SSO 的价值不只是「少输几次密码」。当登录入口收敛到一个地方，企业才第一次拥有统一的会话视图：谁在什么设备上、以什么强度完成了认证，以及这个会话还能访问哪些系统。
两种接入方式
对支持标准协议的应用，直接通过 SAML 或 OIDC 建立信任关系；对只能做表单登录或 Header 认证的老系统，则通过 Access Gateway 以反向代理方式托管登录页，应用本身无需改动。
策略在会话层生效
登录策略可以按用户组、网络区域、设备状态设置不同的会话时长与重新认证频率。高风险场景可以要求更高的认证强度，常规办公场景则保持体验流畅。
上线节奏建议
- 第一批：高价值、低风险的应用（邮件、协作、HR 自助）
- 第二批：核心业务系统，同步梳理组与角色映射
- 第三批：内网遗留应用，用网关补齐