Руководство пользователя

Содержание

1. Что такое HopeDC

HopeDC — контроллер домена для Linux, который Windows- и Linux-клиенты принимают за Active Directory. Он умеет вести собственные домены и встать рядом с действующим MS AD, чтобы потом мягко его заменить. В одном процессе работают LDAP и глобальный каталог, Kerberos KDC и kpasswd, DNS, DHCP, NTP, SMB для SYSVOL, MS-RPC для ввода Windows, центр сертификации и веб-панель. Внешней СУБД нет: каталог хранится во встроенном хранилище, зашифрованном AES-256-GCM.

Устанавливается одним исполняемым файлом и службой systemd на любой Linux x86-64 с glibc 2.30 и новее. Веб-панель встроена в бинарник. Весь порядок работы — ниже.

2. Установка

2.1. Что нужно

2.2. Установка на сервер

Скопируйте пакет и установщик на сервер и запустите от root:

scp hopedc-core_v204.gz install_hopedc.sh astra@10.0.0.21:/tmp/
ssh astra@10.0.0.21
sudo bash /tmp/install_hopedc.sh

Установщик выполняет 10 шагов: проверяет пакет и подпись сборки, версию glibc, режим (первая установка или обновление), создаёт пользователя службы и каталоги, ставит бинарник и службу systemd, открывает порты, включает установщик обновлений из панели и запускает службу. Полный список параметров — в документе «Установка». Пакет с нарушенной подписью сборки установщик не поставит; при неудачном обновлении вернёт прежнюю версию.

Запомните последние строки: адрес панели и пароль первого входа учётки admin. Пароль лежит и в файле /var/lib/hopedc/initial_admin_password.txt — он удалится, когда вы смените пароль. Параметры задаются переменными перед командой: sudo ADMIN_PORT=8443 TLS_NAMES=dc01.corp.local bash install_hopedc.sh.

2.3. Что появилось на сервере

Проверить, что служба жива: systemctl status hopedc или curl -k https://<сервер>:9443/api/health (ответ ok).

3. Первый вход в панель

Откройте в браузере https://<сервер>:9443/. Сертификат по умолчанию самоподписанный — браузер покажет предупреждение; подтвердите переход или поставьте сертификат своего ЦС.

Шаг 1. Вход

Учётка — admin, пароль — из вывода установщика. Язык переключается кнопками RU / EN, тема — светлая / тёмная / как в системе (в шапке). Тема и язык запоминаются у каждой учётки.

Шаг 2. Смена пароля

Начальный пароль действует только для первого входа — панель сразу просит задать свой, остальные разделы до этого закрыты. Требования: не короче 10 символов, три вида символов из четырёх, отличается от текущего.

Шаг 3. Лицензионное соглашение

Прочитайте соглашение и нажмите «Принимаю». Принять может только администратор.

Шаг 4. «Начало работы»

После входа открывается путеводитель «Начало работы» — список обязательных пунктов настройки. Выполнение каждого проверяется автоматически, кнопка «Перейти» ведёт в нужный раздел, прогресс виден в шапке. Кнопка ? повторяет подсказки текущей страницы.

4. Как устроена панель

«Обзор DC» — стартовый экран: число доменов, DNS-записей, аренд DHCP, пользователей и ПК, тариф и список доменов. Слева — меню, сгруппированное по областям; справа сверху — «Начало работы», подсказки, переключатели темы и языка, внизу меню — учётка и выход.

Работа с конкретным доменом открывается из раздела «Домены» кнопкой «Управлять» — появляется панель домена со своим меню (раздел 6). Набор разделов зависит от роли: если у роли нет прав менять данные, в заголовке написано «Только просмотр».

5. Создание и импорт домена (MS AD / Samba DC)

Порядок действий такой:

1. создать свой домен или подключить существующий (MS AD / Samba DC / FreeIPA / LDAP);
2. сохранить копию мастер-ключа вне сервера;
3. включить службу времени (NTP) и DNS-пересылку;
4. создать центр сертификации домена;
5. ввести клиенты (Windows — мастером, Linux — скриптом из панели, см. «Ввод Linux в домен»).

5.1. Создать свой домен

Раздел «Домены» → «Добавить домен». Укажите FQDN (например corp.local) — за минуту создаётся структура AD, встроенные группы, Default Domain Policy, DNS-зоны и свой центр сертификации. Домен сразу готов к вводу Windows и Linux.

5.2. Импорт существующего домена

Раздел «Домены» → «Подключить каталог» (мастер из четырёх шагов: Целевой домен → Учётные данные → Репликация → Готово). На первом шаге выберите тип источника.

Шаги мастера:

1. Целевой домен. Тип источника (MS AD / Samba), FQDN домена, IP контроллера (PDC) и защищённое соединение (LDAPS) — HopeDC работает с AD только по LDAPS с проверкой сертификата, без отката на открытый LDAP.
2. Учётные данные. Учётка синхронизации (в AD с правами на чтение каталога; для двустороннего режима SYSVOL — с правами на изменение политик). Пароль хранится на сервере, в панель не возвращается.
3. Репликация. HopeDC поднимает зеркало: читает объекты AD по LDAPS и приводит их к своей модели. Идентичность переносится настоящая (objectGUID, objectSid) — на них держатся права файловых серверов. Хэши паролей по сети из AD не тянутся (без DCSync): либо проверка в AD при первом входе пользователя (pass-through), либо выгрузка парольного материала администратором AD штатными средствами.
4. Готово. Домен появляется в списке; дальше идёт перенос политик и приём роли.

5.3. Как отображается импортированный MS AD

После подключения домен появляется в списке «Домены» как отдельный лес MS AD (интеграция) со статусом «Интегрирован» и кнопкой «Принять роль KDC» (см. рисунок выше). В шапке панели такого домена появляется признак «PDC Emulator».

Объекты импортированного домена выглядят как в настоящем AD: встроенные группы (Domain Admins, Enterprise Admins, Schema Admins…), контейнеры Users/Computers/Builtin и перенесённые подразделения (OU). Идентичность (objectGUID, objectSid, sAMAccountName, userPrincipalName) переносится настоящая.

Состояние интеграции — в разделе «Интеграция (AD/LDAP)» панели домена: контроллер-источник (PDC), учётка репликации, параметры подключения (IP, LDAPS, интервал), сертификат LDAPS, кнопки «Синхронизировать сейчас» и «Мастер интеграции». Перед приёмом роли KDC проверка готовности показывает, кто не войдёт без Windows-DC, какие DNS-записи и доверия от него зависят и в каком состоянии SYSVOL. После приёма роли HopeDC сам выдаёт билеты Kerberos, и Windows-DC можно отключать.

6. Работа с разделами домена

Панель домена открывается кнопкой «Управлять» в разделе «Домены». Слева — меню домена; ниже разобран каждый раздел.

6.1. Структура домена

Дерево OU и объектов. Кнопка «Создать объект» добавляет пользователя, группу, компьютер или OU. Двойной щелчок по объекту открывает карточку (вкладки «Общие», «Член групп», «Объект», «Безопасность», «Редактор атрибутов»). Поиск и фильтр по типу — сверху.

Щелчок по контейнеру (например «Users») или OU в дереве открывает его объекты справа — пользователей, группы и компьютеры.

6.2. Групповые политики (Windows)

Раздел «Групповые политики» управляет объектами GPO для Windows-компьютеров и пользователей — как оснастка GPMC, но прямо в панели. Две вкладки: Объекты GPO (список политик с GUID, статусом, WMI-фильтром и датой изменения) и Связи (Links) (к каким доменам и OU привязана политика). Кнопка «Создать GPO» заводит новую политику; «Редактировать» открывает редактор настроек.

Редактор настроек повторяет привычное дерево GPMC — Конфигурация компьютера и Конфигурация пользователя, внутри: «Конфигурация Windows», «Administrative Templates» (Компоненты Windows, Меню «Пуск» и панель задач, Панель управления, Сеть, Система…) и «Настройка (Preferences)». Создавать и менять политику можно здесь или в привычной консоли GPMC — изменения расходятся через SYSVOL контроллера. HopeDC поддерживает пароли и блокировку, Kerberos, расширенный аудит, сценарии, перенаправление папок, принтеры, QoS, NRPT и реестр.

Подробнее о групповых политиках Windows и работе с интегрированным MS AD — в документе «Групповые политики Windows и MS AD».

6.3. Политики Linux

Раздел «Политики Linux» управляет Linux-парком так же, как GPO управляют Windows. Sudo-правила читает штатный SSSD, остальное применяет агент hopedc-agent по LDAPS. Раздел состоит из семи вкладок:

Подробнее о политиках Linux и работе агента — в документе «Политики для Linux».

6.4. Политика паролей

Требования к паролям по ФСТЭК: длина, сложность, алфавит, история, срок, словарь запрещённых паролей (встроенный и свой), «сменить при следующем входе», а также политики для групп (как PSO в AD). Заготовки «AD» и «ФСТЭК, классы 1–3», значок соответствия, проверка пробного пароля.

6.5. Сетевые службы домена

В панели домена есть свои вкладки DNS-сервер (зоны, записи, динамические обновления, условная пересылка), DHCP-сервер (пулы, аренды, резервирования) и Центр сертификации (выпуск и отзыв сертификатов, шаблоны, корневой ЦС).

6.5.1. Центр сертификации (PKI)

Раздел «Центр сертификации» — встроенный удостоверяющий центр домена (аналог AD CS). Он выпускает и отзывает сертификаты для контроллеров, веб-служб, пользователей и смарт-карт, а адреса публикации CRL/AIA вписываются в каждый сертификат автоматически. Раздел разбит на пять вкладок:

6.6. Доверия (Trusts)

Раздел «Доверие (Trusts)» задаёт доверительные отношения с другими доменами и лесами — так пользователи одного домена получают доступ к ресурсам другого. Кнопка «Создать доверие» заводит доверие вручную, «Импорт из AD» переносит уже существующие доверия из интегрированного MS AD. Для каждого доверия в таблице видны:

• Направление — входящее, исходящее или двустороннее;
• Тип — AD (uplevel), downlevel (NT) или Realm (MIT Kerberos);
• Транзитивность — транзитивное (в т. ч. FOREST — лесное) или нет;
• Защита — бейджи «SID-фильтр» (SID filtering), «Карантин» и «Выборочная» (selective authentication);
• DC партнёра — контроллер домена-партнёра.

Ключи самих доверий (и ключи krbtgt, служебных учёток) с плановой сменой — в соседнем разделе «Ключи Kerberos».

6.7. Сайты и службы

Раздел «Сайты и службы» описывает физическую топологию: сайты (площадки), подсети (привязаны к сайтам), серверы и связи сайтов (site links) с параметрами репликации — стоимость (cost) и интервал. Слева дерево Sites / Subnets / Inter-Site Transports (IP, SMTP), справа — обзор топологии и таблица репликации site-to-site.

6.8. Инвентаризация

Раздел «Инвентаризация» собирает сведения о компьютерах: оборудование, ОС, диски, сеть и установленные программы. Данные присылают агент HopeDC для Linux и скрипт для Windows. Три вкладки: Компьютеры (таблица с фильтрами «С данными», «Без данных», «Устарели», «Мало места» и выгрузкой в CSV), Поиск ПО (где и какой версии установлена программа по всему парку) и Подключение (как подключить машину к инвентаризации).

Щелчок по компьютеру открывает карточку с вкладками Обзор (система, оборудование, диски с заполненностью, сеть), Программы и Обновления.

6.9. Корзина

Раздел «Корзина» хранит удалённые объекты домена (учётки, группы, подразделения, компьютеры) в течение срока хранения (по умолчанию 180 дней). Для каждого объекта видны тип, дата удаления, когда он будет очищен, и исходное место. Кнопка «Восстановить» возвращает объект (с прежним SID и членством), «Удалить навсегда» — очищает досрочно.

При восстановлении предлагается выбор: вернуть объект в исходное место (откуда он был удалён) или в другое подразделение.

7. Сетевые службы

На уровне сервера есть разделы DNS-сервер, DHCP-сервер и NTP-сервер (меню «Службы»). NTP важен в первую очередь: Kerberos требует расхождение часов не более 5 минут. Включите службу NTP, иерархию времени в кластере и подпись MS-SNTP для клиентов Windows; внешние источники времени задаются там же.

8. Безопасность

8.1. Учётные записи и роли

Доступом к самой панели управляют два раздела меню «Безопасность»: «Роли и права» (какие права бывают) и «Учётные записи» (кому они выданы).

Шаг 1. Создать роль. В разделе «Роли и права» кнопка «Создать роль» открывает матрицу прав: по каждому разделу меню — галочки «Чтение» и «Редактирование». Так собирается роль под задачу, например «Оператор служб» (DNS/DHCP/NTP без доступа к учёткам) или «Оператор helpdesk» (сброс паролей). Встроенные роли «Администратор» (полный доступ) и «Только чтение» менять нельзя.

Шаг 2. Назначить роль пользователю. В разделе «Учётные записи» собраны те, кто входит в панель, — локальные учётки и доменные пользователи/группы. Кнопка «Создать пользователя» добавляет учётку и сразу задаёт ей роль; у уже существующей роль меняется прямо в таблице — выпадающим списком в столбце «Роль доступа».

8.2. Двухфакторная аутентификация (MFA)

Код из приложения (TOTP) при входе в панель и при LDAP-привязке приложений. Вход в ОС (Kerberos/NTLM) не затрагивается. Политику можно требовать для администраторов, отдельных учёток и групп; для сервисных учёток приложений — исключения.

8.3. Сетевой доступ и журнал безопасности

Сетевой доступ — ограничение доступа к панели по IP и к домену по LDAP/LDAPS. Журнал безопасности — входы, блокировки, изменения каталога и действия в панели с кодами событий Windows и выгрузкой в SIEM (Prometheus, Zabbix).

8.4. Лицензия

Раздел «Лицензия» показывает текущий тариф и лимиты (интегрированные домены, пользователи+компьютеры, доверия), отпечаток экземпляра и статус целостности сборки (подпись вендора). Кнопка «Сравнить версии» открывает таблицу тарифов.

Ниже на странице — Лицензионное соглашение (кто и когда принял), Онлайн-активация (HopeDC сам обращается к серверу лицензий по своему отпечатку) и поле Ключ лицензии для офлайн-установки ключа; подпись ключа проверяется вшитым в сборку ключом вендора.

8.5. Резервное копирование

Раздел «Резервное копирование» делает копии базы, настроек и лицензии (всё шифруется AES-256-GCM тем же мастер-ключом, что и данные на диске). Три вкладки:

9. Отказоустойчивость

9.1. Контроллеры

Раздел «Контроллеры» — серверы, на которые HopeDC ставится и обновляется по SSH прямо из панели. Виден сам узел и добавленные контроллеры с их состоянием (ОС, версия, доступность).

Как добавить контроллер. Кнопка «Добавить контроллер» открывает форму доступа по SSH:

• Имя и адрес сервера (IP или DNS-имя), порт SSH;
• Роль — «Региональный контроллер домена» (держит только выбранные домены) или «Полная реплика всех доменов»;
• Домены — какие домены разместить на узле;
• Пользователь SSH и вход — по паролю или по ключу.

Доступ хранится зашифрованным и в панели не показывается. После сохранения HopeDC подключается к серверу, ставит ядро и вводит узел в репликацию.

9.2. Кластер и топология

Кластер (HA) — мульти-мастер репликация каталога и DNS, узлы и связи, разрешение конфликтов, контроллеры только для чтения (RODC) для филиалов. Топология — карта репликации по сайтам.

10. Обслуживание

Обновления — установка новой версии из панели с автоматическим откатом; кластер обновляется по одному узлу. Журналы — просмотр и скачивание журнала службы. Каталог шаблонов — готовые шаблоны политик Linux (поиск, наборы, импорт/экспорт JSON). Описание API — все методы панели (OpenAPI) с правами для автоматизации.