Active Directory: что это и как настроить для бизнеса

Что такое Active Directory простыми словами

Active Directory — это каталог, в котором хранится информация обо всех пользователях, компьютерах и ресурсах компании. Представьте телефонную книгу, но вместо номеров — учётные записи, пароли, права доступа и настройки каждого рабочего места. AD позволяет управлять всем этим централизованно: один администратор контролирует 500 компьютеров из одной консоли.

Зачем бизнесу нужен домен

Без домена каждый компьютер — самостоятельная единица: свои пароли, свои настройки, свои правила. Сотрудник уволился — нужно обойти все машины, все сервисы и вручную заблокировать доступ. С доменом — одно действие в AD блокирует доступ ко всему. Домен также решает задачи: единая парольная политика, централизованные обновления, управление правами доступа к файлам и принтерам.

Что даёт домен на практике

Единый логин/пароль для всех ресурсов (SSO), групповые политики для настройки рабочих станций, централизованное управление принтерами и сетевыми дисками. Для компании от 10 рабочих мест домен — не роскошь, а необходимость: без него невозможно обеспечить базовую безопасность и контролируемость инфраструктуры.

Структура AD: домены, OU, GPO

AD строится иерархически: лес → домен → организационные подразделения (OU) → объекты (пользователи, компьютеры, группы). Организационные подразделения отражают структуру компании: «Бухгалтерия», «Отдел продаж», «Склад». К каждому OU можно привязать групповые политики (GPO) — наборы настроек, которые автоматически применяются ко всем объектам внутри.

Групповые политики: что можно настроить

GPO позволяют: задать парольную политику (12 символов, смена раз в 90 дней), запретить установку ПО, включить шифрование BitLocker, настроить прокси, ограничить доступ к USB-портам. Каждая политика — это правило, которое применяется автоматически ко всем устройствам в подразделении. Тем же механизмом за час раскатываются корневые сертификаты НУЦ Минцифры на все машины домена — пошагово в инструкции по GPO.

Как настроить AD с нуля

Пошаговый план: подготовка сервера (Windows Server 2022), установка роли AD DS, настройка DNS, создание структуры OU, создание пользователей и групп, настройка базовых GPO. Весь процесс для компании 30–100 рабочих мест занимает 2–5 рабочих дней, включая миграцию рабочих станций в домен. Критично: DNS должен быть интегрирован с AD — это основа работоспособности всего домена.

Миграция рабочих станций

Ввод компьютеров в домен — процесс, требующий физического или удалённого доступа к каждому ПК. Профили пользователей мигрируются, локальные данные сохраняются. После миграции пользователь входит с доменным логином и получает все настройки автоматически.

Типичные ошибки при настройке AD

Пять ошибок, которые встречаются в 70% инсталляций: все пользователи в одном OU без структуры, нет парольной политики (или стоит «123456»), администраторы работают под одной учётной записью Domain Admin, нет политики блокировки, GPO не задокументированы. Каждая из этих ошибок — вектор атаки, который злоумышленник эксплуатирует в первую очередь.

Аудит AD через PingCastle

PingCastle — бесплатный инструмент, который за 5 минут сканирует домен и выдаёт оценку безопасности по шкале 0–100. Показывает конкретные проблемы: устаревшие протоколы (NTLMv1), учётные записи с бессрочным паролем, неактивные компьютеры, Kerberoasting-уязвимости. Рекомендация: запускать PingCastle раз в квартал и устранять все критические находки.

Active Directory — фундамент управляемой и безопасной ИТ-инфраструктуры. Без правильно настроенного домена невозможно контролировать доступы, обеспечить безопасность и масштабировать бизнес. Закажите настройку или аудит Active Directory — оценим текущий домен и согласуем план внедрения или аудита.