(xí)適合需要搭建AD到企業(yè)微信同步機(jī)制、或想研究LDAPS加密通訊及企業(yè)微信API對(duì)接方案的開發(fā)者和運(yùn)維人員可直接部署也能基于源碼深度定制。1. 企業(yè)微信同步AD這件事為什么非要用LDAPS不可某公司去年把組織架構(gòu)從Excel搬進(jìn)了AD域控企業(yè)微信通訊錄卻還是靠HR手工導(dǎo)入離職賬號(hào)在凌晨兩點(diǎn)還能往外發(fā)消息。這個(gè)問題的標(biāo)準(zhǔn)解法是做一條同步鏈路讓企業(yè)微信通訊錄和AD里的用戶、部門、手機(jī)號(hào)保持一致而AD這一側(cè)連接域控的協(xié)議必須走LDAPS而不是明文LDAP。LDAPS就是LDAP over TLS默認(rèn)端口636證書校驗(yàn)和加密傳輸一起解決域控上幾百號(hào)人的姓名、工號(hào)、手機(jī)號(hào)不允許裸奔在局域網(wǎng)里。本文按“選型→最小實(shí)現(xiàn)→參數(shù)→踩坑→驗(yàn)證”的順序給出一條可以從零跑通的企業(yè)微信-AD同步工具落地路徑適合公司里負(fù)責(zé)身份治理的運(yùn)維和內(nèi)部工具開發(fā)者。2. 雙向同步怎么選型兩個(gè)API和一條今天必須走通的安全鏈路2.1 同步方向決定架構(gòu)AD為主還是企業(yè)微信為主做同步工具前最容易被忽略的問題是主從關(guān)系。常見做法是“AD為主”HR在AD里增刪改人員企業(yè)微信通訊錄跟著變。反過來“企業(yè)微信為主”的場(chǎng)景多出現(xiàn)在企業(yè)微信先有完整通訊錄、AD剛建成的遷移期。兩者架構(gòu)差別很大。AD為主的流程是單向或準(zhǔn)單向從AD查詢用戶屬性調(diào)用企業(yè)微信通訊錄API創(chuàng)建/更新成員。企業(yè)微信為主的流程則要從企業(yè)微信拉人往AD里寫這個(gè)方向?qū)D的schema有侵入性比如要給用戶對(duì)象寫入手機(jī)號(hào)、部門、郵箱必須確認(rèn)AD的attribute與權(quán)限允許。我一般會(huì)在選型階段問清楚三個(gè)問題誰錄入新員工誰更新崗位異動(dòng)離職操作在哪一步做。如果錄入和離職都在企業(yè)微信側(cè)那AD只能當(dāng)從;如果答案都是AD就按AD為主設(shè)計(jì)。同步方向確認(rèn)后數(shù)據(jù)流圖才能畫出來后續(xù)的映射表、沖突策略都依賴這個(gè)結(jié)論。還要考慮雙向同步的循環(huán)風(fēng)險(xiǎn)。兩邊都開放寫接口如果不去做防循環(huán)設(shè)計(jì)A任務(wù)改了企業(yè)微信、B任務(wù)又把舊值寫回AD整個(gè)系統(tǒng)變成振蕩器。最簡單的做法是給AD用戶掛一個(gè)擴(kuò)展屬性如extensionAttribute1記錄“最后同步來源”和“最后同步時(shí)間”每次寫入前先判斷目標(biāo)值是否需要變更而不是無條件覆蓋。2.2 LDAPS連接域控證書校驗(yàn)、636端口與連接池LDAPS和普通LDAP的區(qū)別不只是加個(gè)s。普通LDAP走389端口明文傳輸bind請(qǐng)求里的用戶名密碼可被局域網(wǎng)內(nèi)抓包工具直接看到。LDAPS走636端口TLS握手之后才是LDAP報(bào)文。域控上默認(rèn)啟用LDAPS用到的是域內(nèi)CA簽發(fā)的證書所以客戶端側(cè)要把域CA的根證書放到信任庫或者讓代碼顯式指定CA文件。Windows域控的LDAPS證書有幾個(gè)常見坑。第一是證書的主機(jī)名必須匹配你連接用的DNS名比如用dc01.example.com連證書san里如果沒有這個(gè)域名Python的ssl庫會(huì)直接拒絕。第二是證書鏈的根證書不在本機(jī)信任區(qū)報(bào)錯(cuò)都是CERTIFICATE_VERIFY_FAILED但原因不同排查時(shí)先看鏈、再看主機(jī)名。連接池方面python-ldap和ldap3都支持連接復(fù)用。做同步任務(wù)時(shí)每跑一輪就建立一次LDAPS連接成本不高但如果任務(wù)頻率是一分鐘一次最好用長連接加超時(shí)控制。我在ldap3里會(huì)設(shè)置connect_timeout10和receive_timeout15避免域控繁忙時(shí)線程被卡死。AD域控對(duì)單個(gè)客戶端的并發(fā)連接數(shù)是有限制的用池子比每次新建連接對(duì)這個(gè)限制更友好。2.3 企業(yè)微信通訊錄API的接入要點(diǎn)corpId、Secret與AccessToken企業(yè)微信側(cè)的接入比AD簡單但有個(gè)權(quán)限陷阱。企業(yè)微信管理后臺(tái)的“通訊錄同步”區(qū)域有兩種密鑰一個(gè)是“管理密鑰”Secret一個(gè)是“通訊錄同步API”Secret。管理密鑰的權(quán)限太大能讀所有通訊錄數(shù)據(jù);同步工具如果用管理密鑰一旦泄露等于把整個(gè)企業(yè)通訊錄交給別人。建議只使用“通訊錄同步API”對(duì)應(yīng)的Secret權(quán)限范圍限定在通訊錄讀寫。企業(yè)微信的所有API都先要換AccessToken路徑是https://qyapi.weixin.qq.com/cgi-bin/gettoken?corpidxxxcorpsecretyyy。AccessToken有效期7200秒但官方文檔明確說“獲取后建議緩存不要頻繁獲取”。很多初版工具沒做緩存每次同步都重新請(qǐng)求token觸發(fā)頻率限制后會(huì)收到40001錯(cuò)誤碼。關(guān)于IP限制企業(yè)微信的API默認(rèn)不校驗(yàn)來源IP但如果后臺(tái)開啟了“企業(yè)可信IP”就要求調(diào)用方IP必須在白名單里。有些公司把同步任務(wù)跑在某個(gè)內(nèi)網(wǎng)主機(jī)上NAT出去的公網(wǎng)IP和后臺(tái)配置不一致工具就像壞了一樣。這個(gè)配置項(xiàng)不在代碼里卻天天讓人頭疼。3. 從零跑通最小同步Python實(shí)現(xiàn)AD與企業(yè)微信雙向字段映射3.1 建一個(gè)只讀網(wǎng)關(guān)賬號(hào)并生成企業(yè)微信同步SecretAD側(cè)的綁定賬號(hào)不需要域管理員權(quán)限最小權(quán)限是“讀取目錄信息”如果往AD寫手機(jī)號(hào)還要給該賬號(hào)對(duì)該OU的“寫 phoneNumber、mail”等屬性權(quán)限。很多開發(fā)者圖省事直接拿管理員賬號(hào)跑一旦代碼出bug影響半徑太大。企業(yè)微信側(cè)登錄管理后臺(tái)進(jìn)入“通訊錄同步”開啟“API接口同步”然后創(chuàng)建一個(gè)獨(dú)立Secret。這個(gè)Secret只用于同步工具如果哪天懷疑泄露可以直接重置不必牽連其他應(yīng)用。準(zhǔn)備一份環(huán)境配置文件用環(huán)境變量或者本地配置文件持有不要寫進(jìn)代碼倉庫。export LDAPS_HOSTdc01.example.com export LDAPS_PORT636 export LDAPS_BIND_DNCNsyncgw,OUServiceAccounts,DCexample,DCcom export LDAPS_PASSWORD此處密碼來自安全存儲(chǔ) export WECOM_CORP_IDww1234567890abcdef export WECOM_SYNC_SECRET從后臺(tái)生成的通訊錄同步Secret這些變量的含義LDAPS_HOST是域控的DNS名必須與LDAPS證書的SAN匹配WECOM_CORP_ID是企業(yè)微信的企業(yè)ID在“我的企業(yè)”頁面查看WECOM_SYNC_SECRET只在“通訊錄同步”區(qū)域生成。存儲(chǔ)密碼時(shí)本地開發(fā)可以用環(huán)境變量生產(chǎn)環(huán)境建議放到密鑰管理服務(wù)里不要把明文放進(jìn)腳本。3.2 用ldap3拉起LDAPS連接并讀取AD用戶Python操作LDAPS推薦用ldap3庫它對(duì)TLS的支持更直接。下面這段代碼完成三件事配置TLS、綁定、分頁查詢指定OU下的用戶。import ssl from ldap3 import Server, Connection, Tls, ALL, SUBTREE tls Tls( validatessl.CERT_REQUIRED, ca_certs_file/path/to/example-root-ca.pem, versionssl.PROTOCOL_TLS_CLIENT, hostnamedc01.example.com ) server Server( dc01.example.com, port636, use_sslTrue, tlstls, get_infoALL ) conn Connection( server, userCNsyncgw,OUServiceAccounts,DCexample,DCcom, password安全存儲(chǔ)中取出的密碼, auto_bindTrue, receive_timeout15 ) conn.extend.standard.paged_search( search_baseOU員工,DCexample,DCcom, search_filter((objectCategoryperson)(objectClassuser)(mail*)), attributes[sAMAccountName, mail, phoneNumber, department, displayName], paged_size500, generatorFalse ) for entry in conn.entries: sam entry.sAMAccountName.value mail entry.mail.value mobile entry.phoneNumber.value print(sam, mail, mobile) conn.unbind()邏輯說明Tls對(duì)象負(fù)責(zé)LDAPS的證書側(cè)配置validatessl.CERT_REQUIRED表示強(qiáng)制校驗(yàn)服務(wù)器證書這是和LDAP最大的區(qū)別。Server的use_sslTrue告訴ldap3走TLS。Connection里的auto_bindTrue表示在實(shí)例化時(shí)立刻完成bind。paged_search是AD大量用戶時(shí)避免漏查的關(guān)鍵AD默認(rèn)對(duì)LDAP查詢有最大返回條數(shù)限制通常是1000分頁繞過這個(gè)限制。參數(shù)說明paged_size500是每頁返回的條目數(shù)改大可能遇到AD的響應(yīng)超時(shí)改小則請(qǐng)求次數(shù)變多attributes列表里的字段要和后續(xù)映射對(duì)齊不要一次性查詢所有屬性幾百人的OU可能差別不大幾萬人的域就會(huì)感覺到網(wǎng)絡(luò)和內(nèi)存壓力。3.3 調(diào)用企業(yè)微信API拉取成員并按映射更新AD企業(yè)微信通訊錄API的成員讀取接口是user/list支持分頁。拿到成員列表后把郵箱或手機(jī)號(hào)作為天然關(guān)聯(lián)鍵找到對(duì)應(yīng)AD用戶再對(duì)phoneNumber、mail、department等字段做差量更新。import requests import time def get_access_token(corp_id, secret): # 實(shí)際使用時(shí)應(yīng)緩存這里僅演示 url https://qyapi.weixin.qq.com/cgi-bin/gettoken params {corpid: corp_id, corpsecret: secret} resp requests.get(url, paramsparams, timeout10).json() if resp.get(errcode, 0) ! 0: raise RuntimeError(fgettoken failed: {resp}) return resp[access_token] def fetch_all_members(access_token): members [] cursor while True: url https://qyapi.weixin.qq.com/cgi-bin/user/list params { access_token: access_token, dept_id: 1, fetch_child: 1, cursor: cursor, limit: 100, } resp requests.post(url, paramsparams, timeout15).json() if resp.get(errcode, 0) ! 0: # 這里需要區(qū)分是否是可重試錯(cuò)誤 raise RuntimeError(fuser/list failed: {resp}) members.extend(resp.get(userlist, [])) if resp.get(has_more) 1: cursor resp.get(next_cursor, ) else: break time.sleep(0.2) return members邏輯說明企業(yè)微信的user/list是一個(gè)POST接口但分頁參數(shù)放在URL的query里請(qǐng)求體為空。dept_id1從根部門開始fetch_child1遞歸拉所有子部門這是全量同步最常見的參數(shù)組合。has_more和next_cursor組成游標(biāo)分頁游標(biāo)為空時(shí)表示已經(jīng)取完。循環(huán)里加time.sleep(0.2)是為了避開企業(yè)微信API的頻率限制。拿到企業(yè)微信成員后更新AD字段的代碼如下def update_ad_user(conn, sam, mailNone, mobileNone, departmentNone): changes {} if mail is not None: changes[mail] [(ldap3.MODIFY_REPLACE, [mail])] if mobile is not None: changes[phoneNumber] [(ldap3.MODIFY_REPLACE, [mobile])] dn fCN{sam},OU員工,DCexample,DCcom conn.modify(dn, changeschanges)MODIFY_REPLACE是LDAP修改操作里的替換指令傳入一個(gè)列表是因?yàn)锳D的多值屬性允許同時(shí)寫入多個(gè)值。這里只做替換不做新增或刪除避免把用戶自己的其他聯(lián)系方式清掉。實(shí)際項(xiàng)目中要避免每次同步無腦執(zhí)行modify配合前面說的“最后同步時(shí)間”標(biāo)記跳過不需要修改的條目能顯著減少域控壓力。3.4 把任務(wù)掛進(jìn)定時(shí)器增量邏輯與冪等寫法最小可用版本跑通后要做的第一件事不是寫報(bào)表是把全量同步改成增量。全量同步每半小時(shí)一次、幾萬用戶時(shí)域控和CPU都會(huì)發(fā)抖。增量的關(guān)鍵是時(shí)間戳比較。AD側(cè)的whenChanged屬性記錄對(duì)象最后修改時(shí)間企業(yè)微信側(cè)的成員列表里沒有直接的時(shí)間戳字段但可以通過定時(shí)拉取全量再本地做diff或者利用企業(yè)微信的“更新用戶”回調(diào)事件。回調(diào)需要公網(wǎng)接收地址很多內(nèi)網(wǎng)環(huán)境不具備所以最常見的增量做法是周期性全量拉取本地維護(hù)一個(gè)上次同步的用戶哈希表比較屬性值變化。import hashlib def user_hash(sam, mail, mobile, department): raw |.join([ sam or , mail or , mobile or , department or ]) return hashlib.sha256(raw.encode(utf-8)).hexdigest()每次同步完成后把{sam: user_hash}存入本地JSON或數(shù)據(jù)庫。下一輪同步前先查AD和API若兩邊哈希一致就跳過。這個(gè)寫法的好處是冪等無論任務(wù)被調(diào)度系統(tǒng)重復(fù)觸發(fā)多少次最終寫入的結(jié)果一致。缺點(diǎn)是本地狀態(tài)文件要保證一致性寫文件用臨時(shí)文件加替換不要直接原地寫。調(diào)度上我建議用系統(tǒng)定時(shí)器而不是在程序里sleep循環(huán)。定時(shí)器的好處是任務(wù)崩潰后由調(diào)度器拉起不容易出現(xiàn)“程序已死但沒人知道”的尷尬。4. LDAPS同步必踩的5個(gè)坑從證書驗(yàn)收到限頻重試4.1 AD返回的證書鏈根不被信任導(dǎo)致握手失敗現(xiàn)象是連接時(shí)報(bào)[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed。原因是域控的LDAPS證書由企業(yè)內(nèi)部的AD CS簽發(fā)客戶端機(jī)器/Python環(huán)境不認(rèn)這個(gè)私有根證書。Python的ssl模塊在沒指定ca_certs時(shí)會(huì)用系統(tǒng)信任庫內(nèi)網(wǎng)根證書通常不在里面。另一個(gè)常見原因是證書的SANSubject Alternative Name里沒有當(dāng)前連接用的主機(jī)名比如你連的是IP地址而證書里只有DNS名。解決分兩步。第一步把AD域的根CA證書導(dǎo)出為Base64格式的 .crt 文件第二步把該文件路徑傳給Tls(ca_certs_file...)。如果懷疑主機(jī)名不匹配可以用openssl s_client -connect dc01.example.com:636 -showcerts查看證書SAN確認(rèn)是否包含 dc01.example.com。不要為了省事把validate改成CERT_NONE那會(huì)讓LDAPS形同虛設(shè)。4.2 企業(yè)微信AccessToken被并發(fā)請(qǐng)求沖掉現(xiàn)象是工具運(yùn)行一段時(shí)間后企業(yè)微信API開始返回40001或42001但代碼邏輯沒變。原因多半是AccessToken被多次并發(fā)獲取。企業(yè)微信的token機(jī)制是后獲取的會(huì)踢掉先獲取的只要有兩個(gè)任務(wù)進(jìn)程同時(shí)啟動(dòng)并各自調(diào)了一次gettoken前面那個(gè)進(jìn)程持有的token立即失效。程序里如果每個(gè)請(qǐng)求前都去gettoken等于每次都在互相踢。解決是在進(jìn)程內(nèi)做全局單例緩存并給獲取過程加鎖多進(jìn)程部署時(shí)用文件鎖或獨(dú)立的狀態(tài)服務(wù)存儲(chǔ)token。同時(shí)要對(duì)40001/42001錯(cuò)誤碼做重試邏輯而不是直接拋異常。我習(xí)慣在API封裝層加一個(gè)裝飾器遇到這兩個(gè)錯(cuò)誤碼時(shí)清掉緩存、重新獲取token、重放請(qǐng)求一次。4.3 LDAPS查詢分頁被域控截?cái)嗳藛T漏同步現(xiàn)象是同步工具運(yùn)行完企業(yè)微信側(cè)成員數(shù)量總是比AD少一部分排查日志發(fā)現(xiàn)連報(bào)錯(cuò)都沒有。原因是AD在沒有啟用LDAP分頁控制時(shí)單次查詢最多返回1000條記錄域控默認(rèn)策略。如果你的OU有3000個(gè)用戶常規(guī)search只會(huì)返回前1000條同步任務(wù)不知道后面還有人自然就漏了。解決是使用paged_search或手動(dòng)傳遞search_controls里的PagedResultsControl。ldap3的擴(kuò)展方法已經(jīng)封裝好了把前面的代碼里的search換成extend.standard.paged_search并設(shè)置paged_size。還可以在查詢時(shí)用size_limit0表示不限制但分頁控制才是AD官方推薦做法。另一個(gè)隱蔽場(chǎng)景是某些第三方目錄服務(wù)非AD不支持分頁控制擴(kuò)展這時(shí)只能自己按sAMAccountName分段查詢比如按首字母拆成多組filter。4.4 字段值帶特殊字符導(dǎo)致Base64編碼翻車現(xiàn)象是同步工具報(bào)invalid attribute syntax或者某個(gè)用戶屬性寫入后值變成了亂碼。AD的phoneNumber、mail這類屬性屬于Unicode字符串語法本不該有編碼問題。但如果你把AD里讀到的值原樣寫回而那個(gè)值本身是從其他系統(tǒng)導(dǎo)入進(jìn)來帶著不可見控制字符LDAP的字符串規(guī)范化規(guī)則會(huì)讓寫入報(bào)錯(cuò)。還有一種情況用戶選擇用腳本直接改AD的thumbnailPhoto這類二進(jìn)制屬性就必須做Base64編碼很多人在這里漏掉。解決原則是分工明確文本屬性按字符串處理工具端統(tǒng)一使用UTF-8編碼二進(jìn)制屬性如照片、證書先Base64再寫入。代碼里做一次防御性清理對(duì)讀到的屬性值去除首尾空白和ASCII控制字符再?zèng)Q定是否寫入。對(duì)mail這類地址屬性還要做小寫規(guī)范化避免AD和企業(yè)微信因?yàn)榇笮懖灰恢峦粋€(gè)郵箱被誤判成兩個(gè)人。4.5 增量同步把AD誤改回去循環(huán)更新問題現(xiàn)象是同步任務(wù)跑了幾輪之后AD里剛被企業(yè)微信側(cè)改掉的手機(jī)號(hào)在下一次同步時(shí)又被AD側(cè)的舊值覆蓋了。這是典型的循環(huán)更新。AD為主的方向從AD讀用戶手機(jī)號(hào)推給企業(yè)微信。企業(yè)微信為主的方向從企業(yè)微信拉手機(jī)號(hào)回寫AD。如果兩個(gè)方向的update事件相互觸發(fā)——比如你寫回AD的phoneNumber使whenChanged更新AD側(cè)任務(wù)發(fā)現(xiàn)變化后又把值推回企業(yè)微信——兩邊就會(huì)互刷。解決方式有三種。第一只在“源端新于目標(biāo)端”時(shí)才更新需要記錄每次同步時(shí)的屬性時(shí)間戳。第二在AD用戶上打來源標(biāo)記腳本只更新標(biāo)記為“本工具管轄”的用戶HR手動(dòng)改的AD用戶不覆蓋。第三用“值比較”而不是“事件驅(qū)動(dòng)”兩邊值一致就跳過不一致再按源端優(yōu)先級(jí)覆蓋。第三種最直觀配合哈希表做增量效果足夠穩(wěn)定。我經(jīng)歷過最嚴(yán)重的一次就是忘了加來源標(biāo)記兩個(gè)任務(wù)互刷了幾萬次modify域控CPU飆升查了一整天才定位到是雙向任務(wù)沒有防循環(huán)邏輯。5. 上線之后的驗(yàn)證與收尾用一次靜默對(duì)賬替代半夜告警5.1 對(duì)賬腳本AD與API成員差分對(duì)比同步工具上線后最怕的不是同步失敗而是“看起來成功了”。比如企業(yè)微信API返回成功但部分成員因?yàn)椴块T不存在被丟棄后臺(tái)看不到失敗信息。所以每周做一次對(duì)賬很有必要。對(duì)賬邏輯很簡單AD按mail作為key建集合企業(yè)微信也按mail建集合兩個(gè)集合的差集就是問題名單。針對(duì)差集中的用戶判斷是“AD有、企業(yè)微信無”還是“企業(yè)微信有、AD無”。前者可能是同步任務(wù)跳過了某個(gè)離職成員后者可能是企業(yè)微信有成員但AD里沒有對(duì)應(yīng)賬號(hào)。把這份名單輸出到文件中由專人確認(rèn)而不是自動(dòng)寫回避免對(duì)賬腳本本身成為另一個(gè)誤操作源。python compare.py --ad-source ldaps://dc01.example.com --wecom-secret xxx \ --output /var/log/sync/discrepancies.csv對(duì)賬腳本不要用同步工具同一條代碼路徑否則同樣的映射bug會(huì)同時(shí)污染兩邊數(shù)據(jù)。我一般會(huì)重新寫一個(gè)只讀腳本單獨(dú)連LDAPS和企業(yè)微信API獨(dú)立校驗(yàn)屬性一致性必要時(shí)對(duì)比手機(jī)號(hào)和部門路徑。5.2 限流退避與死信日志企業(yè)微信API不是無限調(diào)用的。協(xié)議上對(duì)每個(gè)Secret的調(diào)用頻率有限制短時(shí)間密集請(qǐng)求會(huì)觸發(fā)45009接口調(diào)用超過限制或45010訪問頻率限制。同步任務(wù)在處理大批量成員時(shí)容易撞上。建議在API封裝層實(shí)現(xiàn)指數(shù)退避第一次失敗等1秒第二次等2秒第三次等4秒最高上限60秒。超過5次仍失敗就寫入死信隊(duì)列由人工介入。死信隊(duì)列可以是簡單的一個(gè)JSON文件記錄失敗的成員、屬性、操作類型和完整錯(cuò)誤碼。有了死信日志凌晨的任務(wù)失敗不必立刻起身處理早晨看一眼日志就能判斷是偶發(fā)限頻還是證書過期。驗(yàn)證方法上我最后的習(xí)慣是在每次同步任務(wù)結(jié)束后從AD側(cè)和企業(yè)微信側(cè)各隨機(jī)抽查20個(gè)用戶比較手機(jī)號(hào)、郵箱、部門三項(xiàng)。抽查腳本無法發(fā)現(xiàn)全量問題但能快速感知證書、token、分頁這類系統(tǒng)性故障——這類故障一旦發(fā)生通常是大面積屬性變更小樣本就能暴露。最后說一個(gè)我自己的教訓(xùn)不要把同步工具放在一臺(tái)臨時(shí)主機(jī)上做完了就忘。這類工具是基礎(chǔ)設(shè)施要納入配置管理和監(jiān)控體系。證書過期、密碼輪換、Secret重置每一項(xiàng)都能讓它安靜地失效。把這些賬號(hào)和證書的到期時(shí)間做成例行檢查項(xiàng)比寫一百行同步邏輯更重要。希望幫到你。本文還有配套的精品資源點(diǎn)擊獲取