许可证激活
License Activation 页的三个区块：当前状态、本机指纹、上传 .lic；上传后的处理流程，以及失败提示对应的原因。档位与三层机制见安装篇。
本页说明 IPA Server 下的 License Activation 页面，它是许可在管理台的唯一入口。档位、模块、只读态的规则见许可。该页面本身不受许可门控：只读态下也能打开、也能上传，否则无法解除只读。
当前许可证状态
数据来自 /var/lib/idmatrix-license/status.json，与顶部横幅同源。
| 字段 | 含义 |
|---|---|
| 状态条 | 绿色为有效。红色为未激活、过期、指纹不符或已吊销，附原因。黄色为 30 天内到期 |
| License ID | LIC-<日期>-<8 位>。续期、报障时提供该编号 |
| Tier | standard、professional、enterprise、trial |
| Expiry date | 附剩余天数 |
| Licensed modules | hbac, pwpolicy, ssh-keys, cert-issue, krb-sso, dns, automount, ca, ad-trust 的子集，决定左侧导航显示哪些组 |
状态每日由 idmatrix-license.timer 刷新；页面上的 Refresh 只是重读文件。手动触发校验：sudo systemctl start idmatrix-license.service。
本机指纹
64 位十六进制，由系统的 /etc/machine-id 派生。发证方按指纹签发 .lic，许可与机器一一对应。Copy 按钮把指纹复制到剪贴板。
指纹改变的情况：重装系统、克隆虚拟机后重新生成 machine-id、恢复到另一台机器。指纹改变后现有许可变为指纹不符的只读态，需要用新指纹重新发证。更换硬件不影响指纹。每台副本各有各的指纹，各自发证。
上传许可证文件
选择一个 .lic 文件后，页面立即执行：
- 本地验签：签名是否由 RST 发证 CA 签出、是否过期、指纹是否匹配。
- 通过则写入
/var/lib/idmatrix-license/并立即重写status.json。横幅和导航随之更新，不需要重启服务。 - 不通过则不写入，当前许可保持原样。
| 提示 | 原因 |
|---|---|
许可证文件为空或过大 | 选错文件。.lic 只有几 KB，上限 64 KB |
许可证文件不是有效文本 | 上传的是二进制或被压缩过的文件 |
该文件不是有效的许可证文件 | 格式或签名校验失败：文件被修改、不是 RST 签发、或被邮件客户端转码。由发证方重发 |
该许可证并非签发给本服务器 | 指纹不符。把本页指纹发给发证方 |
该许可证已过期 | 发证时的到期日已过 |
无法读取许可状态、无法获取本机指纹 | 后端接口不通：httpd 里的许可 WSGI 未启动。查看 journalctl -u httpd |
边界
| 事项 | 说明 |
|---|---|
| 许可数量 | 一台服务器只有一个许可，上传新的覆盖旧的。没有回退按钮，旧 .lic 自行留底 |
| 网络 | 页面不联网。在线模式（心跳）是可选项，见安装篇 |
| 其他会话 | 上传成功后，其他已登录的浏览器需要刷新页面才能看到新导航 |