AD или облачные учётки

Вопрос «нужен ли нам Active Directory» обычно появляется не в момент идеального планирования, а когда доступы уже разъехались. У сотрудников почта в Microsoft 365, у ресепшена локальные учётки на компьютерах, у бухгалтерии общий пароль к папке, у тренеров личные ноутбуки, а при увольнении человека команда вспоминает десять сервисов, где надо что-то отключить.

Для одной небольшой площадки контроллер домена может казаться тяжёлым. Для сети клубов без централизованных учёток быстро становится тяжёлой уже повседневная поддержка. Правильный выбор не в религии «только AD» или «только облако», а в том, где живут ваши устройства, приложения и риски.

Что даёт Active Directory

Классический Active Directory хорош там, где много Windows-компьютеров, локальные файловые ресурсы, сетевые принтеры, сервер 1С, политики безопасности, общие рабочие места и необходимость централизованно управлять устройствами. Пользователь входит под своей учётной записью, получает нужные права, сетевые диски, принтеры, политики паролей. При увольнении учётка блокируется, и доступы в локальном контуре закрываются предсказуемо.

Для сети клубов AD может быть полезен, если в филиалах есть рабочие места администраторов, бухгалтерии, управляющих, локальные серверы или приложения, которые завязаны на доменную авторизацию. Он помогает не держать на каждом ПК набор локальных пользователей с паролями, известными половине смены.

Но AD требует обслуживания. Контроллер домена, резервная копия, DNS, время, репликация между площадками или VPN, обновления, мониторинг. Если всё это поставить и забыть, домен из инструмента порядка станет ещё одной точкой отказа.

Что закрывают облачные учётки

Microsoft 365, Google Workspace и другие облачные IdP удобны, когда основные сервисы уже в облаке: почта, документы, Teams, SharePoint, CRM, SaaS-приложения. Пользователь получает единую учётную запись, MFA, условный доступ, управление устройствами через MDM при необходимости. Для распределённой команды это часто быстрее и проще, чем строить локальную доменную инфраструктуру.

Облачные учётки особенно хороши для сотрудников, которые работают с ноутбуков, из дома, из разных филиалов или с мобильных устройств. Можно быстрее включать и выключать доступы, требовать многофакторную аутентификацию, видеть активность и не зависеть от одного сервера в подсобке.

Но облако не решает всё автоматически. Если на ресепшене стоит общий Windows-пользователь «admin», кассовое ПО запускается под локальной учёткой, а сетевой принтер доступен всем без правил, Microsoft 365 сам по себе не наведёт порядок в локальной сети. Нужна связка с устройствами и процессами.

Гибрид: частый, но требовательный вариант

Многие компании оказываются в гибриде: AD для локальных рабочих мест и серверов, облако для почты и SaaS. Это нормальная схема, если она осознанная. Учётки синхронизируются, MFA включена там, где нужно, права разделены, есть процедура увольнения, а поддержка понимает, где источник истины.

Проблемы начинаются, когда гибрид появляется случайно. Пароли в AD и облаке разные, часть сотрудников создана только в почте, часть только локально, бывшие пользователи остаются в группах, а никто не знает, почему один человек видит общую папку, а другой нет. Такой гибрид сложнее, чем любой чистый вариант.

Если вы идёте в гибрид, стоит сразу описать жизненный цикл пользователя: приём, перевод, отпуск, увольнение, подрядчик, временный сотрудник. Где создаётся учётка, кто согласует права, какие группы используются, как быстро закрывается доступ.

Когда домен избыточен

Контроллер домена может быть лишним, если у вас мало стационарных Windows-рабочих мест, нет локальных файловых ресурсов, основные сервисы в облаке, а устройства можно управлять через MDM или простые политики. В таком случае домен добавит обслуживание, но не даст пропорциональной пользы.

Например, небольшая студия с двумя администраторами, облачной CRM, веб-кассой и Microsoft 365 может начать с облачных учёток, MFA, менеджера паролей и понятного списка доступов. Это будет лучше, чем один плохо обслуживаемый доменный контроллер на старом ПК.

Но если сеть растёт, появляются филиалы, общие рабочие места, локальная 1С:Фитнес, сетевые папки, принтеры, камеры, VPN и подрядчики, вопрос централизованной идентификации возвращается. Лучше вернуться к нему до того, как доступы станут неуправляемыми.

Что спросить перед выбором

Сколько у вас пользователей и устройств? Есть ли общие рабочие места? Где живёт 1С и файловые ресурсы? Нужны ли сетевые принтеры по ролям? Как сейчас отключают сотрудника при увольнении? Есть ли MFA? Кто обслуживает серверы? Что будет, если интернет пропадёт? Эти вопросы быстро показывают, куда склоняется архитектура.

Не менее важно состояние поддержки. AD без сопровождения опасен. Облачные учётки без правил тоже опасны. Выбор должен учитывать не только покупку лицензий или сервера, но и ежедневную эксплуатацию: обновления, резервные копии, аудит групп, доступы подрядчиков, реакцию на инциденты.

Централизованные учётки нужны не для красоты, а чтобы бизнес понимал, кто и к чему имеет доступ. Если хотите выбрать между AD, облачной схемой или гибридом для сети клубов, напишите нам. Проведём ИТ-аудит, посмотрим устройства и сервисы и предложим схему без лишней сложности.