Вендор по курсу
ADL Pro
Российская служба каталога корпоративного класса
Ближайшие группы обучения
Не уверены, какой курс выбрать?
Бесплатно подскажем за 5–10 минут — по уровню, формату и дате старта
Ожидание курса
К сожалению, набор в группы по данному курсу в настоящее время не открыт. Однако вы можете оставить заявку в лист ожидания, и мы уведомим вас, как только будет объявлен новый набор или появится информация о ближайших датах проведения обучения.
Ваши навыки после обучения
Будут соответствовать запросам работодателей
О курсе
Пятидневный курс включает интенсивное теоретическое и практическое обучение по установке, настройке и управлению службой каталогов ALDPro. В курсе рассматриваются основные возможности ALDPro версии 3.0, включая архитектуру, описание компонент, планирование внедрения, установка и первоначальная настройка, восстановление и резевное копирование, работа со службой каталога FreeIPA, LDAP, Kerberos и Samba, управление пользователями, группами, компьютерами и организационной структурой, настройка базовых служб DNS, chrony, SSSD, групповых политик, политик паролей, HBAC, SUDO и LAPS, а также администрирование файлового доступа, печати, репозиториев ПО, DHCP, PXE, мониторинга, аудита, резервного копирования, топологии домена, репликации, интеграции и миграции из Microsoft Active Directory. Отдельное внимание уделяется настройке мандатного управления доступом и контроля целостности в ALD Pro, управлению защищёнными ресурсами и диагностике доменной инфраструктуры. Приводится также большое количество сценариев применения и особенности развертывания.
По окончании обучения слушатели смогут:
объяснять архитектуру ALD Pro, назначение контроллеров домена, FreeIPA, 389 Directory Server, MIT Kerberos, Samba, портала управления и дополнительных подсистем,
планировать и выполнять развертывание ALD Pro: подготавливать виртуальную среду, устанавливать операционную систему, настраивать сеть, репозитории, DNS и первый контроллер домена,
проверять работоспособность доменных служб, Kerberos-аутентификации и портала управления, присоединять Linux- и Windows-компьютеры к домену,
управлять пользователями, компьютерами, группами и организационной структурой через портал ALD Pro, веб-интерфейс FreeIPA и консольные утилиты,
администрировать службу каталога: создавать, изменять, удалять и искать объекты, управлять диапазонами идентификаторов, выполнять резервное копирование и восстановление данных,
настраивать SSSD, LDAP, Kerberos и NTLM, защищать соединения с помощью StartTLS и LDAPS, управлять Kerberos-билетами и обеспечивать автономную работу доменных компьютеров,
диагностировать проблемы аутентификации, смены паролей и контроля доступа с помощью журналов SSSD и других средств отладки,
настраивать DNS-зоны и записи, динамическое обновление DNS, службу синхронизации времени chrony и автоматическое обнаружение доменных сервисов,
создавать и применять групповые политики, политики паролей, HBAC- и SUDO-правила, учитывать наследование и репликацию параметров,
настраивать LAPS и разрабатывать дополнительные параметры групповых политик с использованием Salt и Jinja с учетом идемпотентности и производительности,
развертывать и администрировать подсистему общего доступа к файлам, настраивать Samba, Kerberos- и NTLM-аутентификацию, права доступа и модели ACL XATTR и NFS4ACLs,
проектировать и настраивать топологию домена, добавлять контроллеры, управлять репликацией, анализировать конфликты и выполнять повторную инициализацию серверов,
контролировать и диагностировать репликацию с помощью dsconf, ds replcheck, checkipaconsistency, журналов изменений и средств мониторинга,
планировать миграцию и гибридное развертывание с Microsoft Active Directory, выбирать подходящий сценарий интеграции и настраивать доверительные отношения между доменами,
настраивать взаимное перенаправление DNS-зон, глобальный каталог ALD Pro, службу samba dcerpcd и проверять работоспособность трастов и механизмов синхронизации,
организовывать резервное копирование контроллеров домена и дополнительных подсистем, выбирать способ резервирования дисков и данных, настраивать регулярное выполнение заданий через CRON,
развертывать и администрировать репозитории программного обеспечения, создавать их из ISO-образов, обновлять версии и управлять установкой ПО через групповые политики,
настраивать службы печати, мониторинга, аудита и журналирования, а также интегрировать ALD Pro с внешними приложениями,
развертывать и настраивать DHCP- и PXE-серверы, подготавливать файловую структуру и загрузочное меню, адаптировать GRUB для BIOS и UEFI,
автоматизировать сетевую установку операционных систем с помощью Preseed, Postinstall и Firstinstall и управлять загрузкой различных дистрибутивов Linux,
настраивать мандатное разграничение доступа и контроль целостности, назначать уровни и категории конфиденциальности, мандатные атрибуты и ограничения для пользователей, процессов и объектов,
создавать защищенные каталоги и файловые ресурсы, ограничивать подключение внешних носителей, регистрировать устройства и управлять засекречиванием и рассекречиванием документов.
Предварительные требования:
опыт работы системным администратором
опыт администрирования Windows и Linux операционных систем
представление об основах работы компьютерных сетей
понимание стека протокола TCP/IP
навыки работы в командной строке Linux, знание основных команд командной строки (CLI)
опыт редактирования файлов в консольных редакторах (nano, vim или аналоги)
понимание организации процессов в Linux
Профиль аудитории:
технический персонал, работающий в ИТ-отделах компаний, ответственный за настройку и эксплуатацию сетевого и серверного оборудования
Системные администраторы Linux и Astra Linux
Администраторы доменной инфраструктуры и служб каталогов
Специалисты, отвечающие за внедрение и сопровождение ALD Pro
Инженеры по миграции с Microsoft Active Directory на ALD Pro
Специалисты по информационной безопасности и управлению доступом
Инженеры технической поддержки и эксплуатации ИТ-инфраструктуры
Архитекторы и специалисты по проектированию централизованной инфраструктуры управления
Варианты проведения курсов
Учебный класс, под руководством сертифицированного тренера
Онлайн вебинар, под руководством сертифицированного тренера
Индивидуальный тренинг
Продукты и версии, которые используются в курсе:
· ALDPro версии 3.0
По окончанию обучения вы получите
Сертификат о прохождении программы обучения
Сертификат о прохождении программы выдаётся каждому слушателю, успешно завершившему обучение. Сертификат выдаёт АНО ДПО «Инфотехник.ум», которая ведёт образовательную деятельность на основании лицензии ДПО №5590 от 01.07.2021, выданной Министерством просвещения Республики Башкортостан. Документ подтверждает полученные знания и навыки и станет хорошим дополнением к вашему портфолио.
Программа курса
Модуль 1. Введение в ALD Pro и планирование развертывания
Система ALD Pro: общее представление:
* назначение и ключевые функции; * возможности службы каталога.
Архитектура и компоненты ALD Pro:
* контроллер домена; * служба синхронизации времени (chrony); * портал управления; * подсистемы; * клиентская часть.
Сравнение механизмов каталогов FreeIPA и Samba AD:
* особенности реализации Samba AD; * преимущества FreeIPA и обоснование ее выбора в ALD Pro.
Сравнение Microsoft Active Directory и ALD Pro.
Подготовка к развертыванию:
* минимальные требования к инфраструктуре; * планирование ресурсов (оперативная память, CPU, пропускная способность сети); * модуль синхронизации и прочие службы.
Масштабирование и организация инфраструктуры:
* методики горизонтального масштабирования; * рекомендации по именованию доменов.
Модуль 2. Развертывание первого контроллера домена
Подготовка инфраструктуры: требования к тестовой среде, создание и настройка виртуальной машины:
* проверка ОС: build_version; * проверка (установка) уровня «Смоленск»; * отключение NetworkManager; * настройка статического IP в /etc/network/interfaces.
Развертывание контроллера домена:
* настройка репозиториев ALD Pro; * присвоение имени контроллера; * aldpro-mp, aldpro-gc, aldpro-syncer, aldprosyncer-pwdsync; * повышение роли сервера до контроллера домена; * проверка; * ввод.
Модуль 3. Архитектура службы каталога ALD Pro
Архитектура службы каталога ALD Pro:
* обзор компонентов и их взаимодействия; * сравнительный анализ с MS AD: служба каталога — FreeIPA, LDAP — 389 Directory Server, Kerberos — MIT Kerberos.
Сервер FreeIPA:
* веб-интерфейс управления; * утилиты управления: ipactl, ipa, ipa-getkeytab, ipa-backup, iparestore; * конфигурационные файлы: /etc/ipa/default.conf, /etc/krb5.conf.
Сервер LDAP 389 Directory Server:
* структура каталога; * утилиты: ldapsearch, ldapmodify, dsctl, dsconf; * расположение БД.
Сервер MIT Kerberos:
* служба KDC: krb5-kdc; * утилиты: kinit, klist, kdestroy; * файлы ключей: /etc/krb5.keytab.
Сервер Samba:
* интеграция с Windows; * службы: smb, winbind; * конфигурация: /etc/samba/smb.conf.
Идентификаторы безопасности:
* диапазоны UID/GID: ipa config-show; * SID (Security Identifier).
Управление объектами службы каталога:
* управление организационной структурой; * управление пользователями; * управление компьютерами; * удаленный доступ для оказания поддержки; * управление группами.
Модуль 4. Настройка базовых служб
Назначение базовых служб в домене ALD Pro:
* DNS: разрешение имен, SRV-записи для автоматического обнаружения служб; * синхронизация времени (NTP): критична для работы Kerberos; * сравнительный анализ с MS AD: DNS Manager — BIND в ALD Pro, W32Time — chrony.
DNS-служба в ALD Pro:
* исп-ние BIND 9 (bind9-pkcs11). * конфиг-е файлы: /etc/bind/named.conf (основной конфиг); /etc/bind/ipa-options-ext.conf (доп. настройки); /etc/bind/ipa-ext.conf (зоны). * авт-кое созд. зон; * откл. DNSSEC; * настройка рекурсивных запросов
Синхронизация времени:
* служба chrony (альтернатива ntpd); * конфигурационный файл: /etc/chrony/chrony.conf; * синхронизация сервера времени контроллера домена с внешними источниками; * синхронизация клиентов с контроллерами домена.
Модуль 5. Работа Linux-компьютера в домене
Архитектура клиентской части ALD Pro:
* основные клиентские пакеты: aldpro-client, freeipa-client, sssd, krb5-user; * сравнение с Windows: присоединение к домену Windows — ввод в домен ALD Pro.
Служба SSSD (System Security Services Daemon):
* архитектура: монитор, бэкенды, ответчики; * механизм кеширования: автономная работа; * конфигурационные файлы: /etc/sssd/sssd.conf, /etc/sssd/conf.d/.
Способы аутентификации в домене:
* LDAP: ldap:// или ldaps://; * Kerberos: билеты TGT и сервисные билеты; * NTLM: для совместимости с Windows.
Безопасный обмен данными:
* SSL/TLS для LDAP (LDAPS); * StartTLS для защиты LDAP-сессий; * сертификаты домена: /etc/ipa/ca.crt.
Учетная запись компьютера в домене:
* автоматическое создание при вводе в домен; * пароль компьютера: /etc/krb5.keytab; * проверка: klist -k.
Работа в автономном режиме:
* кеширование учетных данных; * ограниченная функциональность; * автоматическая синхронизация при подключении.
Модуль 6. Управление политиками ALD Pro
Концепция управления политиками в ALD Pro:
* централизованное управление настройками пользователей и компьютеров.
Сравнение с MS AD:
* Group Policy Objects (GPO) — групповые политики ALD Pro; * иерархия применения: домен — сайт — подразделение — группа — пользователь/компьютер.
Типы политик в ALD Pro:
* политики паролей (аналог Windows Password Policy); * HBAC-правила (Host-Based Access Control); * SUDO-правила ; * групповые политики (настройки ОС и приложений); * политики ПО (установка и управление программным обеспечением); * LAPS
Политики паролей FreeIPA:
* настройки сложности, истории, срока действия; * группы с автоматическим участием (встроенные группы).
HBAC-правила (доступ к узлам):
* контроль доступа пользователей к хостам и сервисам; * компоненты правила: кто (пользователь/группа) — куда (хост/группа хостов) — к чему (сервис), по умолчанию правило allow_all.
SUDO-правила:
* делегирование прав выполнения команд; * аналогия с /etc/sudoers, но централизованно; * поддержка групп пользователей, хостов, команд.
Групповые политики ALD Pro:
* настройка через портал управления; * категории: параметры компьютеров, параметры пользователей; * дополнительные параметры (кастомизация через Salt-скрипты).
Модуль 7. Дополнительные подсистемы: общий доступ к файлам
Процедура развертывания подсистем:
* установка ролей в Windows Server; * установка подсистем в ALD Pro.
Универсальный двухэтапный процесс для всех подсистем:
* ввод сервера в домен с пом. aldpro-client-installer; * назн. серверу роли через портал управления (р-л «Роли и службы сайта»); * автоматическая уст. и настр. подсистемы (через ~30 минут); * форсир-е установки: sudo aldpro-roles --iud на целевом хосте.
Архитектура подсистемы в ALD Pro: Samba-сервер, интеграция с доменной аутентификацией.
Аутентификация: Kerberos vs NTLM в контексте ALD Pro.
Управление доступом: портал vs файловая система, модели безопасности Samba (стандартная, ACL XATTR, NFS4 ACLs).
Интеграция с Windows-клиентами.
Модуль 8. Управление топологией в домене
Архитектура топологии домена ALD Pro:
* мультимастерная репликация (все контроллеры равноправны).
Сравнение с MS AD: AD Sites and Services — сайты в ALD Pro.
Механизмы репликации:
* репликация изменений (incremental replication); * полная репликация при инициализации; * конфликты репликации и их разрешение; * журнал изменений (change log).
Сайты (Sites):
* группировка контроллеров по физическому местоположению; * балансировка нагрузки и отказоустойчивость; * DNS SRV-записи для автоматического обнаружения сайта.
Автоматическое обнаружение сервисов:
* через DNS SRV-записи; * в SSSD-клиентах; o в библиотеке libkrb5.
Диагностика репликации.
Модуль 9. Миграция и гибридное развертывание с Microsoft Active Directory
Стратегии миграции с Active Directory: доверительные отношения (Trusts), глобальный каталог, модуль синхронизации.
Сравнение с Windows: Forest Trust/External Trust — Trust в ALD Pro.
Типы доверительных отношений: Forest Trust (между лесами AD и FreeIPA), External Trust (между отдельными доменами), односторонние/двусторонние.
Компоненты интеграции: Samba DCERPC (для работы трастов), Global Catalog (для поиска в доверенных доменах), SSSD с поддержкой нескольких доменов.
Модуль синхронизации (aldpro-syncer): установка только на первый контроллер, синхронизация пользователей, групп и паролей, ключ --setup_syncer при установке.
Настройка доверительных отношений: подготовка DNS, проверка времени, создание траста через портал.
Настройка глобального каталога: установка пакета aldpro-gc, назначение роли через портал.
Присоединение Windows-машин к домену ALD Pro (утилита aldpro-join.exe)
Модуль 10. Резервное копирование и восстановление ALD Pro
Стратегия резервного копирования в ALD Pro: полные бэкапы, инкрементальные, резервное копирование дисков, резервное копирование данных.
Критически важные данные: контроллеры домена (LDAP-база, Kerberos-база, сертификаты), подсистемы (конфигурации служб, данные приложений), журналы (аудит, мониторинг, логи безопасности).
Инструменты резервного копирования: ipa-backup — для данных FreeIPA; tar, CRON — автоматизация регулярных бэкапов.
Модуль 11. Дополнительные подсистемы: репозитории, печать, мониторинг
Архитектура дополнительных подсистем: репозитории ПО (централизованное хранение пакетов), служба печати (CUPS), мониторинг (Zabbix), аудит (Syslog-NG).
Принципы работы: роли серверов, автоматизация установки через aldpro-roles --iud, управление через портал, интеграция с доменом.
Единый процесс развертывания:
* подготовка сервера (ОС, сеть, имя); * ввод в домен как клиента; * назначение роли через портал управления; * автоматическая установка.
Подсистема «Репозитории ПО»: создание репозитория из ISO-образа, управление версиями.
Подсистема «Печать»: добавление сетевых и локальных принтеров, управление очередями.
Подсистема «Мониторинг»: установка Zabbix-сервера, базовые шаблоны мониторинга.
Подсистема «Аудит»: настройка централизованного сбора логов через Syslog-NG.
Модуль 12. Подсистемы DHCP и PXE
Архитектура сетевых служб:
* DHCP (Dynamic Host Configuration Protocol): автоматическая выдача сетевых настроек; * PXE (Preboot Execution Environment): сетевая загрузка и установка ОС.
Интеграция с доменом:
* привязка к домену (автоматический ввод в домен при установке).
Компоненты PXE-сервера:
*TFTP-сервер: передача файлов загрузки; * HTTP-сервер: предоставление установочных образов; * конфигурационные файлы: меню загрузки, параметры установки; * Preseed/Postinstall-скрипты: автоматизация установки.
Сценарии использования:
* массовая установка ОС на новые компьютеры; * развертывание однотипных конфигураций; * централизованное управление загрузкой.
Модуль 13. Мандатное управление доступом и контроль целостности
Модели безопасности в ALD Pro: МРД (мандатное управление доступом), МКЦ (мандатный контроль целостности), дискреционное управление доступом.
Принципы работы: уровни конфиденциальности (иерархические 0–255), категории конфиденциальности (битовая маска), контейнеры объектов (файлы, процессы, сокеты).
Интеграция с доменом: хранение мандатных атрибутов в LDAP, применение политик через PAM и ядро ОС, централизованное управление через портал FreeIPA.
Настройка мандатных атрибутов пользователей через портал управления.
Создание защищенной структуры каталогов с учетом мандатных меток.
Работа с внешними носителями: перенос мандатных меток.
Интеграция с файловым сервером Samba: настройка мандатного доступа к общим ресурсам.
Модуль 14. Диагностика и мониторинг ALD Pro
Методики поиска проблем: системный подход к диагностике.
Комплексный чек-лист диагностики:
* проверка: aldproctl, krb5-kdc dirsrv@... bind9-pkcs11 sssd; * диагн. аутент-ции: логи SSSD (/var/log/sssd/), kinit admin, sssctl user-checks; * проверка репликации: dsconf ldap://dc-1 repl-agmt list, dsreplcheck, checkipaconsistency...
Типовые ошибки и их решения: проблемы с аутентификацией, репликацией, DNS.
Ключевые утилиты диагностики:
* sssctl — диагностика SSSD; * dsconf, ipa-replica-manage — диагностика репликации; * checkipaconsistency — проверка целостности данных; * aldproctl — управление службами ALD Pro.
Контактная информация
Свяжитесь с нами любым удобным способом, мы всегда рады помочь и ответить на ваши вопросы.
Остались вопросы?
Оставьте заявку, с вами свяжется менеджер и поможет выбрать курс и ответит на все интересующие вопросы, так же вы получите персональную скидку, если позвоните нам