Windows Server и Active Directory: домен, групповые политики и обучение администратора

Новички обычно представляют Active Directory как большой список пользователей с паролями. На деле домен держится на DNS: рабочая станция ищет контроллер домена по служебным DNS-записям, и если в её настройках указан домашний роутер или публичный DNS-сервер, она не войдёт в домен и не получит политики. Поэтому многие обращения «не пускает в систему» решаются не в консоли пользователей, а проверкой того, какой DNS-сервер компьютер получил по DHCP.

Что входит в работу с доменом

Работа складывается из слоёв, и каждый опирается на предыдущий. Сеть: контроллер домена получает постоянный адрес, на нём работают DNS с зоной домена и DHCP, который раздаёт клиентам адреса и указывает этот DNS. Каталог: администратор создаёт подразделения (OU) — «Бухгалтерия», «Продажи», «Ноутбуки», — заводит пользователей и компьютеры и объединяет людей в группы по ролям. Доступ: права на папки и принтеры выдают группам, чтобы новичка достаточно было добавить в группу.

Поверх этого работают групповые политики (GPO) — наборы настроек, привязанные к подразделению или ко всему домену. Политика задаёт длину пароля и блокировку после неудачных попыток, подключает сетевой диск, ставит принтер, запрещает запуск программ с флешки. Сюда же относится делегирование: руководителю техподдержки можно разрешить сбрасывать пароли в одном подразделении, не давая прав администратора домена.

Профессия целиком, с дежурствами и переходом на российские системы, разобрана в нашей статье о системном администраторе, серверы на Linux — в статье об администрировании Linux-серверов, маршрутизация — в статье о сетевом инженере. Здесь речь об одном навыке: Windows-инфраструктуре офиса вокруг домена.

Кому это нужно и когда домен не нужен

Навык пригодится тому, кто отвечает за компьютеры в компании, где сотрудники меняются, а настраивать каждую машину вручную уже долго. Инженеру первой линии он нужен, чтобы разблокировать учётную запись и понять, почему у пользователя пропал сетевой диск. Специалисту по безопасности — чтобы проверять, кто входит в привилегированные группы.

Домен оправдан не всегда. Офису из пяти человек с ноутбуками и облачной почтой проще жить в рабочей группе. В госорганизациях домены переводят на российские службы каталогов, но понятия остаются прежними: DNS, Kerberos, подразделения, группы и политики, так что опыт с Active Directory переносится и туда.

Учебный пример: домен для офиса на 20 рабочих мест

Учебная ситуация. Компания из 20 человек переезжает в новый офис, у каждого компьютер с локальной учётной записью, общие файлы лежат на одном ПК. Нужно, чтобы сотрудник входил под своей учётной записью на любом компьютере и видел папку своего отдела. Шаги идут в таком порядке, чтобы каждый можно было проверить до следующего: без DNS не войти в домен, без компьютеров в домене некуда применять политики.

1. Поставить Windows Server на виртуальную машину, дать ей постоянный IP-адрес и понятное имя.
2. Добавить роль доменных служб Active Directory и повысить сервер до контроллера домена; имя домена взять как поддомен адреса компании, например corp.example.ru.
3. Настроить DHCP так, чтобы клиенты получали адрес контроллера как DNS-сервер.
4. Создать подразделения по отделам, группы доступа и учётные записи сотрудников.
5. Ввести клиентский компьютер в домен и войти под доменным пользователем.
6. Создать папку отдела и выдать права группам, а не людям.
7. Создать политику для «Бухгалтерии»: подключение диска и блокировка экрана через 10 минут.
8. Проверить на клиенте командой gpresult /r, какие политики дошли, и войти под сотрудником другого отдела.

Восьмой шаг обязателен. Политика, которую не проверили на клиенте, остаётся предположением: её могли привязать не к тому подразделению, а компьютер мог её ещё не получить.

Почему изменённая политика не работает сразу

Частый вопрос после первой настройки: «Политику поменял, а на компьютере ничего не изменилось». Согласно описанию параметра GroupPolicyRefreshRate в документации Microsoft, компьютеры обновляют политику в фоне каждые 90 минут со случайным сдвигом от 0 до 30 минут, а контроллеры домена — каждые пять минут. Изменение доходит до клиентов в разное время.

Важнее другое. В описании параметра Always wait for the network at computer startup and logon сказано, что по умолчанию клиентские компьютеры не ждут готовности сети при входе: пользователь входит по кешированным учётным данным, а политика применяется в фоне. Установке программ (Software Installation) и перенаправлению папок (Folder Redirection) так работать нельзя, поэтому им требуется два входа в систему. Изменения в самой учётной записи — путь перемещаемого профиля, домашняя папка, сценарий входа — тоже могут обнаружиться только со второго входа.

На практике администратор назначил бухгалтерии установку программы, сотрудник перезагрузился, ничего не появилось, и начинаются поиски ошибки, которой нет. Сначала выполните gpupdate /force и посмотрите gpresult. Если программа должна появляться с первого входа, включают этот параметр в разделе System → Logon административных шаблонов конфигурации компьютера; цена — более долгий вход. На Windows Server 2008 и новее обработка при запуске и так синхронная.

С чего начать и в каком порядке осваивать

Порядок повторяет учебный пример, но растянут на несколько недель. Сначала площадка, которую не жалко сломать, затем сетевые службы, без которых домен не работает, потом каталог и политики. Диагностику оставляют на конец: разбирать, почему не применилась настройка, имеет смысл, когда понятно, как она должна была примениться.

1. Гипервизор, ознакомительная версия Windows Server, клиент на Windows 10 или 11, снимок перед каждым экспериментом.
2. Основы сетей: адрес, маска, шлюз, как работают DNS и DHCP.
3. Первый контроллер домена и ввод клиента в домен.
4. Пользователи, группы, подразделения, права на общие папки.
5. Групповые политики: создание, привязка, порядок применения, проверка через gpresult.
6. Делегирование, второй контроллер домена, резервная копия состояния системы.
7. PowerShell: массовое создание пользователей из таблицы.

Пройти первые пять шагов по готовой программе поможет онлайн-курс Merion Academy «Администрирование MS Windows Server». В нём 17 блоков и итоговое тестирование при нагрузке 2–5 часов в неделю: установка Active Directory, роли DNS и DHCP, групповые политики, учётные записи, делегирование. Лабораторные выполняют на своём стенде из виртуальных машин. Проверка заданий преподавателем не заявлена, PowerShell и версия Windows Server не названы — их стоит уточнить у школы.

Упражнения и типичные ошибки

Упражнение засчитывается, только если в конце есть проверка, которая может не пройти. Новый сотрудник: заведите пользователя, добавьте в группу отдела и убедитесь, что он видит свою папку и не видит чужую. Сломанный DNS: укажите клиенту публичный DNS-сервер, попробуйте войти в домен и прочитайте ошибку. Политика с задержкой: назначьте перенаправление «Документов» и посчитайте, со скольких входов оно сработало. Массовая операция: создайте 20 пользователей из CSV сценарием PowerShell.

Ошибки новичков повторяются. Администратор каждый день работает под учётной записью администратора домена. Политики привязывают к корню домена, и они задевают серверы. Права выдают конкретным людям, и через год никто не знает, кто их получил. Домен держится на одном контроллере без резервной копии.

Тем, кто осваивает домен как часть профессии, ближе программа, где Windows соседствует с Linux и сетями. На онлайн-курсе Яндекс Практикума «Системный администратор» базовая часть длится шесть месяцев при нагрузке около 15 часов в неделю, в ней 14 проектов на облачных виртуальных машинах с проверкой специалистами. Отдельный блок по Windows есть только в расширенной версии, которая добавляет три месяца; Active Directory и групповые политики в описании не названы, поэтому программу блока нужно уточнить у школы.

Как навык влияет на доход

Знание Active Directory редко оплачивается отдельной надбавкой: это одно из требований в вакансиях системного администратора, инженера поддержки и специалиста по безопасности. Навык позволяет брать задачи целиком — подключить новый офис, перевести сотрудников на доменные учётные записи, навести порядок в правах.

Открытых сопоставимых данных о зарплатах за этот навык найти не удалось. В поиске Хабр Карьеры по запросу «Active Directory» в октябре 2026 года на первой странице было 25 вакансий: системные администраторы, инженеры поддержки, пентестеры. Зарплату указали лишь несколько работодателей; системному администратору уровня middle во Владивостоке предлагали 100–130 тысяч рублей. Это одно предложение, а не средняя зарплата. Для своей вилки ищите вакансии с фильтром по городу и опыту, смотрите медиану и отмечайте, указана сумма до вычета налога или на руки.

Как выбрать обучение

Перед оплатой проверьте три вещи: даёт ли программа стенд или рассчитывает на вашу виртуальную машину; названы ли DNS, DHCP, подразделения и групповые политики, а не только «администрирование Windows»; проверяет ли задания человек, ведь ошибку в привязке политики автотест часто не заметит.

Если для работы нужен документ о переподготовке, можно рассмотреть программу АПОК «Системный администратор Windows»: дистанционное обучение по текстовым урокам на 400 академических часов (на базовом тарифе меньше — уточните часы в дипломе), с квалификацией «Системный администратор информационно-коммуникационных систем». Windows отведены дисциплины по архитектуре ОС, а Active Directory, политики, DNS и DHCP не названы, практика сводится к аттестационной работе. Её разумно совмещать со своим стендом.

Прежде чем выбирать, соберите домен по учебному примеру. Если застряли на одном-двух шагах, вам нужна практика с разбором ошибок; если непонятна связь DNS, DHCP и контроллера домена, начните с основ сетей.

Сравнить онлайн-школы по формату и цене поможет рейтинг онлайн-школ по системному и сетевому администрированию. Он шире Windows и включает много программ по Linux и сетям, поэтому наличие домена и политик сверяйте по актуальному плану выбранной программы.