В фирме на пятнадцать человек компьютеры живут отдельными царствами: у каждой машины своя учетная запись, свои пароли и свои правила. Забытый пароль, уволившийся бухгалтер, новенький менеджер, и на каждом рабочем месте эту историю чинят вручную. Один сервер с ролью контроллера домена собирает учетные записи, права и парольные правила в единый каталог, где все меняется один раз. Дальше маршрут от чистого диска до работающего контроллера за один рабочий день, с командами, точными путями по меню и местами, где обычно спотыкаются.
Единый центр учетных записей вместо отдельных паролей
Active Directory Domain Services, сокращенно AD DS, это каталог, где хранятся учетные записи людей, компьютеров и групп. Зачем это фирме на десять-двадцать машин? По сути, это паспортный стол и архив компании в одном флаконе: сотрудник входит своим логином на любой компьютер домена, доступ к сетевой папке выдается группе, а не отдельным фамилиям, и парольная политика одна на всех.
До домена отключение доступа бывшему сотруднику означает обход всех машин по кругу. После перехода одна кнопка Disable account в одной консоли закрывает ему дорогу на всех машинах и в службах, читающих каталог. Контроллер домена для маленькой фирмы – не роскошь, а способ спать спокойно.
Железо и редакция системы для небольшой сети
Windows Server 2025 вышел первого ноября 2024 года, обычные обновления для него выходят до ноября 2029 года, исправления безопасности выпускаются до ноября 2034 года. Для машины, которую ставят на годы, это весомый аргумент.
Минимальные требования скромные: процессор 1.4 ГГц с архитектурой x64 и поддержкой инструкций SSE4.2 и POPCNT, 2 ГБ памяти для варианта с графическим интерфейсом, из них рекомендуется 4 ГБ, 32 ГБ на системном разделе и сетевой адаптер на гигабит. Для физического сервера нужна память с коррекцией ошибок, тип ECC. На практике для контроллера на пятнадцать-тридцать рабочих мест берут два-четыре ядра, 8 ГБ памяти и SSD от 120 ГБ.
Редакция Standard закрывает потребности малого офиса целиком, разница с Datacenter упирается в масштабы виртуализации, которые крошечной сети не нужны. Одна оговорка: чем меньше лишних ролей на контроллере, тем проще восстановление после сбоя.
Установка Windows Server и подготовка к роли
Установка начинается с загрузочной флешки и образа ISO, в мастере выбирается редакция Standard с вариантом Desktop Experience, где есть рабочий стол и Server Manager. Система попросит задать пароль локального администратора, и его сразу стоит записать: это последняя учетка вне доменных правил.
Пути по меню даны для английского интерфейса, в русской сборке пункты переведены дословно. Сначала в Server Manager → Local Server → Ethernet адаптеру назначается статический адрес, например 192.168.1.10 с маской 255.255.255.0 и шлюзом 192.168.1.1: постоянный адрес контроллеру обязателен. Затем серверу дается короткое имя DC1. Третьим шагом идут обновления через Settings → Windows Update: повышение спокойнее проходит на пропатченной системе.
Те же две операции выполняются из PowerShell, который открывается правым щелчком по кнопке Пуск, пункт Terminal (Admin). Команда ниже переименует сервер и сразу перезагрузит его:
Rename-Computer -NewName DC1 -RestartПосле перезагрузки та же консоль задает статический адрес; значения имени адаптера, адреса и шлюза замените под свою сеть:
New-NetIPAddress -InterfaceAlias "Ethernet" -IPAddress 192.168.1.10 -PrefixLength 24 -DefaultGateway 192.168.1.1DNS на этом этапе остается от роутера: после повышения контроллер будет отвечать на запросы имен сам, и клиентские машины переключатся на него.
Установка роли Active Directory и повышение сервера
Роль ставится двумя путями, и оба заканчиваются одинаково. Графический путь лежит в Server Manager → Manage → Add Roles and Features: тип установки Role-based or feature-based installation, текущий сервер, на странице Select server roles флажок Active Directory Domain Services с подтверждением Add Features, кнопка Install. Когда установка завершится, на странице Results появится кнопка Promote this server to a domain controller: она запускает превращение сервера в контроллер.
Тот же результат в одну строку, перезагрузка на этом шаге не требуется:
Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementToolsПараметр IncludeManagementTools добавит инструменты администрирования, включая консоль Active Directory Users and Computers. Полный список команд развертывания выводится в том же окне так:
Get-Command -Module ADDSDeploymentПеред повышением полезна проверка готовности: она ничего не меняет, но ловит проблемы заранее:
Test-ADDSForestInstallation -DomainName "firm.local"Мастер повышения идет по страницам в строгом порядке:
- Deployment Configuration, выбор Add a new forest и ввод имени корневого домена firm.local;
- Domain Controller Options, где задаются функциональные уровни леса и домена, флажок Domain Name System (DNS) server и пароль для режима восстановления DSRM;
- DNS Options, предупреждение о делегировании DNS, для первого контроллера оно не нужно, кнопка Next;
- Additional Options, проверка короткого имени NetBIOS, обычно FIRM, оно выводится из имени домена автоматически;
- Paths, расположение базы NTDS, журналов и папки SYSVOL, по умолчанию внутри C:\Windows;
- Review Options, сводка параметров, кнопка View script сохраняет настройку в готовый PowerShell скрипт;
- Prerequisites Check, автоматическая проверка, затем Install, после чего сервер перезагрузится сам.
Имя вида firm.local удобно внутри сети и не требует покупного домена. Утилита dcpromo с версии 2012 устарела: теперь все решает мастер или командлет. Функциональные уровни ставьте Windows Server 2025, если других контроллеров в планах нет: этот уровень добавляет опциональные страницы базы размером 32 КБ.
Тот же шаг выполняется командлетом, он запросит пароль DSRM скрытым вводом и запустит установку, DNS-сервер при этом ставится автоматически:
Install-ADDSForest -DomainName "firm.local"Вариант с выносом базы на отдельный диск, букву D и пути замените под свою разметку:
Install-ADDSForest -DomainName "firm.local" -ForestMode Win2025 -DomainMode Win2025 -DatabasePath "D:\NTDS" -LogPath "D:\NTDS" -SYSVOLPath "D:\SYSVOL"Единственное жесткое правило со страницы Paths: базу, журналы и SYSVOL нельзя класть на том с файловой системой ReFS. Пароль DSRM, который мастер попросит дважды, это ключ аварийного входа в базу каталога: он не совпадает с паролем администратора домена и хранится в сейфе, бумажном или цифровом.
После перезагрузки на экране входа появится доменная учетка, вход выполняется как FIRM\Administrator, и сервер впервые отвечает не как отдельная машина, а как центр целой сети.
Создание учетных записей и групп в консоли
Инструменты уже на месте. Запуск: Start → Windows Tools → Active Directory Users and Computers, короткое имя консоли dsa.msc. Первым делом создаются подразделения: правый щелчок по имени домена, New → Organizational Unit, контейнер Staff для людей и Workstations для машин. Внутри Staff заводятся папки по отделам: Sales, Accounting, Management.
Учетная запись сотрудника создается через правый щелчок по нужному подразделению, New → User: имя, фамилия, логин по единому шаблону вида ipetrov, затем пароль. Там же создаются группы, New → Group, тип Security, область Global, а люди добавляются на вкладке Member Of: доступ к папке бухгалтерии выдается группе Accounting, и новенький получает все добавлением в группу.
Ручное создание пяти учеток терпимо, двадцати уже рутина, а командлет ниже делает ту же работу одним вызовом. Вводится он в PowerShell на контроллере, пароль запросит скрытым вводом; строку с Path замените под свое подразделение, имена под своего человека:
New-ADUser -Name "Ivan Petrov" -GivenName "Ivan" -Surname "Petrov" -SamAccountName "ipetrov" -UserPrincipalName "Адрес электронной почты защищен от спам-ботов. Для просмотра адреса в браузере должен быть включен Javascript. " -Path "OU=Staff,DC=firm,DC=local" -AccountPassword (Read-Host -AsSecureString "Password") -Enabled $true -ChangePasswordAtLogon $trueНюанс: без пароля, отвечающего требованиям сложности, учетка создается, но остается отключенной. Enabled выше включает ее сразу, а ChangePasswordAtLogon заставит придумать собственный пароль при первом входе.
Подключение рабочих станций и групповые политики
К домену подключаются редакции Windows 11 Pro и Enterprise, домашняя версия домен не понимает. На рабочей станции сначала прописывается адрес DNS контроллера: в Settings → Network & internet → Ethernet переключатель DNS server assignment переводится кнопкой Edit в режим Manual, включается IPv4 и вписывается адрес 192.168.1.10. Без этого машина просто не найдет домен по имени firm.local, и это самая частая ошибка первого дня, лечится за минуту.
Дальше путь через интерфейс: Settings → System → About → Domain or workgroup → Change. В окне Computer Name/Domain Changes выбирается переключатель Domain, вводится firm.local, после подтверждения всплывает окно Windows Security с запросом учетной записи администратора домена. Перезагрузка, и на экране входа вместо локальной учетки появляется вход в домен. Тот же результат из PowerShell с правами администратора:
Add-Computer -DomainName "firm.local" -RestartКомандлет запросит доменные учетные данные и сам перезагрузит машину.
Политики собираются в консоли Group Policy Management, она открывается из Start → Windows Tools, короткое имя gpmc.msc. По умолчанию доменная политика уже требует пароль от 7 символов со сроком жизни 42 дня, минимальную длину стоит поднять до 10 и добавить блокировку экрана через заставку. Правила привязываются к подразделениям: правило для Staff подключает сетевые диски, правило для Workstations ограничивает права локальных пользователей. Локальный редактор gpedit.msc остается для мелочей, но доменные правила имеют приоритет: одна настройка в одном месте перекрывает дюжину ручных. После правки на клиенте выполняется:
gpupdate /forceИзменения подхватываются без перезагрузки.
Связь с облаком и обслуживание контроллера
Если фирма пользуется облачными подписками Microsoft, доменные машины связываются с облаком Microsoft Entra через гибридное присоединение, hybrid join. Настраивает его мастер Microsoft Entra Connect, машины продолжают входить по доменным учеткам и получают доступ и к локальным папкам, и к облачным сервисам. Нюанс: устройствам нужна постоянная связь с контроллерами, без нее смена паролей и обновление ключей шифрования ломаются. Состояние регистрации на клиенте показывает команда:
dsregcmd /statusСуффикс .local не маршрутизируется в интернете и для облачного сценария с подтвержденным доменом оказывается помехой. Решение без переустановки: в консоли Active Directory Domains and Trusts открываются свойства корня, вкладка UPN Suffixes, туда добавляется реальное имя компании, например firm.ru, и логинам назначается вид
Обслуживание контроллера скромное. Раз в месяц на нем запускается утилита проверки:
dcdiagОна прогоняет базовые проверки служб каталога и подсвечивает проблемы словом failed до того, как их заметят пользователи. Раз в неделю делается резервная копия системного состояния с базой каталога: ставится компонент Windows Server Backup, затем команда, букву целевого диска подставьте свою:
wbadmin start systemstatebackup -backupTarget:E:Копия плюс записанный в сейфе пароль DSRM закрывают худший сценарий: даже при отказе диска каталог поднимается на новом железе за вечер.
Типовые грабли первого дня укладываются в короткий список. Клиент не находит домен: почти всегда виноват DNS. Учетка отключена: пароль не прошел проверку сложности, задайте его заново. Вход не проходит после присоединения: подождите пару минут, пока раздастся учетка, и убедитесь, что на экране входа выбрана доменная учетная запись.
К вечеру первого дня картина меняется до неузнаваемости: утро начиналось с распакованного сервера, вечер заканчивается сетью, где у каждого сотрудника один логин, у отдела одна группа, у администратора одна консоль. Следующий шаг напрашивается сам: сетевая папка с правами по группам вместо флешек, гуляющих между машинами.