Функциональный уровень домена

Функциональный уровень домена (ФУД) — это параметр конфигурации службы Active Directory (AD) в операционных системах семейства Windows Server, определяющий набор доступных возможностей домена и контроллеров домена, а также минимальную версию операционной системы, которую могут использовать контроллеры в данном домене. Повышение функционального уровня домена позволяет активировать новые функции, но делает невозможным добавление контроллеров домена под управлением более старых версий Windows Server.

История и происхождение

Концепция функциональных уровней была введена корпорацией Microsoft с выходом Windows Server 2000 и службы каталогов Active Directory. Изначально существовало два уровня: смешанный (mixed mode) и собственный (native mode). Смешанный режим позволял сосуществовать контроллерам домена на Windows NT 4.0 и Windows 2000 Server, но ограничивал функциональность. Собственный режим давал доступ ко всем возможностям Windows 2000 AD, но требовал, чтобы все контроллеры работали на Windows 2000 Server.

В последующих версиях Windows Server (2003, 2008, 2008 R2, 2012, 2012 R2, 2016, 2019, 2022) количество функциональных уровней увеличивалось, а их названия стали соответствовать версии операционной системы, на которой работают контроллеры. Каждый новый уровень наследует все возможности предыдущего и добавляет свои.

Принцип работы

Функциональный уровень домена хранится в атрибуте msDS-Behavior-Version корневого объекта домена в Active Directory. При установке первого контроллера домена уровень устанавливается по умолчанию на минимально возможный для данной версии Windows Server. Администратор может повысить уровень вручную через оснастку «Active Directory — домены и доверие» или с помощью PowerShell.

Повышение уровня — это необратимая операция. После повышения невозможно вернуться к более низкому уровню без восстановления из резервной копии или переустановки домена. Поэтому перед повышением требуется убедиться, что все контроллеры домена соответствуют минимальным требованиям.

Классификация функциональных уровней

Функциональные уровни Windows Server

Функциональный уровень леса

Помимо функционального уровня домена существует функциональный уровень леса (Forest Functional Level). Он определяет минимальную версию Windows Server для всех контроллеров домена в лесу и активирует глобальные возможности, такие как:

• Windows Server 2003: поддержка доверий между лесами, улучшенная репликация.
• Windows Server 2008: поддержка Active Directory Recycle Bin (корзина AD) на уровне леса.
• Windows Server 2008 R2: поддержка Active Directory Recycle Bin на уровне леса, улучшенная защита.
• Windows Server 2012: поддержка Claims-Based Access Control на уровне леса.
• Windows Server 2012 R2: поддержка Authentication Policies на уровне леса.
• Windows Server 2016: поддержка Privileged Access Management на уровне леса.

Применение и значение

Функциональный уровень домена является критически важным параметром для инфраструктуры Active Directory. Его правильный выбор и своевременное повышение обеспечивают:

• Доступ к новым функциям: многие возможности AD (например, корзина AD, gMSA, PAM) доступны только при определённом уровне.
• Безопасность: более высокие уровни включают улучшенные механизмы аутентификации (AES, FAST, защита от атак Pass-the-Hash) и управления доступом.
• Совместимость: старые контроллеры домена могут быть несовместимы с новыми функциями, поэтому повышение уровня требует их удаления.

Примеры использования

• Миграция на новую версию Windows Server: при переходе с Windows Server 2012 R2 на Windows Server 2019 необходимо сначала повысить функциональный уровень домена до Windows Server 2016, а затем до Windows Server 2019.
• Внедрение gMSA: для использования групповых управляемых учётных записей требуется функциональный уровень домена Windows Server 2012 или выше.
• Активация корзины AD: для включения корзины Active Directory требуется функциональный уровень леса Windows Server 2008 R2 или выше.

Критика и ограничения

• Необратимость: повышение уровня нельзя отменить без восстановления из резервной копии, что требует тщательного планирования.
• Совместимость с приложениями: некоторые старые приложения могут требовать контроллеров домена на определённой версии Windows Server, что препятствует повышению уровня.
• Сложность управления: в крупных организациях с десятками доменов и лесов повышение уровня может быть трудоёмким и рискованным процессом.
• Отсутствие автоматизации: встроенные средства Windows не предлагают автоматического повышения уровня при обновлении всех контроллеров — администратор должен выполнить операцию вручную.

Интересные факты

• Функциональный уровень домена не влияет на работу клиентских компьютеров — они могут быть под управлением любой версии Windows, поддерживающей AD.
• В Windows Server 2022 появилась возможность повышения функционального уровня домена до Windows Server 2022 без необходимости удаления старых контроллеров, если они обновлены до этой версии.
• Максимальный функциональный уровень домена для Windows Server 2022 — Windows Server 2022, для Windows Server 2019 — Windows Server 2019, и так далее.

Источники

• Microsoft Docs: Active Directory Functional Levels
• Windows Server 2022 Technical Documentation
• TechNet: Understanding Active Directory Functional Levels
• Microsoft Learn: Raise the functional level of a domain