Централизованное управление парком корпоративных ноутбуков без Microsoft AD: ALD Pro, РЕД АДМ и FreeIPA / Samba DC для офисных и удалённых сотрудников

Централизованное управление парком корпоративных ноутбуков без Microsoft AD: ALD Pro, РЕД АДМ и FreeIPA / Samba DC для офисных и удалённых сотрудников

Мигрировать со старого Microsoft Active Directory стационарные системные блоки под столом в офисной локальной сети — простая учебная задача. Настоящий экзамен для системного архитектора начинается на парке ноутбуков, которые в пятницу вечером закрывают крышку, уезжают домой или в командировку, утром в самолёте открываются вообще без Wi-Fi, а вечером в гостинице поднимают корпоративный VPN и требуют прозрачный вход без повторного ввода паролей (Kerberos SSO) на файловые шары и портал СЭД!

Разбираем, как выстроить безотказную архитектуру отечественной службы каталогов для мобильного парка в гетерогенный период (когда в компании одновременно работают и новые ноутбуки на Astra Linux / РЕД ОС и Альт, и остающийся парк на Windows!).

Две архитектурные школы российских контроллеров домена — и как выбрать свою

Четыре критических узла настройки именно для мобильных ноутбуков в домене

1. Офлайн-кеширование учётных данных (SSSD cache_credentials = True)

Если у удалённого сотрудника на Linux-ноутбуке служба SSSD настроена неправильно или срок жизни офлайн-кеша ограничен 1 сутками, в понедельник утром дома до подключения к интернету экран входа ответит ему «Ошибка проверки подлинности»!

• Обязательно проверьте в /etc/sssd/sssd.conf: cache_credentials = True, разумный offline_credentials_expiration = 0 (или 30 дней по вашей ИБ-политике) и короткий ldap_opt_timeout = 3–5, чтобы при отсутствии контроллера домена в аэропорту ноутбук за 1 секунду переходил на локальный криптографический хеш SSSD, а не «висел с крутящимся колесом 90 секунд» при каждом sudo и разблокировке экрана!

2. «Проблема курицы и яйца» для первого входа нового удалённого сотрудника (Pre-Logon Machine VPN)!

Ноутбук со склада ИТ отправляют курьером новому программисту или региональному торговому представителю в Новосибирск: дома у него нет связи с вашим закрытым внутренним контроллером домена, поэтому без предварительного кеша он физически не сможет выполнить самый первый доменный вход!

• Правильное архитектурное решение: поднимайте на ноутбуках машинный туннель Always-On Pre-Logon VPN по аппаратному сертификату самого ноутбука (WireGuard / OpenVPN / Континент ZTN / ViPNet системным systemd-юнитом на уровне сети ДО появления окна логина пользователя!) и всегда выполняйте контрольный первый вход под учёткой сотрудника или предкеширование на стенде выдачи ИТ перед упаковкой ноутбука в коробку курьеру!

3. Обновление билета Kerberos TGT после выхода ноутбука из сна и смены Wi-Fi!

Ноутбук переехал из переговорки на мобильный хотспот 4G, сменил IP-адрес и вышел из 4-часового сна: SSSD должен автоматически переподключаться из offline в online при появлении маршрута до KDC (NetworkManager dispatcher / sssd SIGUSR2), автоматически продлевая билет Kerberos для прозрачного доступа к внутренней корпоративной почте и 1С!

4. Автоматическое обновление DNS-записей (DDNS) ноутбуков из VPN-пула

Разделите DNS-зоны или настройте dyndns_update = True так, чтобы при подключении ноутбука из дома по VPN служба техподдержки HelpDesk всегда находила машину сотрудника по её доменному имени nb-ivanov.corp.local, а не гадала динамический IP-адрес в чате!

Чек-лист системного архитектора перед пилотным вводом 20 ноутбуков в новый домен

• [ ] На всех контроллерах домена и всех ноутбуках настроена железобетонная синхронизация точного времени Chrony / NTP с погрешностью < 1 секунды: при расхождении системных часов ноутбука более чем на 5 минут протокол Kerberos мгновенно отвергает все билеты с ошибкой KRB5KRB_AP_ERR_SKEW (Clock skew too great) (особенно актуально, если на старом ноутбуке подсела батарейка CMOS CR2032!).
• [ ] Проверен сценарий экстренной мгновенной блокировки увольняемого конфликтного сотрудника на удалёнке: отзыв VPN-сертификата устройства на шлюзе + блокировка УЗ в ALD Pro / РЕД АДМ + команда принудительной блокировки/стирания корпоративного контейнера через агент управления!
• [ ] В образе корпоративных ноутбуков оставлена защищённая 25-символьная локальная аварийная учётная запись администратора ИТ с уникальным для каждого серийного номера ноутбука паролем (аналог LAPS) в корпоративном хранилище секретов Vault / Пассворк!

Частые вопросы

Сколько контроллеров домена ALD Pro или РЕД АДМ / Samba DC нужно компании на 150 ноутбуков — хватит ли одной виртуальной машины? Никогда не запускайте службу каталогов в единственном экземпляре в продакшене! Минимум — два реплицируемых контроллера домена на двух разных физических гипервизорах (а при наличии филиала или облачной площадки — третий реплицируемый DC в резервном ЦОД!). Потребление ресурсов одной ВМ контроллера домена на 150 машин смехотворно (4 vCPU, 8–16 ГБ RAM), зато гибель единственного непродублированного DC без консистентного бэкапа останавливает аутентификацию и групповые политики всей компании!