本卡屬 FR-166（母卡 CM-3109 延伸），決策者 2026-10-28 手測發現。Repo：evidence-agent。依賴 BE＋套件卡「名單下發 AD 帳號」（心跳多帶 ad_account）。

白話

主控台 AD 登入現在是拿主系統帳號名直接組成「網域\帳號」去問 AD。主系統帳號跟 AD 帳號不同名的人（例：主系統 blsadmin 綁 AD raymond）一定登不進。改成用主系統下發的 ad_account 問 AD；名單上這欄是空的（沒綁 AD），AD 分頁對這個人就不給用、只能離線密碼。另外登入失敗時 Agent log 只有一句「password login rejected」，不在名單、AD 拒、帳號組不出來三種原因分不出來，查了半小時才定位；要分開記。

問題在哪

• core/ldap_source.py ad_account()：拿 sub 直接組 網域\sub。login_check(sub) 也是。
• core/offline_operators.py：Operator 沒有 ad_account；_sanitize 不收；SQLite offline_operators 表（core/local_db/migrations.py v2）沒這欄。
• core/console/local_auth.py verify()：名單不在／AD 沒過／方法不對都回同一個 FAILED，log 只在路由層印一句。

怎麼做

• 【new migration】core/local_db/migrations.py 加 v5：offline_operators ADD COLUMN ad_account VARCHAR(255)（SQLite 不支援 ADD COLUMN IF NOT EXISTS，照 v1 的寫法先查 PRAGMA table_info 再加）。
• 【extend】offline_operators.Operator 加 ad_account: Optional[str]；_sanitize 收字串、超長或非字串當 None；replace_all／get 的 INSERT／SELECT 帶這欄。
• 【extend】ldap_source.login_check(sub) 改成 login_check(op: Operator)：is_ad 時 account = op.ad_account，沒有就回 None（並記 info「{sub} 未綁定 AD 帳號，AD 登入不可用」）；非 AD 的 LDAP 保留原本用 sub 的行為（OpenLDAP 走 DN 查）。ad_account() 那支若只剩 login_check 在用就刪；還有別人用（grep）就留並改簽名。
• 【extend】local_auth._check_operator：METHOD_LDAP 時傳 op 進 login_check；回 None 一律失敗並 burn_time（不退回離線密碼，維持 CM-3173「AD 只問 AD」）。
• 【extend log】local_auth.verify 失敗分三種各記一行 warning（不含密碼）：not_listed（不在名單／撤銷／到期／未同步）、method_blocked（本機關閉離線登入或離線超天數）、credential_rejected（AD 或離線密碼不過）；AD 側 login_check 的既有 info 保留。路由層那句「password login rejected」改帶 reason。稽核事件 local_login_failed 若已有就帶 reason 欄，沒有就不新增事件（避免動 BE 白名單）。
• 【extend 登入頁提示，可併 FE 卡】/console/state 或 /console/local-session 的 401 回應不洩漏「這個人有沒有綁 AD」（SR-01.1 成敗一致）；只在登入成功後的 /api/me 回 ad_bound 給畫面用。登入頁 AD 分頁的提示文字改成「用主系統上綁定的 AD 帳號密碼」。

改哪些檔

• core/local_db/migrations.py、core/offline_operators.py（180 行）、core/ldap_source.py（269 行）、core/console/local_auth.py（111 行）、core/console/routes.py（401 那句 log）
• test/test_console_local_login.py、test/test_offline_operators*.py、test/test_ldap_source*.py（先 ls test 找正確檔名）

驗證

• 單元測試：名單帶 ad_account=JEDICOGY\raymond 時 login_check 用它 bind；ad_account=None 時 AD 分頁回 FAILED 且不呼叫 directory；名單沒帶這欄（舊主系統）＝None。突變：login_check 改回用 sub → 第一支紅。
• migration：v4 的 agent.db 升到 v5 後 PRAGMA table_info 有 ad_account；重放不炸。