Как устроен домен Windows и кому нужен Active Directory

Active Directory нужна компании, которой важно централизованно управлять входом в Windows, учётными записями и доступом к общим ресурсам. Она не хранит пользовательские файлы и не чинит безопасность сама по себе. Я покажу, как устроен домен, что проверить до установки и в каких случаях проще обойтись без него.

Что такое Active Directory простыми словами

Active Directory Domain Services (AD DS) — служба каталога на Windows Server. В каталоге хранятся объекты домена: учётные записи пользователей и компьютеров, группы, организационные единицы и связанные с ними настройки. LDAP — один из протоколов, через который приложения читают и меняют записи каталога; это не название базы, где «лежит AD». Контроллер домена обслуживает запросы, а DNS помогает компьютеру найти подходящий контроллер и службы домена.

В студии «Нептун Групп» вход на ноутбуках настраивали по одному, а после смены сотрудника никто не мог быстро сказать, где ещё осталась его учётная запись. Когда мы собрали вход и группы доступа в домене, стало проще выдавать рабочие права и отключать учётку. Не потому, что домен волшебный: просто правила оказались в одном месте, и у них появился владелец. Для похожей задачи я начинаю с аудита Active Directory, а не с покупки сервера.

AD DS отвечает за удостоверение пользователя и устройство, но не переносит его документы, не заменяет файловый сервер и не управляет автоматически каждым приложением. Членство в домене также не означает, что все ресурсы обязаны открываться: права на папки, локальные администраторы, облачные сервисы и отдельные бизнес-программы проверяются отдельно. Если это смешать, можно аккуратно завести каталог и всё равно оставить старые пароли и лишние разрешения на файловом хранилище.

На практике я стараюсь назначать доступ через группы, а не добавлять каждого сотрудника прямо в разрешения папки. Тогда владелец ресурса может объяснить правило одной фразой: «эта группа читает документы отдела», а администратор видит, почему конкретный человек туда попал. При изменении должности меняется членство в группе, а не десяток отдельных списков доступа. Сначала полезно привести в порядок уже существующие группы: домен не делает старые разрешения понятнее автоматически.

• Учетные записи пользователей и компьютеров
• Группы для назначения прав
• Групповые политики для Windows
• Единая точка доменной аутентификации

Что домен даст небольшой компании

Главный выигрыш — одна управляемая учётная запись для входа на доменные компьютеры и доступа к ресурсам, где настроена доменная проверка. Нового сотрудника можно включить в нужные группы; при переводе изменить членство; при увольнении отключить запись. Это уменьшает число ручных настроек на каждом ноутбуке. Но понадобится порядок: имена групп должны объяснять доступ, а не быть свалкой с названиями вроде «новая группа 4» и «всем всё».

Group Policy (GPO) задаёт поддерживаемые настройки Windows для доменных компьютеров и пользователей: например, часть параметров безопасности, сценарии входа и сопоставление сетевых ресурсов. Политика связывается с доменом, сайтом или организационной единицей и применяется по правилам обработки. GPO не превращает любое приложение в управляемое и не заменяет систему управления мобильными устройствами. Я оставляю в доменных политиках то, что можно одинаково применять и проверять, а нестандартные настройки документирую отдельно. Хорошая отправная точка — практики работы с групповыми политиками.

Каталог полезен, когда локальные учётки расползлись по компьютерам, права на папки меняются вручную, а увольнение превращается в обход рабочих мест. Если же у команды один общий компьютер, нет доменных приложений и каждый работает в отдельных облачных сервисах, сам факт «у нас есть Windows» ещё не оправдывает AD. Домен добавляет сервер, резервирование, обновления и обязанность следить за состоянием службы. Фраза «поставим на всякий случай» обычно означает, что никто не решил, кто будет за этим следить.

Организационные единицы (OU) я проектирую под разные настройки компьютеров и делегирование задач, а не копирую туда каждую строчку штатного расписания. Если сотрудник меняет кабинет, это не всегда повод переставлять его учётку между OU; если компьютер требует отдельной конфигурации, структура должна помогать применить её именно к нему. Новые GPO сначала проверяют на ограниченной группе устройств и только потом распространяют шире. Так одна неудачная политика не становится неожиданной задачей для всего офиса.

• Централизовать Windows-вход и группы
• Настраивать рабочие станции через GPO
• Упорядочить выдачу и отзыв доступа

Как подготовить и установить контроллер домена

Сначала я фиксирую владельца домена, список компьютеров и приложений, которые используют доменную аутентификацию, текущую DNS-схему и способ восстановления. Контроллеру нужен стабильный адрес и корректно настроенный DNS; клиентам домена нельзя раздавать случайные публичные DNS-серверы вместо DNS, который знает зону AD. Доменное DNS-имя лучше планировать внутри зарегистрированного пространства организации. Microsoft не рекомендует выбирать для нового домена суффикс .local. Ниже ad.example.com — только документационный пример, его нельзя копировать в рабочую сеть.

Основной период поддержки Windows Server 2022 закончился в октябре 2026 года. Расширенная поддержка и ежемесячные обновления безопасности продолжаются до 14 октября 2031 года. Поэтому выражение «поддерживается до 2031-го» неполное: для планирования важно понимать, что именно осталось — исправления безопасности, а не полный цикл основного сопровождения. Перед внедрением я сверяю выбранную версию, лицензии сервера и клиентских Windows с фактическим сценарием; редакция Windows Home, например, не вступает в классический домен AD DS.

Роль можно добавить через PowerShell. Пароль восстановления DSRM вводится как защищённая строка, а не хранится прямо в команде. Пример ниже создаёт новый лес; перед запуском замените демонстрационное имя домена и проверьте предварительные условия в своей сети. Установка роли не равна готовой эксплуатации: после неё проверяют DNS, состояние служб, резервное копирование и вход тестовой рабочей станции.

Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools
$dsrm = Read-Host -Prompt "Пароль DSRM" -AsSecureString
Install-ADDSForest -DomainName "ad.example.com" -InstallDNS -SafeModeAdministratorPassword $dsrm

Microsoft отдельно обращает внимание на планирование мощности AD DS по реальной нагрузке. Универсальной конфигурации без оценки размера каталога, числа запросов, приложений и требований к восстановлению нет. В рекомендациях по производительности также разобраны память, расположение базы и журналов и поведение записи на диск: AD DS не использует дисковое кэширование записи для сохранения транзакционной целостности. Это не повод вслепую менять настройки массива; сначала выясняют, что именно поддерживают контроллер, гипервизор и хранилище.

До установки я сверяю, кто раздаёт адреса и DNS-параметры рабочим станциям, какие DNS-зоны уже существуют и кто отвечает за публичное имя организации. Если в сети есть действующий DNS или корпоративные приложения, которые ищут серверы по имени, новые записи нужно согласовать с их владельцем. После развёртывания я проверяю разрешение доменного имени на тестовом компьютере и только затем меняю настройки DHCP или подключаю остальных пользователей. Это позволяет поймать ошибку в одном месте, а не собирать её по журналам всех машин.

• Проверить DNS и выбранное имя домена
• Сверить редакции Windows и лицензии
• Назначить ответственного за контроллер
• Подготовить план резервного восстановления

Как вводить компьютеры в домен

Перед присоединением проверьте редакцию Windows: для классического домена нужна редакция с поддержкой domain join, например Pro, Enterprise или Education; домашняя редакция не подойдёт. Компьютер должен разрешать DNS-имена контроллера через DNS домена и видеть его по сети. В Windows 10 и 11 путь в параметрах может различаться по выпуску, но действие называется примерно «Присоединить это устройство к локальному домену Active Directory». После ввода доменного имени и разрешённой учётной записи компьютер перезагружают, затем проверяют вход обычного пользователя и доступ к назначенным ресурсам.

Не вводите компьютер в домен, пока не проверили часы. Kerberos по умолчанию допускает расхождение с сервером аутентификации не более пяти минут; это настройка по умолчанию, а не универсальная граница для любой изменённой политики. Если время у клиента уходит, ищите источник синхронизации и настройки доменного времени. Для этого полезно понимать роль эмулятора PDC и синхронизации времени. А просто выставить часы руками на каждом ноутбуке — временная заплатка.

Windows применяет политики при запуске и входе, а фоновая проверка происходит позже. По умолчанию клиенты и серверы проверяют изменения GPO раз в 90 минут со случайным добавлением до 30 минут. Поэтому новая настройка не обязана появиться сразу после сохранения политики. Если нужно раньше, администратор может инициировать обновление на клиенте; в любом случае сначала проверяют, что компьютер видит контроллер и разрешает DNS-имена домена.

В старой статье ввод Windows 7 был связан с включением SMB 1.0. Это плохая связка: SMB 1.0 — устаревший протокол общего доступа к файлам, а не универсальная кнопка «разрешить домен». Не включайте его без установленной причины и проверки конкретного устройства. Для неполадки присоединения сначала смотрят DNS, доступность контроллера, разрешения на создание компьютерной записи и журнал настройки домена. Отдельно разбирать ошибки помогает материал про ввод компьютера в домен.

Я ввожу изменения небольшими партиями. Сначала беру обычный офисный компьютер и обычную учётную запись, проверяю вход, нужные группы, политику и доступ к папкам. Затем отдельно проверяю машину с важным приложением или нестандартным периферийным устройством: доменное имя компьютера может быть правильным, а программа всё равно зависеть от локальных настроек. Старый профиль пользователя тоже не превращается автоматически в доменный; нужные документы, избранное и настройки переносят по плану, предварительно проверив, где хранится оригинал.

• Проверить DNS домена на клиенте
• Проверить время и синхронизацию
• Подтвердить редакцию Windows
• Проверить вход и выданные права

Как правильно отключить доступ сотруднику

При увольнении я начинаю с отключения доменной учётной записи, а не с её перемещения в специальную OU. Сам перенос объекта в OU «Disabled Users» ничего не запрещает, если на него не навешана отдельная политика. Для ручной операции в PowerShell существует командлет Disable-ADAccount: он отключает выбранную запись пользователя, компьютера или службы. Например, администратор с нужными правами может выполнить Disable-ADAccount -Identity "user.name". В графической консоли смысл тот же — открыть нужную запись и выбрать отключение.

Отключение AD-учётки блокирует дальнейшую доменную аутентификацию этой записи после того, как изменение дошло до контроллера, который обслуживает запрос. Оно не закрывает автоматически уже открытый сеанс Windows, не стирает группы, домашнюю папку, локальную учётную запись администратора и не отзывает отдельные сеансы в облачных приложениях или VPN. Список действий при уходе я привязываю к системам, где у сотрудника был доступ: почта, файловые ресурсы, удалённое подключение, бизнес-программы и ключи восстановления. «Одна кнопка — всё закрыто» звучит хорошо, но обычно описывает только один слой.

Автоматизация полезна, если кадровая система передаёт проверенный идентификатор учётки, действие записывается в журнал, а повторный запуск не ломает обработку. Скрипт не умнее правила, по которому его запускают. Я сначала тестирую порядок на отключённой тестовой записи, затем включаю обработку реальных изменений и назначаю человека, который проверяет результат. Самое важное — не удалить данные сотрудника вместе с отключением доступа: почта и рабочие файлы передаются или сохраняются по отдельному процессу.

В процедуре ухода важны момент отключения, подтверждение ответственного руководителя и список систем, в которых ещё живёт отдельный доступ. Я фиксирую, какую учётную запись отключили, какие группы проверили, кому передали рабочие данные и кто подтвердил закрытие доступа к внешним сервисам. Если бизнес-процесс требует сохранить почтовый ящик или файлы, это делается до удаления данных и по правилам компании. Такое завершение дольше одной кнопки, зато после него можно восстановить последовательность действий без догадок.

• Отключить учётную запись в AD
• Проверить активные сеансы и отдельные сервисы
• Пересмотреть группы и локальные права
• Передать и сохранить рабочие данные

Когда Active Directory не окупит сложность

Я не провожу границу по числу сотрудников. Пять человек с общими доменными папками и компьютерами могут выиграть от единого управления сильнее, чем двадцать специалистов, работающих только в браузере с отдельными облачными учётками. Решение зависит от того, какие ресурсы должны доверять доменной записи, сколько ручных изменений происходит сейчас и кто будет поддерживать контроллер. Если задачу решают общие облачные учётные записи и управление устройствами, сравните их с AD DS до покупки серверной лицензии. Microsoft Entra Domain Services — отдельный управляемый домен с возможностями вроде присоединения машин, GPO, LDAP и Kerberos для подходящих Azure-нагрузок; это не просто другое название локального контроллера.

Один контроллер может быть отправной конфигурацией для небольшого офиса, но при его отказе доменные службы будут недоступны до восстановления. Вторая полноценная реплика домена повышает доступность, однако не заменяет резервную копию: ошибочное удаление и часть неверных изменений тоже реплицируются. Для восстановления контроллера Microsoft требует регулярно сохранять System State и использовать совместимый способ восстановления. Резервную копию нужно периодически проверять восстановлением по плану; фиксированный срок нельзя обещать без стенда, данных и измерений.

Если не назначен ответственный за обновления, мониторинг, резервирование и проверку восстановления, каталог быстро превращается в ещё один забытый сервер. Поэтому я сначала документирую, кто проверяет резервную копию, где лежит учётная запись DSRM и как попасть на сервер при сбое. Если на эти вопросы нет ответа, внедрение откладывают до появления операционного плана. Да, это менее эффектно, чем галочка «домен установлен». Зато после аварии есть кому открыть инструкцию.

Я принимаю решение по простому списку зависимостей: где проверяется доменная учётная запись, что произойдёт с рабочим днём при недоступности контроллера, кто получит сигнал о неисправности и как вернёт систему из копии. Если ответ на последний вопрос звучит «найдём инструкцию в интернете», эксплуатация ещё не подготовлена. Для некоторых офисов разумный итог аудита — оставить текущие облачные учётные записи, привести в порядок MFA и права, а AD не внедрять. Хорошая инфраструктурная работа иногда заканчивается обоснованным отказом от нового сервера.

• Есть повторяющаяся задача с общим доступом
• Понятен владелец домена и его поддержка
• Есть резервная копия System State
• Восстановление проверяли на практике

Частые вопросы