Как перейти с Windows на российские ОС безопасно и экономно: замена Active Directory от "Базальт СПО"

<p><span><span><span><em><span><span>Разработчики ОС "Альт" создали </span></span></em><em><span><span><a href="https://www.basealt.ru/domain"><span><span>решение для управления ИТ-инфраструктурой с</span></span></a><a href="https://www.basealt.ru/domain"> </a><a href="https://www.basealt.ru/domain"><span><span>операционными системами </span></span></a><a href="https://www.basealt.ru/domain"><span lang="EN-US"><span>Windows</span></span></a><a href="https://www.basealt.ru/domain"><span><span> и "Альт"</span></span></a> из единого центра на основе единых групповых политик. Решение включено в каждый комплект поставки ОС и позволяет избежать двойных затрат на поддержку ИТ-инфраструктуры в переходный период. </span></span></em></span></span></span></p> <p><span><span><span><span>Сегодня тысячам государственных и коммерческих организаций необходимо перевести свои цифровые инфраструктуры на российское ПО. Многие зарубежные вендоры покинули российский рынок, приостановив продажу и поддержку своих систем. У заказчиков возникли т<span>рудности с обновлением программных продуктов, с приобретением дополнительных лицензий и продлением текущих, с получением техподдержки. Эти риски особенно опасны для критической информационной инфраструктуры (КИИ). На их устранение направлен </span></span><a href="http://www.kremlin.ru/acts/bank/47688"><span><span>Указ Президента Российской Федерации №166</span></span></a><span><span> от 30 марта 2022 г. "О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации", а также </span></span><a href="http://government.ru/docs/20650/"><span><span>Постановление Правительства Российской Федерации № 1236 от 16 ноября 2015</span></span></a><span><span> "Об установлении запрета на допуск программного обеспечения, происходящего из иностранных государств, для целей осуществления закупок перевод КИИ на российское программное обеспечение. </span></span></span></span></span></p> <p><span><span><span><span>Проекты перехода на российское ПО длятся не один год, и в этот период в ИТ-инфраструктуре должны одновременно работать компьютеры с ОС </span><span lang="EN-US">Windows</span><span> и какой-либо из российских ОС, большинство которых создано на ядре </span><span lang="EN-US">Linux</span><span>. Как интегрировать их в единое информационное пространство, чтобы избежать потери работоспособности цифровых ресурсов и исключить двойные расходы на администрирование корпоративной сети и обучение ИТ-персонала?</span></span></span></span></p> <p><span><span><span><strong><span>Как устро<span>ено централизованное управление ИТ-инфраструкт</span>урой и пользователями </span></strong></span></span></span></p> <p><span><span><span><span>Корпоративная цифровая инфраструктура объединяет серверы, рабочие станции, периферийные и сетевые устройства, а также пользователей. Для управления всеми этими объектами существует база службы каталогов: в ней хранится информация о каждом из объектов и иерархических связях между ними. База размещена на специальном сервере – контроллере домена.</span></span></span></span></p> <p class="text-align-center">%img-1%</p> <p><span><span><span><span>Первые проприетарные реализации службы каталогов появились еще в прошлом веке у Novell (Novell Directory Services) и Microsoft, есть также и свободные решения, построенные на openLDAP или Samba.</span></span></span></span></p> <p><span><span><span><span>До недавнего времени практически все организации использовали службу каталогов Active Directory (MS AD) — проприетарное решение компании Microsoft. </span><span>MS AD</span><span> позволяет объединить пользователей и компьютеры в группы ("Рабочие места в бухгалтерии", "Инженеры-проектировщики" и т. п.) и управлять ими по единым правилам. Такие правила называются групповыми политиками. Групповой подход существенно упрощает изменение существующих настроек — они применяются сразу ко всей группе компьютеров или пользователей, а добавленный пользователь автоматически получает установленные для его группы настройки. </span></span></span></span></p> <p><span><span><span><span>Active Directory поддерживает файлообмен и служит для сквозной идентификации пользователей. Сотрудник вводит логин и пароль один раз — при входе в сеть, и получает доступ к программам и сервисам в соответствии с назначенными ему правами. Причем не важно, работает пользователь в офисе или удалённо. </span></span></span></span></p> <p><span><span><span><span>Данные учетных записей хранятся на контроллерах домена, защищенных от внешнего доступа. Для идентификации пользователей применяется протокол Kerberos, который обеспечивает безопасную идентификацию, препятствующую перехвату паролей по сети.</span></span></span></span></p> <p><span><span><span><strong><span>Чем заменить инструменты </span></strong><strong><span lang="EN-US">Microsoft</span></strong><strong><span> при переходе на российскую ОС</span></strong></span></span></span></p> <p><span><span><span><span>Когда встает задача миграции с </span><span lang="EN-US">Windows</span> <span>на российскую ОС на ядре </span><span lang="EN-US">Linux</span><span>, требуется найти замену Active Directory. Причем такую, которая способна одновременно применять групповые политики к компьютерам с Windows и Linux, а также к их пользователям. Однако ни одна из свободных систем не позволяет решить эту задачу, в том числе и широко распространенные в мире свободного ПО Samba и FreeIPA. </span></span></span></span></p> <p><span><span><span><span>FreeIPA разработан Red Hat – американской компанией, которая является одним из ведущих мировых производителей операционных систем на ядре Linuх. Решение работает только с компьютерами под ОС на ядре Linux, но не умеет управлять пользователями, а Samba предназначена для замены контроллера домена Windows и управления Windows-машинами и пользователями этой ОС. Для организации совместимого с Windows файлохранилища FreeIPA использует механизмы Samba. Как видим, ни одно из этих решений не является полноценной заменой Active Directory. </span></span></span></span></p> <p><span><span><span><span>Проблему решили разработчики компании "Базальт СПО". Они дополнили линейку операционных систем "Альт" набором инфраструктурного ПО, которое реализует групповые политики для компьютеров и пользователей ОС "Альт", тем самым обеспечивая единое управление ОС "Альт" и Windows. Решение представляет собой модификацию свободной разработки проекта Samba, дополненную инструментарием управления групповыми политиками. Это современный российский, не имеющий аналогов на отечественном и международном рынке программный комплекс.</span></span></span></span></p> <p><span><span><span><span>Инженеры "Базальт СПО" реализовали уже довольно большой список групповых политик. Среди них — управление внешним видом рабочего стола пользователя, выполнение скриптов при входе или выходе в систему, управление всеми политиками браузеров Firefox и Chromium, а также отечественным Яндекс-брузером, создание ярлыков общих папок, установкой и удалением ПО, управление службами и сервисами компьютера и многие другие. Список постоянно расширяется вслед за потребностями пользователей, которых становится все больше и больше. </span></span></span></span></p> <p class="text-align-center">%img-2%</p> <p><span><span><span><span>Шаблоны групповых политик ОС "Альт" доступны международному сообществу разработчиков свободного ПО. Они размещены на международном ресурсе admx.help. Здесь публикуют свои политики Microsoft, Citrix, Google, VMware и другие компании. </span></span></span></span></p> <p><span><span><span><span>Для формирования и реализации групповых политик специалисты "Базальт СПО" разработали и включили в ОС "Альт" графические приложения, которые позволяют решать эти задачи так же, как в Windows. Администраторам понадобится минимум времени, чтобы их освоить. </span></span></span></span></p> <p><span><span><span><strong><span>Сценарии<a name="_Toc110849298"> миграции доменной инфраструктуры на ОС "Альт"</a></span></strong></span></span></span></p> <p><span><span><span><span>Инструмент управления доменной инфраструктурой, интегрированный в ОС "Альт", позволяет выполнить переход плавно, бесшовно. Интеграция рабочих мест с российской ОС в инфраструктуру </span><span lang="EN-US">Active</span> <span lang="EN-US">Directory</span> <span>выполняется с сохранением возможностей управления инфраструктурой и пользователями, которые предоставлял MS AD. </span></span></span></span></p> <p><span><span><span><span>Преимущество плавного способа миграции в том, что он не требует "революционных" одномоментных замен компьютеров с Windows на компьютеры с ОС "Альт". Можно поэтапно переводить пользователей на "Альт", управляя рабочим окружением и правами доступа пользователей с помощью общего инструментария. Пользователи практически не заметят изменений. </span></span></span></span></p> <p><span><span><span><a name="_Toc110849301"><span>Чтобы подобрать оптимальный сценарий миграции, необходимо проконсультироваться со специалистами "Базальт СПО" или системного интегратора, имеющими опыт внедрения ОС "Альт". </span></a></span></span></span></p> <p><span><span><span><span>Инструментарий для создания и применения групповых политик, разработанный "Базальт СПО", успешно применяется в масштабных проектах миграции ИТ-инфраструктур на ОС "Альт". </span><a href="https://www.cnews.ru/news/line/2021-09-23_v_novosibirske_predstavili"><span><span><span>Министерство цифрового развития и связи Новосибирской области реализовало </span></span></span></a><a href="https://www.cnews.ru/news/line/2021-09-23_v_novosibirske_predstavili"><span><span><span>комплексный проект</span></span></span></a><span> по переводу региональной инфраструктуры на отечественное ПО. В рамках проекта системный интегратор </span><a href="https://www.galex.ru/"><span><span><span>НТЦ "Галэкс" (Galex)</span></span></span></a><span>, партнер компании "Базальт СПО", сформировал </span><a href="https://www.ap22.ru/paper/Altayskaya-IT-kompaniya-razrabotala-programmnoe-obespechenie-Patriot-kotoroe-pomozhet-zamestit-inostrannoe-PO.html"><span><span><span>программно-аппаратный комплекс "Патриот"</span></span></span></a><span>, в состав которого вошли ОС "Альт" и прикладные программы компаний "</span><a href="https://r7-office.ru/"><span><span><span>Р7-Офис</span></span></span></a><span>" и "</span><a href="https://mbk-lab.ru/profil/"><span><span><span>Лаборатория МБК</span></span></span></a><span>". По мнению руководителей Минцифры Новосибирской области, применение средств миграции позволило осуществить перевод внутренней инфраструктуры на отечественное ПО плавно, без резких изменений, а также внедрить единый техстандарт для обслуживания всех рабочих станций, вне зависимости от установленной операционной системы. Это снизило затраты на обслуживание рабочих мест. </span></span></span></span></p> <p><span><span><span><span>Федеральная таможенная служба России реализует пилотный проект по переводу доменной структуры единой службы каталогов Единой автоматизированной информационной системы таможенных органов на отечественную программную платформу. В рамках проекта отрабатывается схема постепенной замены доменной структуры управления, авторизации и аутентификации на основе Microsoft AD на аналогичную структуру с применением групповых политик ОС "Альт". Эту схему планируют применять в региональных подразделениях ФТС по всей стране. </span></span></span></span></p> <p><span><span><span><span>Компьютерный парк Нижнетагильской школы №100 превышает 500 единиц, из них около </span><a href="https://0x1.tv/Построение_и_администрирование_ИТ-инфраструктуры_школы_на_базе_ОС_"><span><span>200</span></span></a><a href="https://0x1.tv/Построение_и_администрирование_ИТ-инфраструктуры_школы_на_базе_ОС_"><span><span> ПК работают под ОС "Альт"</span></span></a><span>. Для управления доменом ИТ-специалисты школы применяют программу ADMC, встроенную в ОС "Альт Сервер" 10, и инструментарий RSAT Windows 7. Обе программы имеют схожий интерфейс и внутреннюю логику, что очень упрощает их совместное использование. Заложенные в ADMC возможности уже сейчас перекрывают большую часть задач, возникающих в повседневной работе с доменом: создание и редактирование информации о пользователях и компьютерах, настройка общих папок и т. п. ИТ-специалисты школы планируют в дальнейшем совсем отказаться от использования Windows и RSAT. </span></span></span></span></p> <p><span><span><span><span>Решение "Базальт СПО" для бесшовной миграции с </span><span lang="EN-US">Windows</span> <span>на ОС "Альт" снижает риски сбоев в работе систем и позволяет избежать двойной нагрузки на ИТ-департамент и двойные расходы на поддержку ИТ-инфраструктуры в переходный период. Протестировать решение можно прямо сейчас. Для этого достаточно бесплатно скачать дистрибутивы ОС с </span><a href="https://www.basealt.ru/"><span><span>сайта "Базальт СПО"</span></span></a><span> и воспользоваться </span><a href="https://docs.altlinux.org/ru-RU/samba/10.1/html/group-policy/index.html"><span><span><span>документаци</span></span></span></a><a href="https://docs.altlinux.org/ru-RU/samba/10.1/html/group-policy/index.html"><span><span><span>ей</span></span></span></a><span>. </span></span></span></span></p> <p><span><span><span><strong><span>Справка</span></strong></span></span></span></p> <p><span><span><span><span>В 2021 году "Базальт СПО" </span><a href="https://www.basealt.ru/about/news/archive/view/bazalt-spo-poluchil-grant-rfrit-na-razvitie-os-alt"><span><span><span>получил</span></span></span></a><a href="https://www.basealt.ru/about/news/archive/view/bazalt-spo-poluchil-grant-rfrit-na-razvitie-os-alt"><span><span><span>а</span></span></span></a><a href="https://www.basealt.ru/about/news/archive/view/bazalt-spo-poluchil-grant-rfrit-na-razvitie-os-alt"><span><span><span> грант "</span></span></span></a><a href="https://www.basealt.ru/about/news/archive/view/bazalt-spo-poluchil-grant-rfrit-na-razvitie-os-alt"><span><span><span>Российского фонд</span></span></span></a><a href="https://www.basealt.ru/about/news/archive/view/bazalt-spo-poluchil-grant-rfrit-na-razvitie-os-alt"><span><span><span>а развития </span></span></span></a><a href="https://www.basealt.ru/about/news/archive/view/bazalt-spo-poluchil-grant-rfrit-na-razvitie-os-alt"><span><span><span>инфор</span></span></span></a><a href="https://www.basealt.ru/about/news/archive/view/bazalt-spo-poluchil-grant-rfrit-na-razvitie-os-alt"><span><span><span>мационных технологи</span></span></span></a><a href="https://www.basealt.ru/about/news/archive/view/bazalt-spo-poluchil-grant-rfrit-na-razvitie-os-alt"><span><span><span>й" </span></span></span></a><a href="https://www.basealt.ru/about/news/archive/view/bazalt-spo-poluchil-grant-rfrit-na-razvitie-os-alt"><span><span><span>(</span></span></span></a><a href="https://www.basealt.ru/about/news/archive/view/bazalt-spo-poluchil-grant-rfrit-na-razvitie-os-alt"><span><span><span>РФРИТ</span></span></span></a><a href="https://www.basealt.ru/about/news/archive/view/bazalt-spo-poluchil-grant-rfrit-na-razvitie-os-alt"><span><span><span>)</span></span></span></a><span> на развитие инструментов управления групповыми политиками, которые входят в состав операционных систем "</span><a href="https://www.basealt.ru/alt-server/description"><span><span><span>Альт Сервер</span></span></span></a><span>", "</span><a href="https://www.basealt.ru/alt-workstation"><span><span><span>Альт Рабочая станция</span></span></span></a><span>", "</span><a href="https://www.basealt.ru/alt-education"><span><span><span>Альт Образование</span></span></span></a><span>". В 2022 году РФРИТ выделил вендору новый грант на проект разработки новых модулей системы управления групповыми политиками, а также инструментов администрирования, совместимых с Microsoft Activе Directory, и интеграции этих разработок в единый программный комплекс. Недавно "Базальт СПО" успешно </span><a href="https://www.cnews.ru/news/line/2023-05-30_gruppovye_politiki_v_linux"><span><span><span>завершила проект</span></span></span></a><span>, выполненный при </span><a href="https://www.basealt.ru/about/news/archive/view/bazalt-spo-poluchil-grant-rfrit-na-razvitie-os-alt"><span><span><span>грантовой поддержке</span></span></span></a><span> РФРИТ. Решение распространяется на условиях свободной лицензии, и в его развитии могут принять участие все желающие. </span></span></span></span></p>