ad-campus 可以做单点登录吗？没有域控服务器

H3C AD-Campus（或同类园区控制器如华为 iMaster NCE-Campus）支持单点登录（SSO），但“没有域控服务器”时无法实现基于 AD 域的免密 SSO；可改用内置账号、LDAP 非域环境、CAS/SAML 协议对接其他 IdP 实现 SSO

AD-Campus 无 AD 域控环境下单点登录完整答复
先分清两个容易混淆的概念：
AD 域单点登录（传统 SSO）：PC 登录 Windows 域后免输账号自动完成网络准入认证，该方式必须部署 AD 域控，你当前环境无法使用。
通用单点登录（SAML2.0/OIDC/ 第三方身份平台联动）：不需要 Windows AD 域控，可以实现，依托 AD-Campus 内置 EIA 准入组件 完成。
一、结论
✅ 没有 Windows AD 域服务器，AD-Campus 依然可以实现单点登录，但不能使用 AD 域脚本式 SSO；采用 SAML2.0/OIDC 标准协议对接第三方身份平台。
AD-Campus 准入体系依赖 EIA（终端智能分析组件），所有单点登录能力均由 EIA 提供。
二、无域环境可用的 3 套单点登录方案（按落地推荐排序）
方案 1：SAML 2.0 单点登录（最常用，推荐）
适用场景：企业微信、钉钉、Azure AD、飞书、自研统一身份平台、CAS、IdP 身份中心。
工作流程：
用户打开浏览器访问内网资源，重定向至第三方身份平台登录页；
用户在统一身份平台完成登录；
IdP 通过 SAML 断言将身份信息回传给 AD-Campus EIA；
EIA 自动发起 Portal 准入认证，认证成功终端获得网络权限。
优势：完全不需要 AD 域；PC 不需要安装 iNode 客户端；纯浏览器实现 SSO。
局限：仅支持 Portal 认证场景，不支持 802.1X 有线 / 无线客户端无感登录。
方案 2：iNode 客户端无感知认证（客户端侧 “准单点登录”，无域）
不需要域控，依靠 iNode PC 本地保存凭证：
用户首次输入账号密码完成 802.1X 认证；
勾选记住密码 / 自动连接；后续开机 iNode 自动拨号上网。
⚠️ 注意：这是客户端凭证缓存，不是标准跨系统 SSO；只是免去重复输入账号。
方案 3：对接 LDAP 服务器（替代 AD，轻量账号源）
如果你有开源 LDAP（OpenLDAP），可以把 EIA 账号源对接 LDAP；
注意：仅同步账号，无法实现 Windows 开机无感 SSO，只能做账号统一存储，不能实现免登。
三、重要限制（高频误区）
❌ 传统 AD 域 SSO（sso_setup 脚本方案）硬性依赖 AD 域控，无域环境彻底无法实现【Windows 开机后直接自动上网、不需要任何登录弹窗】。
❌ 802.1X（iNode 客户端）没有标准协议方式实现跨系统单点登录；行业内 802.1X 无感免登几乎都依托 AD 域环境。
✅ Portal 网页准入，不受 AD 域限制，SAML2.0 可以完美实现跨平台单点登录。
四、场景化选型建议
场景 A：员工通过浏览器访问内网系统，希望一次登录就能上网 + 访问业务系统
👉 使用 EIA + SAML2.0 对接统一身份平台（首选方案，无 AD 域）
场景 B：有线无线终端使用 iNode 802.1X 接入，想要开机免输入密码
👉 使用 iNode 记住密码自动连接；无法做到和业务系统账号互通的标准 SSO。
场景 C：客户期望 “电脑登录账号就自动上网，完全没有认证弹窗”
👉 该效果必须部署 AD 域控；无域环境技术上无法实现。