Linux以UID=0为超级管理员唯一标识，支持多root共存；Windows以SID为不可变身份凭证，强调全局唯一性，二者均以数字标识而非用户名判定权限。
强制执行所有系统账号的个人化身份标识唯一性，核心在于从机制设计、技术控制和管理流程三方面同步落地，不能只靠人工检查或事后补救。
明确唯一性锚点：统一使用不可变UID/SID作为主标识
Linux系统必须以UID为唯一判定依据，Windows系统必须依赖SID。用户名（login name）仅作显示用途，不参与权限判定。
- Linux：禁止手动指定UID，全部由系统自动分配（useradd -m默认行为），并确保
/etc/passwd第三字段无重复； - Windows：禁用SID复制工具或脱域重加域等可能导致SID复用的操作，域环境必须由AD统一发放，本地账户由LSA生成；
- 严禁通过修改
/etc/passwd或注册表硬编码方式“复用”已有UID/SID——这会直接破坏ACL继承与审计溯源。
部署自动化校验与拦截机制
不能依赖管理员定期cat /etc/passwd肉眼排查，而应让系统在创建/修改环节实时拒绝违规操作。
- Linux：在PAM配置中启用
pam_uniqueuid.so模块（需编译支持），或在用户创建脚本中嵌入awk -F: '$3 == UID {exit 1}' /etc/passwd校验逻辑； - Windows：通过组策略启用“审核账户管理”事件（4720/4722），配合SIEM工具实时告警重复SID尝试；
- 所有新账号开通前，必须调用统一身份服务API进行UID/SID预占登记，返回失败即终止流程。
覆盖全生命周期的审计与追溯
唯一性不是“创建时有效”就结束，而是贯穿账号整个生命周期——包括禁用、迁移、重建场景。
- Linux：保留已删除用户的UID记录（如写入
/etc/user_archive），防止回收再分配； - Windows：禁用“重新激活旧账户”操作，旧SID账户必须标记为disabled而非删除，新建账户强制生成全新SID；
- 日志中所有访问控制决策（如sudo、文件访问、远程登录）必须绑定原始UID/SID，而非用户名——避免同名不同人导致审计断链。
跨平台统一标识映射（适用于混合环境）
当Linux与Windows共存，或对接云服务（Azure AD、LDAP）时，需建立可验证的映射关系，避免“同一人多套ID”引发权限割裂。
- 采用RFC 8559定义的
posixAccount对象类，在LDAP中同步存储UID、GID、shell、homeDirectory等字段； - Windows域用户登录Linux时，通过SSSD将AD SID映射为本地UID（
id_provider = ad+ldap_id_mapping = True），禁用fallback_homedir等模糊匹配； - 所有应用系统接入统一认证网关，凭证交换中只传递标准化主体标识（如
subclaim），不传递原始用户名。
