Замена Active Directory: FreeIPA, Samba и российские решения — что выбрать

Заменить серверы на Linux — задача понятная. Сложнее с Active Directory: к домену привязаны вход пользователей, политики, файловые папки, почта, 1С, VPN и принтеры. Поэтому его переносят последним, и именно здесь проекты чаще всего получают неприятные сюрпризы.

Что на самом деле делает Active Directory

• каталог пользователей, групп и компьютеров (LDAP);
• проверка входа (Kerberos, у старых систем — NTLM);
• групповые политики (GPO): настройки рабочих мест, запреты, подключение дисков и принтеров;
• DNS-записи и синхронизация времени;
• права на файловые папки: кто что может открыть;
• единый вход в другие системы: VPN, корпоративный Wi-Fi, 1С, внутренние порталы, почта.

Отсюда главное правило: заменить нужно не каталог, а всё, что на него опирается. Проект, начатый с выбора продукта, а не с инвентаризации зависимостей, обычно упирается в «а ещё вот это входит через домен».

Варианты замены

Как выбирать: пять вопросов

1. Сколько Windows-компьютеров останется? Чем их больше, тем важнее поддержка групповых политик и совместимость с клиентами Windows.
2. Что входит через домен? Список систем с авторизацией через AD — первое, что нужно составить: 1С, почта, VPN, Wi-Fi, внутренние порталы, принтеры.
3. Что требует регулятор или заказчик? Требования к ОС, реестру и сертификации сужают выбор быстрее технических причин.
4. Кто будет администрировать? Решение, которое ваша команда не освоит за разумный срок, хуже менее изящного, но понятного.
5. Нужен ли параллельный период? Почти всегда да: старый и новый домены живут рядом с доверием между ними, пока всё не переведено.

Как провести инвентаризацию зависимостей

Список зависимостей — главный документ проекта. Его собирают из источников, а не из памяти администратора:

• журналы аутентификации на контроллерах домена за 30–60 дней: кто и откуда реально обращается, включая забытые системы;
• учётные записи служб и привязанные к ним имена служб (SPN);
• групповые политики: какие действуют, какие устарели, какие по-прежнему нужны;
• DNS-зоны и записи, DHCP-резервации, доверия между доменами;
• приложения с подключением к каталогу по LDAP: 1С, порталы, системы заявок, принтеры и сканеры, отправляющие файлы в сетевые папки;
• внешние подключения: VPN, Wi-Fi, шлюзы, удалённые рабочие столы.

Журналы особенно полезны: администратор помнит то, что настраивал сам, а журнал показывает всё, что реально стучится в домен.

План переноса без остановки

1. Инвентаризация: кто и что использует домен, включая сервисные учётные записи и скрипты.
2. Поднять новый домен рядом, на стенде, и проверить на тестовой группе.
3. Настроить доверие между старым и новым доменами, чтобы пользователи видели ресурсы обоих.
4. Переносить группами: сначала пилотная, потом остальные, с возможностью вернуться.
5. Перенести службы и приложения, завязанные на домен.
6. Отключить старый домен только после приёмки и периода наблюдения.

Полная остановка нужна только на само переключение — обычно это часы, а не дни. К обещаниям «без единой секунды простоя» стоит относиться скептически.

Что ломается чаще всего

• права на файловые папки: идентификаторы безопасности (SID) меняются, и права приходится переносить отдельно;
• групповые политики, у которых нет аналога в выбранном решении;
• приложения, завязанные на NTLM или на конкретные атрибуты каталога;
• DNS-записи и зоны, о которых все забыли;
• сертификаты и вход в корпоративный Wi-Fi (802.1X);
• сервисные учётные записи с паролями, прописанными в скриптах и задачах.

Почтовые серверы, привязанные к AD, переносят отдельным проектом — об этом лучше договориться до начала работ, а не обнаружить в день переключения.