1. Workspace平台对接AD域认证
配置Workspace云桌面与微软AD域连接时，需在管理平台“系统-服务器认证-认证服务器”菜单下增加认证服务器，填写认证服务器名称、IP地址、管理员DN及密码即可完成对接。管理员DN可通过在域控服务器上执行dsquery命令查询。

2. 统信集中域管平台对接AD认证源
若涉及UOS桌面对接统信集中域管平台，需添加AD认证源和数据源。认证源配置包括服务器地址（如100.100.16.227）、端口号（默认389）、管理员账号/密码、域名（如***.***）及AD加密方式（NONE/SHA/MD5）；数据源配置需保持基准DN与认证源域名一致，并支持自动同步及密码回写功能。

3. 云桌面域用户登录机制
域用户存储在AD域服务器中，可在整个域环境内客户端登录，系统通过域控服务器活动目录中的数据进行验证。

在H3C AD-Campus解决方案中，一级和二级Access交换机完全可以作为认证点开启dot1x认证，但这属于一种需要明确设计和配置的部署模式。标准方案默认将认证点放在Leaf上，但平台也提供了将认证点下沉到Access的灵活能力。

 两种认证点部署模式对比

 如何在平台中配置Access作为认证点

在AD-Campus平台中，将认证点下沉到Access的关键操作路径如下：

1. 进入接入条件配置：在平台中导航至 “接入服务” > “接入场景” > “接入条件”。

2. 选择接入位置：在“接入位置分组”中，不要选择Leaf设备，而是直接选择你的Access设备，或者更进一步，选择Access设备的具体下行接口。

3. 关键规则：需要注意，同一台设备只能选择一种匹配方式。如果你选择了Access设备作为“接入设备”，就不能再为它指定具体的“接入端口”；反之亦然，这是为了保证接入场景匹配的唯一性。

4. 控制器协同：平台会将认证策略下发到指定的Access设备。Access设备需要具备dot1x认证能力，并与EIA/RADIUS服务器网络可达，以完成认证报文的交互。

 案例参考

虽然没有直接命名为“Access作为认证点”的案例，但H3C官方社区中有用户提出了完全相同的组网和问题：“现在有一级access接leaf，还有二级access接一级access，在campus解决方案中，一级和二级access可以作为认证点，开启dot1x认证吗，还是认证点要在leaf上”。这本身就说明该场景是实际存在的，并且平台设计上支持这种灵活性。另一个关于接入位置分组的讨论也明确提到，接入设备可以选择Leaf、Access或Access多级级联设备，进一步证实了Access作为认证点的可行性。

 注意事项

• 版本支持：Access作为认证点的功能可能依赖于AD-Campus平台的具体版本。建议确认你的平台版本，并查阅对应版本的《AD-Campus 配置指导》中关于“接入位置”或“有线认证”的章节。

• 性能评估：将认证点下沉到Access，意味着dot1x认证处理会占用Access设备的CPU资源。如果Access设备性能有限且下挂终端数量庞大，需要提前评估。

• 策略一致性：无论认证点设在Leaf还是Access，最终的用户授权（VLAN/VSI、安全组）都由EIA统一决策并下发。需要确保Access设备与EIA之间的RADIUS互通正常，否则认证将无法完成。

AD‑Campus 一级 Access、二级 Access 级联组网 Dot1X 认证说明

组网：Leaf→一级 Access→二级 Access，终端接在一级 Access 或者二级 Access 端口。 结论：一级 Access、二级 Access 都可以作为 802.1X/MAC 认证点（认证执行点），不是必须把认证放在 Leaf 上；官方支持最多三级 Access 级联做终端认证H3C。但要区分两种实现模式：Access 本地认证执行点 和 Leaf 终结者（认证点在 Leaf），两种都有现网落地案例。

模式 1：Access 设备（一级 / 二级 Access）作为认证执行点（推荐级联场景，官方标准方案）

1. 原理：Dot1X/MAC 认证直接在 Access 交换机本地完成，EAP 报文直接上送给 EIA；认证通过后，Access 把用户报文打上位置 VLAN，透传上送到 Leaf，Leaf 做 VXLAN 网关、安全组策略业务随行处理H3C。
2. 约束条件
   • 一级、二级 Access 必须是 AD‑Campus 纳管的 Access 角色设备，空配置自动化上线，级联口必须使用 GE 光 / 电口，最多支持三级级联，不支持 FE 百兆口级联做认证点H3C。
   • 控制器 SeerEngine‑Campus 将802.1X、AAA 策略模板下发给一级 Access、二级 Access；终端接在哪台 Access，就在哪台 Access 端口执行 dot1x。
   • 级联上行口由控制器自动配置为 trunk，透传全部业务 VLAN、位置 VLAN，不需要手工透传 EAP 报文。
   • 支持业务随行：Access 认证完成，带上位置 VLAN 上送到 Leaf，Leaf 识别 VLAN 映射用户，下发安全组策略，网随人动正常生效。
3. 控制器配置路径 自动化>园区网络>网络设备>设备组，把802.1X 策略模板、AAA 模板绑定到一级 Access、二级 Access 设备组 / 接口组，模板会分别下发到每一台 Access。

案例：大量楼层二级接入交换机，终端全部接二级 Access，直接在二级 Access 端口做 dot1x 认证，是 AD‑Campus 标准三级组网成熟落地方案。

模式 2：终结者模式，认证控制点放在 Leaf（Access 只二层透传，Access 不参与认证）

终端接一级 / 二级 Access，Access 只纯二层透传 EAP 报文，802.1X 认证全部在 Leaf 设备执行。

1. 缺点：
   • 所有终端 EAP 报文全部跨多级设备送到 Leaf，EAP 报文路径长；
   • 终端故障、环路、大量认证报文压力全部压在 Leaf；
   • Access 端口无法做 port‑security、认证前隔离，不建议多级级联场景使用终结者模式。
2. 注意：这种模式下中间 Access 需要透传 dot1x 协议报文；AD‑Campus 自动化纳管 Access 角色不建议手工配置 l2protocol‑tunnel，优先选模式 1，让 Access 本地做认证执行点。

高频踩坑（级联 Access 做认证点）

1. ❌级联口使用百兆 FE 口：Access 级联必须 GE 口，FE 口级联不支持 Access 角色自动化，也不支持本地 dot1x 认证执行点H3C。
2. ❌没有把认证模板绑定到二级 Access 设备组，只绑定 Leaf 设备组：二级 Access 不会收到 dot1x 配置，终端端口不触发认证。

很多人只给 Leaf 绑定认证模板，二级 Access 端口接入终端，直接放行网络，不弹出 802.1X。

3. ❌混用非 H3C 第三方二级交换机：第三方交换机不能作为 AD‑Campus Access 角色，不能成为认证执行点，只能走 Leaf 终结者模式，需要手工配置 EAP 报文透传。

只有 H3C 交换机被控制器识别为 Access 角色，才支持本地作为认证执行点。

4. ❌级联链路做聚合超过 2 条物理链路：Access 级联自动聚合最多只支持两条成员链路H3C。

快速判断当前认证点位置命令

登录 Access（一级 / 二级）：

如果接口下存在 dot1x、mac‑authentication 配置，代表该 Access 就是本地认证执行点； 如果接口没有任何 dot1x 配置，报文透传，认证在 Leaf。

组网选型建议

1. 终端直接接 Access（一级、二级）：优先使用【Access 本地作为认证执行点】模式，控制器给所有 Access 下发 802.1X 模板，是官方推荐，大量项目案例使用。
2. 如果接入是第三方交换机，无法纳管为 Access 角色：只能采用终结者模式，认证点部署在 Leaf，中间设备透传 EAP 报文。

补充：AD‑Campus 三级组网标准架构：Spine‑Leaf‑Access（支持多级 Access 级联），Access 就是终端接入层，承担 802.1X/MAC 认证执行点；Leaf 负责 VXLAN 网关、安全组业务随行。并不是所有认证都必须在 Leaf。