Налаштування Active Directory для корпоративної інфраструктури

company.local
├── _ServiceAccounts (технічні акаунти, PasswordNeverExpires)
├── _AdminUsers (адміністратори з окремими акаунтами)
├── Groups
│   ├── Security (групи для GPO та прав доступу)
│   └── Distribution (поштові групи)
├── Computers
│   ├── Servers
│   │   ├── Production
│   │   └── Dev
│   └── Workstations
│       ├── Moscow
│       ├── Remote
│       └── _Quarantine (нові машини до перевірки)
└── Users
    ├── Moscow
    ├── Remote
    └── _Disabled (деактивовані, перед видаленням)

_Quarantine для робочих станцій — хороша практика: нова машина потрапляє туди, отримує мінімальний набір політик, проходить перевірку, потім переміщується в потрібний OU.

Як налаштувати Fine-Grained Password Policy?

Default Domain Policy задає одну політику паролів для всіх. Fine-grained дозволяє різні вимоги для різних груп — обов'язково для розділення звичайних користувачів та адміністраторів. Ми налаштовуємо окремі PSO з різними параметрами: для адміністраторів — довжина 16, історія 24, блокування після 3 спроб; для користувачів — довжина 10, історія 12, блокування після 5. Це в 4 рази надійніше за єдину політику, оскільки адміністратори не можуть використовувати слабкі паролі.

Покрокова інструкція:

1. Створіть PSO для адміністраторів за допомогою New-ADFineGrainedPasswordPolicy, задавши MinPasswordLength 16, PasswordHistoryCount 24, LockoutThreshold 3.
2. Застосуйте PSO до груп адміністраторів через Add-ADFineGrainedPasswordPolicySubject.
3. Створіть PSO для користувачів з меншими вимогами (MinPasswordLength 10, LockoutThreshold 5).
4. Застосуйте PSO до групи Domain Users.
5. Переконайтеся, що порядок Precedence вищий у адміністративної політики (менше число).

# Строга політика для адміністраторів
New-ADFineGrainedPasswordPolicy `
    -Name "PSO-Admins" `
    -Precedence 10 `
    -MinPasswordLength 16 `
    -PasswordHistoryCount 24 `
    -MinPasswordAge (New-TimeSpan -Days 1) `
    -MaxPasswordAge (New-TimeSpan -Days 60) `
    -ComplexityEnabled $true `
    -LockoutThreshold 3 `
    -LockoutDuration (New-TimeSpan -Minutes 30) `
    -LockoutObservationWindow (New-TimeSpan -Minutes 30) `
    -ReversibleEncryptionEnabled $false
Add-ADFineGrainedPasswordPolicySubject `
    -Identity "PSO-Admins" `
    -Subjects "Domain Admins", "Server Admins"

# Базова політика для користувачів
New-ADFineGrainedPasswordPolicy `
    -Name "PSO-Users" `
    -Precedence 20 `
    -MinPasswordLength 10 `
    -PasswordHistoryCount 12 `
    -MaxPasswordAge (New-TimeSpan -Days 90) `
    -ComplexityEnabled $true `
    -LockoutThreshold 5
Add-ADFineGrainedPasswordPolicySubject `
    -Identity "PSO-Users" `
    -Subjects "Domain Users"

Як делегувати права без Domain Admin?

Типова проблема: helpdesk-інженери отримують права Domain Admin «тому що потрібно скидати паролі». Це надлишково та небезпечно. AD дозволяє делегувати тільки потрібні права. Ми використовуємо dsacls — він гнучкіший, ніж майстер Delegation of Control:

# Делегувати скидання паролів в OU Moscow/Users для групи Helpdesk
dsacls "OU=Moscow,OU=Users,DC=company,DC=local" /I:S /G `
"COMPANY\Helpdesk:CA;Reset Password;user"
dsacls "OU=Moscow,OU=Users,DC=company,DC=local" /I:S /G `
"COMPANY\Helpdesk:CA;Change Password;user"
# Дозволити розблокування акаунтів
dsacls "OU=Moscow,OU=Users,DC=company,DC=local" /I:S /G `
"COMPANY\Helpdesk:WP;lockoutTime;user"

Таким чином, helpdesk отримує рівно ті права, які потрібні для роботи, без доступу до інших об'єктів.

Інтеграція сервісів через LDAP/Kerberos

Корпоративні застосунки (GitLab, Jira, VPN) підключаються до AD через LDAP або Kerberos. Для LDAP-інтеграції потрібен сервісний акаунт з мінімальними правами. Ми створюємо read-only акаунт та обмежуємо його інтерактивний вхід через GPO:

# Створити read-only акаунт для LDAP-прив'язки
New-ADUser `
    -Name "svc-ldap-readonly" `
    -SamAccountName "svc-ldap-readonly" `
    -Path "OU=_ServiceAccounts,DC=company,DC=local" `
    -AccountPassword (ConvertTo-SecureString "..." -AsPlainText -Force) `
    -Enabled $true `
    -PasswordNeverExpires $true `
    -CannotChangePassword $true `
    -Description "LDAP read-only bind account"

Set-ADUser "svc-ldap-readonly" `
    -SmartcardLogonRequired $false

# + через GPO: User Rights Assignment → Deny log on locally

Моніторинг та аудит AD

Ми налаштовуємо розширений аудит всіх критичних подій. Це допомагає виявити аномалії та застарілі акаунти. Наприклад, кожного тижня можна отримувати звіт про заблоковані акаунти та акаунти без активності за 90 днів. Аудит рекомендується проводити щоквартально, оскільки за цей час з'являються нові співробітники та звільняються старі.

# Увімкнути розширений аудит
auditpol /set /subcategory:"User Account Management" /success:enable /failure:enable
auditpol /set /subcategory:"Directory Service Changes" /success:enable
auditpol /set /subcategory:"Logon" /success:enable /failure:enable

# Знайти заблоковані акаунти
Search-ADAccount -LockedOut | Select-Object Name, SamAccountName, LockedOut

# Знайти акаунти з простроченими паролями
Search-ADAccount -PasswordExpired | Select-Object Name, SamAccountName

# Акаунти без активності більше 90 днів
$cutoff = (Get-Date).AddDays(-90)
Get-ADUser -Filter {LastLogonDate -lt $cutoff -and Enabled -eq $true} `
    -Properties LastLogonDate | Select-Object Name, SamAccountName, LastLogonDate

Що входить у роботу (deliverables)

Після завершення проекту ви отримуєте:

• Схему структури OU з описом.
• Доступи до контролерів домену (RDP, WinRM) та сервісних акаунтів.
• Документацію з GPO, PSO, делегування прав.
• Інструкції для helpdesk та адміністраторів.
• Гарантію 1 місяць на коректну роботу аутентифікації.
• Підтримка за запитом — доопрацювання та консультації.

Замовте аудит AD перед розгортанням або міграцією — ми виявимо вразливості та підготуємо план дій. Отримайте консультацію сертифікованого інженера з AD.

Порівняння підходів до управління паролями

Орієнтири по термінах та вартості

Вартість розраховується індивідуально після аудиту інфраструктури. Зв'яжіться з нами для попередньої оцінки — ми проаналізуємо поточну конфігурацію та запропонуємо оптимальний план. Отримайте консультацію сертифікованого інженера.

Детальніше про Active Directory читайте в офіційній документації Microsoft.