Налаштування Windows Server Active Directory Domain Services під ключ

Налаштування Windows Server Active Directory Domain Services

Active Directory (AD) — основа корпоративної ідентифікації. Після розгортання домену кожен користувач, комп'ютер та сервіс входить до єдиної системи авторизації. Це зручно, поки домен проектується правильно. Проблеми починаються, коли домен розгортали «швидко» і без розуміння структури OU, делегування прав та політики реплікації. Ми стикалися з проектами, де OU створювалися на ходу, GPO застосовувалися хаотично, а відновлення після збою займало добу. Один із клієнтів — торгова мережа з 50 філіями — отримав простій на 8 годин через неправильну схему реплікації між DC. Після нашого аудиту та перепроектування MTTR скоротився до 15 хвилин, а витрати на адміністрування знизилися на 40%. Правильне планування OU знижує адміністративні витрати на 30%. Наш досвід — понад 10 років у великих інфраструктурах — дозволяє уникнути цих помилок з першого разу.

Чому планування OU — половина успіху?

Найпоширеніша помилка — створювати OU по ходу, без планування. Потім структура перетворюється на хаос, GPO застосовуються непередбачувано, делегування прав неможливе. Для компанії з 500+ користувачами та кількома офісами правильно спроектована OU знижує час на застосування політик на 30% і спрощує делегування. Робоча структура:

company.local
├── _Admin
│   ├── Service Accounts
│   └── Admin Users
├── Computers
│   ├── Moscow
│   │   ├── Workstations
│   │   └── Servers
│   └── Remote
│       └── Workstations
├── Groups
│   ├── Distribution
│   └── Security
└── Users
    ├── Moscow
    │   ├── IT
    │   ├── Finance
    │   └── HR
    └── Remote

# Створити структуру OU
$domain = "DC=company,DC=local"
New-ADOrganizationalUnit -Name "_Admin" -Path $domain
New-ADOrganizationalUnit -Name "Service Accounts" -Path "OU=_Admin,$domain"
New-ADOrganizationalUnit -Name "Computers" -Path $domain
New-ADOrganizationalUnit -Name "Moscow" -Path "OU=Computers,$domain"
New-ADOrganizationalUnit -Name "Workstations" -Path "OU=Moscow,OU=Computers,$domain"
New-ADOrganizationalUnit -Name "Servers" -Path "OU=Moscow,OU=Computers,$domain"
New-ADOrganizationalUnit -Name "Users" -Path $domain
New-ADOrganizationalUnit -Name "Moscow" -Path "OU=Users,$domain"
New-ADOrganizationalUnit -Name "IT" -Path "OU=Moscow,OU=Users,$domain"

Які проблеми виникають при розгортанні Active Directory?

1. DNS-залежність. Без коректної зони DNS реплікація не працює — 80% випадків відмов реплікації пов'язані з DNS. Кожен DC повинен реєструвати записи SRV та A, а клієнти — знаходити DC за ім'ям домену.
2. Помилки в правах на реплікацію. Якщо між сайтами неправильно налаштована топологія, зміни можуть затримуватися на години. Налаштування сайтів і підмереж в Active Directory Sites and Services обов'язкове.
3. Невірна структура OU. Без ієрархії GPO застосовуються хаотично, аудит прав стає неможливим. Кейс: в одного з клієнтів було 300 GPO на рівні домену — після реструктуризації OU їх кількість скоротилася до 40.

Як ми розгортаємо AD DS під ключ?

Процес включає аудит поточної інфраструктури, проектування схеми домену, встановлення та налаштування контролерів, перевірку реплікації та передачу документації. На кожному етапі ми фіксуємо конфігурацію, щоб виключити сюрпризи. Гарантуємо коректну роботу сервісу протягом 30 днів після запуску.

Аудит та проектування

Оцінюємо наявні ресурси (сервери, мережу, вимоги до безпеки). Визначаємо кількість та розташування DC, схему реплікації, необхідність Read-Only DC для віддалених офісів. Погоджуємо з вами структуру OU та GPO. Вартість розраховується після аудиту — зв'яжіться з нами для попередньої оцінки.

Розгортання першого контролера домену

# Встановити роль AD DS
Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

# Створити новий ліс та домен (перший DC)
Import-Module ADDSDeployment
Install-ADDSForest `
    -CreateDnsDelegation:$false `
    -DatabasePath "C:\Windows\NTDS" `
    -DomainMode "WinThreshold" `
    -DomainName "company.local" `
    -DomainNetbiosName "COMPANY" `
    -ForestMode "WinThreshold" `
    -InstallDns:$true `
    -LogPath "C:\Windows\NTDS" `
    -SysvolPath "C:\Windows\SYSVOL" `
    -NoRebootOnCompletion:$false `
    -SafeModeAdministratorPassword (ConvertTo-SecureString `
        "P@ssw0rd!" -AsPlainText -Force) `
    -Force:$true

Після перезавантаження перший DC готовий. Наступний крок — додати другий DC для відмовостійкості.

Другий контролер домену

Один DC — це SPOF. При його відмові аутентифікація та доступ до ресурсів блокуються. Середній час відновлення (MTTR) у такому сценарії — до 4 годин. З двома DC downtime прямує до нуля. Два DC забезпечують MTTR в 10 разів нижчий, ніж один DC. Другий DC додають одразу після розгортання:

# На другому сервері
Install-WindowsFeature AD-Domain-Services -IncludeManagementTools
Install-ADDSDomainController `
    -DomainName "company.local" `
    -InstallDns:$true `
    -DatabasePath "C:\Windows\NTDS" `
    -SysvolPath "C:\Windows\SYSVOL" `
    -LogPath "C:\Windows\NTDS" `
    -SiteName "Default-First-Site-Name" `
    -NoRebootOnCompletion:$false `
    -Credential (Get-Credential) `
    -Force:$true

Перевірити реплікацію після додавання:

# Стан реплікації repadmin /showrepl repadmin /replsummary # Примусова синхронізація repadmin /syncall /AdeP 

Якщо repadmin /showrepl показує помилки — найчастіше це DNS (DC не знаходить партнера за ім'ям) або firewall між DC. У нашій практиці 80% проблем реплікації пов'язані саме з DNS.

Порівняння: один DC vs два DC

При виборі двох DC ви отримуєте SLO 99.9% для служб каталогу — це стандарт для бізнес-критичних інфраструктур.

Покроковий план розгортання AD DS

1. Аудит: оцінка серверів, мережі, вимог.
2. Проектування: схема домену, OU, GPO, реплікація.
3. Встановлення першого DC: створення лісу та домену.
4. Додавання другого DC: забезпечення відмовостійкості.
5. Налаштування реплікації: перевірка через repadmin.
6. Створення OU та службових акаунтів: з мінімальними правами.
7. Тестування аутентифікації та застосування GPO.
8. Передача документації та навчання.

Сервісні акаунти з мінімальними правами

Після розгортання створюємо акаунти для щоденних операцій: приєднання комп'ютерів до домену, резервного копіювання, оновлення DNS. Права делегуються через Delegation of Control Wizard — так ми уникаємо зайвих привілеїв.

Що входить в роботу

• Схема домену та структури OU (документація та скрипти)
• Конфігурація GPO та делегування прав
• Налаштування реплікації та DNS
• Сервісні акаунти з мінімальними правами
• Інструкція з додавання нових DC та відновлення
• Навчання вашої команди (2 години)
• Технічна підтримка 30 днів після запуску
• Замовте проектування AD DS — отримайте готову схему домену з документацією.

Орієнтири за термінами

Зв'яжіться з нами для аудиту вашої інфраструктури — оцінимо поточний стан за 1 день. Вартість розраховується індивідуально після аудиту.

Докладніше про концепцію Active Directory можна прочитати в офіційній документації Microsoft.