系统要求与网络
安装前确认交付形态、主机规格、主机名与 DNS、时间同步、需要放通的端口，以及控制节点。
本页列出安装前需要确认的环境条件。
交付形态
| 项目 | 模型 B：主机安装 | 模型 A：容器一体机 |
|---|---|---|
| 交付物 | idmatrix-host-<版本>.tar.gz：playbook、管理台、许可层、ansible collections、离线 RPM 仓 | 镜像 tarball、compose 文件、.env 样例 |
| 安装位置 | 客户的 RHEL、Rocky 或 AlmaLinux 裸机或虚拟机 | 任意运行 podman 或 docker 的 Linux 宿主 |
| 安装方式 | 控制节点上执行 ansible，目标主机零额外软件 | ./load.sh 后 podman-compose up -d，首次启动自配置 |
| 适用 | 生产。FreeIPA 直接运行在系统上，KDC、DNS、CA 的端口和 SELinux 都是原生的 | POC、演示、单机试用 |
生产环境一律使用模型 B。以下内容按模型 B 编写，模型 A 的差异在配置项中标注。
目标主机
| 项目 | 要求 |
|---|---|
| 操作系统 | RHEL、Rocky Linux 或 AlmaLinux 9（在 Rocky 9.8 加 FreeIPA 4.13 上验证）；8 可用。不支持 Debian 系 |
| 规格 | 2 vCPU、4 GB 内存起；受管主机 100 台以上建议 4 vCPU、8 GB。/var 留 20 GB 以上，目录数据库、CA、日志、备份都在该目录 |
| 系统状态 | 干净安装，未安装过 FreeIPA、389-ds、Samba AD。安装过的先执行 ipa-server-install --uninstall -U，或重装系统 |
| SELinux | enforcing。FreeIPA 自带策略，不关闭 |
| 权限 | 控制节点使用的 ssh 账号需要 NOPASSWD sudo |
主机名与 DNS
FreeIPA 是 Kerberos 域，主机名即身份，安装后不能修改。
| 要求 | 说明 |
|---|---|
| FQDN | hostname -f 返回 FQDN，与 customer.env 的 IPA_HOSTNAME 逐字一致 |
| 正反解 | FQDN 的正向和反向解析均可用。IPA 自管 DNS 时安装过程创建记录，但安装前的检查依赖 /etc/hosts 或客户 DNS |
/etc/hosts | 主机名不能出现在 127.0.0.1 或 ::1 行。getent hosts <FQDN> 返回的第一条必须是真实 IP。nsswitch.conf 的 hosts: 含 myhostname 时 IPv6 查询返回 ::1，需去掉 |
| realm 与 NetBIOS | realm 是域名大写（corp.example 对应 CORP.EXAMPLE）。NetBIOS 名 15 字符以内，做 AD 信任时不能与 AD 域的 NetBIOS 名重复 |
DNS 三种布局见快速开始。选择客户自管 DNS 时，在客户 DNS 手工添加 IPA 的 A、PTR 记录以及 _kerberos._tcp、_ldap._tcp 等 SRV 记录。
时间
与 AD 域控或上游 NTP 的时差小于 5 分钟。裸机由 IPA 管理时间（IPA_NO_NTP=false，安装 chrony 并指向上游）。虚拟机在宿主的时间同步和 IPA 的 chrony 中二选一，两者同时开启会互相干扰。
端口
入站（到 IPA 服务器）：
| 端口 | 协议 | 服务 | 何时需要 |
|---|---|---|---|
| 443、80 | tcp | 管理台与 API；80 只跳转 | 始终 |
| 389、636 | tcp | LDAP、LDAPS | 始终 |
| 88、464 | tcp、udp | Kerberos、kpasswd | 始终 |
| 749 | tcp | kadmin | 始终 |
| 53 | tcp、udp | DNS | IPA_SETUP_DNS=true |
| 123 | udp | NTP | 客户端通过 IPA 对时 |
| 445、135 | tcp | SMB、RPC endpoint mapper | AD 信任 |
| 1024 到 1300 | tcp | RPC 动态端口 | AD 信任 |
IPA_SETUP_FIREWALLD=true 时安装过程自动放行前六行；AD 信任的两行需手工补充。两台 IPA 之间（多 master）上表全部互通。
出站（IPA 服务器需要访问）：
| 目标 | 端口 | 用途 | 必需 |
|---|---|---|---|
| 上游 DNS | 53 | 转发域外查询 | IPA_FORWARDERS 非空时 |
| NTP 源 | 123 | 对时 | 是 |
| AD 域控 | 53、88、389、445、135、1024 到 1300 | 信任建立与用户解析 | AD 信任 |
license.reallysec.com | 443 | 在线许可心跳 | 仅在线许可模式。默认离线模式不需要 |
控制节点
| 项目 | 双机（推荐） | All-in-one |
|---|---|---|
| 控制节点 | 内网另一台 Linux，跳板机或笔记本均可 | 目标主机自身 |
| 目标主机额外软件 | 无 | ansible-core 与 gettext，由 bootstrap-controller.sh 从包内 RPM 安装 |
ANSIBLE_CONNECTION | ssh | local |
双机在生产机上不留部署工具。只在客户无法提供第二台 Linux 时使用 all-in-one。
客户端与浏览器
| 项目 | 说明 |
|---|---|
| 管理台 | 用 FQDN 访问。出厂证书由 IPA 内置 CA 签发，浏览器首次提示不受信任属正常。消除提示的方法：把 IPA CA 导入浏览器信任库，或用客户 CA 的证书替换（ipa-server-certinstall，不在标准交付内） |
| Linux 客户端 | 加入域的客户端安装 ipa-client，主机名同样要求 FQDN 正反解可用 |
| AD 信任 | 前置要求见 AD 信任前置 |