Смешанной инфраструктурой надо управлять, в идеале — из единого центра на основе единых групповых политик.

Задачу решили разработчики компании «Базальт СПО». Они дополнили линейку операционных систем «Альт» набором инфраструктурного ПО, которое обеспечивает единое управление компьютерами с ОС «Альт» и Windows, и их пользователями. Решение позволяет избежать двойных затрат на поддержку ИТ-инфраструктуры в переходный период.

Сегодня тысячам государственных и коммерческих организаций необходимо перевести свои цифровые инфраструктуры на российское ПО. Многие зарубежные вендоры покинули российский рынок, приостановив продажу и поддержку своих систем. У заказчиков возникли трудности с обновлением программных продуктов, с приобретением дополнительных лицензий и продлением текущих, с получением техподдержки. Эти риски особенно опасны для критической информационной инфраструктуры (КИИ). На их устранение направлен Указ Президента Российской Федерации №166 от 30 марта 2022 г. «О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации», а также Постановление Правительства Российской Федерации № 1236 от 16 ноября 2015 «Об установлении запрета на допуск программного обеспечения, происходящего из иностранных государств, для целей осуществления закупок перевод КИИ на российское программное обеспечение.

Проекты перехода на российское ПО длятся не один год, и в этот период в ИТ-инфраструктуре должны одновременно работать компьютеры с ОС Windows и какой-либо из российских ОС, большинство которых создано на ядре Linux. Как интегрировать их в единое информационное пространство, чтобы избежать потери работоспособности цифровых ресурсов и исключить двойные расходы на администрирование корпоративной сети и обучение ИТ-персонала?

Как устроено централизованное управление ИТ-инфраструктурой и пользователями

Корпоративная цифровая инфраструктура объединяет серверы, рабочие станции, периферийные и сетевые устройства, а также пользователей. Для управления всеми этими объектами существует база службы каталогов: в ней хранится информация о каждом из объектов и иерархических связях между ними. База размещена на специальном сервере – контроллере домена1.

1 Домен — это структурная единица (участок) сетевой инфраструктуры организации. Он объединят различные сетевые объекты: компьютеры, принтеры, пользователей и др. Управление доменом осуществляет контроллер домена — сервер, на котором размещена база данных с описанием всех объектов и инструменты управления ими, включая свод правил управления.

Первые проприетарные реализации службы каталогов появились еще в прошлом веке у Novell (Novell Directory Services) и Microsoft, есть также и свободные решения, построенные на openLDAP или Samba.

До недавнего времени практически все организации использовали службу каталогов Active Directory (MS AD) — проприетарное решение компании Microsoft. MS AD позволяет объединить пользователей и компьютеры в группы («Рабочие места в бухгалтерии», «Инженеры-проектировщики» и т. п.) и управлять ими по единым правилам. Такие правила называются групповыми политиками. Групповой подход существенно упрощает изменение существующих настроек — они применяются сразу ко всей группе компьютеров или пользователей, а добавленный пользователь автоматически получает установленные для его группы настройки.

Active Directory поддерживает файлообмен и служит для сквозной идентификации пользователей. Сотрудник вводит логин и пароль один раз — при входе в сеть, и получает доступ к программам и сервисам в соответствии с назначенными ему правами. Причем не важно, работает пользователь в офисе или удалённо.

Данные учетных записей хранятся на контроллерах домена, защищенных от внешнего доступа. Для идентификации пользователей применяется протокол Kerberos, который обеспечивает безопасную идентификацию, препятствующую перехвату паролей по сети.

Чем заменить инструменты Microsoft при переходе на российскую ОС

Когда встает задача миграции с Windows на российскую ОС на ядре Linux, требуется найти замену Active Directory. Причем такую, которая способна одновременно применять групповые политики к компьютерам с Windows и Linux, а также к их пользователям. Однако ни одна из свободных систем не позволяет решить эту задачу, в том числе и широко распространенные в мире свободного ПО Samba и FreeIPA.

FreeIPA разработан Red Hat – американской компанией, которая является одним из ведущих мировых производителей операционных систем на ядре Linuх. Решение работает только с компьютерами под ОС на ядре Linux, но не умеет управлять пользователями, а Samba предназначена для замены контроллера домена Windows и управления Windows-машинами и пользователями этой ОС. Для организации совместимого с Windows файлохранилища FreeIPA использует механизмы Samba. Как видим, ни одно из этих решений не является полноценной заменой Active Directory.

Проблему решили разработчики компании «Базальт СПО». Они дополнили линейку операционных систем «Альт» набором инфраструктурного ПО, которое реализует групповые политики для компьютеров и пользователей ОС «Альт», тем самым обеспечивая единое управление ОС «Альт» и Windows. Решение представляет собой модификацию свободной разработки проекта Samba, дополненную инструментарием управления групповыми политиками. Это современный российский, не имеющий аналогов на отечественном и международном рынке программный комплекс.

Инженеры «Базальт СПО» реализовали уже довольно большой список групповых политик. Среди них — управление внешним видом рабочего стола пользователя, выполнение скриптов при входе или выходе в систему, управление всеми политиками браузеров Firefox и Chromium, а также отечественным Яндекс-брузером, создание ярлыков общих папок, установкой и удалением ПО, управление службами и сервисами компьютера и многие другие. Список постоянно расширяется вслед за потребностями пользователей, которых становится все больше и больше.

Шаблоны групповых политик ОС «Альт» доступны международному сообществу разработчиков свободного ПО. Они размещены на международном ресурсе admx.help. Здесь публикуют свои политики Microsoft, Citrix, Google, VMware и другие компании.

Для формирования и реализации групповых политик специалисты «Базальт СПО» разработали и включили в ОС «Альт» графические приложения, которые позволяют решать эти задачи так же, как в Windows. Администраторам понадобится минимум времени, чтобы их освоить.

Сценарии миграции доменной инфраструктуры на ОС «Альт»

Инструмент управления доменной инфраструктурой, интегрированный в ОС «Альт», позволяет выполнить переход плавно, бесшовно. Интеграция рабочих мест с российской ОС в инфраструктуру Active Directory выполняется с сохранением возможностей управления инфраструктурой и пользователями, которые предоставлял MS AD.

Преимущество плавного способа миграции в том, что он не требует «революционных» одномоментных замен компьютеров с Windows на компьютеры с ОС «Альт». Можно поэтапно переводить пользователей на «Альт», управляя рабочим окружением и правами доступа пользователей с помощью общего инструментария. Пользователи практически не заметят изменений.

Чтобы подобрать оптимальный сценарий миграции, необходимо проконсультироваться со специалистами «Базальт СПО» или системного интегратора, имеющими опыт внедрения ОС «Альт».

Инструментарий для создания и применения групповых политик, разработанный «Базальт СПО», успешно применяется в масштабных проектах миграции ИТ-инфраструктур на ОС «Альт». Министерство цифрового развития и связи Новосибирской области реализовало комплексный проект по переводу региональной инфраструктуры на отечественное ПО. В рамках проекта системный интегратор НТЦ «Галэкс» (Galex), партнер компании «Базальт СПО», сформировал программно-аппаратный комплекс «Патриот», в состав которого вошли ОС «Альт» и прикладные программы компаний «Р7-Офис» и «Лаборатория МБК». По мнению руководителей Минцифры Новосибирской области, применение средств миграции позволило осуществить перевод внутренней инфраструктуры на отечественное ПО плавно, без резких изменений, а также внедрить единый техстандарт для обслуживания всех рабочих станций, вне зависимости от установленной операционной системы. Это снизило затраты на обслуживание рабочих мест.

Федеральная таможенная служба России реализует пилотный проект по переводу доменной структуры единой службы каталогов Единой автоматизированной информационной системы таможенных органов на отечественную программную платформу. В рамках проекта отрабатывается схема постепенной замены доменной структуры управления, авторизации и аутентификации на основе Microsoft AD на аналогичную структуру с применением групповых политик ОС «Альт». Эту схему планируют применять в региональных подразделениях ФТС по всей стране.

Компьютерный парк Нижнетагильской школы №100 превышает 500 единиц, из них около 200 ПК работают под ОС «Альт». Для управления доменом ИТ-специалисты школы применяют программу ADMC, встроенную в ОС «Альт Сервер» 10, и инструментарий RSAT Windows 7. Обе программы имеют схожий интерфейс и внутреннюю логику, что очень упрощает их совместное использование. Заложенные в ADMC возможности уже сейчас перекрывают большую часть задач, возникающих в повседневной работе с доменом: создание и редактирование информации о пользователях и компьютерах, настройка общих папок и т. п. ИТ-специалисты школы планируют в дальнейшем совсем отказаться от использования Windows и RSAT.

Решение «Базальт СПО» для бесшовной миграции с Windows на ОС «Альт» снижает риски сбоев в работе систем и позволяет избежать двойной нагрузки на ИТ-департамент и двойные расходы на поддержку ИТ-инфраструктуры в переходный период. Протестировать решение можно прямо сейчас. Для этого достаточно бесплатно скачать дистрибутивы ОС с сайта «Базальт СПО» и воспользоваться документацией.

Справка

В 2021 году «Базальт СПО» получила грант «Российского фонда развития информационных технологий» (РФРИТ) на развитие инструментов управления групповыми политиками, которые входят в состав операционных систем «Альт Сервер», «Альт Рабочая станция», «Альт Образование». В 2022 году РФРИТ выделил вендору новый грант на проект разработки новых модулей системы управления групповыми политиками, а также инструментов администрирования, совместимых с Microsoft Activе Directory, и интеграции этих разработок в единый программный комплекс. Недавно «Базальт СПО» успешно завершила проект, выполненный при грантовой поддержке РФРИТ. Решение распространяется на условиях свободной лицензии, и в его развитии могут принять участие все желающие.

Комментарии (14)


  1. dlinyj
    12.07.2023 14:10
    +5

    Базальт пришла на хабр, очень круто! Надеюсь на большее количество статей о вашей разработке.


  1. vasilisc
    12.07.2023 14:10

    Молодцы!


  1. PSVITAmins
    12.07.2023 14:10

    Отличная новость! Если ли шанс, что ваш клиент групповых политик будет со временем совместим с другими дистрибутивами Linux? Debian, Ubuntu, Astra? У нас разные задачи у разных подразделений и заставить всех использовать только один дистрибутив Linux пока что не представляется возможным. А ваш подход для миграции с AD мне кажется наиболее правильным, удобным и реалистичным.


    1. ilyakruchinin
      12.07.2023 14:10

      Решение представляет собой модификацию свободной разработки проекта Samba, дополненную инструментарием управления групповыми политиками. (с)

      Samba is Free Software licensed under the GNU General Public License (с)

      GPL. Модификация Samba. Все модификации кода должны быть свободно предоставлены.

      Собственно, о чем статья - непонятно.
      Samba4 (на любом дистрибутиве Linux) поддерживает групповые политики. Ссылка в статье ведет на сайт с документацией к АльтЛинукс (на котором описание работы с Samba4 на уровне командной строки). Что "нового" было изобретено (и где исходники модифицированной под GPL Samba) - так и не ясно.

      Судя по ссылкам на "новости" - просто освоили госбюджет на написание аналога Group Policy Editor - компонента RSAT от Microsoft (дабы не использовать GUI от Microsoft). Как это относится к модификации Samba - тоже непонятно.


      1. Johan_Palych
        12.07.2023 14:10
        +3

        Разработчик? Код в свободном доступе. Собирайте:

        https://git.altlinux.org/gears/s/samba.git?a=tree;hb=6988953b763e3cd5c8f7d0551cd09b9abfa8741d
        https://packages.altlinux.org/ru/sisyphus/srpms/samba/
        
        Active Directory Management Center
        https://www.altlinux.org/ADMC
        https://packages.altlinux.org/en/sisyphus/binary/admc/x86_64/
        Страница проекта:
        License: GPLv3+
        https://github.com/altlinux/admc/blob/master/LICENSE.md
        Отлично собирается под Debian
        https://github.com/altlinux/admc/blob/master/debian/control
        
        Group policy editor
        Лицензия: GPLv2+
        https://packages.altlinux.org/ru/sisyphus/srpms/gpui/
        Домашняя страница: https://github.com/august-alt/gpui


        1. ilyakruchinin
          12.07.2023 14:10

          Спасибо!


    1. felixz
      12.07.2023 14:10

      Шанс есть. Чем более система с открытым кодом, тем шанс выше. Разработчики "Базальт СПО" написали собственный механизм применения групповых политик. Создали для него широкий набор admx-шаблонов. Создали два графических редактора - для управления службой каталогов и редактирования групповых политик.


  1. wertex15
    12.07.2023 14:10

    Подскажите, пожалуйста, а есть ли бесплатные курсы по вашей ОС?


    1. KateBasealt Автор
      12.07.2023 14:10

      Добрый день!

      Открытый образовательный проект kurs.basealt.ru - здесь вы можете бесплатно самостоятельно пройти учебные курсы по работе с ОС "Альт"

      Подробная информация об образовательных проектах на страничке сайта https://www.basealt.ru/altacademy

      По вопросам обучения можно обратиться на почту edu@basealt.ru


  1. D_dMer
    12.07.2023 14:10
    +2

    Много разных аналогов MS AD это хорошо, вот бы кто заморочился и сделал обзор по этим продуктам:

    • ALD Pro

    • Базальт домен

    • Red OS домен

      Не менее интересно было бы сравнить розничные цены на лицензии.


    1. podvox23
      12.07.2023 14:10

      ЕМНИП у ALD Pro под капотом FreeIPA и saltstack. У Ред АДМ - Samba и ansible


  1. AlexGluck
    12.07.2023 14:10

    Решение работает только с компьютерами под ОС на ядре Linux, но не умеет управлять пользователями

    Работает и с windows, и пользователями умеет управлять.

    дополненную инструментарием управления групповыми политиками

    У самбы уже были групповые политики.

    не имеющий аналогов

    очередное АНАЛоговнет

    Наверняка сделали что-то интересное, жаль описали это как обычно, текстом после которого стыдно.


    1. Soviet_Anton
      12.07.2023 14:10
      +1

      На пальцах смысл проделанного вот какой. Команда Альта разработала серию инструментов для работы с ГП формата MS AD на своих системах. Графические системы управления службой каталогов и редактор групповых политик. Тут действительно в Linux аналогов нет. Можно управлять настройкой ГП в windows-домене или samba-домене через AD и Sysvol.

      Затем разработали механизм применения ГП на Linux-клиентах, назвали его gpupdate. Здесь аналоги известны, как у той же самой Самбы. Или варианты через ansible и т.п. Gpupdate у Альта своей разработки, с ним клиент может применять ГП и в домене MS AD, и в домене Samba DC. Считывает Sysvol контроллера домена и обрабатывает.

      Решение поддерживает часть виндовых политик в виде мапинга, и содержит довольно внушительный набор собственных ADMX-шаблонов. Поддерживает системные настройки, монтирование дисков, подключение общих каталогов, polkit, control и много чего еще. Из того, что еще "аналогов нет" - это полный набор групповых политик браузеров - Firefox, Chromium, Yandex. В gpupdate от Самбы, насколько я помню, пока есть ограниченный набор ГП только для Ff.


      1. AlexGluck
        12.07.2023 14:10
        +1

        А можешь нормальную статью сделать, со скринами и примерами?