Нужен ли домен
В офисе на 3–5 человек с облачной почтой домен часто избыточен. Он оправдан, когда сотрудников больше 10–15, есть файловый сервер с разграничением прав, терминальный сервер, нужно быстро отключать доступ уволенным и применять единые настройки безопасности. Альтернативы для небольших команд — облачное управление устройствами или Samba AD на Linux, если не нужны специфичные функции Windows.
Базовые правила устройства домена
| Правило | Почему |
|---|---|
| Два контроллера домена (хотя бы один виртуальный на другом хосте) | Отказ одного сервера не останавливает вход сотрудников |
| Компьютеры используют в качестве DNS только контроллеры домена | Внешний DNS (например, 8.8.8.8) в настройках клиента ломает поиск контроллера |
| Синхронизация времени: контроллер с ролью PDC — от надёжного источника, остальные — от домена | Kerberos не работает при расхождении времени больше 5 минут |
| Внутреннее имя домена — поддомен своего домена (например, corp.example.ru) | Нет конфликтов с публичными именами и проблем с сертификатами |
| Резервная копия состояния системы контроллера | Восстановление после ошибки администратора или повреждения базы AD |
Ошибка доверительных отношений
Сообщение «Не удалось установить доверительные отношения между этой рабочей станцией и основным доменом» появляется, когда пароль учётной записи компьютера в домене рассинхронизировался — например, после восстановления компьютера из старого образа. Исправление без повторного ввода в домен, из-под локального администратора:
Test-ComputerSecureChannel -Verbose
Test-ComputerSecureChannel -Repair -Credential CORP\admin.ivanovПроверка здоровья домена
dcdiag /v /c /q # только ошибки по всем тестам
repadmin /replsummary # репликация между контроллерами
repadmin /showrepl
w32tm /query /status # источник и смещение времени
nltest /dsgetdc:corp.example.ruОшибки репликации нельзя оставлять «на потом»: если контроллер долго не реплицируется, его данные устаревают, и восстановление становится сложнее.
Доступы и безопасность
- Права на папки выдаются группам, а не отдельным пользователям: «Бухгалтерия — чтение и запись», «Все сотрудники — только чтение».
- Отдельные административные учётные записи для администраторов, без почты и интернета.
- Процедура увольнения: отключить учётную запись в день ухода, отозвать VPN, сменить общие пароли.
- Политика паролей и блокировки, групповые политики для обновлений и экрана блокировки.
При смене администратора пригодится чек-лист приёма дел.
Стоимость
Обслуживание серверов Windows и Linux — от 4 000 ₽ в час, аудит доступов и внедрение MFA — от 4 500 ₽ в час по прайсу от 30.08.2026. Для организаций на абонентском обслуживании домен входит в обслуживание серверов — как считается стоимость.
Частые вопросы
Можно ли обойтись одним контроллером домена?
Можно, но при его отказе сотрудники не смогут войти в доменные компьютеры, а восстановление займёт время. Второй контроллер — недорогая страховка.
Нужно ли покупать Windows Server для домена?
Для домена Microsoft нужна Windows Server и клиентские лицензии. Альтернатива — Samba AD на Linux, совместимая с основными функциями домена.
Почему компьютер долго входит в систему?
Частая причина — в настройках сети указан внешний DNS-сервер вместо контроллера домена, а также недоступные сетевые диски и сценарии входа.