Часть 1 От автора: Надеюсь, традиции и обычаи упомянутой компании мы в комментариях обсуждать не будем. Про современные ИТ-политики мы прекрасно знаем и владеем ими, но здесь речь пойдет о «традициях старожилов», с которыми пришлось столкнуться на практике. Для начала небольшое теоретическое замечание, которое объяснит логику событий. Служба каталогов AD (Active Directory), работающая по протоколу LDAP — это, по сути, большая хэшированная база данных, где у каждого объекта есть свой уникальный индекс (SID). А раз это база данных, то и подходить к ней нужно с мерками DBA (администратора баз данных), который превыше всего ценит структуру и порядок.

Тяжелое наследие и 8 000 групп

Итак, мы имели крупный холдинг. В активе — более 8 000 служебных групп безопасности для различных подразделений и контроля доступа, развернутых на 10 файловых серверах. Все это — тяжелое наследие объединения 10 разрозненных компаний и 12 географических точек присутствия в один общий домен. Спасибо прежней команде хотя бы за то, что они использовали шаблоны наименований. Однако системные администраторы холдинга процесс систематизации так и не завершили. В итоге вопросы «что где валяется?» и «как выдать сотруднику нужный доступ?» стали краеугольными и отнимали уйму времени. Пришлось глубоко погрузиться в структуру подразделений и разобраться в реальной подчиненности внутри каждой организации. Работа пошла по этапам: 1. Изоляция и маркировка. Первыми в отдельные организационные звенья (OU) мы выделили ресурсы лабораторий. К каждой группе добавили четкое описание: где физически лежит ресурс, какой это тип доступа и кто за него отвечает. 2. Инвентаризация. Параллельно шла тотальная сверка: существует ли еще этот ресурс на файловом сервере, актуален ли он и правильная ли группа к нему привязана. Что-то объединялось, что-то удалялось за ненадобностью, что-то переименовывалось. 3. Регулярная актуализация. Процесс этот муторный. При смене владельца ресурса данные нужно обновлять. Сначала мы делали это раз в полгода, но при усилении кадровой текучки перешли на график раз в 3 месяца. Приходилось постоянно контролировать коллег и напоминать о необходимости заполнять обязательные поля в системе — для многих это было непривычно.

Результат: от 3 дней к 20 минутам

В итоге абсолютно всё было подписано и выверено. Из 8 000 групп «в живых» осталось около 6,5 тысяч (включая служебные). На всю эту расчистку, с учетом явного и скрытого сопротивления старожилов отдела, ушло долгих 10 месяцев. В процессе мы активно использовали механизм вложенности групп. Финальным этапом стала жесткая привязка групп к конкретным отделам через их подразделения. Что это дало бизнесу? Скорость выдачи прав сотрудникам сократилась с 3 дней до 20–30 минут, а в некоторых случаях и быстрее. Когда позже личный состав ИТ-отдела частично обновился, у пришедшей молодежи был приятный шок. Они не верили своим глазам: в системе всё было настолько взвешено, отмерено и пронумеровано, что хаос прошлых лет казался просто страшным сном. Именно поэтому, когда у HR возникает вопрос, почему DBA наводит порядки в AD, ответ прост: база данных должна работать как часы, в чьих бы рука х она ни находилась. #админскиеистории #личныйопыт