Начинаем с инвентаризации зависимостей
На домене держится больше, чем кажется: принтеры, учётные записи служб в старых программах, групповые политики, сертификаты, прошивки сетевых устройств. Мы ищем это до переноса, а не после первой жалобы.
Переход с Windows Server на Linux: замена Active Directory и служб вокруг неё
Раскладываем сервер по службам: что на нём работает, от чего зависит и чем заменяется. Переносим по одной службе с откатом на каждом шаге. Главный риск — не сам Linux, а то, что вы не знаете, что держится на старом домене.
Обследование — от 250 000 ₽Переносим по одной службе, с откатомИсходники и конфигурации — у вас
На чём держится
Четыре вещи, о которых говорим до договора
Первая — про то, что делает такие проекты долгими, и она не про Linux.
Одна служба за раз
Файлы, каталог, почта, печать, терминальные сессии переносим не одним днём, а по очереди. После каждой — работа в двух системах рядом и возможность откатиться.
Замена — не один продукт
Каталог пользователей, файловый сервер, печать и политики на Linux закрываются разными компонентами. Какими именно, зависит от парка, требований к сертификации и вашей команды, а не от нашего любимого стека.
Часть Windows остаётся, и это нормально
Если приложение работает только под Windows и заменить его нельзя, оно остаётся — в изолированном виде. Цель не «ни одного Windows», а управляемая и документированная среда.
Зачем это нужно
С чем обычно приходят
Лицензии и поддержка ушли
Обновления перестали приходить, а переход «когда-нибудь потом» уже стал срочным.
Требование перейти на отечественное ПО
Предписание, реестр, закупка, проверка: срок есть, схемы перехода — нет.
Никто не помнит, как всё настроено
Сервер ставил человек, которого давно нет. Конфигурация живёт в голове и в групповых политиках.
Страшно трогать работающий домен
Любая правка может остановить вход пользователей, поэтому его не обновляют годами.
Программа привязана к домену
Старая отраслевая система проверяет вход через учётную запись Windows, и заменить её нельзя.
Нет понимания, сколько это стоит
Проект оценивают «по ощущению», и цифры расходятся в разы между подрядчиками.
Главный риск
На что опирается домен — и чем это заменяется
Таблица показывает типовые зависимости. У вашей организации будут свои, и найти их — первая задача обследования.
Что держится на домене
Как проявляется
Чем заменяется
Что проверяем
Что держится на доменеВход пользователейпароль, группы, блокировки
Как проявляетсяОдин логин на всё: компьютер, почта, программы
Чем заменяетсяКаталог на Linux с Kerberos и LDAP (FreeIPA, Samba AD, ALD Pro — по задаче)
Что проверяемВход с рабочих мест, смена пароля, блокировка, работа вне офиса
Что держится на доменеГрупповые политикинастройки рабочих мест
Как проявляетсяОдинаковые настройки на сотнях машин
Чем заменяетсяПолитики каталога или система управления конфигурацией
Что проверяемЧто именно настраивали, какие политики ещё применяются
Что держится на доменеФайловый серверобщие папки и права
Как проявляетсяПрава по группам, сетевые диски на рабочих местах
Чем заменяетсяSamba или NFS с переносом прав
Что проверяемПрава на вложенных папках, длинные пути, блокировка файлов
Что держится на доменеПечатьпринтеры и очереди
Как проявляетсяПодключение принтеров по политике
Чем заменяетсяCUPS с очередями и учётом
Что проверяемМодели, драйверы, сканирование на папку
Что держится на доменеУчётные записи службпод которыми работают программы
Как проявляетсяСтарая программа входит в базу как «служебный» пользователь
Чем заменяетсяПеренос учётки в каталог или в конфигурацию программы
Что проверяемСписок всех служб, паролей и мест, где они прописаны
Что держится на доменеСертификаты и DNSвнутренние имена
Как проявляетсяПрограммы обращаются к серверам по именам домена
Чем заменяетсяВнутренний центр сертификации и DNS на Linux
Что проверяемВсе места, где зашито имя сервера или домена
Что держится на доменеТерминальные сессииудалённые рабочие столы
Как проявляетсяУдалённый вход в программы на сервере
Чем заменяетсяСерверы приложений на Linux, веб-доступ или оставить Windows в изоляции
Что проверяемЛицензирование, программы, которые не заменить
Подробнее — в материале про замену Active Directory: сравнение FreeIPA, Samba AD и ALD Pro и порядок переноса.
Порядок
В каком порядке переносим
Порядок не случайный: сначала то, что можно откатить без боли, в конце то, от чего зависят все остальные.
- ИнвентаризацияСписок служб, учётных записей, политик, внешних зависимостей. Находим то, что держится на домене и никому не известно.
- Целевая схемаКакие компоненты что заменят, как будут жить две системы рядом, кого и когда переключаем. Согласуется письменно.
- СтендКопия части среды: проверяем вход, права, печать и главные программы до единого рабочего места.
- Пилотная группаНебольшое подразделение переходит на новый каталог. Собираем жалобы и закрываем их до расширения.
- Файловый сервер и печатьПереносим данные с правами, проверяем доступ из старой и новой среды параллельно.
- Основной переносПодразделения по очереди, с окнами работ и планом отката на каждое.
- Отключение старого доменаТолько после периода параллельной работы и подтверждения, что на нём ничего не осталось.
Что делаем
Восемь направлений работ
Состав зависит от того, что именно у вас на сервере. Часто нужны не все направления, а три-четыре.
Обследование и инвентаризация
Что работает на сервере, от чего зависит и что заменимо. Результат — карта зависимостей и оценка проекта.
2–3 недели
Каталог пользователей
Развёртывание каталога на Linux, перенос учётных записей и групп, вход с рабочих мест.
3–6 недель
Файловый сервер
Перенос данных с сохранением прав, проверка доступа, сетевые диски.
2–4 недели
Политики и управление рабочими местами
Замена групповых политик, раскатка настроек, управление программами.
2–6 недель
Печать и сканирование
Очереди, драйверы, учёт печати, сканирование в папки.
1–2 недели
Службы приложений
Перенос учётных записей служб, внутренние сертификаты, DNS, интеграция с вашими программами.
2–6 недель
Рабочие места
Подготовка и перевод рабочих станций, программы без аналога — в изолированном режиме.
по числу мест
Сопровождение
Мониторинг, обновления, разбор инцидентов; документация и обучение вашей команды.
от 20 000 ₽/мес
Как устроено
Две системы рядом, а не одна вместо другой
Процесс
Как идёт работа
Первое, что получаете, — список того, что реально держится на вашем домене. Часто он уже сам по себе полезен.
Недели 1–3 — Обследование
Серверы, службы, учётные записи, политики, зависимости. Карта и оценка со сроками.
Недели 3–6 — Целевая схема и стенд
Какие компоненты, как они связаны, как жить в переходный период. Проверка на копии.
Недели 6–10 — Пилот
Одно подразделение на новом каталоге. Разбираем каждую жалобу и закрываем до расширения.
Далее — Основной перенос
Подразделения по очереди: каталог, файлы, печать, рабочие места. План отката на каждое.
После переноса — Параллельный период
Старый домен работает, но вход идёт через новый. Ищем остатки зависимостей, которые не нашли на обследовании.
Передача и сопровождение
Документация, схемы, инструкции и обучение администраторов; дальше — сопровождение или ваша команда.
Контроль
Что остаётся у вас и чего мы не делаем
Остаётся у вас
- Конфигурации каталога и служб — в вашем репозитории.
- Карта зависимостей и схема перехода на бумаге.
- Инструкции для администраторов и пользователей.
- План отката и журнал изменений по каждому этапу.
- Доступы и пароли — у вас; мы получаем их на время работ.
Мы этого не делаем
- Не отключаем старый домен, пока не убедились, что на нём ничего не осталось.
- Не обещаем «ни одного Windows»: если программа работает только на нём, она остаётся изолированной.
- Не занимаемся сертификацией и аттестацией: у нас нет лицензий ФСТЭК. Если она нужна, подскажем, к кому обратиться.
- Не меняем отраслевые программы: переносим то, что вокруг них.
- Не переносим всё одним днём и не берёмся за рискованный «большой взрыв».
Материалы
Что почитать
Отдельного разбора про перенос с Windows Server мы пока не публиковали. Вместо него — материалы про части этой работы.
Замена Active Directory: FreeIPA, Samba, ALD Pro
Чем различаются каталоги, что выбрать под ваш парк и как переносить без остановки работы.
- Сравнение компонентов
- Порядок переноса
Переход на Astra Linux: с чего начать
Что проверить до перехода, где ломается совместимость и как идти этапами.
- Совместимость
- Этапы перехода
Реестр отечественного ПО: как проверить и что учитывать
Что значит запись в реестре для закупок и как выбирать решения.
- Запись в реестре
- Как проверять
Инструменты
На чём собираем
Каталог и доступ
- FreeIPA
- Samba AD
- ALD Pro
- Kerberos и LDAP
Файлы и печать
- Samba
- NFS
- CUPS
Системы
- Astra Linux
- РЕД ОС
- Альт Linux
Управление
- Ansible
- Prometheus, Grafana
- Резервное копирование
Кому подходит
Кто обычно приходит
ИТ-отделы с лишним доменом
Один-два сервера, пара сотен рабочих мест, администратор в единственном числе.
Организации с требованием перейти
Реестр отечественного ПО, предписание, закупка. Нужна схема, которая выдержит проверку.
Те, кто откладывал
Сервер старый, обновлений нет, но «пока работает». Хорошо начинать, пока не сломалось.
Компании с отраслевым ПО на Windows
Программа привязана к домену. Переносим окружение вокруг неё и честно говорим, что остаётся.
Заявка
Начнём с карты зависимостей
Короткий созвон: сколько серверов и рабочих мест, что на них работает и что нужно заменить. По итогам скажем, с чего начинать, сколько это займёт и сколько стоит.
Вопросы
Частые вопросы
Чем заменить Active Directory?
Вариантов несколько: FreeIPA, Samba в режиме домена, ALD Pro. Выбор зависит от размера парка, смешанной ли среды и требований к сертификации. Универсального ответа нет, поэтому сначала обследование, потом выбор.
Можно ли оставить часть Windows?
Да, и часто нужно. Если программа работает только под ним, она остаётся, но в изолированном виде и с понятной схемой. Цель — управляемая среда, а не отсутствие Windows любой ценой.
Как вы избегаете остановки работы?
Переносим по службам и подразделениям, а не сразу. На время перехода старый и новый каталоги работают параллельно, и на каждом этапе есть план отката. Окна работ согласуем с вами.
Что с групповыми политиками?
Переписываем их под новый каталог или систему управления конфигурацией. Сначала выясняем, какие политики реально применяются: обычно часть давно не нужна, часть незаметно держит важное.
Сколько это стоит и как долго?
Обследование стека и план — от 250 000 ₽, 2–3 недели, цена фиксированная и вычитается из следующего этапа. Перенос серверов на Linux считается по числу узлов и служб, поэтому цену называем после обследования, а не до. По срокам: от нескольких недель до нескольких месяцев, в зависимости от числа служб и рабочих мест.
Вы делаете сертификацию?
Нет. Лицензии ФСТЭК у нас нет. Если по вашим требованиям нужна сертифицированная ОС или аттестация, мы строим схему с учётом этого, а саму сертификацию проводят организации, которые имеют на это право.
Что с рабочими местами?
Часть рабочих мест можно перевести на Linux, часть оставить, добавив вход через новый каталог. Это решается по каждому подразделению: важнее набор программ, чем ОС.
Смежное