一、三种部署模式，先定规模

• 单机版：无需服务器，本地独立运行，适合隔离网络环境与小规模场景，配置简单、快速上手；
• 联网版（推荐）：对接 ASP 平台，策略统一下发，支持 AD / LDAP 无缝集成、完整审计日志、设备 / 用户绑定管理、离线应急登录，覆盖中大型企业；
• SaaS 云服务：云端托管、零运维，弹性扩展、多租户，当天即可上线。

二、和 AD / LDAP 无缝集成

很多企业担心上双因素要"另建一套账号"，SLA 联网版直接打消这个顾虑：

• 无需创建额外账户，统一 AD 管理，保留现有登录流程，用户无感知；
• 支持组策略批量部署，在域控侧一键推送，告别逐台配置；
• 与域控完美兼容，账号在 AD 禁用后，对应 UKey / 令牌同步失效。

AD 域环境通常1-2 天即可完成部署调试。某制造企业 2000+ 终端部署 SLA 后，员工"登录体验"满意度评分达4.6 / 5.0——双因素几乎没有拖慢效率。

三、断网也不怕：离线应急登录

网络不是永远可靠，外场服务器、隔离产线、野战环境都可能是无网状态。SLA 的应对是：

• 四种认证方式全部支持离线可用，指纹模板本地存储、UKey 本地签名，断网照常认证；
• 离线应急登录：网络中断时，管理员可用 OTP 令牌临时登录，保障业务不中断；
• 轨交外场服务器、军用指挥车等场景已验证：完全离线运行、一人一钥、权限可控。

四、全链路审计与精细化权限

SLA 不止于"拦住非法登录"，更把每一次登录变成可追溯的事件：

• 全链路审计追踪：实时记录"用户—终端—时间—认证方式"，满足等保审计要求；
• 精细化权限控制：设备 / 用户白名单管理，按账号组分发不同认证因子；
• 异常告警：异地、异常时间、频繁失败登录可配置提醒。

五、终结共享账号：“一人一令牌”

共享运维账号是审计最大短板——出了问题查不出是谁。SLA 的治理思路是：

• 给每个运维 / 操作员配发独立 UKey 或令牌，一人一令牌、一人一身份；
• 结合设备 / 用户绑定，即便共用同一台设备，也能通过指纹 / UKey 精确到人；
• 离职人员账号在 AD 禁用即同步失效，权限回收不再依赖"提醒"。

六、标准部署流程

无论哪种模式，标准节奏都清晰可控：

1. 需求沟通（1 天）
2. 环境测试（1 天）
3. 批量部署（1-3 天）
4. 上线验收（1 天）

单机版最快 1 天上线，联网版 3-5 天，SaaS 当天可用。

小结

SLA 的部署弹性，让它既能小步快跑（单机版 1 天试用），也能平台化治理（联网版对接 ASP、统一策略、全链路审计）。和 AD / LDAP 的原生集成意味着"零额外账号、用户无感"，离线应急与一人一令牌则补齐了最容易被忽视的两块短板。至此，SLA 操作系统登录双因素认证从原理、合规、场景、选型到部署已经串成完整闭环——它守的不是一道门，而是企业身份安全的第一道门。