Служба каталога ALD Pro как фундамент перехода на отечественную ИТ-инфраструктуру

12.11.2026

Обсуждая переход на отечественное ПО, обычно имеют в виду офисные пакеты, браузеры и операционные системы. Между тем в каждой корпоративной сети есть слой, который пользователь не видит, но без которого предприятие не функционирует: единый реестр пользователей, машин и прав доступа. Эту роль исторически выполняла служба каталога — и именно здесь долгие годы существовала наибольшая зависимость от зарубежных технологий.

ALD Pro — российская платформа разработки «Группы Астра», закрывающая эту нишу в Linux-среде. Комплекс включен в реестр отечественного ПО, сертифицирован ФСТЭК России по второму уровню доверия и позиционируется как служба каталога корпоративного класса: с доменной архитектурой, репликацией между контроллерами и поддержкой конфигураций до сотен серверов и миллионов учетных записей. Технологической базой служит стек FreeIPA, дополненный системой конфигурирования SaltStack и собственными модулями вендора.

Из чего собран комплекс

Функциональный охват рассчитан на администрирование крупной распределенной сети из единого административного пространства:

• централизованное управление учетными записями людей, компьютеров и сервисов в общем каталоге, включая делегирование полномочий между администраторами;
• единая точка сквозной аутентификации по протоколу Kerberos V5 — пользователь один раз авторизуется и далее работает с корпоративными сервисами без повторных запросов пароля;
• групповые политики, управляющие параметрами машин и окружением сотрудников; механизм построен по образцу Windows, что снижает порог входа для специалистов, привыкших к оснасткам MS AD;
• автоматическое развертывание сервисов: репозитории пакетов, файловый сервер SMB, печать, DHCP, установка ОС по сети, аудит и мониторинг;
• интеграция с доменом MS Active Directory через доверительные отношения и модуль синхронизации данных.

Помимо перечисленного, в состав входят встроенный ACM — средство управления конфигурациями — и инструмент инвентаризации APM. Первый разворачивает Astra Linux по сети по заранее подготовленным профилям, обновляет операционную систему и подключает рабочие станции к домену без ручной настройки каждого рабочего места. Второй собирает сведения об оборудовании и установленном программном обеспечении с машин в домене. В совокупности это превращает продукт в систему для централизованного управления всем жизненным циклом рабочих мест, а не только в контроллер доступа.

Проверка на масштаб

Масштабируемость — критерий, отделяющий корпоративные продукты от нишевых. По итогам испытаний, о которых сообщает вендор, платформа подтвердила работу в конфигурациях до 400 контроллеров домена и свыше миллиона активных пользователей; гибкость распределения достигается поддержкой сайтов и географической балансировкой нагрузки. Для организаций с филиальной сетью это означает возможность строить домен по территориальному принципу, не выводя трафик аутентификации за пределы площадок.

Высокая производительность в актуальных версиях достигнута за счет переработки внутренних механизмов: вычисление суммарного эффекта групповых политик перенесено на клиентские машины, что разгрузило серверную часть, а обращения портала управления оптимизированы под схему хранения каталога LDAP. По данным «Группы Астра», миграция порядка десяти тысяч учетных записей укладывается в два часа и не требует остановки бизнес-процессов — показатель, важный для планирования перехода без простоев.

Сосуществование с наследием

Практически ни одно предприятие не переходит на новое инфраструктурное решение одномоментно. Поэтому мультивендорность здесь имеет прикладное значение, а не декоративное. ALD Pro поддерживает двусторонние доверительные отношения с доменами Windows: пользователь из домена MS Active Directory может работать в Linux-среде, и наоборот, а настройка прав на ресурсы выполняется привычными средствами Microsoft — служба каталога отдает сведения о доверенном домене в совместимом формате.

К домену подключаются и рабочие станции под иными российскими ОС — ALT Linux, РЕД ОС; управление ими ведется групповыми политиками на базе Salt-скриптов. Такой сценарий снимает моновендорную зависимость и позволяет вести внедрение поэтапно, по мере обновления парка техники, а не единовременным переключением всей инфраструктуры.

Контур безопасности

Для государственных заказчиков и регулируемых отраслей сертификация нередко оказывается решающим аргументом при выборе. Статус в реестре российского ПО и соответствие требованиям ФСТЭК России открывают продукту дорогу в государственные информационные системы и на объекты критической информационной инфраструктуры.

Содержательная часть защиты шире формального статуса. Через портал администратор централизованно настраивает мандатный контроль, встроенный в Astra Linux Special Edition, регистрирует учтенные USB-накопители и правила их монтирования; проверка паролей ведется по словарю запрещенных значений, события аутентификации стекаются в централизованный аудит. Отдельная функция — автоматическая ротация паролей локальных администраторов рабочих станций: это закрытие одной из типовых целей злоумышленников при горизонтальном перемещении по сети. Наконец, быстрое устранение уязвимостей обеспечивается тем, что разработка и сопровождение ведутся внутри страны и жизненный цикл исправлений не зависит от внешних ограничений.

Порог входа и окружение

Сроки и стоимость внедрения на практике становятся барьером не легче технических. Вендор снижает его несколькими путями. В открытом доступе работает встроенный справочный центр — свыше тридцати учебных модулей по архитектуре и возможностям продукта, достаточных для самостоятельного обучения администраторов и организации внутренних программ подготовки. Документация сопровождается бесплатной редакцией ALD Pro Free для пилотов: один контроллер домена, до 25 пользователей и 25 машин, работающие групповые политики и удаленная поддержка по VNC.

Экосистема «Группы Астра» насчитывает более сорока интеграций — со средствами PKI, SIEM, PAM, DLP и IDM, а также с решениями независимых разработчиков. Это дает возможность встраивать каталог в сложившийся ландшафт корпоративных систем, а не перестраивать его под отдельно взятый продукт.

Оценка без иллюзий

Объективная картина требует назвать и ограничения. Механизм гибких политик, даже воспроизведенный по образцу Microsoft, охватывает не весь спектр параметров Windows-среды; глубина и скорость миграции зависят от однородности парка машин и зрелости ИТ-службы конкретного предприятия. Часть сценариев потребует доработки процессов, а не только установки пакетов.

Тем не менее сам факт зрелого российского решения для доменного управления меняет расстановку сил. Предприятию больше не приходится выбирать между сохранением зарубежной службы каталога и отказом от централизованного управления как такового: в проектах импортозамещения появился работоспособный инфраструктурный фундамент, развитие которого определяется внутри страны.