AP-301.
Установка, настройка и использование ПК ALD Pro 3.0.0
система централизованного управления
Предварительные требования к уровню подготовки слушателей:
- Базовые навыки работы с Linux:
- работа в терминале, навигация по файловой системе, файловые операции, права доступа;
- знание основных команд командной строки (CLI);
- опыт редактирования файлов в консольных редакторах (nano, vim или аналоги);
- понимание организации процессов в Linux.
- Навыки администрирования:
- владение основами администрирования учетных записей пользователей и разграничения прав доступа;
- понимание базовых инструментов безопасности ОС Astra Linux;
- понимание принципов работы служб каталога (Active Directory, FreeIPA или аналоги): аутентификация, авторизация, учетные записи, группы, организационные единицы.
- Сетевые знания и навыки:
- понимание сетевых основ: IP-адресация, маски подсетей, маршрутизация, DNS;
- базовые навыки настройки сетевых интерфейсов.
Получаемые знания и умения:
- понимание архитектуры и ключевых компонентов системы ALD Pro (контроллер домена, служба каталога FreeIPA, портал управления, подсистемы), а также их роли в централизованном управлении инфраструктурой;
- понимание последовательности этапов развертывания ALD Pro: от подготовки виртуальной среды и установки ОС до настройки контроллера домена, репозиториев, DNS службы и проверки базовых функций домена (Kerberos аутентификация, работа портала управления);
- понимание процессов администрирования в ALD Pro, включая структуру и функциональные возможности портала управления, механизмы аутентификации (по паролю и Kerberos), принципы управления организационной структурой (пользователи, компьютеры, группы), а также работу ключевых служб: синхронизации времени (chrony) и разрешения имен (DNS);
- понимание процессов администрирования службы каталога ALD Pro, включая архитектуру системы (FreeIPA, 389 Directory Server, MIT Kerberos, Samba), принципы управления учетными записями и ресурсами через веб интерфейс и консольные утилиты, а также механизмы резервного копирования и восстановления данных;
- понимание процессов администрирования Linux компьютера в домене, включая принципы работы службы sssd, способы аутентификации (LDAP, Kerberos, NTLM), защиту данных через SSL/TLS, а также особенности функционирования в автономном режиме и динамического обновления DNS записей;
- понимание процессов администрирования групповых политик в ALD Pro, включая принципы настройки политик паролей (FreeIPA), HBAC правил (контроль доступа к узлам), SUDO правил (повышение привилегий), механизмы репликации и наследования параметров, а также особенности работы с LAPS (управление паролями локальных администраторов) и инструментами автоматизации (Salt, Jinja);
- понимание процессов администрирования дополнительных подсистем ALD Pro, включая принципы развертывания и жизненного цикла подсистем, архитектуру подсистемы «Общий доступ к файлам», механизмы аутентификации (Kerberos, NTLM) и авторизации на файловом сервере Samba, а также особенности управления правами доступа (SMB подключения, списки доступа файловой системы, модели безопасности Linux);
- понимание процессов администрирования топологии в домене ALD Pro, включая механизм репликации (роли поставщиков и потребителей, соглашения о репликации, журнал изменений, алгоритм разрешения конфликтов), принципы автоматического обнаружения сервисов (SSSD, libkrb5, клиент IPA/LDAP), а также параметры оптимизации репликации;
- понимание процессов администрирования при миграции и гибридном развертывании с MS AD, включая типовые сценарии (сервисный домен, ресурсный домен, управление рабочими местами, полное развертывание), механизм установления доверительных отношений между доменами (Forest Trust, External Trust), принципы работы глобального каталога (AD и ALD Pro), а также роль модуля синхронизации и службы samba dcerpcd в интеграции сред;
- понимание процессов администрирования резервного копирования в ALD Pro, включая перечень критически важных подсистем (контроллеры домена, общий доступ к файлам, печать, репозитории ПО, DHCP, PXE, мониторинг, журналирование), различия между резервным копированием дисков и данных, а также принципы организации регулярного резервного копирования через планировщик CRON;
- понимание процессов администрирования дополнительных подсистем ALD Pro (репозиторий ПО, служба печати, мониторинг, аудит), включая архитектуру подсистем, механизмы повышения роли сервера, принципы управления репозиториями (создание из ISO файла или вручную, обновление версий), способы развертывания принтеров и установки ПО через групповые политики, а также особенности интеграции с внешними приложениями;
- понимание процессов администрирования подсистем DHCP и PXE в ALD Pro, включая механизм распределения IP адресов через DHCP, принципы работы среды предварительной загрузки (PXE), структуру файлов на сервере PXE, особенности сетевой установки ОС (в том числе на компьютерах с UEFI), а также назначение компонентов Preseed, Postinstall и Firstinstall;
- понимание процессов администрирования мандатного управления доступом (МРД) и контроля целостности (МКЦ) в ALD Pro, включая модель разграничения прав на основе уровней и категорий конфиденциальности, принципы работы с контейнерами объектов и процессами, механизмы ограничения доступа к документам и внешним носителям, а также особенности настройки мандатных атрибутов через веб интерфейсы FreeIPA и ALD Pro;
- способность выполнять развертывание первого контроллера домена ALD Pro: настраивать сетевые интерфейсы, устанавливать необходимые пакеты, повышать роль сервера до контроллера домена, проверять работоспособность доменных служб и присоединять клиентские машины к домену с использованием консольных и графических утилит;
- умение производить настройку базовых компонентов ALD Pro через портал управления: создавать и редактировать учетные записи пользователей и компьютеров, управлять групповыми политиками, настраивать службу синхронизации времени chrony и параметры DNS зон (включая конфигурационные файлы и записи в доменной зоне);
- умение производить настройку службы каталога ALD Pro и управление ею: создавать, изменять и удалять учетные записи пользователей с помощью утилиты ipa, выполнять поиск и просмотр объектов в LDAP каталоге, настраивать диапазоны идентификаторов безопасности, осуществлять резервное копирование и восстановление данных;
- умение производить настройку и отладку службы sssd и механизмов аутентификации в домене: конфигурировать параметры кеширования, управлять Kerberos билетами (просмотр, удаление, получение сервисных билетов), настраивать защищенный доступ к каталогу (LDAP + StartTLS/LDAPS), диагностировать проблемы через журналы отладки sssd и устранять неисправности аутентификации, изменения пароля и контроля доступа;
- умение производить настройку групповых политик в ALD Pro: создавать и конфигурировать правила, задавать политики паролей, разрабатывать дополнительные параметры групповых политик с использованием Salt скриптов (с соблюдением требований к идемпотентности и оптимизации), настраивать LAPS (расширение схемы каталога, импорт параметров, установка политик), а также проверять и отлаживать применение политик в домене;
- умение производить настройку подсистемы «Общий доступ к файлам» в ALD Pro: устанавливать подсистему, создавать общие папки и управлять ими, назначать права доступа, конфигурировать файл настроек Samba сервера, настраивать аутентификацию (Kerberos/NTLM) и авторизацию, а также выбирать и применять подходящие модели безопасности (из коробки, ACL XATTR, NFS4ACLs) для управления доступом к файловым ресурсам;
- умение производить настройку топологии домена: повышать роль сервера до контроллера домена (через портал управления и командную строку), конфигурировать параметры репликации, настраивать автоматическое обнаружение сервисов, выполнять отладку и мониторинг репликации (проверка состояния через dsconf, ds replcheck, checkipaconsistency, анализ журнала изменений и конфликтов), а также проводить повторную инициализацию контроллера при необходимости;
- умение производить настройку гибридной инфраструктуры с MS AD: устанавливать доверительные отношения между доменами (настраивать взаимное перенаправление DNS зон, создавать трасты, проверять синхронизацию времени), конфигурировать глобальный каталог ALD Pro, настраивать службу samba dcerpcd, присоединять Windows машины к домену ALD Pro, а также проверять работоспособность интеграционных механизмов (валидация трастов, тестирование глобального каталога, контроль синхронизации);
- умение производить настройку системы резервного копирования ALD Pro: конфигурировать регулярное резервное копирование через CRON, выбирать и включать в план резервного копирования ключевые подсистемы (контроллер домена, файловый доступ, печать и др.), настраивать параметры сохранения данных для каждой подсистемы с учетом ее специфики и требований к восстановлению;
- умение производить настройку дополнительных подсистем ALD Pro: развертывать подсистему репозитория (повышать роль сервера, создавать и модифицировать репозитории), конфигурировать службу печати (добавлять принтеры, управлять установкой через групповые политики), настраивать компоненты мониторинга и аудита, а также реализовывать интеграцию с приложениями сторонних разработчиков согласно требованиям инфраструктуры;
- умение производить настройку подсистем DHCP и PXE: конфигурировать DHCP сервер для автоматического распределения сетевых параметров, развертывать и настраивать сервер PXE (включая подготовку файловой структуры и настройку boot меню), адаптировать GRUB для сетевой загрузки, настраивать процессы Preseed для автоматической установки ОС, а также управлять перечнем компьютеров и поддержкой загрузки различных дистрибутивов Linux;
- умение производить настройку механизмов мандатного контроля: задавать уровни и категории конфиденциальности, создавать защищенную структуру каталогов для секретных документов, конфигурировать учетные записи с учетом требований МРД, устанавливать ограничения на монтирование неучтенных носителей, регистрировать устройства в веб интерфейсах FreeIPA и ALD Pro, настраивать общие папки на файловом сервере Samba с соблюдением политик МКЦ, а также управлять процессами засекречивания и рассекречивания документов.
Программа курса
Модуль 1. Введение в ALD Pro и планирование развертывания
Продолжительность модуля: 45 мин.
- Система ALD Pro: общее представление:
- назначение и ключевые функции;
- возможности службы каталога.
- Архитектура и компоненты ALD Pro:
- контроллер домена;
- служба синхронизации времени (chrony);
- портал управления;
- подсистемы:
- репозиторий программного обеспечения;
- общий доступ к файлам;
- служба печати;
- динамическая настройка узлов (DHCP);
- установка ОС по сети (PXE);
- мониторинг;
- аудит;
- клиентская часть.
- Сравнение механизмов каталогов FreeIPA и Samba AD:
- особенности реализации Samba AD;
- преимущества FreeIPA и обоснование ее выбора в ALD Pro.
- Практическое сопоставление MS AD и ALD Pro.
- Подготовка к развертыванию:
- минимальные требования к инфраструктуре;
- планирование ресурсов (оперативная память, CPU, пропускная способность сети);
- модуль синхронизации и прочие службы.
- Масштабирование и организация инфраструктуры:
- методики горизонтального масштабирования;
- рекомендации по именованию доменов.
Модуль 2. Развертывание первого контроллера домена
Продолжительность модуля: 30 мин.
Продолжительность практической работы: 100 мин.
- Подготовка инфраструктуры: требования к тестовой среде, создание и настройка виртуальной машины:
- проверка ОС: build_version;
- проверка (установка) уровня «Смоленск»;
- отключение NetworkManager;
- настройка статического IP в /etc/network/interfaces.
- Развертывание контроллера домена:
- настройка репозиториев ALD Pro: создание /etc/apt/sources.list.d/aldpro.list;
- присвоение имени контроллера;
- установка пакетов: aldpro-mp, aldpro-gc, aldpro-syncer, aldpro-syncer-pwdsync;
- повышение роли сервера до контроллера домена;
- проверка базовых функций: доменных служб, Kerberos-аутентификации, портала управления;
- ввод компьютера в домен.
Практическая работа: развертывание первого контроллера домена
Модуль 3. Архитектура службы каталога ALD Pro
Продолжительность модуля: 65 мин.
Продолжительность практической работы: 90 мин.
- Архитектура службы каталога ALD Pro:
- обзор компонентов и их взаимодействия;
- сравнительный анализ с MS AD: служба каталога — FreeIPA, LDAP — 389 Directory Server, Kerberos — MIT Kerberos.
- Сервер FreeIPA:
- веб-интерфейс управления;
- утилиты управления: ipactl, ipa, ipa-getkeytab, ipa-backup, ipa-restore;
- конфигурационные файлы: /etc/ipa/default.conf, /etc/krb5.conf.
- Сервер LDAP 389 Directory Server:
- структура каталога;
- утилиты: ldapsearch, ldapmodify, dsctl, dsconf;
- расположение БД.
- Сервер MIT Kerberos:
- служба KDC: krb5-kdc;
- утилиты: kinit, klist, kdestroy;
- файлы ключей: /etc/krb5.keytab.
- Сервер Samba:
- интеграция с Windows;
- службы: smb, winbind;
- конфигурация: /etc/samba/smb.conf.
- Идентификаторы безопасности:
- диапазоны UID/GID: ipa config-show;
- SID (Security Identifier).
- Управление объектами службы каталога:
- управление организационной структурой;
- управление пользователями;
- управление компьютерами;
- удаленный доступ для оказания поддержки;
- управление группами.
Практическая работа: администрирование службы каталога с помощью утилит командной строки FreeIPA и LDAP.
Модуль 4. Настройка базовых служб
Продолжительность модуля: 35 мин.
Продолжительность практической работы: 80 мин.
- Назначение базовых служб в домене ALD Pro:
- DNS: разрешение имен, SRV-записи для автоматического обнаружения служб;
- синхронизация времени (NTP): критична для работы Kerberos;
- сравнительный анализ с MS AD: DNS Manager — BIND в ALD Pro, W32Time — chrony.
- DNS-служба в ALD Pro:
- использование BIND 9 (bind9-pkcs11).
- конфигурационные файлы:
- /etc/bind/named.conf (основной конфиг);
- /etc/bind/ipa-options-ext.conf (дополнительные настройки);
- /etc/bind/ipa-ext.conf (зоны).
- автоматическое создание зон при установке домена;
- отключение DNSSEC для работы в закрытом контуре;
- настройка рекурсивных запросов.
- Синхронизация времени:
- служба chrony (альтернатива ntpd);
- конфигурационный файл: /etc/chrony/chrony.conf;
- синхронизация сервера времени контроллера домена с внешними источниками;
- синхронизация клиентов с контроллерами домена.
Практическая работа: настройка DNS и NTP, проверка SRV-записей.
Модуль 5. Работа Linux-компьютера в домене
Продолжительность модуля: 30 мин.
Продолжительность практической работы: 90 мин.
- Архитектура клиентской части ALD Pro:
- основные клиентские пакеты: aldpro-client, freeipa-client, sssd, krb5-user;
- сравнение с Windows: присоединение к домену Windows — ввод в домен ALD Pro.
- Служба SSSD (System Security Services Daemon):
- архитектура: монитор, бэкенды, ответчики;
- механизм кеширования: автономная работа;
- конфигурационные файлы: /etc/sssd/sssd.conf, /etc/sssd/conf.d/.
- Способы аутентификации в домене:
- LDAP: ldap:// или ldaps://;
- Kerberos: билеты TGT и сервисные билеты;
- NTLM: для совместимости с Windows.
- Безопасный обмен данными:
- SSL/TLS для LDAP (LDAPS);
- StartTLS для защиты LDAP-сессий;
- сертификаты домена: /etc/ipa/ca.crt.
- Учетная запись компьютера в домене:
- автоматическое создание при вводе в домен;
- пароль компьютера: /etc/krb5.keytab;
- проверка: klist -k.
- Работа в автономном режиме:
- кеширование учетных данных;
- ограниченная функциональность;
- автоматическая синхронизация при подключении.
Практическая работа: ввод компьютера в домен, диагностика аутентификации.
Модуль 6. Управление политиками ALD Pro
Продолжительность модуля: 55 мин.
Продолжительность практической работы: 100 мин.
- Концепция управления политиками в ALD Pro:
- централизованное управление настройками пользователей и компьютеров.
- Сравнение с MS AD:
- Group Policy Objects (GPO) — групповые политики ALD Pro;
- иерархия применения: домен — сайт — подразделение — группа — пользователь/компьютер.
- Типы политик в ALD Pro:
- политики паролей (аналог Windows Password Policy);
- HBAC-правила (Host-Based Access Control);
- SUDO-правила (повышение привилегий);
- групповые политики (настройки ОС и приложений);
- политики ПО (установка и управление программным обеспечением);
- LAPS (Local Administrator Password Solution).
- Политики паролей FreeIPA:
- настройки сложности, истории, срока действия;
- группы с автоматическим участием (встроенные группы).
- HBAC-правила (доступ к узлам):
- контроль доступа пользователей к хостам и сервисам;
- компоненты правила: кто (пользователь/группа) — куда (хост/группа хостов) — к чему (сервис), по умолчанию правило allow_all.
- SUDO-правила:
- делегирование прав выполнения команд;
- аналогия с /etc/sudoers, но централизованно;
- поддержка групп пользователей, хостов, команд.
- Групповые политики ALD Pro:
- настройка через портал управления;
- категории: параметры компьютеров, параметры пользователей;
- дополнительные параметры (кастомизация через Salt-скрипты).
Практическая работа: создание и применение политик безопасности.
Модуль 7. Дополнительные подсистемы: общий доступ к файлам
Продолжительность модуля: 35 мин.
Продолжительность практической работы: 70 мин.
- Процедура развертывания подсистем:
- установка ролей в Windows Server;
- установка подсистем в ALD Pro.
- Универсальный двухэтапный процесс для всех подсистем:
- ввод сервера в домен как обычной рабочей станции с помощью aldpro-client-installer;
- назначение серверу роли через портал управления (раздел «Роли и службы сайта»);
- автоматическая установка и настройка подсистемы (через ~30 минут);
- форсирование установки: sudo aldpro-roles --iud на целевом хосте.
- Архитектура подсистемы в ALD Pro: Samba-сервер, интеграция с доменной аутентификацией.
- Аутентификация: Kerberos vs NTLM в контексте ALD Pro.
- Управление доступом: портал vs файловая система, модели безопасности Samba (стандартная, ACL XATTR, NFS4 ACLs).
- Интеграция с Windows-клиентами.
Практическая работа: развертывание файлового сервера, настройка общих ресурсов.
Модуль 8. Управление топологией в домене
Продолжительность модуля: 40 мин.
Продолжительность практической работы: 90 мин.
- Архитектура топологии домена ALD Pro:
- мультимастерная репликация (все контроллеры равноправны).
- Сравнение с MS AD: AD Sites and Services — сайты в ALD Pro.
- Механизмы репликации:
- репликация изменений (incremental replication);
- полная репликация при инициализации;
- конфликты репликации и их разрешение;
- журнал изменений (change log).
- Сайты (Sites):
- группировка контроллеров по физическому местоположению;
- балансировка нагрузки и отказоустойчивость;
- DNS SRV-записи для автоматического обнаружения сайта.
- Автоматическое обнаружение сервисов:
- через DNS SRV-записи;
- в SSSD-клиентах;
- в библиотеке libkrb5.
- Диагностика репликации.
Практическая работа: создание сайта, настройка репликации, диагностика.
Модуль 9. Миграция и гибридное развертывание с MS AD
Продолжительность модуля: 50 мин.
Продолжительность практической работы: 90 мин.
- Стратегии миграции с Active Directory: доверительные отношения (Trusts), глобальный каталог, модуль синхронизации.
- Сравнение с Windows: Forest Trust/External Trust — Trust в ALD Pro.
- Типы доверительных отношений: Forest Trust (между лесами AD и FreeIPA), External Trust (между отдельными доменами), односторонние/двусторонние.
- Компоненты интеграции: Samba DCERPC (для работы трастов), Global Catalog (для поиска в доверенных доменах), SSSD с поддержкой нескольких доменов.
- Модуль синхронизации (aldpro-syncer): установка только на первый контроллер, синхронизация пользователей, групп и паролей, ключ --setup_syncer при установке.
- Настройка доверительных отношений: подготовка DNS, проверка времени, создание траста через портал.
- Настройка глобального каталога: установка пакета aldpro-gc, назначение роли через портал.
- Присоединение Windows-машин к домену ALD Pro (утилита aldpro join.exe)
Практическая работа: настройка доверительных отношений с тестовым AD.
Модуль 10. Резервное копирование и восстановление ALD Pro
Продолжительность модуля: 35 мин.
Продолжительность практической работы: 80 мин.
- Стратегия резервного копирования в ALD Pro: полные бэкапы, инкрементальные, резервное копирование дисков, резервное копирование данных.
- Критически важные данные: контроллеры домена (LDAP-база, Kerberos-база, сертификаты), подсистемы (конфигурации служб, данные приложений), журналы (аудит, мониторинг, логи безопасности).
- Инструменты резервного копирования: ipa-backup — для данных FreeIPA; tar, CRON — автоматизация регулярных бэкапов.
Практическая работа: создание и проверка резервных копий.
Модуль 11. Дополнительные подсистемы: репозитории, печать, мониторинг
Продолжительность модуля: 35 мин.
Продолжительность практической работы: 90 мин.
- Архитектура дополнительных подсистем: репозитории ПО (централизованное хранение пакетов), служба печати (CUPS), мониторинг (Zabbix), аудит (Syslog-NG).
- Принципы работы: роли серверов, автоматизация установки через aldpro-roles --iud, управление через портал, интеграция с доменом.
- Единый процесс развертывания (как в модуле 7):
- подготовка сервера (ОС, сеть, имя);
- ввод в домен как клиента;
- назначение роли через портал управления;
- автоматическая установка (~30 минут).
- Подсистема «Репозитории ПО»: создание репозитория из ISO-образа, управление версиями.
- Подсистема «Печать»: добавление сетевых и локальных принтеров, управление очередями.
- Подсистема «Мониторинг»: установка Zabbix-сервера, базовые шаблоны мониторинга.
- Подсистема «Аудит»: настройка централизованного сбора логов через Syslog-NG.
Практическая работа: развертывание подсистемы на выбор.
Модуль 12. Подсистемы DHCP и PXE
Продолжительность модуля: 35 мин.
Продолжительность практической работы: 80 мин.
- Архитектура сетевых служб:
- DHCP (Dynamic Host Configuration Protocol): автоматическая выдача сетевых настроек;
- PXE (Preboot Execution Environment): сетевая загрузка и установка ОС.
- Интеграция с доменом:
- привязка к домену (автоматический ввод в домен при установке).
- Компоненты PXE-сервера:
- TFTP-сервер: передача файлов загрузки;
- HTTP-сервер: предоставление установочных образов;
- конфигурационные файлы: меню загрузки, параметры установки;
- Preseed/Postinstall-скрипты: автоматизация установки.
- Сценарии использования:
- массовая установка ОС на новые компьютеры;
- развертывание однотипных конфигураций;
- централизованное управление загрузкой.
Практическая работа: настройка DHCP и PXE для автоматической установки.
Модуль 13. Мандатное управление доступом и контроль целостности
Продолжительность модуля: 35 мин.
Продолжительность практической работы: 90 мин.
- Модели безопасности в ALD Pro: МРД (мандатное управление доступом), МКЦ (мандатный контроль целостности), дискреционное управление доступом.
- Принципы работы: уровни конфиденциальности (иерархические 0–255), категории конфиденциальности (битовая маска), контейнеры объектов (файлы, процессы, сокеты).
- Интеграция с доменом: хранение мандатных атрибутов в LDAP, применение политик через PAM и ядро ОС, централизованное управление через портал FreeIPA.
- Настройка мандатных атрибутов пользователей через портал управления.
- Создание защищенной структуры каталогов с учетом мандатных меток.
- Работа с внешними носителями: перенос мандатных меток.
- Интеграция с файловым сервером Samba: настройка мандатного доступа к общим ресурсам.
Практическая работа: настройка МРД для пользователей и каталогов.
Модуль 14. Диагностика и мониторинг ALD Pro
Продолжительность модуля: 45 мин.
Продолжительность практической работы: 90 мин.
- Методики поиска проблем: системный подход к диагностике.
- Комплексный чек-лист диагностики:
- проверка служб: aldproctl, krb5-kdc dirsrv@... bind9-pkcs11 sssd;
- диагностика аутентификации: логи SSSD (/var/log/sssd/), kinit admin, sssctl user-checks;
- проверка репликации: dsconf ldap://dc-1 repl-agmt list, ds-replcheck, checkipaconsistency (см. модуль 8);
- проверка DNS: nslookup dc-1, dig -t SRV _ldap._tcp.ald.company.lan;
- сеть: доступность портов (nc -zv dc-1 389 636 88 53).
- Типовые ошибки и их решения: проблемы с аутентификацией, репликацией, DNS.
- Ключевые утилиты диагностики:
- sssctl — диагностика SSSD (см. модуль 5);
- dsconf, ipa-replica-manage — диагностика репликации;
- checkipaconsistency — проверка целостности данных;
- aldproctl — управление службами ALD Pro.
- Инструменты мониторинга: Zabbix (метрики, триггеры, уведомления), системные метрики.
- Сравнение с Windows: Event Viewer — логи ALD Pro + Zabbix
Практическая работа: диагностика искусственно созданных проблем в тестовой среде.
ИТОГОВОЕ ТЕСТИРОВАНИЕ
Практическая работа: 90 мин.
