Практика российского стека

🛡 Granulex Recovery теперь доступен для РОСА Dynamic Directory

НТЦ ИТ РОСА и «МД Информационные Системы» сообщили о доступности Granulex Recovery 2.5.0 для корпоративной службы каталога Dynamic Directory:

Для рынка это не просто ещё одна отметка совместимости: российский стек взрослеет не только на уровне базовых компонентов, но и на уровне эксплуатационной устойчивости.

Служба каталога – один из самых чувствительных элементов инфраструктуры. И когда с каталогом что-то идёт не так, последствия быстро выходят за пределы ИТ.

⚠️ Из прессрелиза: в версии Granulex Recovery 2.5.0 для Dynamic Directory появились:

✅ Автоочистка хранилища от старых бэкапов
✅ Проверка целостности копий
✅ Работа с DNS-записями
✅ Расширенные сценарии для компьютеров, HBAC, SUDO и политик паролей

🔧 Российский стек становится зрелым не тогда, когда в нём просто появляется ещё один каталог. Зрелость начинается, когда вокруг каталога формируется эксплуатационный контур: резервное копирование, контроль изменений и возможность исправить локальную ошибку без полного отката инфраструктуры.

Для администратора это сокращает путь от симптома «у пользователей пропал доступ» до понимания, что именно изменилось. Для руководителя – снижает риск превращения локальной ошибки в остановку целого подразделения.

Канал в MAX | Связаться с редакцией / предложить тему / обсудить гостевой материал: @mixerland1 |

#ПрактикаРоссийскогоСтека #LDAP #Granulex

Последовательность внедрения

📊 Покупать «лишь бы российское» уже недостаточно

Наконец посчитали российский ИТ-рынок за 2025 год: он вырос на 13% и превысил 4 трлн рублей. Быстрее всего росли ПО и ИТ-услуги, а главным двигателем осталось импортозамещение.

Но 13% роста – это не только новые проекты. Часть динамики обеспечил рост цен, а не только новые проекты. Поэтому масштаб рынка сам по себе ещё не означает, что заказчики готовы покупать любое отечественное решение.

Бюджеты сжались. Большие программы дробят на этапы. От проектов всё чаще требуют понятной архитектуры, подтверждённой совместимости, расчёта совокупной стоимости владения и измеримого практического эффекта.

Это говорит о взрослении рынка.

Несколько лет назад основной вопрос звучал так: «Чем срочно заменить зарубежный продукт?»

❓ Теперь вопросы другие:

📌 Как решение встроится в существующую инфраструктуру?
📌 Кто будет отвечать за сопровождение при сбоях и обновлениях?
📌 Как система восстанавливается после ошибки?
📌 Можно ли масштабировать внедрение без роста операционных рисков?

Стоимость проекта определяется не только ценой лицензии. Лицензия – это лишь входной билет.

Дальше начинаются интеграция, тестирование, обучение команды, сопровождение разнородного стека, костыли, а возможно, и простои – плюс цена неудачного восстановления.

Особенно хорошо это видно на службах каталогов. Перенести пользователей и группы в новый Linux-каталог недостаточно. Нужно заранее проверить:

🔹 Резервное копирование, полное и точечное восстановление
🔹 Права доступа и репликацию
🔹 Мониторинг и порядок действий после ошибочных изменений

Иначе есть риск повторения истории, когда всех сотрудников перевели в новый офис, но забыли проверить, работает ли туалет.

📌 Подытожим

Рост – это не только больше российского софта. Это переход от срочной замены к промышленной эксплуатации.

В этой фазе выигрывает не проект, который просто закрывает формальное требование, а проект, в котором заранее понятны совместимость, зоны ответственности, сценарии восстановления и стоимость ошибки.

Канал в MAX | Связаться с редакцией / предложить тему / обсудить гостевой материал: @mixerland1 |

#ДляРуководителя #ИТинфраструктура #импортозамещение

Будни импортозамещения

👋 У кошки – девять жизней. У Astra Linux – девять лет

«Группа Астра» предложила модель долговременной поддержки для Astra Linux Desktop. Теперь компании, использующие Astra Linux, могут ровно сидеть на одном месте и ничего не делать целых девять лет сами планировать переход на новую версию и не переживать, что поддержку старой версии ОС внезапно прекратят.

Но это не для всех

Жизненный цикл ОС разделён на три этапа по три года: активное развитие, ограниченное сопровождение и долгосрочная поддержка (Long-Term Support, или LTS). И вот на третьем этапе критические проблемы безопасности продолжают исправлять только для пользователей привилегированной технической поддержки. В этом есть своя логика: продлённая поддержка требует от вендора отдельных ресурсов, а для критичной инфраструктуры такая страховка может оказаться гораздо дешевле спешного обновления.

🔧Разберёмся, кто на деле задаёт график обновления: вендор или компания-заказчик

Быстро перейти на новую версию получается не всегда. Мешают кастомное ПО, нестандартное оборудование, сложные интеграции и необходимость повторно подтверждать защищённость аттестованных систем. Массовое обновление рабочих мест также приходится увязывать с бюджетом, готовностью смежного ПО и другими инфраструктурными проектами.

Девятилетний цикл даёт бизнесу больше пространства для манёвра. Можно не обновлять критичный контур только потому, что подошла формальная дата, а нормально подготовить переход: проверить совместимость, провести испытания, выбрать окно и заложить бюджет.

То есть этот срок даётся не для того, чтобы до последнего ездить на старом лифте с табличкой «иногда застревает», а чтобы выбрать новый, проверить его и не заставлять весь офис ходить по лестнице.

⚠️ LTS – не разрешение заморозить инфраструктуру на девять лет. Это дополнительное время для управляемой модернизации

Чем дольше живёт версия ОС, тем внимательнее нужно следить за зависимостями:

✅ Поддерживаются ли нужные версии прикладного ПО
✅ Совместимы ли средства защиты и агенты мониторинга
✅ Можно ли откатить неудачное обновление
✅ Проверено ли восстановление из резервной копии и точечное восстановление
✅ Есть ли рабочий план перехода, а не только дата в дорожной карте

🗂 Если в инфраструктуре вместе с ОС Astra Linux используется служба каталога ALD Pro из экосистемы «Группы Астра», вопрос перехода ещё чувствительнее. ОС, LDAP, Kerberos, DNS, интеграции, резервное копирование и гранулярное восстановление должны обновляться согласованно.
Один забытый компонент на старой версии может испортить весь аккуратно составленный план.

Главная ценность долгой поддержки не в том, что девять лет можно ничего не делать. Она в том, что инфраструктуру можно менять тогда, когда команда действительно готова.

LTS не отменяет переход на новую версию, а позволяет подготовить его без спешки и лишнего риска

Канал в MAX

#БудниИмпортозамещения #AstraLinux #Импортозамещение #ALDPro

Практика российского стека

💰 Приставы потратят миллиард

И потратят они его не на золотые наручники, а на цифровую независимость. 846,9 млн рублей – именно столько ФССП закладывает на импортозамещение своей «серверной» – точнее, вычислительной инфраструктуры ЦОД и центрального аппарата.

🚨 Меняют всё, что болит:

🟣 VMware → «Ред Виртуализация»
🟣 NetBackup → «Кибер Бэкап»
🟣 DX Infrastructure Manager → «Центральный пульт»

Параллельно закупают системы хранения, серверы, память и модули расширения.

Сами понимаете: живую инфраструктуру нельзя просто выключить в пятницу вечером, а в понедельник включить уже «всё наше, родное».

А заказчик требует, чтобы после миграции всё работало как часы: и бэкапы, и антивирус, и сеть. Мониторинг должен охватывать (!) до тысячи объектов по всей стране. Иначе представьте: приставы не увидят, что сервер упал, и мы все останемся без... ну, без важных бумажек.

Поэтому почти миллиард – это не только стоимость ПО и оборудования. В стоимость таких проектов входят обследование инфраструктуры, карта зависимостей, план и методика миграции, пусконаладка, перенос открытого и закрытого контуров, проверка высокой доступности, сохранение и проверка связей между системами.

🧩 Интересная деталь:

В тендере четко прописана закупка модулей расширения исключительно для дисковых массивов Lenovo ThinkSystem – без возможности заменить их эквивалентом, потому что требуется полная совместимость.

Таковы реалии импортозамещения. Операция на сердце работающей инфраструктуры. Старое и новое будут жить рядом какое-то время, как соседи в коммуналке. Отечественный стек будет постепенно встраиваться в существующее оборудование, сетевые связи, политики защиты и процессы эксплуатации.

Для службы каталога логика та же. Даже если в заголовке проекта фигурируют виртуализация, бэкап и мониторинг, зависимость инфраструктуры от аутентификации и прав доступа никуда не исчезнет.

После переноса пользователи и администраторы должны сохранить доступ, служебные учётные записи – продолжить работать, DNS и Kerberos – корректно выполнять свои функции, а резервные копии – создаваться по расписанию.

📌 Практическая истина:

Считаем миграцию не по числу купленных лицензий, а по количеству проверенных зависимостей и сценариев восстановления.

Установили – ещё не значит мигрировали. Мигрировали – ещё не значит обеспечили устойчивость.

Канал в MAX

#ПрактикаРоссийскогоСтека #Импортозамещение #ИТинфраструктура

Последовательность внедрения

🎓 Linux со школьной скамьи

Импортозамещение всё увереннее заходит в школы и вузы. Хотя, по-хорошему, именно отсюда оно и должно было начинаться.

😓 Помните, как в первый раз ставили программу на Linux? И это заняло полдня. Многие уже прочувствовали стресс перехода с привычных Windows или macOS после долгих лет работы. Даже когда новая система решает все задачи, первое время она кажется чужой. И этот дискомфорт легко принять за недостаток самой платформы.

💻 Но если ребёнок с первых уроков информатики работает в Linux, для него это не «альтернативная ОС» и не вынужденная замена. Это обычная среда, в которой он учится, пишет код, готовит презентации и монтирует видео.

Внедрение Linux в школах решает две задачи сразу: импортозамещение плюс выращивание кадров без стресса.

👨‍💻 Уже сейчас компаниям нужны не только российские операционные системы, но и люди, которые умеют с ними работать без страха и раздражения. Таких специалистов проще вырастить со школьной скамьи, чем переучивать.

Кто-то из сегодняшних школьников станет разработчиком, специалистом по ИБ или Linux-администратором. Командная строка, права доступа и установка пакетов уже не будут казаться ему чем-то чужим. Будущим администраторам не придётся с нуля объяснять, зачем LDAP-каталогу нужны не только бэкапы, но и гранулярное восстановление.

🧩 В эту логику хорошо вписывается новая РЕД ОС Образовательная редакция 8.0.3. Это не урезанная система «только для уроков». На ней можно собрать проект по робототехнике, нарисовать 3D-модель и написать первую игру на Python. Для менее производительных компьютеров предусмотрено лёгкое рабочее окружение. Это особенно важно для школ, где парк техники обновляется постепенно.

Система не ограничивается компьютером ученика. В редакции есть серверная конфигурация для хранения и обработки данных, электронных дневников и учебного учёта. РЕД ОС можно использовать на рабочих компьютерах, серверах и интерактивных досках.

🚀 Получается последовательность длиной в целое поколение:

школьный компьютер → колледж или вуз → первая работа → отечественная ИТ-инфраструктура.

Пока одни спорят, когда переходить на Linux, другие уже пишут на нём свой первый код. Прямо сейчас, за школьной партой.

Канал в MAX

#РЕДОС #ШколаБудущего #российскийИТ #Linux #образование

Практика российского стека

🇷🇺 Больше не ищем «убийцу Excel»

Рынок созрел. Если ещё вчера импортозамещение сводилось к поиску крупной замены – отечественной ОС или СУБД, – то сейчас в Реестр ПО стали залетать решения, которые закрывают не «всё», а конкретную боль. Рассмотрим сразу три новинки, которые вошли в реестр за последние дни:

📊 «Форсайт. Умные таблицы»
Никакой магии. Просто Excel на Astra Linux. Ну почти. Привычный инструмент для работы с таблицами и аналитикой. Поддерживает XLSX и ODS, работает на Astra Linux и РЕД ОС.

🛡 Xello Datacube
Модель Zero Trust. Сотрудник видит данные, но не может их слить – ни в мессенджер, ни на флешку. Безопасность зашита в самой архитектуре. Для компаний, где утечка знаний – реальный риск, просто огонь.

💼«1С:Бухгалтерия лизинговой компании КОРП»
Совсем специализированная история. Подогнали под ФСБУ 25/2018 и расчеты параметров сделок. Не «1С для всех», а шило под конкретный бизнес.

Суть тренда

Импортозамещение теперь – это конструктор Lego. Не пересаживаете бухгалтерию на Linux ради самой идеи. А меняете по одному процессу там, где российский софт уже справляется лучше привычного. Или хотя бы не хуже.

Канал в MAX

#практика_российского_стека #импортозамещение #инфраструктура

Новости

Avanpost DS Pro + Granulex Recovery

В российском Linux-стеке становится на одну связку больше: Avanpost DS Pro теперь официально совместим с Granulex Recovery.

🚀 Первый релиз
14 августа вышел первый официальный релиз Granulex Recovery для Avanpost DS, версии 1.5.0. Продукт уже доступен для скачивания на сайте Granulex.

Avanpost DS стал шестым каталогом в линейке Granulex Recovery. До него решение поддерживало ALD Pro, РЕД АДМ, Альт Домен, РОСА DC и FreeIPA.

Для каталога решение является страховочным батутом благодаря возможности точечно исправлять нежелательные изменения. Вплоть до одного объекта, включая связанные,  и даже одного атрибута.

Например, в результате сбоя, ошибки скрипта или внешнего воздействия могут быть удалены группы, изменены атрибуты пользователей или внесены некорректные данные массовой операцией – всё это можно исправить без полного отката.

Если каталог при этом продолжает работать, восстанавливать всю базу целиком не всегда имеет смысл.

📦 Что поддерживается
Полноценно поддерживаются четыре типа объектов:

🔹 пользователи
🔹 группы
🔹 компьютеры
🔹 подразделения

В версии 1.5.0 появились дополнительные механизмы контроля резервных копий: автоматическое удаление старых копий по сроку хранения и проверка целостности по контрольной сумме.

🔮 Что дальше
В следующем релизе для Avanpost DS запланирована поддержка восстановления групповых политик, правил HBAC и SUDO, политик паролей, а также объектов и записей DNS.
Таким образом, функциональность Granulex Recovery для Avanpost DS постепенно выходит на уровень, сопоставимый с версией для ALD Pro.

⏰ Критически важно
По данным тестирования, точечное восстановление объектов занимает порядка 2–5 минут. Полное восстановление с помощью средств резервного копирования (СРК) может занимать часы или дни.

🛡 Регуляторный контекст
Приказ №117 ФСТЭК требует обеспечить восстановление значимых функций в установленные сроки (для 1-го класса — до 24 часов, для 2-го — до 7 дней, для 3-го — до 4 недель). Гранулярное восстановление с помощью Granulex Recovery позволяет значительно сократить время исправления локальных ошибок и в таких сценариях помогает уложиться в установленные сроки восстановления, без полного отката каталога.

🇷🇺 Интеграция с Avanpost DS Pro важна и для развития российского стека — вокруг каталога формируется полноценный набор инструментов для эксплуатации, резервного копирования и восстановления.

Канал в MAX

#Granulex #AvanpostDS #Linux

Свежее на Хабре 🆕

Вышел подробный разбор вчерашней аварии на ММТС‑9.

⚡️ Один узел – и пол-Рунета в офлайне
Вчерашняя авария на ММТС-9 показала простую вещь: сервис может быть исправен, но недоступен из-за проблем в точке, где он вообще не размещён.
Из-за проблем с питанием на площадке пострадали Reg.ru и другие ресурсы. Трафик участников MSK-IX упал до ~3000 Гбит/с. Часть оборудования на площадке перестала штатно работать.

🔗 Вот как выглядит такая цепочка:
Один узел → нарушение сетевой связности → DNS и зависимые сервисы ложатся → пользователь видит «сайт не работает».

В корпоративной инфраструктуре всё то же самое. Все компоненты взаимосвязаны, но не все связи очевидны.

Поэтому стоит заранее проверить:
🌐какие внешние узлы критичны;
⚠️что ломается при их частичной недоступности;
👀как обнаружить это до массовых жалоб;
🔄как восстановить именно повреждённый слой, а не перезапускать всё подряд.

Полностью исключить отказ нельзя. Важно понимать, что именно произойдёт после него и как быстро это можно исправить.

Канал в MAX

#инфраструктура #отказоустойчивость #мониторинг

LDAP под микроскопом

🔐 Зачем ФСТЭК ограничивает права ИИ

ФСТЭК готовит новые правила для ИИ в государственных информационных системах.
24 августа ведомство опубликовало проект изменений в приказ №117. В нем предлагается ограничить модели ИИ в доступе и правах. Проект должен вступить в силу 1 марта 2027 года.

🔎 Что меняется, когда ИИ получает доступ к LDAP

ИИ сильно повзрослел. Это уже не просто собеседник, а полноценный агент, который может сам обращаться к компьютерам, серверам и выполнять операции.

Например, если ИИ-агенту дать доступ к корпоративному LDAP-каталогу, он сможет:

➕ Добавить учетную запись в группу
✏️ Изменить атрибут пользователя
👥 Изменить членство в группе
🔄 Массово изменить данные

Поэтому, если злоумышленник получит доступ к агенту, то он сможет украсть или испортить данные каталога, передать их в третьи руки.

⚠️ Что может оказаться под угрозой?

В каталоге лежат не только логины и учётные записи, но и ФИО, должности, отделы, телефоны, почта, фото – целая база персональных и служебных данных.

Если агенту разрешено читать эти данные, то злоумышленникам не обязательно взламывать LDAP. Достаточно дать агенту команду – и он сам отдаст данные наружу или испортит их.

🤖 Локальная или внешняя модель?

С точки зрения рисков не принципиально, используете вы внешнюю или локальную модель. Если локальная модель имеет широкие права, она сольёт данные не хуже внешнего сервиса. Так что ФСТЭК смотрит не на место проживания модели, а на то, что она видит, к чему имеет доступ и что может делать.

Один неправильный запрос может превратиться в инфраструктурный инцидент.
Причем источник проблемы может находиться далеко от каталога. Например, вредоносная инструкция может попасть в ИИ через внешний ресурс или заражённый документ. Эксперты называют prompt injection одной из главных дыр, которые надо закрывать в защите ИИ.

🔗 ИИ становится еще одним участником системы доступа

Выходит, ИИ-агент, подключенный к каталогу, становится еще одним участником системы управления доступом. Если дать ему слишком много прав, мы откроем путь:
внешняя команда → ИИ-агент → LDAP → данные пользователей или права доступа.

Поэтому принцип минимальных прав критичен. Если агенту нужен только один атрибут – не даём ему весь каталог. Если нужно сделать одну операцию – не разрешаем править все учётки. Чем меньше прав, тем меньше ущерб от возможной атаки.

🛡Что делать, если изменения уже произошли
Просто иметь бэкап каталога – мало. Если агент испортил сотни записей, полный откат вернёт старую версию, но заодно откатит все правильные изменения, которые появились после бэкапа.

Поэтому нужны два уровня защиты:
🟣 Резервное копирование, чтобы сохранить состояние каталога;
🟣 Гранулярное восстановление, чтобы найти и вернуть неправильно изменённые объекты или атрибуты.

Получается простая цепочка:
ограничить права ИИ → контролировать его действия → не дать слить данные наружу → не дать править лишнее → иметь бэкап → уметь точечно восстановить данные.

Новые требования ФСТЭК интересны не только для ИИ. Они показывают: если ИИ подключается к инфраструктуре, его безопасность становится частью безопасности всей системы – включая каталог.

Канал в MAX

#ИнформационнаяБезопасность #LDAP #РоссийскийИТ

Уроки инцидентов

🚨 Самая опасная кнопка в КИИ – у человека за соседним столом.

Сегодня принесли вам немного свежей душещипательной статистики.

В новом исследовании «СёрчИнформ» ста судебных дел за последние годы по статье 274.1 УК РФ – «Неправомерное воздействие на критическую информационную инфраструктуру Российской Федерации» обнаружилась интересная закономерность.

👤 95% нарушителей – сами сотрудники пострадавших организаций. 14% среди них – руководители подразделений.
Но есть и хорошая новость, ИТ- и ИБ-специалистов среди них всего 5%, а топ менеджмента и подавно 1%. Почти на уровне погрешности.

🌐 Внешних нарушителей – всего 5%. Но это не потому, что их мало. Просто раскрываемость компьютерных преступлений в России не превышает 21%. Большинство внешних атак остаются безнаказанными.

Что интересно, 67% проанализированных дел – не взлом и не уничтожение серверов, а внесение недостоверных данных в таких сферах, как связь и телеком 47%, здравоохранение 25% и финансовый сектор 10%.

📊 Причина – большое число сотрудников с легитимным доступом к системам и низкая цифровая грамотность.

Больше доступа – выше цена ошибки.

Когда администратор просто изменил не тот атрибут, или скрипт сломал членство в службе каталога – каталог жив, пользователи заходят, но доступы уже сломаны.

🔐 Для LDAP-инфраструктуры это головная боль: система считает изменение легитимным (права-то были!), а вы даже не знаете, что именно вернуть назад.

Классический бэкап здесь не выход. Откатывать всё из-за одной сломанной группы – как стрелять из пушки по воробьям. Нужен другой подход:

1️⃣Сравнить текущее состояние каталога с резервной копией.
2️⃣Найти точечные расхождения.
3️⃣Восстановить только изменённые объекты, не трогая остальное.

🛡Защищать нужно не только доступность каталога, но и целостность данных.

Потому что легитимный доступ ≠ безопасное изменение.
И это справедливо не только для КИИ.

Канал в MAX

#КИИ #ИБ #LDAP #SearchInform

Миф про бэкап

 🛡 Хороший бэкап умеет не только сохранять, но и возвращать нужное

В большой инфраструктуре десятки тысяч машин, БД, контейнеров, платформ. И сценарии восстановления у всех свои: где-то нужно поднять всё с нуля, а где-то – вернуть один объект или несколько атрибутов.

🎯 Российские вендоры последовательно движутся в сторону точности.

Свежий пример: в «Кибер Бэкапе Облачном» теперь можно выбирать отдельные объекты внутри Kubernetes. Резервируешь и восстанавливаешь только то, что действительно нужно, – не тащишь весь кластер ради одной ошибки.

Не просто «есть копия», а умение достать из неё именно то, что сломалось, и не трогать остальное.

🗂 Тот же принцип особенно важен для каталогов.

В гетерогенных средах и особенно при миграции с AD на Linux инфраструктура становится сложнее: параллельные среды, скрипты, промежуточные состояния.

И тут ошибка часто не убивает каталог целиком. Можно неверно изменить атрибуты пользователей, удалить группу, разорвать связи — система продолжит работать, но доступы поедут.

Восстанавливать весь каталог из полной копии — как из пушки по воробьям.

🔧 Нужно найти, что именно сломалось, и вернуть только это — один объект, один атрибут. Это и есть гранулярное восстановление.

Оно не отменяет полное восстановление — это разные сценарии. Пожар в дата-центре и кривой скрипт, поменявший одну группу, лечатся по-разному.

Простая логика для каталога: перед миграцией сделал копию, потом сравнил состояния и точечно исправил последствия.

🎯 И здесь Kubernetes и каталог оказываются ближе, чем кажется: бэкап ценен не только фактом наличия, но и тем, насколько точно ты можешь им воспользоваться, когда что-то пошло не так.

Канал в MAX

#резервноекопирование #гранулярноевосстановление #Linux #миграция

Практика российского стека

🎪 Granulex «в гостях как дома» на IT Elements 2026

🏢 9 сентября в Москве прошла конференция IT Elements 2026 — площадка для практического обмена опытом между ИТ-командами крупных компаний.

💾В этом году одна из центральных тем конференции — «Непрерывность бизнеса 2.0». Не раз заходила речь о резервных площадках и бэкапах. Но главный вопрос по-прежнему тот же: а что произойдёт, когда действительно понадобится восстановление?

⚠️ Можно иметь резервную копию, утверждённый DRP и три уровня защиты — и всё равно в самый неподходящий момент обнаружить, что резервная среда зависит от того же контура, который лёг. Учётные записи для восстановления — недоступны. А актуальность копии никто не проверял.

👤 На конференции собрались практики — из банков, телекома, промышленности, энергетики. Те, кто уже прошёл через миграции, кибератаки и перестройку архитектуры. Granulex на конференции представлял Николай Луковкин, директор по развитию бизнеса.

🔄 Участие в конференции стало поводом ещё раз посмотреть на непрерывность бизнеса с точки зрения каталога: устойчивость каталога — это не только про бэкапы. Вопрос в другом: что именно нужно восстановить, насколько точечно это можно сделать и как вернуть систему в строй без лишнего отката.

Об этом и говорили.

Канал в MAX

#ITElements #Granulex

Импортозамещение

Granulex на SysAdmin 2026: надёжность служб каталогов при переходе на Linux

🗓 9 октября главный архитектор Granulex Константин Шурунов выступит на SysAdmin 2026 с докладом «Службы каталогов – надёжность при переходе на Linux».

Переход с Active Directory на Linux-каталоги редко бывает одномоментным. Компании подолгу живут в гибридной среде: часть систем – в AD, часть – в Linux, между каталогами работает синхронизация, а для миграции и администрирования часто используют скрипты.

⚠️ В такой среде возникают инциденты, которые не похожи на полную аварию: каталог доступен, контроллеры работают, но у части пользователей уже сбились атрибуты, потерялось членство в группах или пропал доступ к ресурсам. Причины – ошибки миграции, синхронизации, скриптов или администрирования.

Полное восстановление каталога здесь часто избыточно: локальную ошибку нужно исправлять точечно, а не откатывать всю инфраструктуру.

🔍 В докладе Константин разберёт:

▪️риски перехода с AD на Linux-каталоги и их совместной эксплуатации;
▪️почему сложны инциденты, когда каталог работает, а данные уже некорректны;
▪️как миграция, синхронизация и скрипты приводят к массовой потере доступов;
▪️почему локальная ошибка не должна требовать полного отката;
▪️как сравнение с резервной копией помогает найти нежелательные изменения;
▪️как восстановить отдельные объекты, атрибуты и связи без остановки службы каталога.

🛠️ Разберём практические сценарии и покажем, почему при миграции важно быть готовым не только к полной аварии, но и к более частой ситуации: каталог работает, но пользователи уже жалуются.

📍 Где и когда
9 октября 2026 года, 16:00–16:30
Трек «Инфраструктура»
Инновационный кластер «Ломоносов»
Москва, Раменский бульвар, 1
Участие бесплатное.

Зарегистрироваться на SysAdmin 2026

Канал в MAX

#Granulex #SysAdmin2026 #Linux #ActiveDirectory #Импортозамещение #СлужбыКаталогов #ИТИнфраструктура #ГранулярноеВосстановление

Практика российского стека

🇷🇺 Когда свой каталог - это не просто импортозамещение

🤝 MONT и Avanpost договорились о партнёрстве: MONT займётся развитием партнёрского канала Avanpost и расширением сети интеграторов.

В выигрыше не только MONT и Avanpost. Для рынка это тоже хорошая новость, особенно для компаний, которые работают с MONT и планируют миграцию с Microsoft AD на Linux-каталог: теперь у них есть ещё один вариант – Avanpost DS Pro.

🧩 Российские Linux-каталоги собраны по-разному: одни вокруг FreeIPA, другие на Samba DC. Вместе с каталогом заказчик выбирает его архитектуру, зависимости и инструменты администрирования. Поэтому два продукта с одной задачей в эксплуатации ведут себя по-разному.

Avanpost пошёл другим путём

Ядро Avanpost DS – LDAP-сервер и Kerberos – написано на Go с нуля, без open-source-компонентов. По заявлению вендора, DS Pro протестирован под нагрузкой до 30 млн объектов.

⚙️ Что это даёт?

Типичный Linux-каталог собран из нескольких компонентов. Каждый зрелый и проверенный, но со своей архитектурой и зависимостями. Вендору приходится развивать свой продукт и одновременно считаться с чужим кодом.

Своя разработка даёт полный контроль над ключевыми компонентами. Их можно менять, искать узкие места и оптимизировать под нагрузку, а не подстраиваться под архитектурные решения, которые принимали без тебя. Avanpost среди плюсов своего подхода называет производительность и масштабируемость.

🚨 Но производительность важна не только в штатном режиме

Каталог может вообще не упасть. Неудачный скрипт, сбой интеграции или массовое изменение затронули несколько тысяч объектов – а контроллеры доступны, пользователи аутентифицируются, мониторинг зелёный. Но у части сотрудников уже изменились атрибуты, членство в группах или права доступа. Формально всё работает, а данные внутри – уже нет.

Мало обслуживать миллионы объектов в штатном режиме. Нужно ещё быстро понять, что именно сломалось, и исправить это, не откатывая миллионы корректных данных вместе с ошибочными.

При больших объёмах узким местом может стать уже сам каталог. Мы сталкивались с этим при нагрузочном тестировании одного из Linux-каталогов, построенных на open-source-компонентах: массовые операции на сотнях тысяч объектов выполнялись критически медленно, а удаление нескольких тысяч учётных записей заняло несколько дней. Во время нагрузки возникали ошибки, а репликация между контроллерами некоторое время не восстанавливалась.

Поэтому производительность каталога при больших объёмах – это не вопрос комфорта администратора. От неё напрямую зависит, сколько времени займёт исправление массовой ошибки.

🔗 И здесь у Avanpost есть ещё одна полезная связка

С августа Avanpost DS Pro совместим с Granulex Recovery. Granulex сравнивает текущее состояние каталога с резервной копией, показывает, что изменилось не туда, и позволяет выборочно вернуть нужные объекты и атрибуты – без полного отката каталога.

Так что при выборе замены Microsoft AD важен не только список функций. Сколько объектов реально выдерживает каталог? Как ведёт себя под нагрузкой? И насколько быстро можно найти и исправить ошибку, если из миллиона объектов сломалась тысяча?

🛡 Когда от каталога зависят доступы всей компании, это уже не мелочи.

Канал в MAX

#ПрактикаРоссийскогоСтека #LDAP #Granulex

🌿 Свежее на Хабре

🔎 В отчёте замещено 71%. В инфраструктуре – 60%

И это не погрешность. В статье отличный пример: один иностранный офисный пакет числится под тремя названиями. Отчёт видит только часть установок и рисует 71% замещения вместо реальных 60%.

И это только то, что вообще попало в учёт. За бортом могли остаться прошивки оборудования, тестовые и резервные серверы, сервисы, которые отделы подключали сами. Где-то новая российская система уже работает, а старая зарубежная всё ещё рядом – от неё всё ещё зависят другие системы.

Отсюда неудобный вопрос: что вообще значит «заменено»? Купили аналог? Установили? Перевели пользователей? Или отключили прежнюю систему и проверили, что ничего не отвалилось?

✍️ Что же делать

📎         Сравнить план замещения с тем, что реально живёт в сети.
📎         Сверить результат с договорами, бухучётом и владельцами систем: автопоиск тоже видит не всё.
📎         Для уже «заменённых» продуктов отдельно проверить окружение, зависимости и факт отключения старой системы.

Процент в отчёте полезен, только если понятно, что именно посчитали. Иначе легко заменить десяток мелочей, улучшить показатель – и продолжать зависеть от иностранного компонента, который уже не поддерживается, но на котором держится вся сеть.

Канал в MAX

#свежее_на_хабре #импортозамещение #инфраструктура

Практика российского стека

🛡 Импортозамещаем бэкап

«Киберпротект» выпустил «Кибер Бэкап Старт» – новое решение для частных пользователей, предпринимателей и микробизнеса. Оно сохраняет файлы, приложения и систему целиком, работает с Windows. А в расширенной редакции защищает Windows-серверы.

🇷🇺 Бэкап уже российский, а операционная система всё ещё Microsoft

Ничего необычного. В небольшой компании инфраструктура вполне может состоять из нескольких рабочих станций и одного сервера. Службы каталога нет. Задача простая: сломался компьютер – вернуть данные и систему.

🏢 А в крупной компании?

Вместо Windows появляется одна из платформ. Российский Linux – лоскутное одеяло: Astra Linux, Альт, РЕД ОС, РОСА, ОСнова, AlterOS, UBLinux, SberLinux, «Атлант»...

Поэтому совместимость СРК приходится проверять точнее, чем «Linux – да/нет». «Кибер Бэкап» 18.6, к примеру, поддерживает не все российские ОС.

Это не значит «не работает». Матрицу совместимости проверяют руками под свою ОС, версию и сценарий.

🔐 А что со службой каталога?

Для небольшого офиса централизованный каталог скорее не нужен. В крупной организации это базовый элемент инфраструктуры: через него проходят пользователи, группы, права и доступы.

⚠️ Проблема не обязательно в падении сервера. Каталог может оставаться доступным, пользователи продолжают входить в систему, но у нескольких сотен человек изменились атрибуты, членство в группах или права из-за неправильно отработавшего скрипта.

Классическая СРК восстанавливает машину, сервер, виртуальную среду или каталог после аварии. Но если из 10 000 пользователей неправильные данные получили 500, полный откат каталога – слишком грубо. Поддержка каталога ≠ умение вернуть одного пользователя, группу или атрибут. Логика другая: сравнить каталог с бэкапом и вернуть нужные объекты и атрибуты.

📈 С ростом инфраструктуры меняется задача защиты

Для одного компьютера достаточно вернуть Windows и файлы.
Для корпоративного Linux нужно проверить совместимость СРК с конкретным стеком. А для службы каталога – заранее понимать, что именно восстановится, если каталог жив, а данные уже сломаны.

Классическая СРК и гранулярное восстановление – не конкуренты, а два уровня защиты одной инфраструктуры.

Канал в MAX

#импортозамещение #резервноекопирование #Linux

Последовательность внедрения

💸 Время простоя: защита не заканчивается на обнаружении

Росреестр выделил 725 млн ₽ на лицензии и поддержку для своего центра управления инцидентами. Его задача – замечать инциденты и помогать их разбирать. В случае атаки важна скорость: как быстро удастся вернуть сервисы в работу. Документы закупки показывают, что деньги идут на защиту периметра, поиск уязвимостей, сбор событий и защиту рабочих мест.

⚙ Главная суперсила кибербезопасников: остановить атаку как можно раньше, пока она не нанесла непоправимый ущерб. Затем нужно понять масштаб и вернуть сервисы в работу.

Каждый час, пока сервисы недоступны, обходится бизнесу дороже. Может оказаться, что скрипт поменял права у сотен сотрудников или удалил важные группы. Доступы вернутся только после восстановления прежних прав.

Если затронут каталог

↩️ Если инцидент затронул каталог, полностью восстанавливать его есть смысл после серьёзной аварии: когда он полностью испорчен или испорчены все данные в нём. Для одной удалённой группы такой способ избыточен. Банк же не закрывают на день, чтобы исправить один ошибочный перевод. Здесь нужен точечный возврат нужной группы, атрибута или права.

Хочется надеяться, что следующая крупная закупка Росреестра будет захватывать и защиту службы каталога – инфраструктуры нулевого уровня. Каталог обычно не замечают, как воздух, которым дышат. Но когда он перестаёт работать, бизнес это чувствует сразу: доступ к системам и данным пропадает. Нет каталога – нет доступа.

🔎 Нынешняя закупка закрывает две задачи: помогает раньше заметить атаку и быстрее её остановить. Но остановка атаки сама по себе не вернёт сервисы в работу. У каждой критичной системы свой сценарий восстановления. Для каталога это точечный возврат прав без отката всего каталога.

Канал в MAX

#Последовательностьвнедрения #информационнаябезопасность #восстановлениекаталога