academy@academyit.ru
AP-301
Astra Linux
40 ак. часов / 5 дней
Установка, настройка и использование ПК ALD Pro 3.0.0
-
ㅤПрактическая программа обучения, которая поможет вам освоить продвинутые инструменты, настроить рабочие процессы и повысить свою квалификацию. Данный курс пришел на смену курсу AP-2301 и представляет собой обновленную программу, актуализированную с учетом текущей версии ALD Pro.
По окончании курса слушатели будут:
- Знать функциональные возможности ALD Pro
- Знать компоненты ALD Pro и используемые технологий
- Понимать архитектуру ALD Pro
- Уметь определять ресурсы, необходимые для развертывания ALD Pro
- Знать политику лицензирования ALD Pro
- Уметь устанавливать контроллер ALD Pro
- Уметь развертывать основную серверную группировку ALD Pro
- Уметь создавать, изменять и удалять подразделения домена
- Уметь создавать, изменять и удалять учетные записи пользователей и групп
- Уметь изменять информацию о компьютерах
- Уметь создавать, изменять и удалять группы компьютеров
- Уметь создавать и настраивать групповые политики
- Уметь создавать и настраивать политики доступа к узлу
- Уметь создавать и настраивать политики повышения привилегий пользователей
- Уметь настраивать политику паролей
- Уметь создавать сайты и разворачивать дополнительные контроллеры домена
- Уметь настраивать соглашения о репликации
- Уметь создавать принципалы служб и настраивать керберизированную службу
- Уметь создавать дополнительные параметры групповых политик и дополнительные задачи автоматизации
- Уметь настраивать глобальную политику билетов Kerberos
- Уметь настраивать глобальные параметры пользователей и групп
- Уметь создавать диапазоны идентификаторов пользователей и групп
- Уметь добавлять дополнительные атрибуты в учетные записи пользователей
- Уметь настраивать и назначать роли пользователям
- Уметь изменять зонную информацию на сервере DNS
- Уметь настраивать перенаправление DNS запросов
- Уметь развертывать и настраивать службу DHCP
- Уметь настраивать синхронизацию времени на контроллерах с помощью внешних и внутренних серверов NTP
- Уметь развертывать службу печати и добавлять принтеры
- Уметь настраивать доступ пользователей к общим папкам на файловом сервере
- Уметь настраивать хранение домашних каталогов пользователей на файловом сервере
- Уметь развертывать сервер репозиториев ПО
- Уметь создавать репозитории ПО из ISO-образов и deb-пакетов
- Уметь создавать каталог ПО
- Уметь создавать политики ПО
- Уметь развертывать сервер мониторинга
- Уметь получать информацию о возможных проблемах с помощью журнала событий и витрин мониторинга
- Уметь развертывать сервер журнала событий
- Уметь настраивать правила для централизованного сбора информации о событиях
- Уметь развертывать сервера для установки ОС по сети
- Знать алгоритм установки ОС по сети
- Уметь подготавливать сервер DHCP для установки ОС по сети
- Понимать назначение и содержимое файлов, необходимых для создания профилей загрузки
- Уметь создавать описание компьютера и производить установку ОС на клиенте
- Уметь настраивать доверительные отношения между доменами ALD Pro и AD
- Уметь производить миграцию объектов из AD в ALD Pro
Системные администраторы Linux и Astra Linux ⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀ ⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀
Администраторы доменной инфраструктуры и служб каталогов ⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀ ⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀
Специалисты, отвечающие за внедрение и сопровождение ALD Pro ⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀ ⠀⠀⠀⠀⠀
Инженеры по миграции с Microsoft Active Directory на ALD Pro ⠀⠀⠀⠀⠀⠀⠀⠀⠀ ⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀ ⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀
Специалисты по информационной безопасности и управлению доступом ⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀
Архитекторы и специалисты по проектированию централизованной инфраструктуры управления
Модуль 1. Введение в ALD Pro и планирование развертывания
• Система ALD Pro: общее представление: назначение и ключевые функции; возможности службы каталога.
• Архитектура и компоненты ALD Pro: контроллер домена; служба синхронизации времени (chrony); портал управления; подсистемы: репозиторий программного обеспечения; общий доступ к файлам; служба печати; динамическая настройка узлов (DHCP); установка ОС по сети (PXE); мониторинг; аудит; клиентская часть.
• Сравнение механизмов каталогов FreeIPA и Samba AD: особенности реализации Samba AD; преимущества FreeIPA и обоснование ее выбора в ALD Pro.
• Практическое сопоставление MS AD и ALD Pro.
• Подготовка к развертыванию: минимальные требования к инфраструктуре; планирование ресурсов (оперативная память, CPU, пропускная способность сети); модуль синхронизации и прочие службы.
• Масштабирование и организация инфраструктуры: методики горизонтального масштабирования; рекомендации по именованию доменов.
Модуль 2. Развертывание первого контроллера домена
• Подготовка инфраструктуры: требования к тестовой среде, создание и настройка виртуальной машины: проверка ОС: build_version; проверка (установка) уровня «Смоленск»; отключение NetworkManager; настройка статического IP в /etc/network/interfaces.
• Развертывание контроллера домена: настройка репозиториев ALD Pro: создание /etc/apt/sources.list.d/aldpro.list; присвоение имени контроллера; установка пакетов: aldpro-mp, aldpro-gc, aldpro-syncer, aldpro-syncer-pwdsync; повышение роли сервера до контроллера домена; проверка базовых функций: доменных служб, Kerberos-аутентификации, портала управления; ввод компьютера в домен.
Модуль 3. Архитектура службы каталога ALD Pro
• Архитектура службы каталога ALD Pro: обзор компонентов и их взаимодействия; сравнительный анализ с MS AD: служба каталога — FreeIPA, LDAP — 389 Directory Server, Kerberos — MIT Kerberos.
• Сервер FreeIPA: веб-интерфейс управления; утилиты управления: ipactl, ipa, ipa-getkeytab, ipa-backup, ipa-restore; конфигурационные файлы: /etc/ipa/default.conf, /etc/krb5.conf.
• Сервер LDAP 389 Directory Server: структура каталога; утилиты: ldapsearch, ldapmodify, dsctl, dsconf; расположение БД.
• Сервер MIT Kerberos: служба KDC: krb5-kdc; утилиты: kinit, klist, kdestroy; файлы ключей: /etc/krb5.keytab.
• Сервер Samba: интеграция с Windows; службы: smb, winbind; конфигурация: /etc/samba/smb.conf.
• Идентификаторы безопасности: диапазоны UID/GID: ipa config-show; SID (Security Identifier).
• Управление объектами службы каталога: управление организационной структурой; управление пользователями; управление компьютерами; удаленный доступ для оказания поддержки; управление группами.
Модуль 4. Настройка базовых служб
• Назначение базовых служб в домене ALD Pro: DNS: разрешение имен, SRV-записи для автоматического обнаружения служб; синхронизация времени (NTP): критична для работы Kerberos; сравнительный анализ с MS AD: DNS Manager — BIND в ALD Pro, W32Time — chrony.
• DNS-служба в ALD Pro: использование BIND 9 (bind9-pkcs11). конфигурационные файлы: /etc/bind/named.conf (основной конфиг); /etc/bind/ipa-options-ext.conf (дополнительные настройки); /etc/bind/ipa-ext.conf (зоны). автоматическое создание зон при установке домена; отключение DNSSEC для работы в закрытом контуре; настройка рекурсивных запросов.
• Синхронизация времени: служба chrony (альтернатива ntpd); конфигурационный файл: /etc/chrony/chrony.conf; синхронизация сервера времени контроллера домена с внешними источниками; синхронизация клиентов с контроллерами домена.
Модуль 5. Работа Linux-компьютера в домене
• Архитектура клиентской части ALD Pro:
• основные клиентские пакеты: aldpro-client, freeipa-client, sssd, krb5-user;
• сравнение с Windows: присоединение к домену Windows — ввод в домен ALD Pro.
• Служба SSSD (System Security Services Daemon):
• архитектура: монитор, бэкенды, ответчики;
• механизм кеширования: автономная работа;
• конфигурационные файлы: /etc/sssd/sssd.conf, /etc/sssd/conf.d/.
• Способы аутентификации в домене:
• LDAP: ldap:// или ldaps://;
• Kerberos: билеты TGT и сервисные билеты;
• NTLM: для совместимости с Windows.
• Безопасный обмен данными: SSL/TLS для LDAP (LDAPS); StartTLS для защиты LDAP-сессий; сертификаты домена: /etc/ipa/ca.crt.
• Учетная запись компьютера в домене: автоматическое создание при вводе в домен; пароль компьютера: /etc/krb5.keytab; проверка: klist -k.
• Работа в автономном режиме: кеширование учетных данных; ограниченная функциональность; автоматическая синхронизация при подключении.
Модуль 6. Управление политиками ALD Pro
• Концепция управления политиками в ALD Pro: централизованное управление настройками пользователей и компьютеров.
• Сравнение с MS AD: Group Policy Objects (GPO) — групповые политики ALD Pro; иерархия применения: домен — сайт — подразделение — группа — пользователь/компьютер.
• Типы политик в ALD Pro: политики паролей (аналог Windows Password Policy); HBAC-правила (Host-Based Access Control); SUDO-правила (повышение привилегий); групповые политики (настройки ОС и приложений); политики ПО (установка и управление программным обеспечением);
• LAPS (Local Administrator Password Solution).
• Политики паролей FreeIPA: настройки сложности, истории, срока действия; группы с автоматическим участием (встроенные группы).
• HBAC-правила (доступ к узлам): контроль доступа пользователей к хостам и сервисам; компоненты правила: кто (пользователь/группа) — куда (хост/группа хостов) — к чему (сервис), по умолчанию правило allow_all.
• SUDO-правила: делегирование прав выполнения команд; аналогия с /etc/sudoers, но централизованно; поддержка групп пользователей, хостов, команд.
• Групповые политики ALD Pro: настройка через портал управления; категории: параметры компьютеров, параметры пользователей; дополнительные параметры (кастомизация через Salt-скрипты).
Модуль 7. Дополнительные подсистемы: общий доступ к файлам
• Процедура развертывания подсистем: установка ролей в Windows Server; установка подсистем в ALD Pro.
• Универсальный двухэтапный процесс для всех подсистем: ввод сервера в домен как обычной рабочей станции с помощью aldpro-client-installer; назначение серверу роли через портал управления (раздел «Роли ислужбы сайта»); автоматическая установка и настройка подсистемы (через ~30 минут); форсирование установки: sudo aldpro-roles --iud на целевом хосте.
• Архитектура подсистемы в ALD Pro: Samba-сервер, интеграция с доменной аутентификацией.
• Аутентификация: Kerberos vs NTLM в контексте ALD Pro.
• Управление доступом: портал vs файловая система, модели безопасности Samba (стандартная, ACL XATTR, NFS4 ACLs).
• Интеграция с Windows-клиентами.
Модуль 8. Управление топологией в домене
• Архитектура топологии домена ALD Pro: мультимастерная репликация (все контроллеры равноправны).
• Сравнение с MS AD: AD Sites and Services — сайты в ALD Pro.
• Механизмы репликации: репликация изменений (incremental replication); полная репликация при инициализации; конфликты репликации и их разрешение; журнал изменений (change log).
• Сайты (Sites): группировка контроллеров по физическому местоположению; балансировка нагрузки и отказоустойчивость;
• DNS SRV-записи для автоматического обнаружения сайта.
• Автоматическое обнаружение сервисов: через DNS SRV-записи; в SSSD-клиентах; в библиотеке libkrb5.
• Диагностика репликации.
Модуль 9. Миграция и гибридное развертывание с MS AD
• Стратегии миграции с Active Directory: доверительные отношения (Trusts), глобальный каталог, модуль синхронизации.
• Сравнение с Windows: Forest Trust/External Trust — Trust в ALD Pro.
• Типы доверительных отношений: Forest Trust (между лесами AD и FreeIPA), External Trust (между отдельными доменами), односторонние/двусторонние.
• Компоненты интеграции: Samba DCERPC (для работы трастов), Global Catalog (для поиска в доверенных доменах), SSSD с поддержкой нескольких доменов.
• Модуль синхронизации (aldpro-syncer): установка только на первый контроллер, синхронизация пользователей, групп и паролей, ключ --setup_syncer при установке.
• Настройка доверительных отношений: подготовка DNS, проверка времени, создание траста через портал.
• Настройка глобального каталога: установка пакета aldpro-gc, назначение роли через портал.
• Присоединение Windows-машин к домену ALD Pro (утилита aldpro join.exe)
Модуль 10. Резервное копирование и восстановление ALD Pro
• Стратегия резервного копирования в ALD Pro: полные бэкапы, инкрементальные, резервное копирование дисков, резервное копирование данных.
• Критически важные данные: контроллеры домена (LDAP-база, Kerberos-база, сертификаты), подсистемы (конфигурации служб, данные приложений), журналы (аудит, мониторинг, логи безопасности).
• Инструменты резервного копирования: ipa-backup — для данных FreeIPA; tar, CRON — автоматизация регулярных бэкапов.
• Практическая работа: создание и проверка резервных копий.
Модуль 11. Дополнительные подсистемы: репозитории, печать, мониторинг
• Архитектура дополнительных подсистем: репозитории ПО (централизованное хранение пакетов), служба печати (CUPS), мониторинг (Zabbix), аудит (Syslog-NG).
• Принципы работы: роли серверов, автоматизация установки через aldpro-roles --iud, управление через портал, интеграция с доменом.
• Единый процесс развертывания (как в модуле 7): подготовка сервера (ОС, сеть, имя); ввод в домен как клиента; назначение роли через портал управления; автоматическая установка (~30 минут).
• Подсистема «Репозитории ПО»: создание репозитория из ISO-образа, управление версиями.
• Подсистема «Печать»: добавление сетевых и локальных принтеров, управление очередями.
• Подсистема «Мониторинг»: установка Zabbix-сервера, базовые шаблоны мониторинга.
• Подсистема «Аудит»: настройка централизованного сбора логов через Syslog-NG.
Модуль 12. Подсистемы DHCP и PXE
• Архитектура сетевых служб:
• DHCP (Dynamic Host Configuration Protocol): автоматическая выдача сетевых настроек;
• PXE (Preboot Execution Environment): сетевая загрузка и установка ОС.
• Интеграция с доменом: привязка к домену (автоматический ввод в домен при установке).
• Компоненты PXE-сервера: TFTP-сервер: передача файлов загрузки; HTTP-сервер: предоставление установочных образов; конфигурационные файлы: меню загрузки, параметры установки; Preseed/Postinstall-скрипты: автоматизация установки.
• Сценарии использования: массовая установка ОС на новые компьютеры; развертывание однотипных конфигураций; централизованное управление загрузкой.
Модуль 13. Мандатное управление доступом и контроль целостности
• Модели безопасности в ALD Pro: МРД (мандатное управление доступом), МКЦ (мандатный контроль целостности), дискреционное управление доступом.
• Принципы работы: уровни конфиденциальности (иерархические 0–255), категории конфиденциальности (битовая маска), контейнеры объектов (файлы, процессы, сокеты).
• Интеграция с доменом: хранение мандатных атрибутов в LDAP, применение политик через PAM и ядро ОС, централизованное управление через портал FreeIPA.
• Настройка мандатных атрибутов пользователей через портал управления.
• Создание защищенной структуры каталогов с учетом мандатных меток.
• Работа с внешними носителями: перенос мандатных меток.
• Интеграция с файловым сервером Samba: настройка мандатного доступа к общим ресурсам.
Модуль 14. Диагностика и мониторинг ALD Pro
• Методики поиска проблем: системный подход к диагностике.
• Комплексный чек-лист диагностики: проверка служб: aldproctl, krb5-kdc dirsrv@... bind9-pkcs11 sssd; диагностика аутентификации: логи SSSD (/var/log/sssd/), kinit admin, sssctl user-checks; проверка репликации: dsconf ldap://dc-1 repl-agmt list, ds-replcheck, checkipaconsistency (см. модуль 8); проверка DNS: nslookup dc-1, dig -t SRV _ldap._tcp.ald.company.lan; сеть: доступность портов (nc -zv dc-1 389 636 88 53).
• Типовые ошибки и их решения: проблемы с аутентификацией, репликацией, DNS.
• Ключевые утилиты диагностики: sssctl — диагностика SSSD (см. модуль 5); dsconf, ipa-replica-manage — диагностика репликации; checkipaconsistency — проверка целостности данных; aldproctl — управление службами ALD Pro. Инструменты мониторинга: Zabbix (метрики, триггеры, уведомления), системные метрики.
• Сравнение с Windows: Event Viewer — логи ALD Pro + Zabbix.
-
Необходимая подготовка
- Базовые навыки работы с Linux: работа в терминале, навигация по файловой системе, файловые операции, права доступа; знание основных команд командной строки (CLI)
- Опыт редактирования файлов в консольных редакторах (nano, vim или аналоги); понимание организации процессов в Linux
- Навыки администрирования: владение основами администрирования учетных записей пользователей и разграничения прав доступа
- Понимание базовых инструментов безопасности ОС Astra Linux;
- Понимание принципов работы служб каталога (Active Directory, FreeIPA или аналоги): аутентификация, авторизация, учетные записи, группы, организационные единицы
- Сетевые знания и навыки: понимание сетевых основ: IP-адресация, маски подсетей, маршрутизация, DNS; базовые навыки настройки сетевых интерфейсов
