IDMatrix
安装在内网 Linux 主机上的身份域。Linux 主机与用户统一管理，通过域信任接入已有的 Windows AD，AD 账号直接登录 Linux。
概述
IDMatrix 是一套自托管的身份域，核心是 FreeIPA：LDAP 目录、Kerberos KDC、内置 CA、可选的 DNS，外加一个中文管理台。它替代每台 Linux 各自管理账号的模式：主机加入域后，用户、SSH 公钥、sudo 规则、主机访问控制在一处配置，修改后全网生效。
已有 Windows AD 的环境不需要迁移账号。IDMatrix 与 AD 建立单向域信任，AD 用户以原有账号和口令登录 Linux，Linux 侧的访问控制按 AD 组下发。
图中未画出的边界：多 master 时每台服务器都持有完整的一份数据（LDAP 多主复制），客户端通过 DNS SRV 记录自动找到可用的一台；许可闸门只拦截管理写操作，客户端认证不经过它。
功能
| 功能 | 说明 | 许可 |
|---|---|---|
| 用户、主机、组、Sudo、RBAC、OTP | 目录与 Kerberos 的基础对象，多 master 复制，备份恢复 | 所有档位 |
| 主机访问控制（HBAC） | 谁能从哪里登录哪台机器，按主机组和用户组下发 | 专业版起 |
| 密码策略 | 长度、历史、锁定，按组分级 | 专业版起 |
| 用户 SSH 公钥托管 | 公钥存入目录，sshd 直接查询，不再逐机维护 authorized_keys | 专业版起 |
| 证书签发 | 内置 CA 为主机与服务签发证书并自动续期 | 所有档位 |
| 内置 DNS | 域内 A、PTR、SRV 记录自动维护，可转发到上游 | 专业版起 |
| 自动挂载 | NFS 家目录与共享的 automount 映射 | 专业版起 |
| 证书身份映射 | 智能卡与客户端证书登录，轻量子 CA | 专业版起 |
| Kerberos 票据策略 | 票据寿命与续期上限 | 专业版起 |
| AD 域信任 | 单向信任 AD 林，AD 用户登录 Linux | 企业版 |
许可按功能模块和受管主机数分档，不按用户数。档位定义见许可。未激活时管理台只读。