Эксперты в подборе IT-оборудования
Рабочую группу переводят в домен, когда учётки, пароли и права на папки уже не удаётся держать в порядке вручную. Обычно это случается где-то на 15-20 компьютерах или после первой волны увольнений. Минимальный набор для малой компании: сервер под контроллер домена, второй контроллер для подстраховки (его можно поднять виртуальной машиной на уже работающем сервере), Windows Pro на рабочих местах и лицензии на серверную часть. Сэкономить можно на железе и на выборе платформы. На лицензиях экономить нельзя.
В 2017-2018 годах бюджетный рецепт звучал так: б/у сервер плюс Windows Server Essentials. В 2026 году он устарел. Microsoft с 2022 года не продаёт в России новые лицензии, а у свободных и российских служб каталогов появились рабочие варианты для малого офиса. Разберём, что изменилось и как пройти переход, не остановив работу.
В рабочей группе каждый компьютер живёт сам по себе. В домене учётные записи и правила хранятся на контроллере домена и применяются ко всем машинам сразу. Разница по пунктам:
| Рабочая группа | Домен | |
|---|---|---|
| Учётные записи | Свои на каждом ПК: пять компьютеров - пять учёток одного сотрудника | Одна на человека, вход с любого компьютера |
| Пароли | Меняются на каждой машине вручную, требования к сложности никто не проверяет | Одна политика паролей, смена в одном месте |
| Общие папки | Нужны одинаковые логин и пароль на двух ПК или папка, открытая «всем» | Права выдаются группам: «Бухгалтерия», «Склад» |
| Настройки компьютеров | Руками на каждом | Групповыми политиками для всех сразу |
| Увольнение сотрудника | Обойти все ПК, где у него была учётка | Отключить одну учётку |
| Сервер недоступен | Ничего не меняется, сервера нет | На привычный ПК пустит по сохранённым данным, но новые входы, смена паролей и политики встанут. Поэтому контроллеров два |
| Редакция Windows на ПК | Любая, включая Home | Pro, Enterprise или Education: Home в домен не вводится |
| Что нужно купить | Ничего | Сервер, лицензии, время администратора |
Как устроена связка Active Directory, DNS и DHCP внутри домена, подробно описано в статье «Как устроен домен Windows». Здесь - про сам переход.
Число компьютеров - слабый критерий. Ориентир «15-20 машин» пришёл из времён, когда администратор обходил офис с флешкой, и за ним прячется другое: ручное управление перестало справляться. Посмотрите на симптомы:
Если два-три пункта про вас, домен окупит хлопоты.
Бывает и наоборот. В офисе на 5-8 человек без общих папок с правами по отделам, где все работают в веб-сервисах, домен добавит работы больше, чем уберёт. Контроллер нужно обновлять и резервировать. Без человека, который за ним следит, он через год превращается в сервер, который все боятся перезагружать. Такому офису хватит нормального роутера, сетевого хранилища с учётками пользователей и менеджера паролей.
Windows-компьютерам нужен контроллер, совместимый с Active Directory: те же протоколы входа (Kerberos), каталог LDAP, групповые политики. Windows Server - не единственный вариант. Для малого офиса реально рассматривать пять:
| Платформа | Основа | Лицензия | Windows-клиенты | Кому подходит |
|---|---|---|---|---|
| Windows Server (AD DS) | Разработка Microsoft | По ядрам сервера + клиентские лицензии доступа (CAL). Новые лицензии в России официально не продаются с 2022 года | Родная среда, полный набор групповых политик | Тем, у кого уже есть купленные лицензии или программы, привязанные к AD Microsoft |
| Samba AD DC на Debian или Ubuntu | Свободная реализация контроллера AD | Бесплатно, поддержка от сообщества | Вводятся штатно, политики правятся привычной консолью управления групповыми политиками (RSAT) с Windows-машины. С версии 4.19 - уровень совместимости до 2012 R2 | Малому офису с администратором, который уверенно работает в Linux |
| Альт Домен («Базальт СПО») | Samba DC + свои инструменты групповых политик | Лицензия на каждый контроллер, есть редакция с сертификатом ФСТЭК | Windows и Альт в одном домене, политики для обеих ОС | Тем, кто параллельно переводит рабочие места на Альт |
| РЕД АДМ («РЕД СОФТ») | Samba DC, доработанная до уровня леса 2012 R2 | Стандартная редакция идёт с РЕД ОС, промышленная покупается отдельно | Linux и Windows | Парку на РЕД ОС |
| ALD Pro («Группа Астра») | Служба каталогов на Astra Linux | Лицензия на контроллер и число управляемых устройств, сертификат ФСТЭК | Вводятся; есть доверительные отношения с Microsoft AD для поэтапного переезда | Компаниям с требованиями ФСТЭК и парком на Astra |
Для малого бизнеса без требований регуляторов выбор обычно сводится к двум вариантам. Если лицензии Windows Server уже куплены, остаёмся на них. Если лицензий нет, а в штате или на аутсорсе есть администратор с опытом Linux, поднимаем контроллер домена на Samba. Коммерческие российские домены оправданы, когда нужны сертификат ФСТЭК, реестр отечественного ПО или вы и так переходите на российскую ОС. Сами серверные ОС сравнивали в статье «Российские ОС для серверов: Astra Linux, Альт Сервер и РЕД ОС».
У Samba есть две особенности, о которых лучше знать до установки. Папку SYSVOL, где лежат групповые политики, Samba между контроллерами не реплицирует: её синхронизируют по расписанию через rsync или osync, а политики правят на одном выбранном контроллере. DHCP в Samba не входит, его поднимают отдельной службой.
Бюджет перехода собирается из пяти строк:
Честная экономия есть в трёх местах. Первое место - железо. Контроллеру домена не нужна свежая платформа, и восстановленный сервер из ЦОДа с новыми дисками и гарантией закрывает задачу за часть цены нового. Какие модели бывают и что входит в восстановление - в разделе «серверное оборудование бу». Второе: второй контроллер можно поднять виртуальной машиной на уже работающем сервере и не покупать под него отдельное железо. Третье - Samba AD вместо Windows Server, если есть кому её обслуживать.
Windows Server Essentials 2022 и 2025 с 25 пользователями без CAL выглядят заманчиво, но продаются только вместе с новым сервером от производителя: один процессор до 10 ядер, до 25 пользователей и 50 устройств. Для российского офиса это редкий случай.
Бесплатным доменом ознакомительная версия Windows Server не станет. Она работает 180 дней, но её лицензия разрешает только тестирование, продление командой rearm этого не меняет. Есть и техническая ловушка: контроллер домена нельзя перевести из ознакомительной редакции в полную командой DISM. Придётся поднимать новый контроллер, передавать ему роли и понижать старый. За нелицензионное ПО организации грозит штраф по статье 7.12 КоАП с конфискацией оборудования, а при стоимости ПО свыше 100 000 рублей - уголовная статья 146 УК.
Контроллер домена нетребователен к железу. База Active Directory компании на 50-100 человек занимает меньше гигабайта, основная нагрузка - утренние входы и запросы DNS. Ориентиры для офиса до 100-150 пользователей:
| Компонент | Сколько | Почему |
|---|---|---|
| Процессор | 2-4 ядра, подойдёт и прошлое поколение | Нагрузка на процессор минимальная |
| Оперативная память | 4-8 ГБ для Windows Server, 2-4 ГБ для Samba | База AD должна целиком помещаться в память. Windows Server с графической оболочкой требует минимум 2 ГБ |
| Диски | 2 SSD в RAID 1 | Пишет контроллер мало, но его отказ останавливает входы. Зеркало переживёт смерть одного диска |
| Сеть | 1 Гбит/с | Трафик AD в одном офисе небольшой |
| Питание | ИБП с автоматическим выключением сервера | Внезапное отключение рискованно для базы AD и зон DNS |
В старых рецептах условием отказоустойчивости называли две сетевые карты. Они защищают от отказа порта или кабеля. От отказа сервера целиком спасает только второй контроллер на другом железе.
Старая идея рабочая. Первый контроллер ставят на отдельный недорогой сервер, второй - виртуальной машиной на сервере, который в офисе уже есть: файловом или сервере 1С. Контроллеры оказываются на разном железе, и отказ любого сервера не останавливает входы. Чтобы схема не подвела, соблюдайте четыре правила.
samba-tool domain backup в Samba.Бояться, что репликация между двумя контроллерами в одном офисе забьёт сеть, не стоит. Передаются только изменения, и на гигабитной сети их не видно.
| Шаг | Что делаем | На чём спотыкаются |
|---|---|---|
| 1. Инвентаризация | Список ПК и редакций Windows, локальные учётки, общие папки и кто к ним ходит, принтеры, программы с лицензией на пользователя | Находят Home-редакции и «общие» папки на чьём-то рабочем компьютере |
| 2. Имя домена | Поддомен своего домена: ad.company.ru или corp.company.ru | Имя в зоне .local конфликтует со службой обнаружения устройств mDNS (macOS, сетевые принтеры) и не годится для публичных сертификатов. Переименование домена потом - отдельный болезненный проект |
| 3. Первый контроллер и DNS | Статический IP, контроллер указывает DNS на себя, внешние имена пересылаются на DNS провайдера или публичные серверы | Клиенты остаются на DNS роутера и не находят домен |
| 4. Второй контроллер | На другом железе, проверка репликации | На Samba забывают синхронизировать SYSVOL |
| 5. DHCP | Раздача адресов DNS обоих контроллеров, DHCP на роутере выключен | В сети два DHCP, и часть клиентов получает DNS роутера |
| 6. Учётки и группы | Пользователи, группы по отделам, права на ресурсы только через группы | Права выдают конкретным людям, и через год никто не помнит, у кого что |
| 7. Ввод ПК в домен | По отделу за вечер, после резервной копии данных пользователя | Вводят весь офис за раз и утром получают очередь с пустыми рабочими столами |
| 8. Общие папки и политики | Папки переезжают на сервер с правами для групп; базовые политики: пароли, блокировка экрана, подключение дисков и принтеров | Политики пишут одной большой пачкой, и потом не найти, какая настройка что ломает |
| 9. Резервная копия контроллеров | Регулярная копия состояния системы, проверка восстановления | Про бэкап контроллера вспоминают, когда он уже нужен |
Установка роли контроллера домена в Windows Server по шагам описана в статье «Как установить домен на сервер». Как организовать группы и политики, чтобы через пару лет в них можно было разобраться, - в материале «Active Directory на полную катушку».
Главный сюрприз перехода случается на шаге 7. Сотрудник входит доменной учёткой, и Windows создаёт ему новый пустой профиль: ни файлов на рабочем столе, ни ярлыков 1С, ни настроек почты. Старый профиль лежит на диске и привязан к локальной учётке.
Первый вариант - утилита ForensiT User Profile Wizard. Она вводит компьютер в домен и привязывает существующий локальный профиль к доменной учётке, файлы никуда не копируются. Бесплатная редакция обрабатывает компьютеры по одному, платные умеют массово. Условия использования бесплатной редакции в организации проверьте на сайте разработчика до внедрения.
Второй вариант - перенести вручную: папки «Рабочий стол», «Документы», «Загрузки», закладки браузера, настройки почтового клиента. Дольше, зато предсказуемо. Часть программ придётся настроить заново.
В обоих случаях сначала делают резервную копию данных пользователя. И отдельно про пароли, сохранённые в браузере: они зашифрованы ключом старой учётки и могут не пережить переноса. Пусть сотрудники заранее включат синхронизацию браузера или выгрузят пароли.
Нет. Домен поддерживают редакции Pro, Enterprise и Education. Home обновляют до Pro вводом ключа, переустанавливать систему не нужно.
Два. Нагрузку потянет и один, второй нужен на случай отказа. Третий контроллер для такого офиса обычно лишний.
На одном железе - да, в одной операционной системе - лучше не надо. Удобный компромисс: гипервизор на сервере, контроллер отдельной виртуальной машиной рядом с файловым сервером или 1С. Тогда перезагрузка сервера 1С не трогает входы в сеть, а лицензия Windows Server Standard покрывает две виртуальные машины на хосте.
Нет. Её лицензия разрешает только тестирование, и продление этого не меняет. К тому же контроллер домена из ознакомительной редакции в полную не переводится, придётся поднимать новый.
Зависит от трёх вещей: сколько серверов в офисе уже есть, какая платформа выбрана и нужно ли обновлять Windows на рабочих местах. Минимальный по деньгам вариант: один недорогой сервер под контроллер, второй контроллер виртуальной машиной на существующем сервере и Samba AD. Если платформа Windows Server, главной строкой бюджета часто оказываются лицензии.
Переводите офис на домен и выбираете сервер под контроллер?
Инженеры ITTELO подберут конфигурацию под число пользователей и выбранную платформу, подскажут, где хватит восстановленного сервера, соберут и протестируют его под задачу перед отгрузкой. С гарантией и поддержкой после продажи, на рынке серверов 11+ лет.
Сервер для контроллера домена · +7 (800) 551-80-12 · info@ittelo.ru
