Полное описание возможностей контроллера домена HopeDC по разделам: каталог, аутентификация, Windows и Linux, службы, миграция с MS AD, кластер, безопасность, журналы, эксплуатация
Документ 17 · Версия 1.6 · 10.11.2026
Соответствует HopeDC v199
Аудитория: заказчики, архитекторы, пресейл, администраторы
Отметка v1xx показывает выпуск, в котором возможность появилась или существенно расширилась. Возможности без отметки есть в продукте давно. Подробности по настройке — в Руководстве администратора (Документ 2) и профильных документах, ссылки на них даны в разделах.
1. Обзор продукта
HopeDC — контроллер домена, совместимый с Active Directory по протоколам. Он обслуживает Windows‑ и Linux‑клиентов, управляется из веб‑панели и умеет мягко замещать действующий контроллер MS AD: зеркалирование домена → приём роли KDC → отключение от AD.
1исполняемый файл: все службы DC и веб‑панель, без внешней СУБД
613встроенных шаблонов политик Linux, 22 типа политик
Один бинарник на Rust со встроенным журнальным хранилищем (WAL) с автоматической компактизацией. LDAP/LDAPS, глобальный каталог, Kerberos KDC и kpasswd, CLDAP, DNS, DHCP, NTP/NTS, SMB2/3 (SYSVOL/NETLOGON), MS‑RPC (Netlogon, LSA, SAMR и др. — для ввода Windows в домен), центр сертификации и веб‑панель работают в одном процессе.
Серверная ОС
Любой Linux x86‑64 с glibc 2.30 и новее. Проверен на Astra Linux SE 1.8 «Смоленск» с включёнными МКЦ, МРД и ЗПС.
Клиенты
Windows (штатный ввод в домен, групповые политики), Linux (SSSD, sudo, агент политик), приложения по LDAP/LDAPS и Kerberos.
Интерфейс панели и журналы — русский и английский. Светлая и тёмная тема панели (или как в системе); тема и язык — личные настройки каждой учётной записи панели (v202).
Редакции
Free, Standard, Enterprise. Free работает без ключа: до 200 пользователей и компьютеров, один подключённый домен, без доверий и кластера. Ключ лицензии с аппаратной привязкой проверяется только открытым ключом вендора, вшитым в сборку v197; окончание срока не отключает работающие службы (Документ 8).
2. Каталог, домены и леса
Возможность
Описание
Служба каталога LDAP
LDAP v3 и LDAPS (в т.ч. mTLS с клиентским сертификатом, SASL EXTERNAL и GSSAPI), постраничная выдача, ограничение размера ответа (sizeLimit), индексы по ключевым атрибутам (sAMAccountName, UPN, member, objectSid, dNSHostName и др.), поиск по индексу — единицы миллисекунд на 583 тыс. объектов.
Совместимость с AD
Структура объектов, objectCategory, objectGUID, objectSid, RootDSE, Configuration и Schema NC, DC‑locator, двоичные атрибуты без потерь, связанные атрибуты (member/memberOf, manager/directReports) с очисткой ссылок при удалении объекта.
Собственные домены
Создание домена без Windows‑DC из панели; домен сразу готов для Windows и Linux. Готовая структура AD (контейнеры, встроенные группы, Default Domain Policy).
Лес, поддомены и деревья
Из панели — новый лес, дочерний домен или новое дерево в существующем лесу (своё пространство имён, напр. corp.ru в лесу corp.local) v186: DNS (делегирование у поддомена), двустороннее транзитивное доверие внутри леса, межреалмовые ключи и referral Kerberos через корень, общий Configuration/Schema NC, Enterprise Admins, глобальный каталог.
OU Domain Controllers v192
Как в MS AD: подразделение Domain Controllers с Default Domain Controllers Policy и учётными записями всех контроллеров HopeDC домена (в том числе узлов кластера и региональных); записи защищены от удаления и изменения.
Глобальный каталог
Порты 3268 и 3269 (TLS): поиск по объектам всех доменов леса; на 389/636 действуют границы разделов, как в AD.
Несколько изолированных лесов на одном сервере
Один сервер или кластер обслуживает несколько независимых доменов и лесов: каждый клиент видит только свой домен, учётки одного леса не находят и не меняют объекты другого, билеты в другой лес — только по доверию. Делегирование панели по доменам. Подходит ИТ‑аутсорсерам, провайдерам, холдингам.
Доверия
Лесные, внешние и realm‑доверия; импорт доверий из MS AD (каждые 10 мин); пароль доверия и DC партнёра из панели; SID‑фильтрация; доверия внутри леса, как в AD, нельзя изменить или удалить отдельно от домена — только сменить ключ на обеих сторонах v187; защита леса от эскалации со скомпрометированного контроллера поддомена (подделка SID‑history и «золотого билета» отклоняется).
Сайты и службы
Сайты, подсети, серверы, связи сайтов (аналог AD Sites and Services) из панели; для домена, интегрированного с AD, — импорт из Configuration NC и двусторонняя синхронизация.
Объекты и структура
Пользователи, группы (вложенные, первичная группа), компьютеры, OU, учётки служб; дерево домена, поиск, фильтры (в т.ч. «Заблокированные»), массовые операции; защита объектов от случайного удаления.
Корзина объектов v173v194–v195
Удалённые пользователи, группы, OU и компьютеры сохраняются со всеми атрибутами и членством и восстанавливаются из панели. Корзина — вкладка домена: объекты и срок хранения (по умолчанию 180 дней) у каждого домена свои, администраторы одного домена не видят удалённое в другом. Восстановление — в исходное подразделение (оно явно показано в окне) или в выбранное из дерева домена. Реплицируется в кластере.
Выдача RID
Блоками по 500 со случайным сдвигом и обнаружением пересечений между узлами — без единого RID Master.
ID‑mapping для Linux
POSIX‑атрибуты (uidNumber/gidNumber) и алгоритмическое сопоставление по SID/RID — для пользователей и служб.
3. Аутентификация и учётные записи
Возможность
Описание
Kerberos KDC
Мультиреалм (один KDC для всех доменов сервера), AES256/AES128 и RC4, TCP и UDP (большие ответы — повтор по TCP), межреалмовые билеты, PAC, смена пароля kpasswd (RFC 3244) и Ctrl+Alt+Del в Windows.
Смарт‑карты и токены (PKINIT) v167
Вход по сертификату с токена (Рутокен, JaCarta и др.) по RFC 4556 в режиме Диффи — Хеллмана — его используют Windows, SSSD и Astra. Проверка цепочки до ЦС домена или добавленных внешних ЦС, назначение «вход по смарт‑карте»/«проверка подлинности клиента», сопоставление по UPN или принципалу в SAN.
Вход только по смарт‑карте v168–v169
Флаг учётки «требуется смарт‑карта» (UF_SMARTCARD_REQUIRED): вход паролем отклоняется, в том числе в панель.
NTLM и LDAP‑вход
NTLMv2 для SMB и RPC; LDAP simple bind с кодами ошибок как у AD (data 52e/532/533/701/773/775) — приложения, настроенные на AD, работают без изменений.
Второй фактор (MFA) v174v183–v184
TOTP (RFC 6238: Google Authenticator, FreeOTP, Яндекс Ключ) для входа в панель и для LDAP simple bind приложений (пароль + код); резервные одноразовые коды; включается пользователем или требуется политикой — для администраторов, по списку учёток или по группам. Обязательная MFA соблюдается: до привязки панель открывает только страницу MFA; при флаге «и для LDAP» приложения не пускают учётку по одному паролю (исключения — сервисные учётки). Пользователи, не входящие в панель, привязывают приложение на портале /password. Политика и привязки доменных учёток реплицируются — действуют на всех узлах кластера. Вход в ОС по Kerberos/NTLM не затрагивается.
Политика паролей по ФСТЭК v159
Единая проверка нового пароля во всех путях (панель, kpasswd, LDAP, SAMR): длина, сложность AD, размер алфавита (ИАФ.4), словарь запрещённых паролей (встроенный и свой, с нормализацией «l33t», имя домена и учётки), история, минимальный и максимальный срок, «сменить при следующем входе». Заготовки «AD» и «ФСТЭК, классы 1–3», значок соответствия.
Политики паролей для групп (PSO)
msDS‑PasswordSettings: прямое назначение главнее группового, приоритеты, вложенные группы, блокировка из PSO; действующая политика видна в карточке пользователя.
Блокировка учёток
По политике домена для LDAP, Kerberos, NTLM и панели; состояние входа по каждому контроллеру, разблокировка из панели; блокировка реплицируется на все узлы.
Вход только с указанных компьютеров v159
Атрибут userWorkstations («Вход на компьютеры»): проверка в Kerberos (имя из запроса или IP через DNS) и NTLM.
Групповые управляемые учётки служб (gMSA) v168
Пароль генерирует и меняет по интервалу контроллер; выдаётся по LDAP (msDS‑ManagedPassword) только разрешённым принципалам — член‑серверы настраивают службы без ручных паролей.
Автономный вход («локальный пароль»)
Пароль хранится в HopeDC (NT‑хэш, ключи AES, bcrypt) — пользователи входят и после отказа или вывода Windows‑DC.
Портал смены пароля v175
Отдельная лёгкая страница /password для пользователей домена: смена своего пароля при истечении срока, по требованию или по желанию; требования политики домена на странице, ограничение частоты, поддержка MFA‑кода. Доступна из сетей клиентов домена, даже когда панель закрыта для них.
Смена ключа krbtgt
Из панели: таблица ключей по доменам, безопасная смена с приёмом предыдущего ключа, защита от преждевременного повторного сброса, напоминания и плановая смена; в кластере — одним узлом.
4. Windows‑клиенты и групповые политики
Возможность
Описание
Ввод Windows в домен
Штатный мастер Windows и Add-Computer: Netlogon (защищённый канал), LSA, SAMR, CLDAP, DC‑locator; выбор пользователей и групп в окне выбора объектов (Object Picker), net localgroup по имени.
SYSVOL и NETLOGON
SMB2/3 с DFS‑ссылками (\\домен\SYSVOL), входом по Kerberos или NTLMv2 и подписью SMB — работают усиленные пути UNC (hardened UNC paths). SYSVOL хранится в зашифрованной базе и реплицируется между узлами вместе с каталогом, без FRS/DFSR.
Групповые политики (GPO)
Хранятся как в AD: объект политики в каталоге и файлы в SYSVOL; клиенты применяют их штатно (gpupdate). Редактирование — в веб‑панели и в GPMC/RSAT. Связи с доменом и OU, порядок, блокировка наследования, принудительное применение.
Параметры политик в панели
Административные шаблоны (реестр, Registry.pol), параметры безопасности (GptTmpl.inf: пароли, блокировка, права пользователей, аудит, группы с ограниченным доступом), сценарии входа/выхода и запуска/завершения, предпочтения GPP (файлы, папки, реестр, ярлыки, диски, принтеры, локальные пользователи и группы, службы, переменные среды и др.) с нацеливанием на уровне элементов, перенаправление папок, сетевые политики.
Windows LAPS v159
Компьютер сам пишет пароль локального администратора (msLAPS‑*, ms‑Mcs‑AdmPwd); в панели — просмотр по отдельному праву и «Сменить сейчас»; по LDAP пароль видят только администраторы домена.
Доменные пространства имён DFS
Режим Windows Server 2008 ([MS‑DFSNM]): \\домен\Files\… направляет к серверам пространства; создание из HopeDFS или консоли DFS Management.
Корневой сертификат ЦС
Члены собственного домена HopeDC автоматически получают корневой сертификат ЦС домена в доверенные (публикация в Configuration NC, как у Enterprise CA).
5. Linux‑клиенты и политики Linux
Возможность
Описание
Ввод Linux в домен
Скрипт ввода из панели (SSSD ad‑provider): проверка DNS и времени, неинтерактивная установка, строгая проверка сертификата DC (ldap_tls_reqcert = demand), UID/GID из UNIX‑атрибутов или по SID. Поддерживаются Astra, РЕД ОС, Альт, Debian/Ubuntu, RHEL‑совместимые. Документ 10.
sudo и доступ
Правила sudo из каталога через SSSD; ограничение входа группами; общие папки SMB на Linux‑файловом сервере доменным группам одной политикой (Samba, каталог с ACL, SSO по Kerberos).
Агент политик
hopedc‑agent подключается по LDAPS со строгой проверкой контроллера (ЦС домена + имя или закреплённый SHA‑256 сертификата DC) v158; политики выбираются по OU, группам компьютеров (в т.ч. вложенным) и группам пользователей; фильтр по ОС (Astra 1.7/1.8/SE, РЕД ОС 7/8, Альт, deb/rpm, исключения).
22 типа политик v161–v162
Файл · ключ в конфиге (ini, секции, вставка до Match) · строка · права на файл · sysctl · GRUB (параметры ядра) · модули ядра · службы · пакеты (установка/удаление) · cron · сценарий (однократно по хэшу или всегда) · монтирование (fstab) · USB (udev, исключения VID:PID) · принтеры (lpadmin) · сертификаты (ЦС домена/PEM) · межсетевой экран (firewalld/ufw) · dconf · браузеры (Firefox, Chromium, Chrome, Яндекс) · шаги · общая папка SMB · параметры Astra · control (Альт).
Проверка, откат и отчёт v161–v163
«Проверка перед применением» (не прошла — изменение возвращается), «команда при изменении»; состояние на машине и откат снятых или изменённых политик (резервные копии файлов, прежние значения, состояние служб); отчёт агента «что применено на машине» в карточке компьютера.
Каталог шаблонов v158–v163
613 встроенных шаблонов машин и 13 шаблонов пользователей в 55 категориях: все пункты 2.1–2.6 рекомендаций ФСТЭК по безопасной настройке Linux (25.12.2022), усиление по CIS (SSH, аудит auditd, сеть, модули, монтирование, службы, пароли и сеансы), Astra (astra‑safepolicy, экран входа Fly, ЗПС), РЕД ОС (SELinux, dnf), Альт (control, OpenSSH), рабочий стол GNOME/KDE/MATE/Cinnamon, браузеры, принтеры, сетевые папки, обслуживание (журналы, очистка, обновления, отчёты). Поиск, свои шаблоны, импорт/экспорт JSON, ссылка на источник требования.
Наборы
23 готовых набора: ФСТЭК 2022 (полный и без пунктов, требующих проверки), классы защищённости 3/2/1, CIS сервер и рабочая станция, SSH, аудит, сеть, Astra SE базовый и усиленный, РЕД ОС, Альт, браузеры, рабочие станции, домен (время, вход, SSO), обслуживание — с выбором машин, префикса и состава.
Политики пользователей
Файлы в профиле для групп пользователей (переменные среды, прокси, история, PATH, тайм‑аут сеанса и др.).
Подробно — Документ 11 «Политики для Linux».
6. Сетевые службы: DNS, DHCP, NTP, ЦС, DFS
Возможность
Описание
DNS
Зоны прямого и обратного просмотра, записи A/AAAA/CNAME/MX/TXT/SRV/NS/PTR/SOA, служебные записи DC‑locator с сайтами, цепочки CNAME, общий форвардер. Динамические обновления (RFC 2136) с TSIG‑ключом для каждого домена и политикой «только безопасные / безопасные и небезопасные»; без подписи нельзя занять чужое или статическое имя.
Условная пересылка v165
Запросы к зонам партнёров (например, partner.local) — на их серверы, побеждает самый длинный суффикс; реплицируется в кластере. Нужна, в частности, для доверий.
Старение и очистка записей v165
Как в Windows DNS: интервалы без обновления и обновления, выбор зон; касается только записей, которые клиенты регистрируют сами.
DHCP
Пулы по сетям, диапазоны, шлюз, DNS, срок аренды; отказоустойчивость split‑scope между узлами.
Безопасный чистый старт
На свежей установке DNS и DHCP подняты, но остановлены, пока не настроены зоны и пулы — сервер не начнёт раздавать адреса в чужой сети.
Время (NTP/NTS)
Сервер времени домена: MS‑SNTP (подпись ответов для Windows), NTS‑KE, свободный ход со своим стратумом при отсутствии внешнего источника.
Центр сертификации
Свой ЦС у каждого домена: выпуск и отзыв, шаблоны (Web Server, Domain Controller, Code Signing, User и свои), CRL с ежедневным перевыпуском, CDP/AIA по HTTP и в каталоге; сертификаты LDAPS/HTTPS узлов; сертификаты для входа по смарт‑картам и агента Linux (mTLS).
DFS
Доменные пространства имён (см. раздел 4); интеграция с файловым сервером HopeDFS (ввод в домен, DFS‑ссылки).
7. Интеграция и миграция с MS AD
Путь вывода MS AD: зеркало (HopeDC получает копию домена и обслуживает клиентов вместе с AD) → приём роли KDC (HopeDC выдаёт билеты сам) → проверка готовности → отключение от AD (домен становится собственным доменом HopeDC). Привычное поведение для пользователей и приложений сохраняется.
Возможность
Описание
Подключение только к подлинному DC
Все подключения к AD — по LDAPS с проверкой сертификата контроллера (цепочка до ЦС AD с проверкой имени или закреплённый SHA‑256); подмена DC отклоняется без отката на открытый LDAP.
Синхронизация (зеркало)
Объекты, настоящие objectGUID и objectSid, DNS‑зоны, доверия, сайты; ~1 800 объектов/с при первичном переносе. Крупные домены MS AD выгружаются постранично (больше 1 000 объектов), группы больше 1 500 участников догружаются целиком, неполный ответ AD считается ошибкой синхронизации v199; сверить домен AD и HopeDC можно скриптом check_ad_limits199.ps1 (только чтение). Источник — MS AD или Samba AD DC: путь подключения одинаковый. В кластере синхронизацию ведёт один узел по аренде, при его пропаже роль забирает другой.
Запись через AD v157
В переходный период изменения по LDAP в интегрированный домен выполняются в AD учёткой синхронизации и затем применяются в HopeDC — с любого узла кластера.
Проверка пароля через AD
LDAP‑вход и вход в панель проверяются в AD (pass‑through) с кодами ошибок AD; пароль сохраняется в HopeDC при первом входе.
Перенос паролей заранее v166
Из выгрузки, которую администратор AD сделал штатными средствами: NT‑хэши, ключи AES, история паролей, сопоставление по имени и RID. Пользователи не меняют пароли и сразу входят по Kerberos AES. По сети с контроллера AD парольные данные HopeDC не забирает (DRSUAPI не используется) — осознанно.
SYSVOL контроллеров MS AD без агентов v182
HopeDC работает с файлами групповых политик прямо в SYSVOL контроллера AD по SMB (Kerberos или NTLMv2, только подписанный сеанс), как консоль GPMC; на контроллер ничего не устанавливается. Режимы: «только из AD в HopeDC» и двусторонний (правки панели записываются в AD с повышением версии политики). Изменения, сделанные одновременно в GPMC, распознаются как конфликт и решаются в панели («взять из AD» / «записать из HopeDC»). Синхронизация каждые 5 минут и сразу после правки. Документ 3.
Приём роли KDC
HopeDC становится авторитетным KDC домена с собственным krbtgt; Windows‑DC выводятся постепенно.
Проверка готовности и отключение
Показывает, кто не войдёт без Windows‑DC, какие DNS‑записи и доверия от него зависят, состояние SYSVOL; при отключении выполняется последняя синхронизация политик и выравнивание версий GPT.INI v181.
Linux в домене‑зеркале v181
Ввод Linux в домен‑зеркало, где роль KDC уже принята HopeDC: objectSid из AD, запись hopedc.<домен>, скрипт ввода через HopeDC.
Импорт из FreeIPA и LDAP v198
Пользователи, группы и хосты из FreeIPA (cn=accounts) или произвольного LDAP приводятся к модели AD: логин, UPN, POSIX‑атрибуты, членство, SID и NT‑хэш (при ipa‑adtrust), отключённые учётки; постраничная выгрузка, синхронизация изменений и удалений; пароли без NT‑хэша — проверкой в источнике при первом входе. Правила HBAC/sudo FreeIPA не переносятся. Проверено на 389‑DS со схемой FreeIPA.
Сосуществование
Доверия с AD, импорт и двусторонняя синхронизация сайтов, общий DNS; приложения и пользователи продолжают работать с прежними именами.
8. Кластер и отказоустойчивость
Возможность
Описание
Мульти‑мастер репликация
Все узлы принимают запись; репликация pull по HTTPS 9444 с TLS (доверие ЦС домена), общим секретом кластера, снимками для новых узлов и сверкой хэшей. Каталог, SYSVOL, DNS, настройки и блокировки учёток реплицируются вместе.
Автотопология по сайтам v178
Аналог KCC: узлы находят друг друга сами (достаточно одного пира‑«затравки»), сайт определяется по подсети; внутри сайта — полная сетка или кольцо с хордами, между сайтами — мосты по минимальному остовному дереву стоимостей связей; при отказе моста его роль переходит к следующему узлу. Ручной режим остаётся.
RODC — контроллер только для чтения v171–v177
Для филиалов без доверенного персонала: правки отклоняются, TGT подписывается персональным krbtgt RODC, пароли кэшируются только для разрешённых учёток. Секреты вырезает записываемый узел до отправки, общий секрет кластера на RODC не хранится.
Контроллеры: установка по SSH v188–v195
Раздел «Контроллеры» в главном меню и в рабочей области домена: доступ SSH к серверу по паролю или ключу, проверка, установка HopeDC с автоматическим сопряжением с кластером (региональный — токеном пары, полная реплика — общим секретом), обновление контроллеров по одному. Домены регионального контроллера выбираются из списка доменов сервера. Менять контроллеры могут только администраторы домена (Domain Admins), делегаты видят список. Корневой сервер в списке только для просмотра. Новый контроллер получает случайный пароль панели admin: он показывается один раз в журнале установки, на сервер попадает только bcrypt‑хэш. Доступ SSH хранится зашифрованным и наружу не отдаётся, ключ сервера закрепляется при первом входе.
Региональные серверы поддоменов
Сервер дочернего домена хранит только свой домен — ключи и учётки родителя к нему не реплицируются.
Обновление кластера одной кнопкой v176
Предпроверка всех узлов, затем по одному: передача пакета, установка, ожидание новой версии, проверка устойчивости; при сбое — остановка, остальные узлы не трогаются, автоматический откат на узле.
Контроль кластера
Состояние узлов и версий, журнал конфликтов правок, проверка согласованности, отказоустойчивость 2 ЦОД подтверждена нагрузочным тестом (Документ 13). Создание и обслуживание — Документ 7.
9. Безопасность платформы
Возможность
Описание
Шифрование данных на диске
База (каталог, хэши паролей, ключи Kerberos, SYSVOL), журналы репликации, служебные ключи и архивы бэкапов зашифрованы AES‑256‑GCM мастер‑ключом, который хранится вне каталога данных и не попадает в бэкап. Копия ключа выгружается под паролем (Argon2id), бэкап восстанавливается на другом сервере с перешифровкой.
Конфиденциальные атрибуты v158
Пароли LAPS, ключи BitLocker, данные TPM, пароли доверий, LSA‑секреты, gMSA по LDAP отдаются только администраторам домена объекта — их нет в выдаче, в фильтрах (защита от посимвольного подбора) и в Compare. Хэши паролей и ключи Kerberos не отдаются никому, даже полному администратору панели.
Сетевой доступ
Белый список адресов клиентов домена для LDAP/LDAPS/Kerberos/GC и отдельный список для панели — из интерфейса.
Изоляция доменов и лесов
Логическая изоляция лесов на одном сервере; защита от эскалации «снизу вверх» из поддомена.
Проверка «проверенной записи»
Компьютер может менять у себя только свои SPN и DNS‑имена — нельзя присвоить SPN чужой службы.
Подлинность лицензии v197
Ключ проверки лицензий вшит в сборку и не заменяется ни через API, ни файлом на сервере; сборка без настоящего ключа вендора не компилируется. Подписать лицензию чужим ключом невозможно.
Восстановление доступа администратора
Принудительная смена заводского пароля, сброс одноразовой ссылкой или — в закрытом контуре — офлайн‑токеном, привязанным к оборудованию.
Astra Linux SE
Работа при МКЦ, МРД и ЗПС: служба держит базу, журналы, ключ и бинарник под высокой меткой целостности — процесс с низким уровнем изменить их не может. Строгий режим ЗПС — после подписи сборки ключом ГК «Астра».
10. Журнал безопасности, мониторинг и API
Возможность
Описание
Журнал безопасности v164
Структурированные события: входы (Kerberos, NTLM, LDAP, панель), неудачные входы, блокировки, смены и сбросы паролей, изменения объектов и групп, действия в панели. Коды — как в журнале безопасности Windows (4624, 4625, 4740, 4768, 4771 …). Хранение на узле, поиск и фильтры в панели, выгрузка.
Выгрузка в SIEM v164
Syslog RFC 5424 по UDP, TCP или TLS в формате CEF или JSON — правила корреляции SIEM для AD работают без переделки. Запись не задерживает обработку запросов. Документ 16.
Метрики v164
/metrics в формате Prometheus: входы по протоколам (Kerberos, LDAP, NTLM, панель), операции LDAP, запросы DNS и API, изменения каталога, блокировки, события журнала и отправка в SIEM, память и диск узла; доступ по Bearer‑токену и списку адресов. Готовый шаблон Zabbix; подходят VictoriaMetrics и др.
Описание API v165
OpenAPI 3.0 (/api/openapi.json) для всех методов панели, с правами доступа по каждому методу — интеграция с ITSM, IDM и скриптами автоматизации.
Журналы службы
Текстовые журналы на русском или английском (язык задаётся при создании домена).
11. Инвентаризация компьютеров v179
Возможность
Описание
Сбор сведений
Linux — агент политик, Windows — сценарий HopeDC_Inventory.ps1, запускаемый от SYSTEM с входом учёткой компьютера (Kerberos, подпись и шифрование). Компьютер присылает сведения только о себе; отдельного порта не нужно.
Что собирается
ОС, версия и ядро, оборудование (модель, серийный номер, BIOS, процессор, память, диски и свободное место), сеть (IP и MAC), установленное ПО (имя, версия, издатель, дата установки).
Использование
Вкладка домена «Инвентаризация» v184 и карточка компьютера; поиск ПО по компьютерам домена; CSV; сведения хранятся на объекте компьютера и реплицируются.
12. Веб‑панель и разграничение доступа
Возможность
Описание
Веб‑панель
HTTPS 9443, без установки консолей на рабочие станции; обзор DC, домены и все их вкладки, службы, кластер, безопасность, обновления; русский и английский. Подтверждения и уведомления — в оформленных окнах панели, а не в системных окнах браузера v193.
Список доменов по лесам v196
Домены сгруппированы по лесам: корень леса, под ним поддомены и отдельные деревья с отступом. Столбец «Доверия» показывает, есть ли у домена доверительные отношения, с кем, в каком направлении и какие из них внутрилесные.
Начало работы
Чек‑лист первичной настройки с состоянием из реальных настроек сервера и пошаговые подсказки на страницах.
Учётки панели
Локальные учётки, доменные пользователи и доменные группы, сопоставленные с ролями; членство — в т.ч. по первичной группе; вход доменной учётки — доменным паролем, при необходимости с MFA.
Роли и права (RBAC)
Встроенные роли «Администратор» и «Только чтение» и свои роли; матрица прав повторяет меню и вкладки домена, включая корзину, инвентаризацию, журнал безопасности и политику MFA v184; права проверяет ядро для каждого запроса; защита от повышения привилегий (роль не может выдать больше, чем есть у создающего).
Делегирование по доменам
Администратор организации видит и меняет только свои домены, их корзину и журналы; контроллеры своего домена — только просматривает v195. Область проверяет ядро на каждом запросе.
13. Установка, обновление и резервное копирование
Возможность
Описание
Установка
Один бинарник и служба systemd; установщики для Linux и Astra (с метками МКЦ); присоединение узла к кластеру при установке. Документ 1.
Обновления из панели
Онлайн по манифесту (каналы stable/beta, обязательная проверка SHA‑256) или загрузкой файла для закрытого контура; проверка пакета, установка отдельной службой с копией прежней версии и автоматическим откатом; для кластера — обновление одной кнопкой (раздел 8).
Резервное копирование
Встроенное, по расписанию, зашифрованное; восстановление из панели или командной строки, в том числе на другом сервере.
Лицензирование
Редакции Free (без ключа), Standard и Enterprise (кластер); принятие лицензионного соглашения в панели; лицензия проверяется на месте вшитым ключом вендора v197; без телеметрии.
14. Производительность и ресурсы
Первичное нагрузочное тестирование по аналитической записке о замене метрокластера MS AD из 8 контроллеров (один домен, 582 тыс. объектов, два ЦОД) — Документ 13:
Сравнение с Samba AD DC 4.19 на одной виртуальной машине (2 vCPU, домен на 20 тыс. пользователей в каждом, 8 клиентов по LDAPS, два прогона по 30 с) v199:
Замер
Samba DC 4.19
HopeDC v199
Поиск по sAMAccountName на готовом соединении
6 520–6 840 оп/с
6 140–6 440 оп/с
Процессор сервера на один поиск
0,23 мс
0,20 мс
Сессия входа: TLS + bind + поиск + отключение
86–94 в секунду, p50 83–89 мс
700–742 в секунду, p50 10–11 мс
Процессор сервера на одну сессию
~20 мс
~1,4 мс
Память сервера (PSS)
1,5 ГБ на 21 тыс. объектов
0,7 ГБ на 40 тыс. объектов в 12 доменах
Загрузка 20 тыс. пользователей одним потоком LDAP
~60 в секунду
~1 100 в секунду
Поиск у обоих стоит одинаково; вход по LDAP у HopeDC в 8 раз быстрее и в 14 раз дешевле по процессору. Клиент нагрузки работал на той же машине, поэтому важнее соотношение, чем абсолютные значения. Инструмент замера — build/stand/bench в исходниках.
15. Ограничения и план развития
Чего в HopeDC пока нет
Сертификат ФСТЭК и запись в реестре российского ПО.
LAPS для Linux; второй фактор (TOTP) при входе в ОС; мандатные атрибуты пользователей для клиентов Astra (МРД); строгий режим ЗПС без подписи сборки ключом ГК «Астра».
PXE‑установка ОС, репозитории ПО, сервер печати, удалённый помощник — сознательно вне ядра контроллера; принтеры и пакеты раздаются политиками Linux, мониторинг — через Prometheus/Zabbix.
Перенос паролей по сети с контроллера AD (DRSUAPI) — не делается осознанно; пароли переносятся из выгрузки администратора или при первом входе.
Из FreeIPA не переносятся правила HBAC и sudo, группы хостов, DNS‑зоны, сертификаты Dogtag и OTP‑токены.
В плане проверки. SYSVOL контроллеров MS AD по SMB проверен с Samba AD; проверка с Windows Server (репликация DFSR на второй DC, домен с запретом NTLM) и сценарий инвентаризации на Windows Server — в работе. Постраничная синхронизация крупных доменов (v199) проверена на Samba AD; на MS AD заказчика её подтверждает скрипт check_ad_limits199.ps1. Импорт FreeIPA проверен на 389‑DS со схемой FreeIPA; права на чтение ipaNTHash и вход имя@REALM подтверждаются на живом сервере FreeIPA. Цифры производительности — результат первичного испытания; перед продуктивным внедрением их следует подтвердить на оборудовании заказчика.