Домен: единый вход, единые правила, управляемость
Без домена один реальный человек живёт в инфраструктуре как пять разных людей: на компьютере он один, в 1С — другой, в почте — третий. Уволить его нормально невозможно, новый приходит в зоопарк, а всё держится на памяти одного айтишника. Домен превращает этот хаос в управляемую систему.
Когда домена нет, каждый компьютер живёт сам по себе
Во многих небольших компаниях про домен вообще не знают — и пока людей мало, кажется, что он и не нужен. А потом смотришь на одного сотрудника — и это пять разных человек в пяти системах.
Когда домена нет, у компании нет единой системы пользователей. Каждый компьютер живёт сам по себе: свои учётные записи, свои пароли, свои настройки. На одной машине сотрудник называется ivan, на другой — ivanov, на третьей вообще остался логин прошлого работника, потому что компьютер ему достался по наследству и никто ничего не переименовывал.
А дальше — тот же человек в 1С под одной учёткой, в почте под другой, в VPN под третьей, в сетевой папке под четвёртой. В компании физически работает один человек — а с точки зрения инфраструктуры это пять разных сущностей, между которыми нет никакой связи.
Пока компьютеров пять-десять — это терпимо. Двадцать — уже неудобно. А когда сорок-пятьдесят — это уже не неудобство, а хаос. Просто хаос нарастает постепенно, и все к нему привыкают — до первого увольнения или проверки.
Когда домена нет, каждый компьютер сам по себе
Без единой системы пользователей каждый компьютер живёт сам по себе: свои учётки, свои пароли, свои настройки. Один сотрудник оказывается набором не связанных между собой учётных записей в разных системах.
Без домена нет единой базы пользователей. Каждый компьютер хранит свои собственные учётные записи, пароли и настройки. Один и тот же человек заведён по отдельности в каждом месте: отдельная учётка на каждой машине (нередко с разными именами, иногда вообще оставшаяся от прежнего работника), отдельная — в 1С, в почте, в VPN, на файловом сервере. Связи между ними никакой.
Это не просто неудобно. Нет единого места, где пользователем можно управлять. Любое действие — завести человека, заблокировать, поменять права — приходится повторять в каждой системе вручную, и никто не гарантирует, что нигде не забыли.
И чем больше компьютеров, тем быстрее это растёт. До десяти машин управлять вручную ещё терпимо, к двадцати — уже ощутимо, к сорока-пятидесяти — система становится практически неуправляемой. Деградация постепенная, поэтому порог обычно проходят незаметно.
Чем это оборачивается на практике
Пока всё спокойно, зоопарк учёток как-то живёт. Но стоит начаться реальной жизни — увольнения, новые люди, доступы — и вылезают четыре беды.
Четыре класса издержек без единого каталога
Отсутствие домена бьёт по четырём направлениям: увольнение сотрудников, приём новых, управление парком машин и зависимость от одного специалиста.
Домен — это единый центр управления
Домен — это единая система управления всеми компьютерами и пользователями компании. Проще всего объяснить через аналогию с домом.
Без домена каждый компьютер — это отдельная квартира со своим замком, своими ключами и своими правилами. Ничего общего между ними нет. Хотите попасть в каждую — нужен отдельный ключ от каждой двери. Сорок компьютеров — сорок отдельных дверей с сорока замками.
Домен — это единая система управления всем зданием. Один список жильцов, один центр, который знает, кому в какую квартиру можно, а кому нельзя. Выдали пропуск — человек ходит куда положено. Забрали пропуск — всё, доступа нет. Нигде и сразу.
Технически в сети появляется контроллер домена — сервер, на котором хранится единая база пользователей, компьютеров, групп и правил. Все компьютеры подключаются к этому домену и начинают жить по общим правилам.
Контроллер домена — единый каталог и центр входа
Домен — это единый каталог пользователей, компьютеров, групп и правил с одной точкой входа и управления.
В сети разворачивается контроллер домена — сервер с единой базой объектов: пользователи, компьютеры, группы, политики. Рабочие станции и серверы вводятся в домен и доверяют ему проверку входа и применение политик. Отдельные учётки на каждой машине уступают место единой доменной учётной записи.
С этого момента сотрудник — это один объект каталога с единым жизненным циклом, а не набор разрозненных локальных учёток. Аутентификация, членство в группах и применяемые политики управляются из одной точки.
Что домен меняет в повседневной жизни
Четыре вещи, ради которых это затевается. Каждая закрывает одну из четырёх болей жизни без домена.
Что домен даёт на практике
Четыре возможности, каждая из которых напрямую устраняет соответствующую издержку децентрализованной схемы.
Когда домен действительно нужен
Это не вопрос моды или «солидности», а вопрос управляемости. И ответ зависит от размера компании.
Если у вас десять компьютеров — можно жить без домена. Управлять вручную неудобно, но терпимо. Двадцать — уже стоит серьёзно задуматься: ручное управление начинает отъедать заметное время, а бардак с доступами становится всё менее контролируемым.
А если сорок-пятьдесят — без домена это уже практически неуправляемо. Не «сложно», а именно неуправляемо: айтишник тратит время не на развитие инфраструктуры, а на бесконечную рутину, которая в нормальной системе делается автоматически. Чем больше сотрудников — тем больше пользы от домена.
Порог внедрения домена
Домен оправдан по критерию управляемости, и порог определяется размером парка, а не статусом компании.
≈10 машин — домен необязателен: вручную управлять ещё нормально. ≈20 — момент, когда ручная возня и путаница с доступами начинают перевешивать, и домен уже оправдан. 40-50 и выше — без домена управлять практически невозможно: всё время уходит на рутину, а контроль над доступами теряется.
Растёт это быстрее, чем линейно: каждая новая система и каждый новый сотрудник добавляют не одну, а сразу несколько разрозненных учёток. Поэтому решение лучше принимать на подходе к порогу, а не после того, как парк стал неуправляемым.
На чём поднимают домен
Решений несколько. Для большинства компаний выбор довольно очевиден, но есть и бесплатные альтернативы — со своими оговорками.
Но главное правило простое: любой домен лучше, чем его отсутствие. Даже бесплатное решение на Samba — это на порядок лучше, чем сорок компьютеров, каждый из которых живёт своей жизнью. А какое конкретно решение подойдёт вам — зависит от бюджета, требований к импортозамещению и того, на каких системах работают ваши сотрудники.
Выбор доменной службы
Эталон — проприетарный AD. Альтернативы строятся на Samba AD DC и различаются наличием GUI, поддержки и принадлежностью к реестру РФ.
Принципиально: любой домен предпочтительнее его отсутствия. Выбор между ветками определяется бюджетом, требованием реестра РФ, наличием Windows-инфраструктуры и квалификацией эксплуатации (голый Samba требует CLI и рук, обёртки и вендорские продукты дают GUI и поддержку за деньги).
Контроллеров домена должно быть минимум два
Это не рекомендация и не «хорошо бы». Это обязательное требование — и вот почему.
Контроллер домена — это критичный элемент, от которого зависит вообще всё: логины, доступы, политики. Если он один и он умер — одномоментно ломается вся система управления. Никто не может войти на компьютер, никто не получает доступ к папкам, ничего не работает.
Поэтому контроллеров должно быть минимум два, причём на двух разных физических машинах. Один упал — второй продолжает работать, пользователи даже не заметят, а вы спокойно восстанавливаете первый. Два контроллера на двух машинах — это не перестраховка, это стандарт. И здесь хорошо ложится виртуализация: второй контроллер можно поднять как виртуалку на другом физическом сервере, не покупая отдельную железку.
Минимум два контроллера на разных физических хостах
Контроллер домена — единая точка отказа для всей системы управления. Резервирование обязательно, и именно на уровне физических машин.
Единственный контроллер домена — это единая точка отказа для входа, прав доступа и политик. Его отказ означает одномоментную потерю входа на компьютеры, доступа к ресурсам и применения групповых политик — то есть полную остановку управляемости.
Требование — не менее двух контроллеров с репликацией, размещённых на разных физических хостах. При отказе одного второй продолжает проверять входы незаметно для пользователей. Если оба поднять на одном сервере — смысл резервирования теряется, нужна физически отдельная машина. Виртуализация это упрощает: второй контроллер — виртуалка на другом физическом сервере, без закупки отдельного железа. Контроллер домена также входит в обязательный периметр резервного копирования.
Наши принципы — применительно к домену
Домен — это не технология ради технологии, а те же четыре принципа. И здесь на первый план выходит управляемость.
Четыре принципа — применительно к домену
Домен — это те же четыре принципа, применённые к пользователям и управлению, где главным становится управляемость.
«А что насчёт …?»
Типичные вопросы про домен, которые нам задают.
Скорее «пока нет, но скоро стоит задуматься». На десяти-двенадцати компьютерах без домена жить можно: управлять вручную неудобно, но терпимо. Это та зона, где домен — ещё не обязательность.
Но ориентируйтесь не на сегодняшнее число, а на траекторию. Если вы растёте и через год вас будет двадцать — домен лучше закладывать заранее, на спокойную голову, чем потом срочно наводить порядок в уже разросшемся зоопарке. Это вопрос управляемости, а не «солидности»: чем больше людей и систем, тем больше пользы.
Не обязательно дорого. Да, классический вариант — Windows Server плюс клиентские лицензии, и это деньги. Но есть и бесплатные варианты на базе Samba — как «голый» Samba, так и готовые продукты с веб-интерфейсом (Zentyal, Univention UCS) с бесплатными версиями. А если нужно отечественное ПО из реестра — РЕД АДМ или Альт Домен (платно, но с поддержкой). Даже бесплатный домен лучше его отсутствия.
Но честно про обратную сторону: у альтернатив Microsoft AD часть возможностей недоступна или работает не так гладко. Самый яркий пример — почтовый сервер Microsoft Exchange: он нормально живёт только с настоящим Active Directory, а с Samba-решениями его, по сути, не поднять. То же касается и ряда других продуктов и тонких настроек экосистемы Microsoft. Поэтому если вы завязаны на Exchange или другие сервисы Microsoft — это сильный аргумент в пользу настоящего AD, несмотря на цену.
Что касается железа — контроллер домена нетребователен к ресурсам. Его не нужно ставить на мощную отдельную машину: чаще всего его поднимают как виртуальную машину на уже имеющемся сервере. А второй контроллер — как виртуалку на другом физическом хосте. Отдельную дорогую железку под это покупать не нужно.
Ничего — домен продолжит работать. Это частый страх, но он беспочвенный: контроллер домена стоит у вас локально, в вашей сети, и для входа сотрудников, доступа к папкам и применения политик интернет ему не нужен.
Если оборвётся внешний канал — перестанет работать то, что и так живёт в интернете (внешняя почта, облачные сервисы, сайт). А вход на компьютеры, сетевые папки, печать, 1С внутри офиса — всё это продолжит работать как ни в чём не бывало, потому что домен — это ваша локальная инфраструктура.
Не перебор — это как раз тот случай, где экономить нельзя. Контроллер домена — это то, через что сотрудники вообще входят в компьютеры и получают доступ ко всему. Если он один и он умер — встаёт вся компания разом: никто не может залогиниться, открыть папку, зайти в 1С. Это страшнее, чем выход из строя любого другого сервера.
При этом второй контроллер не требует второй дорогой машины. Его поднимают как виртуалку на другом физическом сервере — например, на том, где уже крутится что-то ещё. Главное — чтобы это была другая физическая машина, а не соседняя виртуалка на том же хосте, иначе смысла в резервировании нет. Один упал — второй держит, пользователи даже не заметят.
Поэтапно, и это нормальный проект, а не «одна ночь». Сначала поднимается контроллер домена (а лучше сразу два), заводятся учётные записи сотрудников — по одному реальному человеку, без старых дублей. Потом компьютеры по очереди вводятся в домен — обычно по несколько за раз, не нарушая работу.
Параллельно наводится порядок в группах и доступах: бухгалтерия — в свою группу, продажи — в свою. Файловый сервер, 1С, почта по очереди переключаются на вход через домен. В итоге зоопарк разрозненных учёток постепенно сворачивается в единую систему — без того, чтобы компания на неделю встала. Это тот случай, где спешка вредит, а поэтапность — спасает.
Типичные вопросы и уточнения
Что чаще всего спрашивают при внедрении домена.
Прямо на границе. До десятка машин управлять вручную ещё нормально, к двадцати ручная возня начинает съедать заметно времени. 12 — это «пока можно без домена, но пора готовиться».
Смотреть стоит не на сегодняшнее число людей, а на то, куда вы растёте. Завести домен заранее, пока компьютеров немного, — дешевле и спокойнее, чем потом наводить порядок в уже разросшемся зоопарке.
У Microsoft AD всё платно: нужны Windows Server и клиентские лицензии (CAL). Но есть и бесплатные варианты на базе Samba: «голый» Samba ничего не стоит, но настраивается из командной строки — нужен подготовленный человек. Готовые продукты с удобным веб-интерфейсом (Zentyal, Univention UCS) имеют бесплатные версии, а за деньги дают больше возможностей и поддержку. Российские РЕД АДМ и Альт Домен — по лицензии. То есть платить приходится либо за лицензии, либо своим временем на настройку «голого» Samba.
И важная оговорка: Samba-решения умеют не всё, что умеет настоящий AD. Часть возможностей либо недоступна, либо работает не так гладко. Самый яркий пример — почтовый сервер Microsoft Exchange: ему нужен именно настоящий Active Directory, и на Samba его, по сути, не поднять. То же касается и некоторых других продуктов Microsoft и тонких настроек. Поэтому если вы завязаны на Exchange или плотно сидите на продуктах Microsoft — это веский повод взять настоящий AD, несмотря на цену.
А вот по железу всё спокойно: контроллер домена нетребователен к ресурсам, его обычно поднимают как виртуалку на уже имеющемся сервере. Второй контроллер — тоже виртуалка, но на другом физическом сервере. Отдельную машину специально под это покупать не нужно.
Проверка входа и применение политик не зависят от интернета: контроллер домена работает локально, внутри вашей сети. Вход на компьютеры, доступ к ресурсам, печать, групповые политики продолжают работать в пределах офисной сети.
Если оборвётся внешний канал — перестанет работать только то, что и так живёт в интернете: облачная почта, внешние сервисы, доступ снаружи. А сам домен — это ваша локальная инфраструктура, и от интернета он не зависит.
Потому что один контроллер домена — это единая точка отказа для всех входов и доступов. Если он умрёт, разом по всей сети встаёт вход на компьютеры, доступ к папкам и политики — то есть вся компания сразу.
Поэтому контроллеров делают минимум два: упал один — второй продолжает пускать людей, никто ничего не замечает. Важно, чтобы они стояли на разных физических машинах: два контроллера на одном сервере от его поломки не спасут. Второй обычно поднимают виртуалкой на другом сервере — отдельное железо покупать не нужно.
Поэтапно, без спешки. Сначала поднимают контроллер домена (а лучше сразу два), заводят учётки сотрудников по принципу «один человек — одна запись», без переноса старых дублей. Потом компьютеры по очереди, небольшими партиями вводят в домен, не останавливая работу.
Дальше настраивают группы (права по отделам) и по очереди переключают на доменный вход остальное: файловый сервер, 1С, почту, VPN. Какое-то время старая и новая схемы работают параллельно — поэтому компания не встаёт ни на день, а старые локальные учётки убирают уже в самом конце.
Если у вас «один человек — пять разных учёток»
Посмотрим, как сейчас устроены пользователи и доступы, поднимем домен (два контроллера — на разных машинах), наведём порядок в учётках и группах и поэтапно введём компьютеры в домен — не останавливая работу. Подберём решение под бюджет и требования: Microsoft AD, бесплатные решения на базе Samba (Zentyal, Univention) или отечественные из реестра РФ (РЕД АДМ, Альт Домен).
Свести зоопарк учёток в единый каталог
Аудит текущих учётных записей и доступов, проектирование доменной структуры (подразделения, группы, групповые политики, права по ролям). Развёртывание двух контроллеров с репликацией на разных физических хостах, поэтапный ввод рабочих станций и серверов в домен без простоя, перевод файлового сервера, 1С, почты и VPN на вход через домен. Включение контроллеров в периметр резервного копирования. Выбор решения — Microsoft AD, вариант на базе Samba (голый Samba или готовые Zentyal / Univention) либо российские РЕД АДМ / Альт Домен — под вашу инфраструктуру, бюджет и требования импортозамещения.