Установка, настройка и использование ПК ALD Pro 3.0.0

назначение и ключевые функции;

возможности службы каталога.

контроллер домена;

служба синхронизации времени (chrony);

портал управления;

подсистемы: репозиторий программного обеспечения; общий доступ к файлам; служба печати; динамическая настройка узлов (DHCP); установка ОС по сети (PXE); мониторинг; аудит; клиентская часть.

особенности реализации Samba AD;

преимущества FreeIPA и обоснование ее выбора в ALD Pro.

минимальные требования к инфраструктуре;

планирование ресурсов (оперативная память, CPU, пропускная способность сети);

модуль синхронизации и прочие службы.

методики горизонтального масштабирования;

рекомендации по именованию доменов.

проверка ОС: build_version;

проверка (установка) уровня «Смоленск»;

отключение NetworkManager;

настройка статического IP в /etc/network/interfaces.

настройка репозиториев ALD Pro: создание /etc/apt/sources.list.d/aldpro.list;

присвоение имени контроллера;

установка пакетов: aldpro-mp, aldpro-gc, aldpro-syncer, aldpro-syncer-pwdsync;

повышение роли сервера до контроллера домена;

проверка базовых функций: доменных служб, Kerberos-аутентификации, портала управления;

ввод компьютера в домен.

развертывание первого контроллера домена

обзор компонентов и их взаимодействия;

сравнительный анализ с MS AD: служба каталога — FreeIPA, LDAP — 389 Directory Server, Kerberos — MIT Kerberos.

веб-интерфейс управления;

утилиты управления: ipactl, ipa, ipa-getkeytab, ipa-backup, ipa-restore;

конфигурационные файлы: /etc/ipa/default.conf, /etc/krb5.conf.

структура каталога;

утилиты: ldapsearch, ldapmodify, dsctl, dsconf;

расположение БД.

служба KDC: krb5-kdc;

утилиты: kinit, klist, kdestroy;

файлы ключей: /etc/krb5.keytab.

интеграция с Windows;

службы: smb, winbind;

конфигурация: /etc/samba/smb.conf.

диапазоны UID/GID: ipa config-show;

SID (Security Identifier).

управление организационной структурой;

управление пользователями;

управление компьютерами;

удаленный доступ для оказания поддержки;

управление группами.

администрирование службы каталога с помощью утилит командной строки FreeIPA и LDAP.

DNS: разрешение имен, SRV-записи для автоматического обнаружения служб;

синхронизация времени (NTP): критична для работы Kerberos;

сравнительный анализ с MS AD: DNS Manager — BIND в ALD Pro, W32Time — chrony.

использование BIND 9 (bind9-pkcs11).

конфигурационные файлы: /etc/bind/named.conf (основной конфиг); /etc/bind/ipa-options-ext.conf (дополнительные настройки); /etc/bind/ipa-ext.conf (зоны).

автоматическое создание зон при установке домена;

отключение DNSSEC для работы в закрытом контуре;

настройка рекурсивных запросов.

служба chrony (альтернатива ntpd);

конфигурационный файл: /etc/chrony/chrony.conf;

синхронизация сервера времени контроллера домена с внешними источниками;

синхронизация клиентов с контроллерами домена.

настройка DNS и NTP, проверка SRV-записей.

основные клиентские пакеты: aldpro-client, freeipa-client, sssd, krb5-user;

сравнение с Windows: присоединение к домену Windows — ввод в домен ALD Pro.

архитектура: монитор, бэкенды, ответчики;

механизм кеширования: автономная работа;

конфигурационные файлы: /etc/sssd/sssd.conf, /etc/sssd/conf.d/.

LDAP: ldap:// или ldaps://;

Kerberos: билеты TGT и сервисные билеты;

NTLM: для совместимости с Windows.

SSL/TLS для LDAP (LDAPS);

StartTLS для защиты LDAP-сессий;

сертификаты домена: /etc/ipa/ca.crt.

автоматическое создание при вводе в домен;

пароль компьютера: /etc/krb5.keytab;

проверка: klist -k.

кеширование учетных данных;

ограниченная функциональность;

автоматическая синхронизация при подключении.

ввод компьютера в домен, диагностика аутентификации.

централизованное управление настройками пользователей и компьютеров.

Group Policy Objects (GPO) — групповые политики ALD Pro;

иерархия применения: домен — сайт — подразделение — группа — пользователь/компьютер.

политики паролей (аналог Windows Password Policy);

HBAC-правила (Host-Based Access Control);

SUDO-правила (повышение привилегий);

групповые политики (настройки ОС и приложений);

политики ПО (установка и управление программным обеспечением);

LAPS (Local Administrator Password Solution).

настройки сложности, истории, срока действия;

группы с автоматическим участием (встроенные группы).

контроль доступа пользователей к хостам и сервисам;

компоненты правила: кто (пользователь/группа) — куда (хост/группа хостов) — к чему (сервис), по умолчанию правило allow_all.

делегирование прав выполнения команд;

аналогия с /etc/sudoers, но централизованно;

поддержка групп пользователей, хостов, команд.

настройка через портал управления;

категории: параметры компьютеров, параметры пользователей;

дополнительные параметры (кастомизация через Salt-скрипты).

создание и применение политик безопасности.

установка ролей в Windows Server;

установка подсистем в ALD Pro.

ввод сервера в домен как обычной рабочей станции с помощью aldpro-client-installer;

назначение серверу роли через портал управления (раздел «Роли и службы сайта»);

автоматическая установка и настройка подсистемы (через ~30 минут);

форсирование установки: sudo aldpro-roles --iud на целевом хосте.

развертывание файлового сервера, настройка общих ресурсов.

мультимастерная репликация (все контроллеры равноправны).

репликация изменений (incremental replication);

полная репликация при инициализации;

конфликты репликации и их разрешение;

журнал изменений (change log).

группировка контроллеров по физическому местоположению;

балансировка нагрузки и отказоустойчивость;

DNS SRV-записи для автоматического обнаружения сайта.

через DNS SRV-записи;

в SSSD-клиентах;

в библиотеке libkrb5.

создание сайта, настройка репликации, диагностика.

DHCP (Dynamic Host Configuration Protocol): автоматическая выдача сетевых настроек;

PXE (Preboot Execution Environment): сетевая загрузка и установка ОС.

привязка к домену (автоматический ввод в домен при установке).

TFTP-сервер: передача файлов загрузки;

HTTP-сервер: предоставление установочных образов;

конфигурационные файлы: меню загрузки, параметры установки;

Preseed/Postinstall-скрипты: автоматизация установки.

массовая установка ОС на новые компьютеры;

развертывание однотипных конфигураций;

централизованное управление загрузкой.

настройка DHCP и PXE для автоматической установки.

проверка служб: aldproctl, krb5-kdc dirsrv@... bind9-pkcs11 sssd;

диагностика аутентификации: логи SSSD (/var/log/sssd/), kinit admin, sssctl user-checks;

проверка репликации: dsconf ldap://dc-1 repl-agmt list, ds-replcheck, checkipaconsistency (см. модуль 8);

проверка DNS: nslookup dc-1, dig -t SRV _ldap._tcp.ald.company.lan;

сеть: доступность портов (nc -zv dc-1 389 636 88 53).

sssctl — диагностика SSSD (см. модуль 5);

dsconf, ipa-replica-manage — диагностика репликации;

checkipaconsistency — проверка целостности данных;

aldproctl — управление службами ALD Pro.

диагностика искусственно созданных проблем в тестовой среде.