Содержание
Когда организация переводит рабочие места на Astra Linux, первым встаёт вопрос инфраструктуры: чем заменить домен Microsoft Active Directory — учётные записи, групповые политики, единый вход в систему. У «Группы Астра» для этого есть отдельный продукт — служба каталогов ALD Pro, вокруг которой строится домен на Астра Линукс. Ниже разбираем, как этот домен устроен, как он уживается с существующим доменом Windows, какие компьютеры можно в него ввести и как считаются лицензии. Полный план перевода инфраструктуры — в статье о миграции с Windows на Astra Linux.
Что такое ALD Pro
ALD Pro — российская служба каталогов корпоративного класса от «Группы Астра», той же компании, что выпускает операционную систему Astra Linux. Продукт закрывает те же задачи, что Active Directory в Windows-инфраструктуре: единый каталог учётных записей пользователей, компьютеров и сервисов, сквозная аутентификация по протоколу Kerberos V5 — пользователь один раз входит в систему и дальше обращается к корпоративным сервисам без повторного ввода пароля, — делегирование полномочий между администраторами и централизованные групповые политики.
Масштабируемость подтверждена испытаниями вендора: более 1 000 000 пользователей при вертикальном масштабировании и более 400 контроллеров домена при горизонтальном. Среди опубликованных внедрений — органы власти, университеты, аэропорты, медицинские центры и банки.
Если вы ещё выбираете саму операционную систему, сравнение Astra Linux с РЕД ОС и РОСА — в статье «Российские операционные системы». Дальше — про домен.
Как устроен домен: контроллеры, репликация, подсистемы
Архитектура ALD Pro клиент-серверная. Серверная часть — контроллеры домена и штатные подсистемы, клиентская — агенты, которые ставятся на все компьютеры домена.
Каталог реплицируется между контроллерами по механизму FreeIPA: каждая реплика доступна на запись, изменения расходятся по настроенной топологии, а конфликты разрешаются по меткам времени. Для отказоустойчивости вендор рекомендует не менее двух контроллеров — тогда домен переживает отказ любого из них без прерывания аутентификации. Минимальная конфигурация контроллера на домен до 3 000 пользователей — 4 ядра, 8 ГБ памяти и от 50 ГБ на SSD.
Вместе с контроллером разворачиваются штатные подсистемы, каждая на своём сервере: сетевой репозиторий deb-пакетов, файловый SMB-сервер, сервер печати, DHCP, установка операционной системы по сети, мониторинг и журналирование событий. То есть ALD Pro замещает не только сам каталог, но и привычный набор инфраструктурных сервисов вокруг него.
Групповые политики
Механизм групповых политик ALD Pro построен на системе конфигурирования SaltStack и реализован с учётом практик Active Directory: параметры компьютеров и окружение пользователей настраиваются централизованно, через политики ставится и программное обеспечение из корпоративного репозитория. С версии 3.2 снято ограничение на количество политик, применяемых к одному компьютеру или серверу.
В версии 3.3 добавлены экспорт, импорт и копирование объектов групповых политик: администратор может создавать новые политики дублированием существующих, делать их резервные копии и переносить готовые конфигурации между доменами — это заметно ускоряет проекты миграции.
ALD Pro и Active Directory: доверительные отношения и миграция
Главный вопрос при переходе — что делать с существующим доменом Windows. ALD Pro поддерживает двухсторонние доверительные отношения с MS Active Directory: пользователи Windows-домена работают в Linux-инфраструктуре, и наоборот. Для доступа по паролям используется специальный модуль синхронизации. По матрице совместимости версии 3.3 доверительные отношения поддерживаются с доменами на Windows Server 2008 R2, 2012, 2012 R2, 2016 и 2019.
Вендор описывает три сценария развёртывания:
- Управление рабочими станциями. В домен ALD Pro переносятся только компьютеры, а пользователи и ресурсы остаются в MS AD. Вход пользователей обеспечивают доверительные отношения, параметрами машин управляют групповые политики ALD Pro.
- Миграция пользователей и сервисов. В ALD Pro переезжают рабочие места, учётные записи и сервисы; доступ к оставшимся ресурсам MS AD идёт через доверительные отношения и синхронизацию паролей.
- Полное замещение. Инфраструктура изначально строится на Astra Linux, все серверы, компьютеры и учётные записи — под управлением ALD Pro.
Переход не обязан быть одномоментным: доверительные отношения позволяют держать ALD Pro и Active Directory параллельно и переносить подразделения поэтапно, не останавливая работу пользователей.
Какие компьютеры можно ввести в домен
Полнее всего поддерживаются машины на Astra Linux: вход под доменными учётными записями, прозрачная аутентификация Kerberos, групповые политики для установки ПО и управления окружением, удалённое подключение через VNC для техподдержки и централизованный аудит событий аутентификации.
Компьютеры на Windows подключаются к домену специальной графической утилитой собственной разработки вендора — с входом через доменные учётные записи и прозрачной аутентификацией Kerberos. Поддерживаются и другие российские дистрибутивы: по матрице совместимости версии 3.3 клиентами домена могут быть РЕД ОС 7.3.5 и 8, «Альт Рабочая станция» 10.4 и «Альт СП Рабочая станция» 10 — для них доступны вход по доменным учёткам, Kerberos и базовые политики безопасности (HBAC- и SUDO-правила, политики паролей).
Рабочие места для домена комплектуются лицензиями самой операционной системы:
Товар Astra Linux Special Edition для рабочей станции от 12 000 ₽ Смотреть →Чем ALD Pro отличается от FreeIPA
ALD Pro создан на базе FreeIPA — открытой службы каталогов, которую называют альтернативой MS AD для Linux. Поверх этой базы вендор добавил механизм групповых политик по образцу Active Directory, портал управления с графическим интерфейсом, автоматическое развёртывание инфраструктурных подсистем — от репозиториев до сервера печати, — глобальный каталог и модуль синхронизации для гибридных сценариев с MS AD, а также встроенный справочный центр с более чем 30 учебными модулями.
Отдельный аргумент для регулируемых отраслей: у ALD Pro есть сертифицированное ФСТЭК исполнение, запись в реестре российского ПО и техническая поддержка производителя — со свободной FreeIPA организация остаётся с продуктом один на один.
Версии, редакции и системные требования
Актуальная версия — ALD Pro 3.3 (вышла в августе 2026 года). Ключевое новшество: серверную группу теперь можно строить на Astra Linux Special Edition 1.8, раньше актуальное поколение ОС поддерживалось только для клиентской части. Также в релизе — утилита резервного копирования подсистем, Центр уведомлений, мониторинг модуля синхронизации и интеграция PKI Proxy с удостоверяющим центром Aladdin eCA для полностью доверенной PKI-инфраструктуры.
Контроллеры домена и подсистемы устанавливаются на Astra Linux Special Edition с максимальным уровнем защищённости «Смоленск» (для версии 3.3 — ОС 1.7.10 или 1.8.6, одна версия ОС на всю серверную группу). Клиентская часть работает при любом уровне защищённости — «Орёл», «Воронеж» или «Смоленск».
У продукта есть бесплатная редакция ALD Pro Free — она позволяет попробовать службу каталогов до покупки:
| Возможность | ALD Pro Free | ALD Pro |
|---|---|---|
| Контроллеры домена | Один | По числу серверных лицензий; испытано более 400 |
| Пользователи и компьютеры | До 25 | Испытаниями подтверждён 1 000 000+ пользователей |
| Доверительные отношения с MS AD | С одним доменом | Двухсторонние, с синхронизацией паролей |
| Сертифицированное исполнение ФСТЭК | — | Исполнение РДЦП.10101-02, сертификат № 4830 |
Лицензирование: как считаются лицензии
Лицензий в прайсе две, и считаются они по-разному:
- Серверная — «Контроллер домена». Комплект на один контроллер: право работы ALD Pro на нём, операционная система Astra Linux SE «Смоленск» на 8 серверов под ALD Pro и управление этими серверами. Отдельно покупать ОС для контроллера и подсистем не нужно.
- Клиентская — «Управляемое устройство». По одной лицензии на каждый компьютер, который вводится в домен. Есть вариант с модулем ACM в редакции «Инвентаризация» — он добавляет учёт оборудования и установленного ПО.
Оба типа выпускаются в двух исполнениях: обычном (РДЦП.10101-01) и сертифицированном ФСТЭК (РДЦП.10101-02) — второе берут для объектов, которые проходят аттестацию. Лицензии бессрочные; при покупке выбирается тип включённых обновлений и их срок — 12, 24 или 36 месяцев. Тип 1 (стандартные) — обновления безопасности в рамках своей версии; Тип 2 (привилегированные) — плюс право перехода на следующую версию продукта, круглосуточный приём экстренных обращений и инцидент-менеджер.
| Лицензия | Единица | Цена (Тип 1, обновления на 12 месяцев) |
|---|---|---|
| Контроллер домена, сертификат ФСТЭК | за контроллер | 350 480 ₽ |
| Контроллер домена | за контроллер | 312 480 ₽ |
| Управляемое устройство, сертификат ФСТЭК | за устройство | 3 350 ₽ |
| Управляемое устройство с модулем ACM | за устройство | 3 000 ₽ |
Лицензия ALD Pro бессрочная — срок относится только к обновлениям. Когда он закончится, домен продолжит работать, просто новые обновления перестанут поступать.
ALD Pro включён в реестр российского ПО (запись № 12159 от 30.11.2021), поэтому лицензии не облагаются НДС — в счёте для юрлица цена конечная. Все комбинации исполнения, типа обновлений и срока считаются в конфигураторе карточки ALD Pro.
Для госорганизаций, объектов КИИ и аттестуемых информационных систем важен статус сертификации: продукт соответствует требованиям ФСТЭК России по 2-му уровню доверия — сертификат № 4830 от 26.07.2024, а процессы безопасной разработки подтверждены сертификатом соответствия ФСТЭК № 3 от 28.01.2025. Как читать уровни доверия и классы защиты — в статье про сертификаты ФСТЭК и ФСБ, а что даёт покупателю запись в реестре — в статье про реестр российского ПО.
Как купить ALD Pro на юрлицо
ALD Pro продаётся юридическим лицам по договору. ООО «МИГСОФТ» выставит счёт в рублях, подготовит закрывающие документы и поможет посчитать состав поставки под вашу инфраструктуру: сколько контроллеров домена и клиентских лицензий нужно, какое исполнение и какой тип обновлений выбрать. Для тендера предоставим сведения о сертификате ФСТЭК и записи в реестре российского ПО.
Типовая стартовая позиция — серверный комплект контроллера домена в сертифицированном исполнении:
Частые вопросы
Можно ли ввести Windows-компьютеры в домен ALD Pro? +
Да. Для этого у вендора есть специальная графическая утилита собственной разработки: компьютер подключается к домену, пользователи входят под доменными учётными записями и прозрачно аутентифицируются по Kerberos при обращении к сетевым ресурсам.
Поддерживает ли ALD Pro доверительные отношения с Windows Active Directory? +
Да, двухсторонние: пользователи Windows-домена работают в Linux-инфраструктуре и наоборот, а пароли синхронизирует специальный модуль. Поддерживаются домены на Windows Server от 2008 R2 до 2019.
Чем ALD Pro отличается от бесплатной FreeIPA? +
ALD Pro построен на базе FreeIPA, но добавляет групповые политики по образцу MS AD, графический портал управления, автоматическое развёртывание подсистем (репозитории, печать, файлы, PXE, мониторинг), синхронизацию с Active Directory, техподдержку производителя и сертифицированное ФСТЭК исполнение.
Есть ли бесплатная версия ALD Pro? +
Да, редакция ALD Pro Free: один контроллер домена, до 25 пользователей и компьютеров, групповые политики под Linux и доверие к одному домену MS AD. Для пилота этого достаточно, дальше — коммерческие лицензии.
На какой операционной системе работает контроллер домена? +
Только на Astra Linux Special Edition с максимальным уровнем защищённости «Смоленск»; для версии 3.3 это ОС 1.7.10 или 1.8.6. Клиентские машины могут работать на любом уровне защищённости, а также на РЕД ОС, «Альт» и Windows.
Сколько стоит ALD Pro? +
Клиентская лицензия на управляемое устройство в сертифицированном исполнении — 3 350 ₽, серверный комплект контроллера домена — 312 480 ₽ (в обоих случаях — Тип 1, обновления на 12 месяцев). Лицензии бессрочные, НДС не облагаются.
Что будет, когда закончится срок обновлений? +
Домен продолжит работать: лицензия бессрочная, срок ограничивает только получение обновлений и поддержку. Право перейти на следующую версию продукта даёт тип обновлений Тип 2 — привилегированные.
