ALD Pro от «Группы Астра» — альтернатива Microsoft Active Directory для Linux-инфраструктуры

15.11.2026

ALD Pro — российская служба каталога корпоративного класса от «Группы Астра», построенная не с нуля, а на зрелом открытом стеке. В фундаменте лежит служба FreeIPA: каталог LDAP на базе 389 Directory Server, центр распространения ключей MIT Kerberos, DNS-сервер ISC Bind9, а также Samba для взаимодействия с доменами Windows. Поверх этого «Группа Астра» добавила собственные подсистемы: портал управления с русскоязычным графическим интерфейсом, механизм групповых политик на SaltStack, модуль синхронизации, подсистемы мониторинга и аудита. Компоненты не просто сосуществуют — они интегрированы через JSON-RPC API, через который работают и портал, и утилита командной строки.

Собственно, это и есть альтернатива MS Ad для Linux-инфраструктуры, но с важной оговоркой: базовые механизмы каталога отработаны многолетней практикой FreeIPA, а вендорская надстройка концентрируется на том, чего в исходном проекте не хватало — организационных подразделениях, гибких политиках управления окружением, прикладных сервисах и совместимости с Windows-миром. Такой выбор архитектуры снижает риски: критичные протоколы (Kerberos, LDAP, DNS) проходят проверку временем и сообществом, а кастомизация сосредоточена в управляемом слое.

Механика групповых политик

Центральный технический элемент продукта — групповые политики. Модель повторяет знакомый по Microsoft Active Directory принцип Pull: параметры извлекаются из каталога по протоколу LDAP с учетом положения пользователя и компьютера в иерархии подразделений, затем суммируются и применяются. Но реализация отличается двумя решениями, которые стоит разобрать.

• Суммирование параметров выполняется на стороне клиента, а не на сервере. Нагрузка по вычислению итогового набора политик ложится на рабочие станции, поэтому обслуживание тысяч хостов почти не нагружает контроллеры домена — это прямое следствие для масштабируемости крупных инфраструктур.
• Применение конфигурации выполняет автономная служба aldpro-salt-minion, которой не требуется отдельный Salt Master на сервере. Клиент сам получает конфигурации и скрипты через LDAP, аутентифицируясь Kerberos-билетом из keytab-файла. Смена модели «мастер-миньон» на автономную повысила отказоустойчивость: рабочая станция продолжает применять политики, даже если часть серверной группировки недоступна.

В поставке — более 100 готовых параметров политик, покрывающих свыше 1000 аспектов ОС: службы печати, синхронизация времени Chrony, загрузчик GRUB2, назначение приложений по типам файлов, монтирование сетевых ресурсов. Существенно и то, что администратор может писать собственные параметры на Salt — это превращает групповые политики из фиксированного набора настроек в расширяемый инструмент для нестандартных корпоративных сценариев, вплоть до условной логики применения политик к отдельным группам пользователей или компьютеров.

Слои контроля доступа и безопасности

Безопасность в ALD Pro реализована несколькими независимыми механизмами, и важно различать их уровень работы. Правила HBAC (Host-Based Access Control) проверяются на уровне PAM-стека при аутентификации и позволяют гранулярно определить, кто и на какие узлы может входить — вплоть до конкретных сервисов в ОС. Правила SUDO обрабатываются самой утилитой sudo и позволяют централизованно, без ручного редактирования файлов на каждом сервере, назначать избирательное повышение привилегий. Политики паролей поддерживают требования Kerberos, а с версии 3.0 включают словарь запрещенных слов; при вхождении пользователя в несколько групп применяется политика с наивысшим приоритетом.

Слой собственной разработки расширяет эту базу. Централизованно управляются функции мандатного контроля доступа PARSEC для Astra Linux, работает механизм LAPS для паролей локальных администраторов с той же проверкой по словарю. В версии 3.2 добавлены запрет LDAP-аутентификации с просроченным паролем, фильтрация политик по пользователям, компьютерам и их группам, а также логирование запросов от системных учетных записей в отдельный журнал — эти детали напрямую работают на расследование инцидентов. Двухфакторная аутентификация на базе OTP-токенов уже поддерживается для входа на доменные машины и портал, а полное управление вторым фактором через интерфейс заявлено в дорожной карте.

Отдельного внимания заслуживает подсистема PKI Proxy. Она автоматизирует жизненный цикл машинных сертификатов: доменные компьютеры отправляют запросы через LDAP, а контроллер с ролью PKI Proxy обрабатывает их и возвращает готовые сертификаты. Начиная с 3.2 подсистема расширяема плагинами, что дает нативную интеграцию со сторонними удостоверяющими центрами — раньше жизненный цикл сертификатов держался только на службе certmonger с прямым доступом к УЦ. Продукт сертифицирован ФСТЭК России по второму уровню доверия, что формально открывает применение в защищенных контурах.

Масштабирование и отказоустойчивость

Требования 3.0 формулировались исходя из целевой конфигурации: порядка 400 контроллеров домена, миллион пользователей и 30 млн управляемых объектов. Репликация построена по мультимастер-схеме: каждый контроллер — полноценный узел записи, отказ одного не прерывает службу. Топология размечается сайтами, и документация дает конкретные инженерные рекомендации: не менее двух контроллеров на сайт для надежности на уровне 0,99, не более четырех соглашений о репликации на контроллер, чтобы алгоритм репликации не останавливался в ожидании ответов недоступных серверов.

Нагрузочная оптимизация в LTS-релизе 3.2 коснулась критического пути: переработан PAM-стек, снизивший задержки входа при высокой нагрузке на LDAP-сервер, а подсистема мониторинга научилась контролировать свыше 150 хостов серверной группировки при меньшем расходе ресурсов. Это не абстрактные цифры, а отклик на реальные сценарии мультидоменных инфраструктур, где вход пользователей — самая частая операция.

Мультивендорность и сценарии сосуществования

Хотя продукт глубже всего интегрирован с Astra Linux — вход под доменными учетными записями, прозрачная Kerberos-аутентификация, мандатный контроль — вендор сознательно не замыкает экосистему. Клиентские части поддерживают ALT Linux и РЕД ОС, для них доступны HBAC- и SUDO-правила и парольные политики; в домен вводятся и компьютеры под управлением Windows через Kerberos-области. Для Windows-машин есть особенность, о которой стоит помнить: домен FreeIPA не ведет базу учетных записей Windows так, как это делает Active Directory, поэтому на таких машинах создаются локальные записи без паролей — администрирование Windows-парка ограничено рамками этой модели.

Существование рядом с MS AD решается тремя сценариями. Во-первых, управление рабочими станциями: в домен ALD Pro вводятся только АРМ, а пользователи и ресурсы остаются в MS AD через доверительные отношения. Во-вторых, миграция с поэтапным переносом: модуль синхронизации выравнивает организационные подразделения, группы, пользователей и пароли, сопоставляя объекты по уникальным идентификаторам objectGUID и nsUniqueId; хеши паролей не покидают периметра домена, а сама синхронизация выделена в отдельный высокоприоритетный поток — по пилотным данным, 10 тысяч учетных записей переносятся примерно за два часа. В-третьих, полное замещение, когда инфраструктура изначально строится на отечественной ОС. Наличие двусторонних доверительных отношений с 2.3 версии — заметная веха: «Группа Астра» первой среди российских разработчиков ОС на ядре Linux реализовала их в службе каталога, а заодно позволила разделить крупные каталоги на несколько доменов, снижая требования к оперативной памяти контроллеров.

Инвентаризация, экосистема, порог входа

Учет парка закрывается связкой со встроенным ACM: в редакции «Инвентаризация» модуль собирает сведения об аппаратной конфигурации и установленном ПО, ведет лицензии, формирует отчеты; полнофункциональная версия добавляет развертывание ОС и установку ПО. Вокруг ядра — свыше 40 готовых интеграций с решениями «Группы Астра» и сторонних разработчиков: PKI, SIEM, PAM, DLP, IDM, антивирусные и прокси-платформы.

Порог входа понижен редакцией ALD Pro Free на 25 пользователей и компьютеров без функциональных ограничений — она позволяет запустить пилот и базовую инфраструктуру малой организации. Обучение вынесено в открытые учебные модули и встроенный справочный центр, а графические утилиты развертывания домена и присоединения машин сняли часть требований к квалификации администратора. Версия 3.2 вошла в LTS-программу с гарантией обновлений безопасности минимум на 12 месяцев без изменения архитектуры — это снижает расходы на эксплуатацию и делает релиз пригодным для промышленной среды.

Сильные стороны в совокупности

Если свести анализ к проверяемым преимуществам, картина выглядит так:

• выверенный фундамент: FreeIPA, 389 Directory Server и MIT Kerberos несут многолетнюю нагрузку, вендорская надстройка добавляет корпоративный контур без переписывания ядра;
• групповые политики с клиентским суммированием и автономным Salt-агентом — производительные и отказоустойчивые, расширяемые кастомными параметрами;
• многоуровневая модель безопасности: HBAC, SUDO, парольные политики, LAPS, мандатный контроль, PKI Proxy, 2FA — плюс сертификация ФСТЭК по второму уровню доверия;
• мультимастер-репликация с сайтами и проверенные пределы масштабирования под крупные предприятия;
• управляемая миграция из MS AD с синхронизацией паролей и доверительными отношениями — переход не требует резкого переключения;
• мультивендорность без моновендорного диктата: продукт не заставляет мигрировать на Astra Linux, оставляя выбор ОС заказчику;
• экосистема из 40+ интеграций, инструмент инвентаризации в комплекте и бесплатная редакция для пилота.

Ключевой аналитический вывод в том, что ценность ALD Pro лежит не в перечне функций, а в сочетании инженерной прозрачности и контроля над стеком: архитектура открыта для аудита, обновления выпускаются под контролем российского разработчика, а модель политик понятна администраторам, пришедшим из Windows-среды. Продукт не отменяет необходимости планирования миграции — доменная реорганизация затрагивает зависимые сервисы и процессы, — но дает предприятию управляемый путь от гетерогенной инфраструктуры к целостной Linux-платформе, и именно это делает его содержательным вариантом для проектов импортозамещения доменных сервисов.