已成功在企业私有云完成dify全链路部署：满足资源与网络隔离要求，校验部署套件完整性，配置https、ldap对接及ollama本地模型调用，启动后服务健康且认证通路生效。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
你需要在企业私有云环境里完整落地Dify，确保业务数据不出域、模型调用可审计、权限策略能对接LDAP，且整个平台能稳定支撑200+并发AI应用请求。
确认私有云基础设施就绪
登录私有云管理控制台，检查当前可用资源池是否满足最低生产要求：至少4核CPU、16GB内存、100GB SSD存储空间的虚拟机节点已就绪；网络平面已划分出独立服务网段（如192.168.100.0/24），该网段与办公网逻辑隔离但可通过防火墙策略访问；DNS服务已配置内部域名解析（如dify.internal）指向待部署节点IP。
执行ip a确认虚拟机已分配静态IP并绑定至服务网段；运行systemctl is-active docker验证Docker守护进程处于active状态——【若返回inactive，必须先执行sudo systemctl enable --now docker，否则后续所有容器将无法启动】。
拉取并校验Dify部署套件
方法一：使用Git克隆官方部署仓库
执行git clone https://github.com/dify-ai/dify-deployment.git && cd dify-deployment/single-node；进入目录后运行sha256sum .env，比对输出值是否与GitHub仓库README中公布的SHA256哈希值一致——【不一致则立即删除整个目录并重试，防止被篡改的配置文件泄露数据库密码】。
方法二：直接下载预编译包（适用于无Git环境的封闭内网）
从企业内网镜像源下载dify-deployment-v0.13.1.tar.gz，解压后进入single-node子目录；手动检查.env文件第17行POSTGRES_PASSWORD=是否为空或为默认值，若是，立即替换为32位随机字符串。
配置核心安全参数
第一步：编辑.env文件启用强制HTTPS
将SSL_ENABLED=false改为SSL_ENABLED=true，同时设置DOMAIN=dify.internal；这一步必须在启动前完成，否则Nginx反向代理不会加载TLS证书，所有API请求将以明文传输。
第二步：注入企业身份认证凭证
取消#OAUTH_PROVIDER=ldap和#LDAP_URL=两行注释，在LDAP_URL后填入ldaps://ldap.internal:636；在LDAP_BIND_DN中写入具有查询权限的服务账号，格式为cn=admin,dc=internal,dc=com；LDAP_USER_BASE设为ou=employees,dc=internal,dc=com。
第三步：限制外部模型调用出口
将MODEL_PROVIDER=azure_openai改为MODEL_PROVIDER=ollama，并设置OLLAMA_BASE_URL=http://192.168.100.10:11434——该地址需指向你已在私有云内单独部署的Ollama服务节点，确保所有大模型推理流量不经过公网网关。
启动并验证服务连通性
执行docker compose up -d启动全部服务；等待90秒后，运行docker compose ps检查web、api、worker、postgresql、redis五项状态是否全为running。
在私有云跳板机上执行curl -k https://dify.internal/health，返回{"status":"ok"}即表示基础服务层通；再执行curl -X POST https://dify.internal/v1/chat-messages -H "Authorization: Bearer dummy" -d '{"inputs":{},"query":"test"}'，若返回HTTP 401而非连接超时或SSL错误，则证明HTTPS反向代理、API路由、认证中间件三层均已生效。
打开浏览器访问https://dify.internal，输入初始管理员账号admin@dify.ai及安装时自动生成的密码（位于./logs/install.log末尾），成功登录后台即完成部署。
