技术 on Dawn`s Blog

FreeIPA 完整部署指南：从零到一的集中认证方案

Sat, 18 Apr 2026 21:04:35 +0800

前言

在构建 HPC 集群、Slurm 调度系统或内部技术平台时，统一身份认证 是绕不过的第一道坎。

不想自己拼 LDAP + Kerberos + DNS + CA？
希望一个工具解决账号管理、密钥分发、证书颁发？
需要开箱即用、生产就绪的方案？

那么 FreeIPA 就是你的答案。

本文基于真实部署经验，包含完整的命令流程、每一步的"为什么"、常见坑点和排查方法。读完这篇，你能独立部署一套可用的企业级身份认证系统。

一、为什么选择 FreeIPA？

FreeIPA 的核心价值

FreeIPA 不是单一工具，而是一个"一体化身份管理平台"，它整合了以下组件：

组件	作用	为什么需要
389-DS	LDAP 目录服务	集中存储用户、组、主机等目录信息，支持复杂查询和权限控制
MIT Kerberos	网络身份认证	提供无密码认证（票据制），比密码更安全，支持 SSO
BIND	DNS 服务	FreeIPA 依赖 DNS 进行主机发现、服务定位（SRV 记录）和身份验证
Dogtag	证书颁发机构（CA）	签发 HTTPS、客户端证书，支持 SSH 证书认证
SSSD	客户端认证守护进程	缓存认证信息，支持离线登录，减轻服务器压力

对比其他方案

方案	学习成本	维护难度	功能完整度
自建 LDAP	★★★★☆	★★★★★	★★★☆☆
自建 LDAP + K5	★★★★★	★★★★★	★★★★☆
FreeIPA	★★☆☆☆	★★☆☆☆	★★★★★
Active Directory	★☆☆☆☆	★★☆☆☆	★★★★★

FreeIPA 的优势：

MacOS

Sat, 16 Nov 2024 22:37:34 +0800

记录一下新到的 MacOS 软件安装

Homebrew

/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"

echo 'eval "$(/opt/homebrew/bin/brew shellenv)"' >> /Users/dawn/.zprofile

echo 'export HOMEBREW_PIP_INDEX_URL=https://pypi.tuna.tsinghua.edu.cn/simple' >> ~/.zprofile

echo 'export HOMEBREW_API_DOMAIN=https://mirrors.tuna.tsinghua.edu.cn/homebrew-bottles/api' >> ~/.zprofile

echo 'export HOMEBREW_BOTTLE_DOMAIN=https://mirrors.tuna.tsinghua.edu.cn/homebrew-bottles' >> ~/.zprofile

Basic

brew install font-lxgw-wenkai
brew install tmux
brew install git

Oh my zsh

git clone --depth=1 https://github.com/ohmyzsh/ohmyzsh.git ~/.oh-my-zsh

cp ~/.oh-my-zsh/templates/zshrc.zsh-template ~/.zshrc

git clone --depth=1 https://github.com/zsh-users/zsh-autosuggestions.git ~/.oh-my-zsh/custom/plugins/zsh-autosuggestions

git clone --depth=1 https://github.com/zsh-users/zsh-syntax-highlighting.git ~/.oh-my-zsh/custom/plugins/zsh-syntax-highlighting

OrbStack

brew install orbstack

输入法

brew install --cask squirrel

git clone --depth=1 git@github.com:acdiost/oh-my-rime.git ~/Library/Rime

Nodejs

brew install node@22
echo 'export PATH="/opt/homebrew/opt/node@22/bin:$PATH"' >> ~/.zprofile

Rust

brew install rust

Python

brew install python@3.13
pip3 config set global.index-url https://mirrors.tuna.tsinghua.edu.cn/pypi/web/simple/

Go

brew install go
echo "export GOPATH=$HOME/go" >> ~/.zprofile
echo "export GO111MODULE=on" >> ~/.zprofile
echo "export GOPROXY=https://goproxy.cn,direct" >> ~/.zprofile

Java

brew install java
echo 'export PATH="/opt/homebrew/opt/openjdk/bin:$PATH"' >> ~/.zprofile

brew install maven
# 配置文件
/opt/homebrew/Cellar/maven/3.9.9/libexec/conf/settings.xml

Syncthing

使用 Syncthing 同步文件

写了一个 hugo 主题

Thu, 08 Feb 2024 22:14:09 +0800

在上个月末，我突发奇想，决定自己结合 ChatGPT 写一个 Hugo 主题。最开始通过网上的几个视频教程学习，如何创建主题开始一个 Hello world，再参考其他主题的语法，把基础的几个页面架子搭建出来了。

然后开始学习 Tailwindcss，也间接了解了 Unocss。

最后通过和 ChatGPT 的对话，写了三遍，我成功地完成了此主题编写。

期间因为工作、其他事情的耽搁，花费了将近半个月才把这个主题完全写好。

前前后后总耗时预计为两天。

整个页面布局简单
兼容手机
文章字体使用落霞文楷，更契合汉字美感
将字体调整大，为大多近视的人提供更好的阅读体验

Use_tailwindcss

Thu, 01 Feb 2024 22:11:29 +0800

安装

hugo new theme acdiost-theme 创建主题后进入 cd themes/acdiost-theme 目录

Install Tailwind CSS Install tailwindcss via npm, and create your tailwind.config.js file.

npm install -D tailwindcss
npx tailwindcss init

Add the paths to all of your template files in your tailwind.config.js file.

/** @type {import('tailwindcss').Config} */
module.exports = {
 content: ["./layouts/**/*.{html,js}"],
 theme: {
 extend: {},
 },
 plugins: [],
}

Add the @tailwind directives for each of Tailwind’s layers to your main CSS file.

树莓派软路由

Wed, 20 Dec 2023 21:24:59 +0800

树莓派 4B docker openwrt 软路由快速配置

安装前提

Docker

curl -fsSL https://get.docker.com -o get-docker.sh
sudo sh get-docker.sh

我使用的系统环境是

dawn@raspberrypi:/opt/openwrt $ uname -a
Linux raspberrypi 6.1.0-rpi4-rpi-v8 #1 SMP PREEMPT Debian 1:6.1.54-1+rpt2 (2023-10-05) aarch64 GNU/Linux

dawn@raspberrypi:/opt/openwrt $ cat /etc/os-release
PRETTY_NAME="Debian GNU/Linux 12 (bookworm)"
NAME="Debian GNU/Linux"
VERSION_ID="12"
VERSION="12 (bookworm)"
VERSION_CODENAME=bookworm
ID=debian
HOME_URL="https://www.debian.org/"
SUPPORT_URL="https://www.debian.org/support"
BUG_REPORT_URL="https://bugs.debian.org/"

开启混杂模式

sudo ip link set eth0 promisc on

此命令将 Raspberry Pi 上的以太网接口 eth0 设置为混杂模式。在混杂模式下，网络接口可以捕获其所连接的网段上的所有网络流量。

创建网络

此网段需要和路由器一致，例如我家的光猫 IP 为 192.168.1.1

sudo docker network create -d macvlan --subnet=192.168.1.0/24 --gateway=192.168.1.1 -o parent=eth0 openwrt-wan

此命令使用 macvlan 驱动程序创建一个名为 openwrt-wan 的 Docker 网络。它通过 Raspberry Pi 上的 eth0 有效地将 Docker 容器桥接到物理网络。

为服务器添加 Cloudflare Wrap

Wed, 05 Apr 2023 10:42:09 +0800

Cloudflare WARP 是 Cloudflare 提供的一项基于 WireGuard 的网络流量安全及加速服务，能够让你通过连接到 Cloudflare 的边缘节点实现隐私保护及链路优化。

很多我们需要访问的网站都需要使用原生 IP，比如：Disney+， ChatGPT, New Bing 等。

所谓原生 IP 就是指该网站的 IP 地址和其机房的 IP 地址是一致的

wget git.io/warp.sh
sudo bash warp.sh menu

选择：1、4、5；

1 - 安装 Cloudflare WARP 官方客户端

4 - 安装 WireGuard 相关组件

5 - 自动配置 WARP WireGuard IPv4 网络

如果有 ipv4 和 ipv6，则可选：1、4、7

1 - 安装 Cloudflare WARP 官方客户端

4 - 安装 WireGuard 相关组件

7 - 自动配置 WARP WireGuard 双栈全局网络

为 Git 添加签名验证信息

Mon, 06 Feb 2023 10:50:22 +0800

有时候我们能在 GitHub 上看到有的项目在提交信息中有 Verified 的绿色签名验证框，在一些大型项目中，此签名信息是必须的，否则无法提交相关的代码在项目中。下面是在 Git Bash 中的配置操作(brew install gnupg on MacOS)：

gpg --full-generate-key

gpg (GnuPG) 2.2.23-unknown; Copyright (C) 2020 Free Software Foundation, Inc.
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

Please select what kind of key you want:
 (1) RSA and RSA (default)
 (2) DSA and Elgamal
 (3) DSA (sign only)
 (4) RSA (sign only)
 (14) Existing key from card

Your selection? # 输入 Enter

RSA keys may be between 1024 and 4096 bits long.

What keysize do you want? (3072) 4096 # 输入 4096

Requested keysize is 4096 bits
Please specify how long the key should be valid.
 0 = key does not expire
 <n> = key expires in n days
 <n>w = key expires in n weeks
 <n>m = key expires in n months
 <n>y = key expires in n years

Key is valid for? (0) # 输入 Enter

Key does not expire at all

Is this correct? (y/N) y # 输入 y

GnuPG needs to construct a user ID to identify your key. # 输入个人资料

Real name: acdiost
Email address: acdiost@email.com
Comment:
You selected this USER-ID:
 "acdiost <acdiost@email.com>"

Change (N)ame, (C)omment, (E)mail or (O)kay/(Q)uit? O # 输入 O

We need to generate a lot of random bytes. It is a good idea to perform
some other action (type on the keyboard, move the mouse, utilize the
disks) during the prime generation; this gives the random number
generator a better chance to gain enough entropy. # 在弹出窗口中设置密码

gpg --list-secret-keys --keyid-format=long # 列出 gpg key 信息

gpg: checking the trustdb
gpg: marginals needed: 3 completes needed: 1 trust model: pgp
gpg: depth: 0 valid: 1 signed: 0 trust: 0-, 0q, 0n, 0m, 0f, 1u
/c/Users/Dawn/.gnupg/pubring.kbx
--------------------------------
sec rsa4096/73DFAAC188F713EE 2023-02-06 [SC] # 此处为 ID
 xxxxxxx
uid [ultimate] acdiost <acdiost@email.com>
ssb rsa4096/BC06DE040749ABCA 2023-02-06 [E]

gpg --armor --export 73DFAAC188F713EE # 导出秘钥

将打印的秘钥复制至 GitHub 的 GPG keys 中

My First Post

Fri, 03 Feb 2023 12:27:12 +0800

Introduction

This is bold text, and this is emphasized text.

Visit the Hugo website!

添加文章： hugo new "categories/title.md"

本地查看： hugo server -D

发布文章： hugo

同步 Hugo 至 GitHub：

cd hugo-blog
git add .
git commit -sm "add new post"
git push -u origin main

我创建博客使用了很多工具，诸如新浪博客、WordPress、typecho、leanote、hexo、logseq 和语雀等。最终选择使用 hugo 来管理，GitHub Pages 作为托管。曾使用 WordPress、typecho 和 hexo 把站点弄的花里胡哨，其实并没有太大作用。我也曾使用 logseq 和 obsidian 来管理，但它们是作为知识的整理归纳；博客作为最后的输出，发现不太适合自己的需求。

我选择了自己结合 ChatGPT 用 tailwindcss 写一个 hugo 的主题，致力于阅读，没有评论让自己思考；化繁为简没有其他的东西干扰。

其实最重要的莫过于是持之以恒，任何事大抵如此。望自己能坚持下去！