Две службы каталогов в одной сети: как не потерять ИТ-активы при миграции с Active Directory на FreeIPA

В результате в одной сети одновременно работают две службы каталогов. Отдел продаж по-прежнему на Windows в домене Active Directory, а разработчики, инженеры и новые сотрудники уже переведены на Astra Linux или РЕД ОС и заведены в отечественные каталоги: FreeIPA, ALD Pro и их аналоги.

И если ИТ-подразделение к такой ситуации не готово, компания теряет из виду половину ИТ-активов. Разберем, почему так происходит и как сохранить полный учет в переходный период.

Эффект «слепого пятна»

Большинство старых систем по сбору данных привязаны к экосистеме Microsoft. SCCM и Lansweeper прежних версий начинают работу с того, что опрашивают Active Directory, чтобы определить, какие компьютеры есть в сети. Если устройства нет в AD, для системы оно не существует.

Как только компьютер выводят из домена Windows, переводят на Linux и заводят в FreeIPA, для старой системы инвентаризации он исчезает. Физически устройство работает, но в ИТ-реестре его уже нет.

Так образуется слепая зона, и она растет с каждой неделей миграции с Active Directory. ИБ-отдел не видит, обновляется ли на этих машинах антивирус и закрыты ли уязвимости. Бухгалтерия теряет из учета приобретенные и используемые активы. А больше устройств выпадает из учета, тем больше вопросов возникает потом на ближайшей проверке.

Учет в Excel — путь к ошибкам

Обычно ИТ-подразделение закрывает этот пробел вручную: выгружает пользователей и ПК из Active Directory в CSV, делает вторую выгрузку из FreeIPA и сводит два файла. Построить корректный учет компьютеров в смешанной сети таким способом не получается, и вот почему.

1. Меняются имена хостов. При миграции устройство нередко переименовывают, из-за чего сопоставление по ВПР не находит совпадений, и машина задваивается или выпадает из таблицы.

2. Задваиваются учетные записи. Пользователь уже заведен в новом домене, но прежняя запись в AD остается активной. В результате в таблице оказывается два человека вместо одного.

3. Файл быстро устаревает. Сводка теряет актуальность в тот момент, когда ее сохранили. Стоит перевести на следующий день еще десять ПК, и данные снова расходятся с реальностью.

Ручная сверка двух каталогов на практике является имитацией учета. К концу квартала доверять данным в таком файле уже нельзя.

«Инферит ИТМен»: единый учет для двух каталогов

Современная система инвентаризации должна работать с Active Directory и FreeIPA вместе, как с равноправными источниками. Именно так устроен «Инферит ИТМен»:

1. Интеграция с источниками. Система параллельно подключается к Active Directory по протоколу LDAP, интеграция с FreeIPA  или ALD Pro по API и LDAP. При этом она учитывает специфику SSSD (System Security Services Daemon), что обеспечивает корректное отображение статуса машин, в том числе работающих в режиме доверия (Cross-Realm Trust).

2. Дедупликация и нормализация. Система сверяет списки из каталогов с тем, что фактически обнаружено в сети через сканирование и агенты. Каждый актив привязывается к уникальным аппаратным идентификаторам (BIOS UUID, серийный номер материнской платы), а не только к учетной записи. Поэтому при переводе ПК из одного каталога в другой система распознает в нем тот же актив, который лишь сменил привязку.

Что это меняет, если сравнить со старым подходом: