Нужно уйти с Windows Server
Лицензии, поддержка или требование заказчика. Серверные роли переехали, а домен остался: его трогают последним.
Замена Active Directory на отечественные решения: ALD Pro, FreeIPA, Samba
Домен Active Directory отвечает не только за вход пользователей: на нём держатся политики, DNS, файловые права, принтеры, почта, 1С и VPN. Мы начинаем с инвентаризации того, что на нём висит, подбираем замену под ваши требования (ALD Pro, FreeIPA, Samba в роли контроллера, РЕД АДМ, «Альт Домен»), проверяем на одном подразделении и переносим по группам с возможностью вернуться.
Обследование — от 200 000 ₽, 2–4 неделиСтарый домен живёт рядом до приёмкиИсходники, конфигурации и доступы остаются у вас
Зачем это нужно
С чем приходят
Никто не помнит, что на нём держится
Домен настраивали разные люди, часть записей и политик устарела, а какие системы ходят в каталог, знает только журнал.
Старые политики и сервисные учётки
Групповые политики накопились за годы, служебные учётные записи прописаны в скриптах и задачах с паролями открытым текстом.
Есть приложения с привязкой к домену
1С, почта, система заявок, внутренние порталы и принтеры входят через LDAP или Kerberos. Куда они пойдут после переноса, неясно.
Парк смешанный
Часть рабочих мест на Windows и останется на ней ещё несколько лет, часть перейдёт на Astra Linux или РЕД ОС. Домен должен обслуживать обе.
Нельзя останавливаться
Вход пользователей не должен пропадать даже на день. Нужен план с параллельной работой и откатом.
Принцип
Заменить нужно не каталог, а всё, что на него опирается
Проект, начатый с выбора продукта, обычно упирается в фразу «а ещё вот это входит через домен». Поэтому порядок такой: сначала список зависимостей, потом целевая схема, потом выбор решения. Один и тот же продукт подходит одной организации и не подходит другой: решает число Windows-компьютеров, набор приложений, требования к сертификации ОС и то, кто будет администрировать домен после нас.
Выбор продукта мы не продаём: подбираем по вашим требованиям, а различия в возможностях подтверждаем по документации вашей версии и на стенде.
Что внутри
Функции Active Directory и чем их заменяем
Таблица показывает типовые функции. Для вашей организации заполняем её на обследовании по журналам и конфигурации.
Функция в AD
Чем заменяем
Что не переносится один к одному
Как проверяем
Функция в ADКаталогпользователи, группы, подразделения
Чем заменяемLDAP-каталог выбранного решения (ALD Pro, FreeIPA, Samba AD)
Что не переносится один к одномуСтруктура подразделений и вложенные группы часто упрощаются. Часть атрибутов и схемных расширений придётся описать заново
Как проверяемВыгрузка до и после: число объектов, членство в группах, список атрибутов, которые читают приложения
Функция в ADПроверка входаKerberos и NTLM
Чем заменяемKerberos в выбранном решении; NTLM только там, где без него нельзя
Что не переносится один к одномуПароли в общем случае не переносятся готовыми: планируем смену при первом входе или временную схему через доверие. Приложения на NTLM требуют отдельной проверки
Как проверяемВход с рабочих мест разных типов, смена пароля, блокировка, работа вне офиса, расхождение часов между серверами и клиентами
Функция в ADГрупповые политикинастройки рабочих мест
Чем заменяемПолитики выбранного решения, система управления конфигурацией (например Ansible), где нужно, оставшиеся политики для Windows
Что не переносится один к одномуПолитики не переносятся автоматически: набор настроек и механизм применения зависят от продукта и ОС клиента
Как проверяемОпись действующих политик, пометка «нужна, устарела, дубль», проверка действия на тестовой группе
Функция в ADDNS и времязоны и SRV-записи
Чем заменяемDNS решения или отдельный DNS-сервер; синхронизация времени (NTP)
Что не переносится один к одномуДинамические обновления, зоны со вторичными серверами и записи, о которых давно забыли
Как проверяемСравнение зон до и после, поиск контроллеров по SRV-записям, расхождение часов в допуске Kerberos
Функция в ADСертификатывнутренний центр сертификации
Чем заменяемЦентр сертификации решения или отдельный внутренний ЦС
Что не переносится один к одномуШаблоны сертификатов и автоматическая выдача для Windows-клиентов устроены иначе
Как проверяемПеречень мест, где используются сертификаты: Wi-Fi 802.1X, VPN, веб-серверы, подпись кода
Функция в ADФайлы и печатьSMB, права, очереди
Чем заменяемSamba или другой файловый сервер, CUPS для печати
Что не переносится один к одномуИдентификаторы безопасности (SID) меняются, права на папки переносим отдельно. Длинные пути и блокировки файлов ведут себя иначе
Как проверяемСверка прав на вложенных папках, проверка прав у пользователей из разных групп, печать и сканирование на папку
Функция в ADДоверительные отношениямежду доменами
Чем заменяемДоверие между старым и новым доменом на время переноса; для внешних доменов по документации решения
Что не переносится один к одномуНе все типы доверия поддерживаются во всех продуктах, сверяем по документации версии
Как проверяемДоступ к ресурсам старого домена из нового и наоборот на тестовых пользователях
Варианты
Что рассматриваем: ALD Pro, FreeIPA, Samba, РЕД АДМ, «Альт Домен»
Это обзор классов решений, а не сравнительный тест: версии и возможности меняются. Перед выбором сверяем с документацией и проверяем на стенде.
Решение
Что это
Когда рассматриваем
Что сверяем по документации версии
РешениеALD Pro и Astra Linux DirectoryAstra Linux
Что этоСлужба каталога для парка на Astra Linux: пользователи, политики, управление рабочими местами
Когда рассматриваемПарк на Astra Linux, нужна поддержка производителя ОС и совместимость с его требованиями
Что сверяем по документации версииСостав и версия продукта, поддержка клиентов Windows, режим работы с существующим доменом, статус в реестрах
РешениеFreeIPAоткрытое решение
Что этоКаталог, Kerberos, DNS, центр сертификатов и правила доступа для Linux-парка; умеет доверие к домену Active Directory
Когда рассматриваемПреимущественно Linux-рабочие места и серверы, команда готова вести Linux-администрирование
Что сверяем по документации версииВвод Windows-компьютеров и работа с политиками для них, схема доверия с Active Directory на вашей версии
РешениеSamba AD DCоткрытая реализация
Что этоКонтроллер домена, совместимый с клиентами Active Directory
Когда рассматриваемМного Windows-компьютеров, которые должны остаться в домене на время или надолго
Что сверяем по документации версииФункциональный уровень домена, поддержка политик, устройство репликации каталога и общей папки политик, версия Samba
РешениеРЕД АДМРЕД СОФТ
Что этоРешение для домена в экосистеме РЕД ОС
Когда рассматриваемПарк на РЕД ОС или заказчик требует продукты именно этого производителя
Что сверяем по документации версииСостав, версии, совместимость с клиентами других ОС, статус в реестрах
Решение«Альт Домен»Базальт СПО
Что этоДомен в экосистеме «Альт»
Когда рассматриваемПарк на ОС «Альт», требования по составу ПО
Что сверяем по документации версииПоддерживаемые типы клиентов, политики, версия продукта
Где ломается
Приложения и службы вокруг домена
Именно здесь проекты получают неприятные сюрпризы. Эти зависимости ищем до переноса.
Что зависит от домена
Как это проявляется
Как находим
Что делаем
Что зависит от домена1Свход по доменной учётной записи
Как это проявляетсяПользователи входят в базу без отдельного пароля, роли привязаны к доменным пользователям
Как находимСписок баз и способ аутентификации каждой, версия платформы
Что делаемПроверяем вариант входа на новой схеме и переносим соответствие пользователей, как позволяет ваша версия платформы
Что зависит от доменаПочтаLDAP и Kerberos
Как это проявляетсяПочтовый сервер берёт адресную книгу и пароли из каталога
Как находимНастройки почтового сервера, журналы обращений к каталогу
Что делаемВыносим в отдельный этап: почтовые серверы, привязанные к AD, переносим отдельным проектом по договорённости
Что зависит от доменаVPN и Wi-FiRADIUS, 802.1X
Как это проявляетсяВход в сеть через учётную запись домена и сертификаты
Как находимКонфигурация шлюзов и точек доступа, журналы RADIUS
Что делаемПереключаем проверку на новый каталог на пилотной группе, сертификаты перевыпускаем по плану
Что зависит от доменаФайловые ресурсыобщие папки
Как это проявляетсяПрава по группам, сетевые диски по политике, ярлыки в программах
Как находимСписок общих ресурсов, права на вложенных папках, журналы доступа
Что делаемПереносим права с учётом смены SID, проверяем выборочно под учётками разных групп
Что зависит от доменаСервисные учётные записив скриптах и задачах
Как это проявляетсяПрограмма или задача работает под служебной учёткой с известным паролем
Как находимЖурналы аутентификации на контроллерах, поиск имён служб, анализ планировщиков
Что делаемСоставляем реестр служб и паролей, переносим по одной, пароли меняем
Процесс
Как идёт перенос
Недели 1–3: инвентаризация
Журналы аутентификации на контроллерах за несколько недель (события выдачи билетов Kerberos и проверки NTLM), список групп, политик, служебных учётных записей, DNS-зон и приложений, которые ходят в каталог. Это главный документ проекта: собираем его из источников, а не со слов администратора.
Недели 3–4: целевая схема
Какое решение, как устроены контроллеры, как живут Windows-компьютеры, что с политиками, как двум доменам работать рядом. Схема согласуется письменно, включая план отката.
Стенд
Копия части среды: вход, права, печать, главные приложения. Проверяем до того, как к новому домену подключится первое рабочее место.
Пилот на одном подразделении
Небольшая группа пользователей переходит на новый домен. Сверяем файлы, печать, 1С, почту, вход вне офиса; заранее записано, при каких условиях группа возвращается обратно.
Перенос группами
Подразделение за подразделением, с доверием между доменами. После каждой группы пауза и разбор обращений в поддержку.
Перенос служб и отключение старого домена
Приложения и службы, привязанные к домену, переходят по одной. Старый домен выключается только после приёмки и периода наблюдения и остаётся доступным для отката, пока вы решите иначе.
Что делаем
Из чего состоит работа
Цены и сроки — по тарифам. Обследование вычитается из следующего этапа. Остановиться можно после любой ступени.
Обследование и инвентаризация
Журналы, политики, зависимости, схема целевого домена, план по этапам и вилка бюджета. 200 000 ₽ и 2–3 недели, если задача сводится к домену и нескольким системам вокруг. 350 000 ₽ и 3–4 недели, если систем много и нужна схема обменов.
2–4 недели
Стенд и проверка выбора
Поднимаем стенд с выбранным решением, проверяем вход, права, политики и главные приложения на реальных учётных данных вашей организации (с обезличиванием, где нужно).
в пилоте
Пилот на одном подразделении
Перенос группы пользователей и приложений вокруг них, критерии приёмки и отката. Лёгкий пилот 150 000–400 000 ₽, 2–8 недель. Тяжёлый, если вокруг домена много интегрированных систем, — 400 000–1 200 000 ₽, 2–3 месяца.
2–8 недель
Перенос в продуктив
Подразделение за подразделением, перенос служб и приложений, отключение старого домена. От 1 500 000 ₽ этапами по 300 000–700 000 ₽ с отдельной приёмкой каждого.
от 3 месяцев
Сопровождение нового домена
Мониторинг, обновления, разбор инцидентов, плановые доработки политик. 20 000 / 60 000 / 120 000 ₽ в месяц по пакетам.
ежемесячно
Контроль
Что остаётся у вас и чего мы не делаем
Остаётся у вас
- Конфигурации, скрипты и документация по новому домену в вашем репозитории.
- Доступы администратора домена и ключи центра сертификации: мы не храним их у себя.
- Старый домен до приёмки и срока наблюдения, который вы определяете сами.
- Решение о том, какой продукт выбрать и когда переключать каждую группу.
- Право остановиться после любой ступени.
Мы этого не делаем
- Не занимаемся лицензируемой защитой информации: лицензии ФСТЭК у нас нет, аттестацию не проводим.
- Не берёмся заменить клиентские ОС «в один день»: рабочие места переводятся по группам и по плану.
- Не обещаем перенос без единой секунды простоя: на само переключение нужен перерыв, обычно измеряемый часами.
- Не сертифицируем решения в реестрах: готовим конфигурацию, подаёт и проходит сертификацию заказчик.
Риск
Откат и параллельный период
Главная защита от неудачного переноса — не аккуратность, а возможность вернуться. Поэтому новый домен поднимается рядом со старым, а не вместо него. Между ними настраивается доверие, чтобы пользователи видели ресурсы обоих. Проблемная группа возвращается назад без пересоздания учётных записей.
- Перед каждым этапом фиксируем состояние старого домена (резервная копия состояния контроллеров, выгрузка каталога и политик).
- Для каждой группы заранее записываем условия отката: что считается сбоем и кто решает.
- Для Kerberos важна синхронизация времени: расхождение часов выше допуска (по умолчанию пять минут) ломает вход, поэтому время проверяем в первую очередь.
Подробнее о выборе решения и порядке переноса — в материале про замену Active Directory. Если вы переводите на Linux ещё и серверы, смотрите переход с Windows Server на Linux.
Инструменты
На чём строим
Решения для домена
- ALD Pro и Astra Linux Directory
- FreeIPA
- Samba в роли контроллера домена
- РЕД АДМ, «Альт Домен» — по требованиям парка
Окружение и проверка
- Astra Linux, РЕД ОС, «Альт»
- Kerberos, LDAP, DNS, NTP, RADIUS
- Ansible для настройки рабочих мест и серверов
- Стенд на виртуальных машинах в вашем контуре
Материалы
Материалы по теме
Замена Active Directory: что выбрать
Что делает AD, чем её можно заменить и как проводить инвентаризацию.
- Варианты замены
- Что ломается чаще всего
Переход на Astra Linux
Порядок перехода парка и частые проблемы.
- Рабочие места и серверы
- Совместимость ПО
Миграции и импортозамещение
Перенос систем на отечественные СУБД и Linux.
- Порядок работ
- Приёмка и откат
Заявка
Разберём ваш домен
Короткий созвон: сколько пользователей и компьютеров, что ходит в каталог, какие требования к ОС. По итогам скажем, с какой ступени начинать.
Вопросы
Частые вопросы: замена active directory
Чем заменить Active Directory?
Вариантов несколько: ALD Pro и Astra Linux Directory, FreeIPA, Samba в роли контроллера домена, РЕД АДМ, «Альт Домен». Выбор зависит от числа Windows-компьютеров, набора приложений на домене, требований к ОС и того, кто будет администрировать. Различия подтверждаем по документации вашей версии и на стенде, а не по обзорам.
Что делает Active Directory, что нужно заменить?
Каталог пользователей и компьютеров (LDAP), проверку входа (Kerberos и NTLM), групповые политики, DNS и время, центр сертификатов, права на файлы и печать, вход в сторонние системы. Заменить надо всё, что на него опирается, поэтому начинаем с инвентаризации зависимостей.
Переносятся ли групповые политики один к одному?
Нет. Набор настроек и механизм их применения зависят от продукта и ОС клиента. Описываем действующие политики, помечаем нужные, устаревшие и дублирующие и переносим нужные средствами выбранного решения или системой управления конфигурацией.
Что делать с рабочими станциями на Windows?
Если Windows-компьютеры остаются, выбираем решение, которое работает с ними в смешанном режиме (например Samba в роли контроллера домена), и проверяем политики на стенде. Если парк переходит на Linux, это отдельный план по группам, а не замена в один день.
Как не сломать 1С, почту и файловые ресурсы?
Начинаем с журналов аутентификации на контроллерах: они показывают всё, что реально обращается к домену, включая забытые системы. Затем для каждой зависимости проверяем вход на стенде и переносим по одной. Почтовые серверы, привязанные к AD, выносим в отдельный этап.
Можно ли перейти без остановки работы?
Почти всегда да: новый домен поднимается рядом, между ними настраивается доверие, пользователи переходят группами. Останавливаться нужно только на само переключение, обычно это часы.
Что с паролями пользователей?
В общем случае пароли между разными каталогами готовыми не переносятся или переносятся с ограничениями, зависящими от выбранного решения. Обычно планируем смену пароля при первом входе или временную схему через доверие. Как именно для вашего продукта, проверяем на стенде.
Поможете ли вы с сертификацией и аттестацией?
Нет. Лицензируемые работы по защите информации мы не ведём: лицензии ФСТЭК у нас нет, аттестацию не проводим. Если нужен продукт с сертификатом, это сужает выбор; подаёт и проходит сертификацию заказчик, а мы готовим конфигурацию и документацию.
Сколько стоит замена Active Directory?
Обследование — 200 000 ₽ при одном домене и нескольких системах вокруг, 350 000 ₽ если систем много. Пилот на подразделении — от 150 000 до 1 200 000 ₽ по числу интегрированных систем. Перенос в продуктив — от 1 500 000 ₽ этапами по 300 000–700 000 ₽. Точную цену называем после обследования.
Вы работаете только в Ростове-на-Дону?
Мы в Ростове-на-Дону, работаем с заказчиками по всей России: удалённо и в вашем контуре. Доступ к системам и обследование согласуем на старте с вашей службой безопасности.
Смежное