一、终端是身份安全的"最后一公里"

很多单位把统一认证做到了应用层和网络层，却漏掉了操作系统本身：员工开机输入一个本地密码就能进桌面，未授权人员拔了 U 盘插自己电脑也能读数据。终端，恰恰是身份安全闭环里最容易破防的一环。

安当 ASP V4.0 的核心亮点正是 "云 + 端"双模架构——通过轻量级 SLA（Secure Login Agent） 安全代理，把云端认证能力延伸到本地终端。

二、SLA 怎么接管操作系统登录

SLA 的原理是接管操作系统登录接口：在系统登录前强制完成二次认证，认证通过后才注入合法凭据，实现终端登录强管控。

开机 / 唤醒
   │
   ▼
SLA 安全代理拦截登录入口
   │  发起统一认证（UKey / OTP / 离线令牌）
   ▼
ASP 校验通过 → 注入凭据 → 进入桌面
失败 → 拒绝登录

支持的操作系统覆盖很广：

• Windows 7+ / Windows Server 2008+
• Linux
• 国产操作系统（银河麒麟等），满足信创环境要求

三、认证方式与部署形态

SLA 支持多种认证因子：

• USBKey 硬件令牌
• OTP 软件令牌（安当令牌小程序 6 位动态码）

部署模式灵活，适配不同规模企业：

关键点：离线令牌。即使终端断网，也能通过本地离线令牌完成认证，保障断网环境下的业务连续性——这是"云 + 端"双模架构相比纯云方案的最大优势。

四、终端治理三件套

SLA 不只是"加一道锁"，更把终端纳入统一治理：

1. 终端设备注册：安装 SLA 的终端首次联网自动向 ASP 管理端发起注册；
2. 设备用户授权：实时调整某台设备的"允许登录人员列表"，策略立即下发终端生效；
3. 设备日志审计：全量采集并记录终端侧安全事件，补上传统设备的审计空白。

ASP 管理端 ──策略下发──▶ 终端A(允许:张三,李四)
          └──────────▶ 终端B(允许:王五)

五、信创与等保

• 信创适配：支持银河麒麟等国产 OS，配合国密 UKey，符合国产化改造方向；
• 等保映射：终端双因子登录对应"身份鉴别"三级要求；设备日志满足"安全审计"；策略集中下发对应"集中管理"。

六、适用场景

• 研发 / 设计 / 财务等敏感部门终端强管控；
• 车间 / 产线专用终端防无关人员登录；
• 信创环境国产化终端统一身份；
• 分支机构离线 / 弱网终端的持续防护。

小结

终端操作系统登录是身份安全的最后一公里。安当 ASP 的 SLA 安全代理以"云 + 端"双模架构，把 UKey / OTP / 离线令牌强认证延伸到 Windows、Linux、国产 OS，并补齐设备注册、授权、审计三件套，既满足等保双因子，又兼顾断网业务连续性，是终端身份管控的务实之选。