Переход на ALD Pro 3.0 перестал быть способом «закрыть галочку» по импортозамещению. Российская служба каталога корпоративного класса теперь закрывает задачи, которые раньше решались только через Microsoft Active Directory: управление сотнями контроллеров, миллионами учетных записей и мандатным доступом на Linux-машинах. Версия 3.0 прошла испытания на домене в 30 млн объектов и 400 контроллеров, а синхронизация 10 тысяч пользовательских записей с существующим AD занимает около двух часов.
Если инфраструктура компании уже включает Astra Linux или только планирует переход с Windows, ключевое решение — не «ставить ли ALD Pro», а когда именно начинать миграцию, чтобы не упереться в ограничения по производительности, лицензиям или несовместимости прикладного ПО.
Почему версия 3.0 стала точкой зрелости продукта
До 2022 года российские службы каталогов воспринимались как эксперимент для энтузиастов. В 2023–2024 годах компании-первопроходцы запустили первые промышленные проекты, и рынок перешёл от точечных внедрений к серийным. По данным интегратора «К2Тех», ALD Pro используется в 69% внедрений отечественных служб каталогов, а новый релиз закрывает около 90% потребностей, которые выявлялись в ходе масштабных проектов.
Перелом произошёл по двум причинам. Во-первых, продукт перестал быть надстройкой над FreeIPA и превратился в самостоятельную платформу с управлением доменными компьютерами через SaltStack. Во-вторых, версия 3.0 официально подтвердила масштабирование на уровне мировых лидеров: 1 млн пользователей, 30 млн объектов, 400+ контроллеров. Для крупного холдинга с географически распределённой сетью филиалов это означает, что архитектура выдерживает нагрузку без дробления домена на изолированные сегменты.
Ещё один фактор зрелости — сертификация ФСТЭК России по 2 уровню доверия. Программный комплекс включён в реестр российского ПО Минцифры, что снимает формальные барьеры для субъектов КИИ и организаций, работающих с гостайной.
Что реально изменилось в архитектуре и управлении
Версия 3.0 сохраняет обратную совместимость с 2.5.0, но добавляет несколько слоёв, которые меняют ежедневную работу администратора.
Модуль синхронизации переписан с расчётом на поэтапную миграцию. Вместо пакетной обработки, которая могла «зависать» при сетевых сбоях, появились независимые потоки для сервисных сообщений, операционных данных и синхронизации паролей. Сопоставление объектов идёт по уникальным идентификаторам objectGUID и nsUniqueId, что исключает конфликты при повторной обработке записей. Практический результат: перенос 10 000 учётных записей укладывается примерно в два часа.
Портал управления оптимизирован для больших каталогов. Устранены задержки при работе с массивами от 300 000 пользователей, ускорены массовые операции. Схема аутентификации через mod_auth_gssapi с сессионными cookie снижает нагрузку на сеть, а очистка хранилища репозиториев автоматизирована.
Графические утилиты aldpro-join и aldpro-dcpromo дают привычный для Windows-администраторов интерфейс присоединения машин к домену и продвижения сервера до контроллера. Это снижает порог входа: специалисту, который годами работал с оснастками AD, не нужно переучиваться на консольные команды FreeIPA с первого дня.
Где ALD Pro 3.0 работает, а где начинает мешать
Служба каталога не заменяет прикладные системы. Она управляет учётными записями, политиками и доступом к ресурсам. Если в инфраструктуре остаются критичные приложения, которые аутентифицируют пользователей только через LDAP-коннектор без поддержки Kerberos, их интеграция потребует отдельного проекта. Двусторонние доверительные отношения с Microsoft AD работают для приложений с Kerberos, но не покрывают все сценарии legacy-ПО.
| Ситуация | Что делать |
|---|---|
| Домен на 50–200 пользователей, один офис | Редакция Free: один контроллер, до 25 пользователей и компьютеров. Для большего числа — платная лицензия на управляемое устройство |
| Гетерогенная среда: Astra Linux, ALT Linux, РЕД ОС, Windows | Клиентская часть устанавливается на ALT Linux 10.4, РЕД ОС 7.3 и 8, Windows через SSSD. Управление политиками — через Salt-скрипты |
| Требования ФСТЭК по мандатному доступу | Централизованное управление уровнями и категориями конфиденциальности через портал ALD Pro с интеграцией PARSEC |
| Активный домен Microsoft AD, поэтапная миграция | Настройка доверительных отношений, запуск модуля синхронизации, перенос учётных записей волнами без остановки работы пользователей |
Ограничение, которое проявляется не сразу: ALD Pro заточен под Linux как целевую ОС рабочих станций. Для Samba-подобных решений, где целевая платформа — Windows, логика управления политиками другая. Если в парке преобладают Windows-клиенты, выгода от перехода будет ниже, чем в среде, где Astra Linux уже занимает значимую долю.
Как выстроить миграцию без остановки бизнес-процессов
Первый шаг — инвентаризация. Нужно понять, сколько учётных записей, какие приложения используют Kerberos, а какие подключаются к каталогу через LDAP. От этого зависит, можно ли обойтись двусторонним доверием или потребуется промежуточный слой синхронизации.
Развёртывание контроллера домена через графическую утилиту занимает около двух часов. Проверка базовых функций — аутентификации Kerberos, работы портала, разрешения имён через DNS — укладывается в один-два дня приёмосдаточных испытаний.
Синхронизацию с AD лучше запускать в нерабочее время, даже если модуль обещает двухчасовой перенос. Первые волны стоит ограничить непривилегированными учётными записями, чтобы убедиться в корректности сопоставления атрибутов. Ошибка на этом этапе обходится дороже, чем несколько дополнительных дней тестирования: конфликт уникальных идентификаторов может привести к дублированию записей, которые потом придётся чистить вручную.
После переноса основной массы пользователей проверяются групповые политики: назначение принтеров, настройки Chrony, параметры загрузчика GRUB2, привязка приложений к типам файлов. В ALD Pro «из коробки» доступно более 100 готовых параметров политик, покрывающих свыше 1000 аспектов работы ОС.
Безопасность, которую нельзя оставить на потом
Версия 3.0 добавляет централизованное управление мандатным контролем доступа для Astra Linux через комплекс PARSEC. Администратор через портал назначает уровни и категории конфиденциальности конкретным сотрудникам, а также регистрирует учтённые USB-накопители с дискреционными и мандатными правами. Без такой регистрации внешний носитель не получит доступ к данным.
Управление паролями локальных администраторов через LAPS закрывает давнюю проблему: одинаковые пароли на всех машинах или записанные в текстовый файл. Проверка новых паролей по словарю запрещённых слов выполняется на стороне контроллера домена автоматически, что усложняет подбор даже при утечке хешей.
«Новый релиз службы каталогов ALD Pro 3.0 закрывает 90% потребностей, выявленных в ходе масштабных внедрений. Мы проанализировали портфель проектов и увидели, что ALD Pro используется в 69% внедрений отечественных служб каталогов».
Представитель интегратора «К2Тех»
На чём можно и нельзя экономить при лицензировании
Модель лицензирования строится на двух единицах: управляемое устройство и контроллер домена. Лицензия на управляемое устройство приобретается для каждого компьютера и сервера в домене. Серверная лицензия покупается на каждый контроллер и включает 8 лицензий на Astra Linux с уровнем защищённости «Максимальный», а также 8 лицензий на управляемое устройство для администрирования самой серверной группировки.
Срок лицензии выбирается из расчёта 1, 2, 3 года или бессрочно. В стоимость всех вариантов включён сертификат на обновления. Экономия на бессрочной лицензии может обернуться тем, что через три года обновления придётся покупать отдельно, а без них продукт не получит исправлений безопасности, критичных для сертифицированного контура.
Редакция Free снимает финансовый барьер для пилота: один контроллер, 25 пользователей, 25 компьютеров, групповые политики и доверительные отношения с одним доменом MS AD. Для организации из 30–40 человек, которой нужно оценить управляемость и совместимость с прикладным ПО, это способ пройти проверку без закупки полного комплекта лицензий.
С чего начать оценку готовности инфраструктуры
Прежде чем планировать бюджет, стоит развернуть ALD Pro Free на изолированном сегменте и подключить к нему две-три тестовые машины под управлением Astra Linux. Проверить нужно не установку, а поведение прикладного ПО: проходит ли аутентификация Kerberos, читаются ли групповые политики, корректно ли применяются мандатные метки. Если хотя бы один критичный сервис не проходит проверку через Free, полный проект начнётся с поиска обходного пути, а не с миграции. Первое действие — составить список приложений, которые обращаются к каталогу, и отметить те, что работают только через LDAP без поддержки Kerberos.
Подробнее о системе для централизованного управления ит-инфраструктурой.
