Dawn`s Blog

FreeIPA 完整部署指南：从零到一的集中认证方案

Sat, 18 Apr 2026 21:04:35 +0800

前言

在构建 HPC 集群、Slurm 调度系统或内部技术平台时，统一身份认证 是绕不过的第一道坎。

不想自己拼 LDAP + Kerberos + DNS + CA？
希望一个工具解决账号管理、密钥分发、证书颁发？
需要开箱即用、生产就绪的方案？

那么 FreeIPA 就是你的答案。

本文基于真实部署经验，包含完整的命令流程、每一步的"为什么"、常见坑点和排查方法。读完这篇，你能独立部署一套可用的企业级身份认证系统。

一、为什么选择 FreeIPA？

FreeIPA 的核心价值

FreeIPA 不是单一工具，而是一个"一体化身份管理平台"，它整合了以下组件：

组件	作用	为什么需要
389-DS	LDAP 目录服务	集中存储用户、组、主机等目录信息，支持复杂查询和权限控制
MIT Kerberos	网络身份认证	提供无密码认证（票据制），比密码更安全，支持 SSO
BIND	DNS 服务	FreeIPA 依赖 DNS 进行主机发现、服务定位（SRV 记录）和身份验证
Dogtag	证书颁发机构（CA）	签发 HTTPS、客户端证书，支持 SSH 证书认证
SSSD	客户端认证守护进程	缓存认证信息，支持离线登录，减轻服务器压力

对比其他方案

方案	学习成本	维护难度	功能完整度
自建 LDAP	★★★★☆	★★★★★	★★★☆☆
自建 LDAP + K5	★★★★★	★★★★★	★★★★☆
FreeIPA	★★☆☆☆	★★☆☆☆	★★★★★
Active Directory	★☆☆☆☆	★★☆☆☆	★★★★★

FreeIPA 的优势：

一场迟到两年的打款

Mon, 23 Mar 2026 23:07:07 +0800

前公司拖欠的工资，终于开始打款了。

从最初走上劳动仲裁，到真正看到钱到账，前后将近两年时间。

2024 年 3 月，我申请了劳动仲裁；7 月开庭。当时选择了调解，本以为事情会就此收尾。约定从 8 月开始分期付款，但承诺并没有兑现。

之后进入强制执行阶段，却迟迟没有进展——公司账上没有可执行财产。

那时候我第一次意识到一件事：制度是存在的，但它并不保证结果。

它能给你路径，却不能替你走完；能给你判决，却不保证对方履行。
当执行落空时，一切又会回到最原始的问题——对方有没有钱，以及你还愿不愿意继续耗下去。

2025 年初，我决定请律师介入，开始付费推进案件。

5 月，案件被裁定“终本”。律师随即帮我提起执行异议，又等待了三个月的受理周期。

流程在继续，但节奏极慢。每一步都合理、合规，也都有期限，只是这些期限叠加在一起，变成了一种漫长的消耗。

直到 2025 年 10 月底，案件才终于被法院受理，并追加了前上级股东单位——这家公司在新规实施前更换过法人，需实缴。

我后来才慢慢明白，规则本身也有时间差。
有些人利用规则，有些人被规则拖住，而更多时候，你只能在规则允许的范围内，一点一点往前挪。

11 月中旬，缴纳诉讼费，一切重新进入流程。

接下来，是等待 2026 年 3 月的开庭。

这两年里，时间被不断拉长：调解、失约、执行、终本、异议、再立案……流程一环扣一环，人却只能被动等待。

直到最近，钱终于开始陆续打进来。

它不是一次性解决的，更像是被一点点“挤”出来的结果。

如果说这段经历留下了什么，大概不是胜诉的结果，而是一种更现实的理解——

规则不是为你兜底的，它只是给你一个可以反复尝试的机会。

至于能不能拿回属于你的东西，很多时候，取决于你能承受多久。

我的「七遍学习法」：从接触到真正掌握一个新领域

Tue, 13 Jan 2026 22:56:35 +0800

在学习一个全新领域时，我慢慢发现一个事实：

真正的难点，往往不是信息不够多，
而是如何把零散的信息，变成自己真正能用的能力。

在不断学习、实操和教学的过程中，我逐渐形成了一套相对稳定的方法。它不追求“学得快”，而是关注是否真的掌握。
我把它称为 —— 「七遍学习法」。

第一遍：拉通整体流程，先看清全局

第一遍，我只做一件事：看全局。

这一遍不纠结细节是否完全理解，而是快速弄清楚：

这个领域主要解决什么问题？
整体流程大概是怎样的？
安装、部署、运行分别处在哪个阶段？

就像先看地图，而不是一上来就研究每一条小路。
目标只有一个：知道自己身处哪里，要往哪里走。

第二遍：修正文稿，把关键细节补齐

有了整体轮廓之后，开始第二遍：填充细节。

我会一边查资料，一边整理和修改文档，重点关注：

每一步为什么要这样做
参数、配置和概念之间的关系
常见问题和容易踩的坑

这一遍，知识会从「看过」慢慢变成「理解过」。

第三遍：严格按文档，从零完整实操一遍

第三遍，是对文档的一次真实检验。

我会假设自己什么都不记得，只按照文档，从零开始完整跑一遍流程。

任何需要“想当然”的地方，
任何犹豫、出错或不顺畅的步骤，都会被记录下来并修正。

这一遍通常问题最多，但也是文档提升最快的一遍。

第四遍：录制教学视频，倒逼结构化理解

当流程已经比较顺畅后，我会尝试录制一遍教学视频。

讲给别人听，会自然暴露很多问题，比如：

哪些地方其实自己并没想清楚
哪些步骤逻辑是跳的
哪些概念一说出口就卡壳

很多时候，能讲清楚，比能做出来更难。

第五遍：剪辑视频，再次审视细节

剪辑视频，本身就是一次高密度复盘。

在反复回放中，我经常会发现：

表达不够严谨、容易误解的地方
节奏过快、信息密度过高的片段
本可以更简单的流程

这一遍，让内容更精炼，也让理解更深入。

第六遍：回看成品，站在学习者视角检查

视频完成后，我会完整回看一遍，并刻意切换到学习者视角：

是否缺少必要的前置说明？
是否存在逻辑跳跃？
是否需要补充背景或对比解释？

这一遍，是对“教学效果”的最终检查。

第七遍：脱稿应用与场景迁移，让知识真正变成能力

前六遍，更多是在解决「会不会」；
第七遍，验证的是「能不能用」。

我会刻意脱离原有文档和视频，把知识用到新的场景中，例如：

不看笔记，在另一套环境中重新搭建
修改示例，解决一个真实需求
即兴回答他人的问题，或当场讲解
写一篇不依赖原文档的总结或踩坑记录

只要在陌生环境和新问题下，仍然能顺利完成任务，
基本可以确定：这项知识已经真正内化了。

写在最后

「七遍学习法」的核心，并不是简单地“多学几遍”，
而是通过 输入 → 实操 → 输出 → 迁移，一步步逼近“掌握”这件事。

如果你也经常学习新技术、新工具或新领域的内容，不妨把「学会」当作中途站，把「能自由使用」作为终点。

工作分水岭

Fri, 31 Oct 2025 22:46:32 +0800

做了管理者，发现做的好与做的不好的同事的两类特点

做的好的同事，当遇到工作问题时，他们会想解决办法，会向我申请资源和决策支持

做的不好的同事，当遇到工作问题时，他们会直接将问题抛给我来处理，稍微好一点的会问我怎么做，但并没有深度的思考探索

我之前是直接帮他们处理并解决，我渐渐意识到每次帮他们处理后，我做了救火队员，他们会没有进步，团队的创造力随着时间推移渐渐萎靡

这也间接的反映了两类管理者，一类是之前的我，直接帮同事处理问题，另一类是将来的我，引导同事找方向，给到工作方法。

这两类倾向，常常和经验、薪资层级有关；但关键不在背景，而是思维习惯。

培训经历

Tue, 14 Oct 2025 21:05:02 +0800

今天面试了一个培训的人，26 岁，他是达内培训机构出来的，在达内交了近两万的培训费用。以前是做的贷款销售，一个月 4 千左右在成都，我仿佛看到了当年的自己。

回想 9 年前，我也经历了 Java 培训，交了 16800 块，分期。

当时的境遇特别需要一份入门的工作，又没有什么存款，算是比较窘迫了吧。

现在看着一份份投递过来的培训简历，很明显的简历包装，想到了自己以前的过往，心想还是给他们一个面试机会，让他们试试吧，说不定能改变某人的命运呢。

还有一个尴尬的情况，公司需要来了能干活的人，因为公司也需要生存，暂时无法留有余地去培养经验不丰富的人。经验不丰富的人又需要工作机会来积累经验，形成了冲突。

站在不同的立场上，也因为他的面试情况不佳，我没有通过他的面试。做出这个决定时，我心里还是有些遗憾的，我理解他的焦虑，也理解公司的现实——但现实终究不是怜悯能改变的。

我想机会还是要给内心真正喜欢技术和这个行业的人，而不是谋求生存而进入该行业的人。

也许每一次面试，都是一场命运交叉的瞬间。有人求生，有人求梦，而我，只希望能遇见那个为热爱而坚持的人。

MacOS

Sat, 16 Nov 2024 22:37:34 +0800

记录一下新到的 MacOS 软件安装

Homebrew

/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"

echo 'eval "$(/opt/homebrew/bin/brew shellenv)"' >> /Users/dawn/.zprofile

echo 'export HOMEBREW_PIP_INDEX_URL=https://pypi.tuna.tsinghua.edu.cn/simple' >> ~/.zprofile

echo 'export HOMEBREW_API_DOMAIN=https://mirrors.tuna.tsinghua.edu.cn/homebrew-bottles/api' >> ~/.zprofile

echo 'export HOMEBREW_BOTTLE_DOMAIN=https://mirrors.tuna.tsinghua.edu.cn/homebrew-bottles' >> ~/.zprofile

Basic

brew install font-lxgw-wenkai
brew install tmux
brew install git

Oh my zsh

git clone --depth=1 https://github.com/ohmyzsh/ohmyzsh.git ~/.oh-my-zsh

cp ~/.oh-my-zsh/templates/zshrc.zsh-template ~/.zshrc

git clone --depth=1 https://github.com/zsh-users/zsh-autosuggestions.git ~/.oh-my-zsh/custom/plugins/zsh-autosuggestions

git clone --depth=1 https://github.com/zsh-users/zsh-syntax-highlighting.git ~/.oh-my-zsh/custom/plugins/zsh-syntax-highlighting

OrbStack

brew install orbstack

输入法

brew install --cask squirrel

git clone --depth=1 git@github.com:acdiost/oh-my-rime.git ~/Library/Rime

Nodejs

brew install node@22
echo 'export PATH="/opt/homebrew/opt/node@22/bin:$PATH"' >> ~/.zprofile

Rust

brew install rust

Python

brew install python@3.13
pip3 config set global.index-url https://mirrors.tuna.tsinghua.edu.cn/pypi/web/simple/

Go

brew install go
echo "export GOPATH=$HOME/go" >> ~/.zprofile
echo "export GO111MODULE=on" >> ~/.zprofile
echo "export GOPROXY=https://goproxy.cn,direct" >> ~/.zprofile

Java

brew install java
echo 'export PATH="/opt/homebrew/opt/openjdk/bin:$PATH"' >> ~/.zprofile

brew install maven
# 配置文件
/opt/homebrew/Cellar/maven/3.9.9/libexec/conf/settings.xml

Syncthing

使用 Syncthing 同步文件

今天我离职了

Tue, 19 Mar 2024 21:27:12 +0800

今天我从公司离职了，在这个公司外包工作了一年。

之所以是外包，是因为当时学历 ( 高中[大专在读，现 2024 已毕业，自考本科中] ) 不够要求，无法进入到公司 ( 中国电子，子公司 ) 内部成为正式员工，所以只能以外包的形式进入。

如何进入此公司的？

因为我和现在公司的大多成员都是上家公司 ( 电科云，子公司[已破产] ) 共事的同事。大家对我的技术和工作能力的认可，其次是对平台的熟悉程度较高 ( 上家公司的公安政法业务转到了这边进行维护开发 ) 。

为何离职？

因为长期拖欠工资 ( 8 个月[包含现在的 3 月] ) 而离职，走了被迫离职的方式，进行了劳动仲裁。在上家公司也是因为拖欠工资 ( 6 个月 ) 而被迫离职，我这两年相当于白打工了，感觉非常的惨。

为什么坚持了这么久还不走？

外包公司在入职早期的时候，正常发放了两个月工资，中期开始延迟发放零散的工资，后期 12 月发了一个月工资，勉强维持起日常开支。我在年前就想走的了，但是 11 月发了部分和 12 月发了一次，就等着过春节会发放部分。结果未收到发放的工资，就有决心要离开了。我和另外的外包同事也在积极沟通打款的事宜，一直拖着，说在走流程。至今也未能给到准确的时间打款，连公司正式员工也出现了拖欠工资的情况了，只发基本生活的工资 ( 两千多 ) 。

在这个公司工作收获了什么？

我想我在这个公司的收获是微乎其微的，大多是将上家公司积累的工作经验在这个公司应用。

未来打算？

随着 AI 技术的发展，想要投身到 AI 技术在 Web3 领域的应用中。

为什么选择这个方向？

AI 在未来是大势所趋，Web3 也将拥抱 AI，在国内限制的情况下，区块链技术我认为依然算是早期，将先进技术应用在 Web3 领域进行布道，是我很想做的事，并认为其仍有很大发展空间。

我以前是做什么的？

进入互联网行业也是误打误撞，找工作偶然通过培训机构 ( Java 培训 ) 进入的这个行业，并爱上了它。早期有一年的 Java 开发经验和两年的 IT 系统管理经验。中后期开始接触运维相关的工作，有 5 年的运维管理经验。现如今在学习区块链和 AI 相关的技术。

写了一个 hugo 主题

Thu, 08 Feb 2024 22:14:09 +0800

在上个月末，我突发奇想，决定自己结合 ChatGPT 写一个 Hugo 主题。最开始通过网上的几个视频教程学习，如何创建主题开始一个 Hello world，再参考其他主题的语法，把基础的几个页面架子搭建出来了。

然后开始学习 Tailwindcss，也间接了解了 Unocss。

最后通过和 ChatGPT 的对话，写了三遍，我成功地完成了此主题编写。

期间因为工作、其他事情的耽搁，花费了将近半个月才把这个主题完全写好。

前前后后总耗时预计为两天。

整个页面布局简单
兼容手机
文章字体使用落霞文楷，更契合汉字美感
将字体调整大，为大多近视的人提供更好的阅读体验

Use_tailwindcss

Thu, 01 Feb 2024 22:11:29 +0800

安装

hugo new theme acdiost-theme 创建主题后进入 cd themes/acdiost-theme 目录

Install Tailwind CSS Install tailwindcss via npm, and create your tailwind.config.js file.

npm install -D tailwindcss
npx tailwindcss init

Add the paths to all of your template files in your tailwind.config.js file.

/** @type {import('tailwindcss').Config} */
module.exports = {
 content: ["./layouts/**/*.{html,js}"],
 theme: {
 extend: {},
 },
 plugins: [],
}

Add the @tailwind directives for each of Tailwind’s layers to your main CSS file.

树莓派软路由

Wed, 20 Dec 2023 21:24:59 +0800

树莓派 4B docker openwrt 软路由快速配置

安装前提

Docker

curl -fsSL https://get.docker.com -o get-docker.sh
sudo sh get-docker.sh

我使用的系统环境是

dawn@raspberrypi:/opt/openwrt $ uname -a
Linux raspberrypi 6.1.0-rpi4-rpi-v8 #1 SMP PREEMPT Debian 1:6.1.54-1+rpt2 (2023-10-05) aarch64 GNU/Linux

dawn@raspberrypi:/opt/openwrt $ cat /etc/os-release
PRETTY_NAME="Debian GNU/Linux 12 (bookworm)"
NAME="Debian GNU/Linux"
VERSION_ID="12"
VERSION="12 (bookworm)"
VERSION_CODENAME=bookworm
ID=debian
HOME_URL="https://www.debian.org/"
SUPPORT_URL="https://www.debian.org/support"
BUG_REPORT_URL="https://bugs.debian.org/"

开启混杂模式

sudo ip link set eth0 promisc on

此命令将 Raspberry Pi 上的以太网接口 eth0 设置为混杂模式。在混杂模式下，网络接口可以捕获其所连接的网段上的所有网络流量。

创建网络

此网段需要和路由器一致，例如我家的光猫 IP 为 192.168.1.1

sudo docker network create -d macvlan --subnet=192.168.1.0/24 --gateway=192.168.1.1 -o parent=eth0 openwrt-wan

此命令使用 macvlan 驱动程序创建一个名为 openwrt-wan 的 Docker 网络。它通过 Raspberry Pi 上的 eth0 有效地将 Docker 容器桥接到物理网络。

波粒二象性

Sat, 14 Oct 2023 19:56:53 +0800

波粒二象性

什么是波粒二象性？

波粒二象性（wave-particle duality）指的是所有的粒子或量子不仅可以部分地以粒子的术语来描述，也可以部分地用波的术语来描述。【百科】

波粒二象性是指微观粒子（如光子、电子等）在某些实验条件下既表现出波动性质又表现出粒子性质的现象。这是量子力学的一个基本概念，最早由德国物理学家德布罗意（Louis de Broglie）于1924年提出。【ChatGPT】

个人不懂相关的知识，粗鄙的愚见：

它类比就像水和水分子。

波即是水，粒即是水分子。

当达到一定质量即为波，仔细观察即是水分子。

推测其甚至可能还有固态形式。

最好的学习是输出

Wed, 11 Oct 2023 20:26:14 +0800

最好的学习是输出什么内容而不是学习了什么内容。

为服务器添加 Cloudflare Wrap

Wed, 05 Apr 2023 10:42:09 +0800

Cloudflare WARP 是 Cloudflare 提供的一项基于 WireGuard 的网络流量安全及加速服务，能够让你通过连接到 Cloudflare 的边缘节点实现隐私保护及链路优化。

很多我们需要访问的网站都需要使用原生 IP，比如：Disney+， ChatGPT, New Bing 等。

所谓原生 IP 就是指该网站的 IP 地址和其机房的 IP 地址是一致的

wget git.io/warp.sh
sudo bash warp.sh menu

选择：1、4、5；

1 - 安装 Cloudflare WARP 官方客户端

4 - 安装 WireGuard 相关组件

5 - 自动配置 WARP WireGuard IPv4 网络

如果有 ipv4 和 ipv6，则可选：1、4、7

1 - 安装 Cloudflare WARP 官方客户端

4 - 安装 WireGuard 相关组件

7 - 自动配置 WARP WireGuard 双栈全局网络

重要的是去做，从一点点开始

Sun, 26 Mar 2023 21:35:00 +0800

距离上次发布文章已经过去了一个多月了，博客一直没有更新。

想着写点什么，随便写什么都可以，文笔虽然不好，也没什么。

重要的是去做，去行动起来，从一点点开始，渐渐地养成习惯。

为 Git 添加签名验证信息

Mon, 06 Feb 2023 10:50:22 +0800

有时候我们能在 GitHub 上看到有的项目在提交信息中有 Verified 的绿色签名验证框，在一些大型项目中，此签名信息是必须的，否则无法提交相关的代码在项目中。下面是在 Git Bash 中的配置操作(brew install gnupg on MacOS)：

gpg --full-generate-key

gpg (GnuPG) 2.2.23-unknown; Copyright (C) 2020 Free Software Foundation, Inc.
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

Please select what kind of key you want:
 (1) RSA and RSA (default)
 (2) DSA and Elgamal
 (3) DSA (sign only)
 (4) RSA (sign only)
 (14) Existing key from card

Your selection? # 输入 Enter

RSA keys may be between 1024 and 4096 bits long.

What keysize do you want? (3072) 4096 # 输入 4096

Requested keysize is 4096 bits
Please specify how long the key should be valid.
 0 = key does not expire
 <n> = key expires in n days
 <n>w = key expires in n weeks
 <n>m = key expires in n months
 <n>y = key expires in n years

Key is valid for? (0) # 输入 Enter

Key does not expire at all

Is this correct? (y/N) y # 输入 y

GnuPG needs to construct a user ID to identify your key. # 输入个人资料

Real name: acdiost
Email address: acdiost@email.com
Comment:
You selected this USER-ID:
 "acdiost <acdiost@email.com>"

Change (N)ame, (C)omment, (E)mail or (O)kay/(Q)uit? O # 输入 O

We need to generate a lot of random bytes. It is a good idea to perform
some other action (type on the keyboard, move the mouse, utilize the
disks) during the prime generation; this gives the random number
generator a better chance to gain enough entropy. # 在弹出窗口中设置密码

gpg --list-secret-keys --keyid-format=long # 列出 gpg key 信息

gpg: checking the trustdb
gpg: marginals needed: 3 completes needed: 1 trust model: pgp
gpg: depth: 0 valid: 1 signed: 0 trust: 0-, 0q, 0n, 0m, 0f, 1u
/c/Users/Dawn/.gnupg/pubring.kbx
--------------------------------
sec rsa4096/73DFAAC188F713EE 2023-02-06 [SC] # 此处为 ID
 xxxxxxx
uid [ultimate] acdiost <acdiost@email.com>
ssb rsa4096/BC06DE040749ABCA 2023-02-06 [E]

gpg --armor --export 73DFAAC188F713EE # 导出秘钥

将打印的秘钥复制至 GitHub 的 GPG keys 中

My First Post

Fri, 03 Feb 2023 12:27:12 +0800

Introduction

This is bold text, and this is emphasized text.

Visit the Hugo website!

添加文章： hugo new "categories/title.md"

本地查看： hugo server -D

发布文章： hugo

同步 Hugo 至 GitHub：

cd hugo-blog
git add .
git commit -sm "add new post"
git push -u origin main

我创建博客使用了很多工具，诸如新浪博客、WordPress、typecho、leanote、hexo、logseq 和语雀等。最终选择使用 hugo 来管理，GitHub Pages 作为托管。曾使用 WordPress、typecho 和 hexo 把站点弄的花里胡哨，其实并没有太大作用。我也曾使用 logseq 和 obsidian 来管理，但它们是作为知识的整理归纳；博客作为最后的输出，发现不太适合自己的需求。

我选择了自己结合 ChatGPT 用 tailwindcss 写一个 hugo 的主题，致力于阅读，没有评论让自己思考；化繁为简没有其他的东西干扰。

其实最重要的莫过于是持之以恒，任何事大抵如此。望自己能坚持下去！