ALD Pro: служба каталогов вместо Active Directory

Когда организация переводит рабочие места на Astra Linux, первым встаёт вопрос инфраструктуры: чем заменить домен Microsoft Active Directory — учётные записи, групповые политики, единый вход в систему. У «Группы Астра» для этого есть отдельный продукт — служба каталогов ALD Pro, вокруг которой строится домен на Астра Линукс. Ниже разбираем, как этот домен устроен, как он уживается с существующим доменом Windows, какие компьютеры можно в него ввести и как считаются лицензии. Полный план перевода инфраструктуры — в статье о миграции с Windows на Astra Linux.

Выберите исполнение — покажем позицию и цену:

Что такое ALD Pro

ALD Pro — российская служба каталогов корпоративного класса от «Группы Астра», той же компании, что выпускает операционную систему Astra Linux. Продукт закрывает те же задачи, что Active Directory в Windows-инфраструктуре: единый каталог учётных записей пользователей, компьютеров и сервисов, сквозная аутентификация по протоколу Kerberos V5 — пользователь один раз входит в систему и дальше обращается к корпоративным сервисам без повторного ввода пароля, — делегирование полномочий между администраторами и централизованные групповые политики.

Масштабируемость подтверждена испытаниями вендора: более 1 000 000 пользователей при вертикальном масштабировании и более 400 контроллеров домена при горизонтальном. Среди опубликованных внедрений — органы власти, университеты, аэропорты, медицинские центры и банки.

Если вы ещё выбираете саму операционную систему, сравнение Astra Linux с РЕД ОС и РОСА — в статье «Российские операционные системы». Дальше — про домен.

Как устроен домен: контроллеры, репликация, подсистемы

Архитектура ALD Pro клиент-серверная. Серверная часть — контроллеры домена и штатные подсистемы, клиентская — агенты, которые ставятся на все компьютеры домена.

Каталог реплицируется между контроллерами по механизму FreeIPA: каждая реплика доступна на запись, изменения расходятся по настроенной топологии, а конфликты разрешаются по меткам времени. Для отказоустойчивости вендор рекомендует не менее двух контроллеров — тогда домен переживает отказ любого из них без прерывания аутентификации. Минимальная конфигурация контроллера на домен до 3 000 пользователей — 4 ядра, 8 ГБ памяти и от 50 ГБ на SSD.

Вместе с контроллером разворачиваются штатные подсистемы, каждая на своём сервере: сетевой репозиторий deb-пакетов, файловый SMB-сервер, сервер печати, DHCP, установка операционной системы по сети, мониторинг и журналирование событий. То есть ALD Pro замещает не только сам каталог, но и привычный набор инфраструктурных сервисов вокруг него.

Групповые политики

Механизм групповых политик ALD Pro построен на системе конфигурирования SaltStack и реализован с учётом практик Active Directory: параметры компьютеров и окружение пользователей настраиваются централизованно, через политики ставится и программное обеспечение из корпоративного репозитория. С версии 3.2 снято ограничение на количество политик, применяемых к одному компьютеру или серверу.

В версии 3.3 добавлены экспорт, импорт и копирование объектов групповых политик: администратор может создавать новые политики дублированием существующих, делать их резервные копии и переносить готовые конфигурации между доменами — это заметно ускоряет проекты миграции.

ALD Pro и Active Directory: доверительные отношения и миграция

Главный вопрос при переходе — что делать с существующим доменом Windows. ALD Pro поддерживает двухсторонние доверительные отношения с MS Active Directory: пользователи Windows-домена работают в Linux-инфраструктуре, и наоборот. Для доступа по паролям используется специальный модуль синхронизации. По матрице совместимости версии 3.3 доверительные отношения поддерживаются с доменами на Windows Server 2008 R2, 2012, 2012 R2, 2016 и 2019.

Вендор описывает три сценария развёртывания:

• Управление рабочими станциями. В домен ALD Pro переносятся только компьютеры, а пользователи и ресурсы остаются в MS AD. Вход пользователей обеспечивают доверительные отношения, параметрами машин управляют групповые политики ALD Pro.
• Миграция пользователей и сервисов. В ALD Pro переезжают рабочие места, учётные записи и сервисы; доступ к оставшимся ресурсам MS AD идёт через доверительные отношения и синхронизацию паролей.
• Полное замещение. Инфраструктура изначально строится на Astra Linux, все серверы, компьютеры и учётные записи — под управлением ALD Pro.

Какие компьютеры можно ввести в домен

Полнее всего поддерживаются машины на Astra Linux: вход под доменными учётными записями, прозрачная аутентификация Kerberos, групповые политики для установки ПО и управления окружением, удалённое подключение через VNC для техподдержки и централизованный аудит событий аутентификации.

Компьютеры на Windows подключаются к домену специальной графической утилитой собственной разработки вендора — с входом через доменные учётные записи и прозрачной аутентификацией Kerberos. Поддерживаются и другие российские дистрибутивы: по матрице совместимости версии 3.3 клиентами домена могут быть РЕД ОС 7.3.5 и 8, «Альт Рабочая станция» 10.4 и «Альт СП Рабочая станция» 10 — для них доступны вход по доменным учёткам, Kerberos и базовые политики безопасности (HBAC- и SUDO-правила, политики паролей).

Рабочие места для домена комплектуются лицензиями самой операционной системы:

Чем ALD Pro отличается от FreeIPA

ALD Pro создан на базе FreeIPA — открытой службы каталогов, которую называют альтернативой MS AD для Linux. Поверх этой базы вендор добавил механизм групповых политик по образцу Active Directory, портал управления с графическим интерфейсом, автоматическое развёртывание инфраструктурных подсистем — от репозиториев до сервера печати, — глобальный каталог и модуль синхронизации для гибридных сценариев с MS AD, а также встроенный справочный центр с более чем 30 учебными модулями.

Отдельный аргумент для регулируемых отраслей: у ALD Pro есть сертифицированное ФСТЭК исполнение, запись в реестре российского ПО и техническая поддержка производителя — со свободной FreeIPA организация остаётся с продуктом один на один.

Версии, редакции и системные требования

Актуальная версия — ALD Pro 3.3 (вышла в августе 2026 года). Ключевое новшество: серверную группу теперь можно строить на Astra Linux Special Edition 1.8, раньше актуальное поколение ОС поддерживалось только для клиентской части. Также в релизе — утилита резервного копирования подсистем, Центр уведомлений, мониторинг модуля синхронизации и интеграция PKI Proxy с удостоверяющим центром Aladdin eCA для полностью доверенной PKI-инфраструктуры.

Контроллеры домена и подсистемы устанавливаются на Astra Linux Special Edition с максимальным уровнем защищённости «Смоленск» (для версии 3.3 — ОС 1.7.10 или 1.8.6, одна версия ОС на всю серверную группу). Клиентская часть работает при любом уровне защищённости — «Орёл», «Воронеж» или «Смоленск».

У продукта есть бесплатная редакция ALD Pro Free — она позволяет попробовать службу каталогов до покупки:

Лицензирование: как считаются лицензии

Лицензий у ALD Pro две, и считаются они по-разному:

• Серверная — «Контроллер домена». Комплект на один контроллер: право работы ALD Pro на нём, операционная система Astra Linux SE «Смоленск» на 8 серверов под ALD Pro и управление этими серверами. Отдельно покупать ОС для контроллера и подсистем не нужно.
• Клиентская — «Управляемое устройство». По одной лицензии на каждый компьютер, который вводится в домен. Есть вариант с модулем ACM в редакции «Инвентаризация» — он добавляет учёт оборудования и установленного ПО.

Оба типа выпускаются в двух исполнениях: обычном (РДЦП.10101-01) и сертифицированном ФСТЭК (РДЦП.10101-02) — второе берут для объектов, которые проходят аттестацию. Лицензии бессрочные; при покупке выбирается тип включённых обновлений и их срок — 12, 24 или 36 месяцев. Обновления и переход на актуальную версию продукта в пределах срока дают оба типа. Тип 2 (привилегированные) отличается от Типа 1 (стандартные) помощью при критичных инцидентах: круглосуточный телефон по экстренным и высоким запросам, инцидент-менеджер и, с вашего согласия, удалённая диагностика, если сбой не удаётся воспроизвести на стенде разработчика и собрать данные штатными средствами.

ALD Pro включён в реестр российского ПО (запись № 12159 от 30.11.2021), поэтому лицензии не облагаются НДС — в счёте для юрлица цена конечная. Все комбинации исполнения, типа обновлений и срока считаются в конфигураторе карточки ALD Pro.

Для госорганизаций, объектов КИИ и аттестуемых информационных систем важен статус сертификации: продукт соответствует требованиям ФСТЭК России по 2-му уровню доверия — сертификат № 4830 от 26.07.2024, а процессы безопасной разработки подтверждены сертификатом соответствия ФСТЭК № 3 от 28.01.2025. Как читать уровни доверия и классы защиты — в статье про сертификаты ФСТЭК и ФСБ, а что даёт покупателю запись в реестре — в статье про реестр российского ПО.

Как купить ALD Pro на юрлицо

ALD Pro продаётся юридическим лицам по договору. ООО «МИГСОФТ» выставит счёт в рублях, подготовит закрывающие документы и поможет посчитать состав поставки под вашу инфраструктуру: сколько контроллеров домена и клиентских лицензий нужно, какое исполнение и какой тип обновлений выбрать. Для тендера предоставим сведения о сертификате ФСТЭК и записи в реестре российского ПО.

Типовая стартовая позиция — серверный комплект контроллера домена в сертифицированном исполнении:

Рекомендуем в статье ALD Pro, контроллер домена и 8 управляемых устройств с ОС Astra Linux SE для 8 серверов, исполнение РДЦП.10101-02 (ФСТЭК), стандартные обновления на 12 месяцев, бессрочная лицензия

AD2101X8630DIG1D8SR01-SO12

350 480 ₽ НДС не облагается (ст. 149 НК РФ) — позиция в реестре российского ПО

Расчёт PDF В корзину В корзине Подробнее →

Частые вопросы