Настройка Active Directory для корпоративной инфраструктуры

company.local
├── _ServiceAccounts (технические аккаунты, PasswordNeverExpires)
├── _AdminUsers (администраторы с отдельными аккаунтами)
├── Groups
│   ├── Security (группы для GPO и прав доступа)
│   └── Distribution (почтовые группы)
├── Computers
│   ├── Servers
│   │   ├── Production
│   │   └── Dev
│   └── Workstations
│       ├── Moscow
│       ├── Remote
│       └── _Quarantine (новые машины до проверки)
└── Users
    ├── Moscow
    ├── Remote
    └── _Disabled (деактивированные, перед удалением)

_Quarantine для рабочих станций — хорошая практика: новая машина попадает туда, получает минимальный набор политик, проходит проверку, потом перемещается в нужный OU.

Как настроить Fine-Grained Password Policy?

Default Domain Policy задаёт одну политику паролей для всех. Fine-grained позволяет разные требования для разных групп — обязательно для разделения обычных пользователей и администраторов. Мы настраиваем отдельные PSO с разными параметрами: для администраторов — длина 16, история 24, блокировка после 3 попыток; для пользователей — длина 10, история 12, блокировка после 5. Это в 4 раза надёжнее единой политики, так как администраторы не могут использовать слабые пароли.

Пошаговая инструкция:

1. Создайте PSO для администраторов с помощью New-ADFineGrainedPasswordPolicy, задав MinPasswordLength 16, PasswordHistoryCount 24, LockoutThreshold 3.
2. Примените PSO к группам администраторов через Add-ADFineGrainedPasswordPolicySubject.
3. Создайте PSO для пользователей с меньшими требованиями (MinPasswordLength 10, LockoutThreshold 5).
4. Примените PSO к группе Domain Users.
5. Убедитесь, что порядок Precedence выше у административной политики (меньшее число).

# Строгая политика для администраторов
New-ADFineGrainedPasswordPolicy `
    -Name "PSO-Admins" `
    -Precedence 10 `
    -MinPasswordLength 16 `
    -PasswordHistoryCount 24 `
    -MinPasswordAge (New-TimeSpan -Days 1) `
    -MaxPasswordAge (New-TimeSpan -Days 60) `
    -ComplexityEnabled $true `
    -LockoutThreshold 3 `
    -LockoutDuration (New-TimeSpan -Minutes 30) `
    -LockoutObservationWindow (New-TimeSpan -Minutes 30) `
    -ReversibleEncryptionEnabled $false
Add-ADFineGrainedPasswordPolicySubject `
    -Identity "PSO-Admins" `
    -Subjects "Domain Admins", "Server Admins"

# Базовая политика для пользователей
New-ADFineGrainedPasswordPolicy `
    -Name "PSO-Users" `
    -Precedence 20 `
    -MinPasswordLength 10 `
    -PasswordHistoryCount 12 `
    -MaxPasswordAge (New-TimeSpan -Days 90) `
    -ComplexityEnabled $true `
    -LockoutThreshold 5
Add-ADFineGrainedPasswordPolicySubject `
    -Identity "PSO-Users" `
    -Subjects "Domain Users"

Как делегировать права без Domain Admin?

Типичная проблема: helpdesk-инженеры получают Domain Admin права «потому что нужно сбрасывать пароли». Это избыточно и небезопасно. AD позволяет делегировать только нужные права. Мы используем dsacls — он гибче, чем визард Delegation of Control:

# Делегировать сброс паролей в OU Moscow/Users для группы Helpdesk
dsacls "OU=Moscow,OU=Users,DC=company,DC=local" /I:S /G `
"COMPANY\Helpdesk:CA;Reset Password;user"
dsacls "OU=Moscow,OU=Users,DC=company,DC=local" /I:S /G `
"COMPANY\Helpdesk:CA;Change Password;user"
# Разрешить разблокировку аккаунтов
dsacls "OU=Moscow,OU=Users,DC=company,DC=local" /I:S /G `
"COMPANY\Helpdesk:WP;lockoutTime;user"

Таким образом, helpdesk получает ровно те права, которые нужны для работы, без доступа к другим объектам.

Интеграция сервисов через LDAP/Kerberos

Корпоративные приложения (GitLab, Jira, VPN) подключаются к AD через LDAP или Kerberos. Для LDAP-интеграции нужен сервисный аккаунт с минимальными правами. Мы создаём read-only аккаунт и ограничиваем его интерактивный вход через GPO:

# Создать read-only аккаунт для LDAP-привязки
New-ADUser `
    -Name "svc-ldap-readonly" `
    -SamAccountName "svc-ldap-readonly" `
    -Path "OU=_ServiceAccounts,DC=company,DC=local" `
    -AccountPassword (ConvertTo-SecureString "..." -AsPlainText -Force) `
    -Enabled $true `
    -PasswordNeverExpires $true `
    -CannotChangePassword $true `
    -Description "LDAP read-only bind account"

Set-ADUser "svc-ldap-readonly" `
    -SmartcardLogonRequired $false

# + через GPO: User Rights Assignment → Deny log on locally

Мониторинг и аудит AD

Мы настраиваем расширенный аудит всех критических событий. Это помогает выявить аномалии и устаревшие аккаунты. Например, каждую неделю можно получать отчёт о заблокированных аккаунтах и аккаунтах без активности за 90 дней. Аудит рекомендуется проводить ежеквартально, так как за это время появляются новые сотрудники и увольняются старые.

# Включить расширенный аудит
auditpol /set /subcategory:"User Account Management" /success:enable /failure:enable
auditpol /set /subcategory:"Directory Service Changes" /success:enable
auditpol /set /subcategory:"Logon" /success:enable /failure:enable

# Найти заблокированные аккаунты
Search-ADAccount -LockedOut | Select-Object Name, SamAccountName, LockedOut

# Найти аккаунты с просроченными паролями
Search-ADAccount -PasswordExpired | Select-Object Name, SamAccountName

# Аккаунты без активности более 90 дней
$cutoff = (Get-Date).AddDays(-90)
Get-ADUser -Filter {LastLogonDate -lt $cutoff -and Enabled -eq $true} `
    -Properties LastLogonDate | Select-Object Name, SamAccountName, LastLogonDate

Что входит в работу (deliverables)

После завершения проекта вы получаете:

• Схему структуры OU с описанием.
• Доступы к контроллерам домена (RDP, WinRM) и сервисным аккаунтам.
• Документацию по GPO, PSO, делегированию прав.
• Инструкции для helpdesk и администраторов.
• Гарантию 1 месяц на корректную работу аутентификации.
• Поддержка по запросу — доработки и консультации.

Закажите аудит AD перед развертыванием или миграцией — мы выявим уязвимости и подготовим план действий. Получите консультацию сертифицированного инженера по AD.

Сравнение подходов к управлению паролями

Ориентиры по срокам и стоимости

Стоимость рассчитывается индивидуально после аудита инфраструктуры. Свяжитесь с нами для предварительной оценки — мы проанализируем текущую конфигурацию и предложим оптимальный план. Получите консультацию сертифицированного инженера.

Подробнее об Active Directory читайте в официальной документации Microsoft.