https://www.acdiost.com/tags/%E8%BA%AB%E4%BB%BD%E8%AE%A4%E8%AF%81/Recent content in 身份认证 on Dawn`s BlogHugozh-HansSat, 18 Apr 2026 21:04:35 +0800https://www.acdiost.com/posts/freeipa/Sat, 18 Apr 2026 21:04:35 +0800https://www.acdiost.com/posts/freeipa/<h2 id="前言">前言</h2> <p>在构建 HPC 集群、Slurm 调度系统或内部技术平台时，<strong>统一身份认证</strong> 是绕不过的第一道坎。</p> <ul> <li>不想自己拼 LDAP + Kerberos + DNS + CA？</li> <li>希望一个工具解决账号管理、密钥分发、证书颁发？</li> <li>需要开箱即用、生产就绪的方案？</li> </ul> <p>那么 <strong>FreeIPA</strong> 就是你的答案。</p> <p>本文基于真实部署经验，包含完整的命令流程、每一步的&quot;为什么&quot;、常见坑点和排查方法。读完这篇，你能独立部署一套可用的企业级身份认证系统。</p> <hr> <h2 id="一为什么选择-freeipa">一、为什么选择 FreeIPA？</h2> <h3 id="freeipa-的核心价值">FreeIPA 的核心价值</h3> <p>FreeIPA 不是单一工具，而是一个&quot;一体化身份管理平台&quot;，它整合了以下组件：</p> <table> <thead> <tr> <th>组件</th> <th>作用</th> <th>为什么需要</th> </tr> </thead> <tbody> <tr> <td>389-DS</td> <td>LDAP 目录服务</td> <td>集中存储用户、组、主机等目录信息，支持复杂查询和权限控制</td> </tr> <tr> <td>MIT Kerberos</td> <td>网络身份认证</td> <td>提供无密码认证（票据制），比密码更安全，支持 SSO</td> </tr> <tr> <td>BIND</td> <td>DNS 服务</td> <td>FreeIPA 依赖 DNS 进行主机发现、服务定位（SRV 记录）和身份验证</td> </tr> <tr> <td>Dogtag</td> <td>证书颁发机构（CA）</td> <td>签发 HTTPS、客户端证书，支持 SSH 证书认证</td> </tr> <tr> <td>SSSD</td> <td>客户端认证守护进程</td> <td>缓存认证信息，支持离线登录，减轻服务器压力</td> </tr> </tbody> </table> <h3 id="对比其他方案">对比其他方案</h3> <table> <thead> <tr> <th>方案</th> <th>学习成本</th> <th>维护难度</th> <th>功能完整度</th> </tr> </thead> <tbody> <tr> <td>自建 LDAP</td> <td>★★★★☆</td> <td>★★★★★</td> <td>★★★☆☆</td> </tr> <tr> <td>自建 LDAP + K5</td> <td>★★★★★</td> <td>★★★★★</td> <td>★★★★☆</td> </tr> <tr> <td>FreeIPA</td> <td>★★☆☆☆</td> <td>★★☆☆☆</td> <td>★★★★★</td> </tr> <tr> <td>Active Directory</td> <td>★☆☆☆☆</td> <td>★★☆☆☆</td> <td>★★★★★</td> </tr> </tbody> </table> <p><strong>FreeIPA 的优势：</strong></p>