HopeDC — SYSVOL контроллеров MS AD (без агента)

На контроллер MS AD ничего не устанавливается. HopeDC работает с общей папкой \\<контроллер>\SYSVOL так же, как консоль «Управление групповой политикой» (GPMC) с компьютера домена: по SMB, учётной записью синхронизации домена, с правами Windows. Агенты прежних версий (HTTP‑агент до v180 и HTTPS‑агент v180, порт 8027) больше не используются — если они установлены, удалите их (раздел 7).

1. Что это даёт

В домене‑зеркале (домен интегрирован с MS AD) Windows‑клиенты получают групповые политики с контроллеров AD: объект политики — по LDAP, файлы параметров — из SYSVOL контроллера. HopeDC подключается к той же папке и:

копирует файлы политик (Policies\{GUID}\…: Registry.pol, GptTmpl.inf, сценарии, XML настроек GPP и т. д.) — политики видны и редактируются в панели, а при отключении домена от AD SYSVOL уже перенесён в HopeDC;
записывает правки из редактора политик HopeDC в SYSVOL AD и выставляет версию в GPT.INI; версию и список расширений (versionNumber, gPC*ExtensionNames) объекта политики HopeDC записывает в AD по LDAP. Дальше файлы расходятся по остальным контроллерам AD штатной репликацией SYSVOL (DFSR);
создаёт папку политики (GPT.INI, Machine, User), когда политика создаётся в панели HopeDC.

	Без агента (v182)
Установка на контроллер	Не нужна: ни служб, ни задач, ни сертификатов, ни дополнительных портов.
Порт	Штатный SMB 445 от серверов HopeDC к контроллеру AD.
Вход	Kerberos с проверкой подлинности контроллера (имя DC — из сертификата LDAPS); если Kerberos недоступен — NTLMv2. Подпись SMB включена всегда; шифрование — если его требует контроллер.
Права	Штатные права Windows на SYSVOL и на объекты политик — те же, что у GPMC.
Аудит	Подключения и изменения видны в журналах контроллера AD (вход учётки синхронизации, доступ к файлам — если включён аудит файловой системы).

2. Требования

Домен интегрирован с MS AD (вкладка «Интеграция (AD/LDAP)»), на узле HopeDC сохранён пароль учётки синхронизации.
Порт 445/TCP от серверов HopeDC к контроллеру AD (адрес PDC из настроек интеграции). Для Kerberos — ещё 88 к тому же контроллеру (уже нужен для интеграции).
Только из AD в HopeDC: учётке синхронизации достаточно обычных прав доменного пользователя (SYSVOL читают все Authenticated Users).
Двусторонняя: учётке синхронизации нужны права на изменение политик — Domain Admins, или Group Policy Creator Owners (для созданных ею политик), или делегированное право «Изменение параметров» на нужные политики (GPMC → политика → «Делегирование»). Без них чтение работает, а запись завершается ошибкой «у учётки синхронизации нет прав…».

3. Включение

Домен → «Интеграция (AD/LDAP)» → карточка «SYSVOL контроллера MS AD». В ней показаны папка политик (\\<DC>\SYSVOL\<домен>\Policies) и учётка.
«Проверить доступ» — HopeDC входит в SYSVOL и сообщает способ входа (Kerberos/NTLMv2) и число политик.
Выберите режим (раздел 4), «Сохранить», затем «Синхронизировать сейчас».

Права: просмотр — integration.view, изменение — integration.edit. Режим хранится на объекте домена и реплицируется на все узлы кластера; синхронизацию ведёт один узел — тот, что держит аренду синхронизации домена с AD (при его отказе её берёт другой).

4. Режимы и как идёт синхронизация

Режим	AD → HopeDC	HopeDC → AD
Только из AD в HopeDC	Файлы всех политик домена копируются в SYSVOL HopeDC; изменения из GPMC подхватываются в течение 5 минут. Неизменившиеся файлы не перечитываются (сверка по размеру и времени изменения).	Нет. Правки в редакторе HopeDC заменяются версией из AD (редактор предупреждает).
Двусторонняя	Так же.	Правка политики в панели HopeDC (административные шаблоны, параметры безопасности, сценарии, настройки GPP, перенаправление папок и др.) записывается в SYSVOL AD через несколько секунд. Версия поднимается для изменённой части (компьютер/пользователь) от текущей версии в AD; `GPT.INI` и `versionNumber` объекта совпадают; список расширений объединяется с тем, что уже есть в AD (расширения, добавленные в GPMC, не теряются). Клиенты применяют изменения при следующем обновлении политик (`gpupdate`).

Политика, созданная в панели HopeDC в двустороннем режиме, создаётся в AD (объект) и в SYSVOL AD (папка). Её папка получает права, унаследованные от папки Policies (как у политик, созданных копированием); GPMC может предложить привести права SYSVOL в соответствие с правами объекта — это безопасно. Удалять политики по‑прежнему лучше в GPMC.

Состояние сверки хранится на объекте политики в HopeDC и реплицируется: если узел, который вёл синхронизацию, выбыл, другой продолжит без повторной загрузки.

5. Конфликты с правками в GPMC

Если одну и ту же политику после последней сверки изменили и в GPMC, и в HopeDC, HopeDC ничего не перезаписывает: политика получает состояние «конфликт» со списком расходящихся файлов, остальные политики синхронизируются как обычно. Запись каждого файла идёт с проверкой «в AD лежит тот же файл, что видел HopeDC» — изменение в GPMC в момент записи тоже даёт конфликт, а не потерю правки. Решение — в таблице карточки:

«Взять из AD» — правки HopeDC отбрасываются, копия обновляется из AD;
«Записать из HopeDC» (только в двустороннем режиме) — версия HopeDC записывается в AD поверх изменений GPMC, версия политики поднимается.

Решение пишется в журнал HopeDC с именем администратора.

6. Эксплуатация и диагностика

Где смотреть	Что
Карточка «SYSVOL контроллера MS AD»	Способ входа, время и итог последней синхронизации (узел, файлов из AD/в AD, конфликты), состояние каждой политики.
HopeDC: «Логирование»	Строки `📥 SYSVOL MS AD → HopeDC`, `📤 SYSVOL HopeDC → MS AD`, `SYSVOL MS AD`.
Контроллер AD: журнал «Безопасность»	Вход учётки синхронизации по сети (4624, тип 3), доступ к файлам SYSVOL (5145 — если включён аудит общих папок).

Сообщение	Причина и действие
«подключение к SMB 445: …»	Порт 445 закрыт между HopeDC и контроллером AD или контроллер выключен.
«вход Kerberos: …; вход NTLM: … неверный пароль … или вход по NTLM запрещён»	Проверьте пароль учётки синхронизации на вкладке интеграции. Если в домене запрещён NTLM, нужен Kerberos: у интеграции должно быть известно имя контроллера (берётся из сертификата LDAPS — включите LDAPS), порт 88 открыт, часы совпадают.
«… нет прав на это действие в SYSVOL»	Двусторонний режим без прав на изменение политик — дайте права (раздел 2) или используйте режим «Только из AD».
«файлы записаны, но версия объекта в AD не обновлена»	У учётки нет права записи в объект политики в AD — то же право «Изменение параметров».
«сеанс без подписи — отклонён»	Контроллер не согласовал подпись SMB — HopeDC не работает без неё. Проверьте политику «Сервер сети Microsoft: использовать цифровую подпись».

7. Удаление агента прежних версий

Если на контроллере AD установлен агент HopeDC (HTTP‑агент до v180 на порту 8027 или HTTPS‑агент v180 HopeDC_SysvolAgent.ps1), удалите его — он больше не используется:

powershell -ExecutionPolicy Bypass -File HopeDC_SysvolAgent.ps1

Скрипт из папки C:\HopeDC\windows-agent v182 только удаляет следы агента: задачу «HopeDC SYSVOL Agent», привязку сертификата к порту 8027, правило брандмауэра, сертификат и настройки в %ProgramData%\HopeDC. Агент до v180 удаляется вручную: остановите задачу/службу, которая запускала hopedc-agent.ps1, удалите файл и выполните netsh http delete urlacl url=http://+:8027/. Настройки агента v180 в HopeDC снимаются при сохранении режима в карточке.

Проверено на стенде HopeDC v182 (кластер HopeDC + Samba AD в роли MS AD): вход Kerberos (и NTLMv2) с подписью SMB; копирование политик из AD; запись правок административных шаблонов (компьютер и пользователь) и параметров безопасности (GptTmpl.inf во вложенных папках) с версией в GPT.INI и в AD и объединением расширений; создание политики из HopeDC; подхват правок «из GPMC»; конфликт и оба варианта решения; учётка без прав — чтение есть, запись отклоняется; отключение от AD с последней синхронизацией и раздача политик по SMB из HopeDC после отключения. С контроллером Windows Server на стенде не проверялось — проверьте режим «Только из AD» и одну правку в двустороннем режиме на тестовом домене.

SYSVOL контроллеров MS AD — без агента