这次身份集成最终打通了 Windows AD → authentik → Cloudflare 控制台。域用户用 AD 身份登录 authentik，再点击应用卡片进入 Cloudflare。最后一个障碍竟然是卡片的地址：普通控制台首页只是书签，并不会自动发起这套 SSO。

本文基于 2026 年 9 月 16 日的部署记录。authentik 为 2026.8.2，连接两台可写域控和一台云端 RODC；完整控制台登录已由用户实际确认。下文域名统一为示例，不包含口令或客户端密钥。

博客原托管在 GitHub Pages，通过 Cloudflare CDN 代理访问。本次迁移目标是将构建产物直接部署到 Cloudflare Pages，消除 GitHub Pages 中间层，获得更快的边缘分发和更好的缓存控制。采用蓝绿部署策略，先在 CF Pages 绿色环境验证通过，再切 DNS 到生产环境，确保零停机迁移。

博客域名通过 Cloudflare 代理访问，源站是 GitHub Pages。为了提升静态资源访问速度、减少重复回源，在 Cloudflare Dashboard 中配置了一条 Cache Rule，优先缓存构建产物、图片、图标和字体等静态资源。