通用目录 Universal Directory

身份治理的起点是「同一份数据」。只要用户名、部门、岗位在三个系统里有三个版本，权限就一定会漂移。

主目录还是从属目录

如果企业以 AD 为权威源，Okta 作为从属目录读取并补充云端属性；如果没有统一目录（常见于快速扩张或多云环境），可以直接以 Okta 为主目录，让 HR 系统作为上游。

动态组减少手工维护

组规则可以写成「部门 = 销售 且 职级 ≥ M3」，成员随属性变化自动进出。应用分配挂在组上，人员调岗时权限自动跟随。