$ cat "Службы каталогов и домены .int.md"

Службы каталогов и домены .int

Проектируем, настраиваем и сопровождаем корпоративные службы каталогов Active Directory и Linux-домены (FreeIPA, ALD Pro). Выстраиваем централизованное управление пользователями, правами доступа и конфигурациями рабочих мест, настраиваем сквозную аутентификацию (SSO) и объединяем Windows и Linux в единую инфраструктуру.

Что мы делаем

  • Архитектура доменов и доверительные отношения:

    • Проектирование и развертывание лесов и деревьев Active Directory Domain Services (AD DS), мультимастерная репликация и резервирование ролей FSMO.
    • Настройка односторонних и двусторонних доверительных отношений (Cross-Forest Trusts), структурирование сайтов и подсетей (AD Sites and Services) для филиалов.
    • Развертывание защищенных корпоративных зон (.int, .corp) с отказоустойчивой инфраструктурой DNS (AD-Integrated DNS, split-horizon DNS, BIND).

  • Групповые политики (GPO) и Hardening:

    • Автоматизация настройки рабочих мест: сетевые диски, принтеры, корпоративные сертификаты и базовые конфигурации ПО.
    • Ужесточение безопасности по стандартам CIS Benchmarks: отключение устаревших протоколов (NTLMv1, SMBv1, LLMNR, NetBIOS).
    • Контроль запуска приложений через AppLocker для защиты от вредоносного ПО и шифровальщиков.
    • Гранулярные политики паролей и автоматическая ротация паролей локальных администраторов (Microsoft LAPS).

  • Интеграция с Linux (FreeIPA, ALD Pro, Samba DC):

    • Внедрение централизованных служб идентификации на базе FreeIPA и ALD Pro для отечественных ОС (Astra Linux, РЕД ОС, Альт).
    • Настройка сквозного доверия между Active Directory и Linux-доменами.
    • Ввод Linux-станций и серверов в AD через SSSD и Winbind: единые учетные записи и централизованное делегирование прав sudo.

  • Сквозная аутентификация (SSO) и безопасность доступа:

    • Развертывание инфраструктуры открытых ключей (PKI / AD CS): выпуск внутренних SSL/TLS-сертификатов, авторизация по смарт-картам и аппаратным токенам (Рутокен, JaCarta).
    • Реализация бесшовного входа (Single Sign-On) через Kerberos, SAML 2.0 и OpenID Connect (Keycloak, AD FS) для 1С, почты, CRM и внутренних порталов.
    • Двухфакторная аутентификация (2FA / MFA) для административного доступа, RDP и внешних подключений.

  • Аудит безопасности, миграция и Disaster Recovery:

    • Аудит домена: выявление уязвимостей, неактивных учетных записей, анализ прав делегирования и структуры групп.
    • Миграция пользователей, компьютеров и паролей между доменами и лесами (ADMT) без сброса паролей.
    • Автоматизированное резервное копирование System State и регламенты аварийного восстановления контроллеров домена (Bare-Metal Restore).

Технологический стек

  • Службы каталогов: Active Directory DS (Windows Server 2016–2025), FreeIPA, ALD Pro, Samba 4 AD DC, OpenLDAP.
  • Протоколы: Kerberos, LDAP / LDAPS, DNS, DHCP, RADIUS, SAML 2.0, OpenID Connect.
  • Безопасность и политики: Group Policy (GPO), Microsoft LAPS, AppLocker, BitLocker, PKI / AD CS, FreeRADIUS.
  • Интеграция с Linux: SSSD, Winbind, Realmd, PAM, KRB5.
  • Идентификация и SSO: Keycloak, Active Directory Federation Services (AD FS), 2FA/MFA.

Результат

  1. Единая точка управления: централизованное заведение, изменение и отзыв доступов во все корпоративные сервисы в один клик.
  2. Стандартизация рабочих мест: автоматическое применение настроек через GPO без ручной работы системного администратора.
  3. Бесшовная среда Windows + Linux: единая учетная запись сотрудника для всех операционных систем и прикладных сервисов.
  4. Защита от компрометации: предотвращение бокового перемещения атак (Lateral Movement) за счет LAPS, AppLocker и принципа наименьших привилегий.
Обсудить проект