Суверенный фундамент: доверенная ИТ-среда ФосАгро на российском стеке

Заменить базовый слой корпоративной ИТ-инфраструктуры АО «Апатит» (ГК ФосАгро) — операционную систему рабочих мест, службу каталога, систему единой аутентификации (SSO), многофакторную аутентификацию и удостоверяющий центр — на российские сертифицированные решения без остановки непрерывного химического производства на шести площадках Компании.

Бизнес-задача - устранить критическую зависимость от Microsoft (Windows, Active Directory, AD CS, NTLM/Kerberos-контур), которая в условиях санкций и прекращения поддержки создаёт прямые и косвенные риски сбоев в производственном цикле предприятия и невыполнения требований 187-ФЗ (в редакции 2025 г. — обязательный переход значимых объектов КИИ на доверенное ПО), Указа №250 и целевых показателей Указа №309.

Одновременно — построить единую доверенную среду идентификации, в которой информационные системы не зависят от того, в каком домене находится пользователь. Это позволяет переводить 7000 рабочих мест поэтапно, волнами, без переписывания приложений

2026

— Масштаб: 7 000 рабочих мест, 6 производственных площадок, непрерывное производство — 0 остановок за всё время миграции.

— 4666 пользователей переведено на Astra Linux; завершение — 2027 г.

— Единая точка аутентификации (Keycloak) в отказоустойчивой конфигурации; миграция пользователя между доменами не требует изменений ни в одной информационной системе.

— Экономия ~30% рабочего времени ИТ-специалистов за счёт централизованного управления рабочими местами.

— Полный отказ от NTLM в корпоративной сети; аутентификация только по Kerberos.

— Единый контур МФА и PKI on-premise, интеграция с SIEM.

— Снижение совокупной стоимости владения; соответствие 187-ФЗ, Указам №166 и №309.

— Внутренний центр компетенций: 100+ специалистов.

— Отраслевое признание: TAdviser IT Prize 2026 («Импортозамещение ПО: проект года»), участие в ЦИПР Digital 2026.

ОС Astra Linux Special Edition (сертификат ФСТЭК, 1-й уровень доверия; ФСБ; Минобороны РФ); служба каталога ALD Pro (сертификат ФСТЭК, 2-й уровень доверия), Keycloak 26 (Quarkus) в отказоустойчивой конфигурации — кластер из двух узлов, Infinispan, внешний PostgreSQL с репликацией; протоколы OpenID Connect, SAML 2.0, Kerberos/SPNEGO; система многофакторной аутентификации «Аладдин Р.Д.» — JaCarta Management System 4LX и JaCarta Authentication Server (TOTP, push, аппаратные токены JaCarta и смарт-карты), модуль Authenticator SPI для Keycloak, доставка второго фактора через корпоративный мессенджер eXpress; удостоверяющий центр Аладдин Enterprise CA (двухуровневая PKI, КриптоПро CSP, HSM); IDM Solar inRights (СУПД) с коннектором ALD Pro, кроссдоменным режимом и SSO через Keycloak; корпоративная SIEM для событий аутентификации; Microsoft Active Directory — на переходный период, с двусторонним доверием.

В проекте не используются решения из каталога Global CIO

1. Непрерывное производство: ни одного окна на «переключение». Все компоненты — ОС, каталог, SSO, IDM — вводились в параллельную эксплуатацию с действующим стеком Microsoft, с двусторонним доверием доменов и обратной совместимостью.

2. Федерация двух каталогов в одном брокере: Разработана собственная модель авторизации (доменные группы → единая роль Keycloak).

3. Отказ от NTLM вызвал 30-секундные задержки разрешения членов групп ALD Pro в AD (winbind/NetBIOS) — диагностика по логам и трассировкам, совместное решение с поддержкой Астры, поэтапная раскатка на контроллеры домена.

4. Миграция доверия PKI: перевыпуск действующих сертификатов и параллельная работа двух УЦ без разрыва цепочек доверия.

5. Четыре вендора (Астра, Аладдин, Solar, К2Тех, как интегратор Keycloak). Сжатые сроки и требования регуляторов к КИИ.

Исходная ситуация. АО «Апатит» — ключевое предприятие ГК ФосАгро, субъект КИИ с непрерывным химическим производством на шести площадках и ~7 000 рабочих мест.

Вся базовая инфраструктура была построена на стеке Microsoft. Windows на рабочих местах, Active Directory как единственный источник идентификации, Microsoft CA как корень доверия для сертификатов, NTLM/Kerberos-аутентификация, встроенная в сотни приложений. Уход вендора, прекращение обновлений и требования 187-ФЗ и Указа №166 превратили эту зависимость в прямой производственный риск. Ограничение, определившее всю архитектуру - миграцию невозможно выполнить единовременно — даже часовой простой производства влечёт убытки, а критичные системы (АСУТП, ERP, СЭД, DLP, КриптоПро) должны были работать на всём переходном периоде.

Реализованное решение. Построено «доверенное ядро» инфраструктуры на российских сертифицированных продуктах.

1) ОС Astra Linux SE развёрнута на рабочих местах во всех локациях; созданы внутренний репозиторий, типовые образы и набор групповых политик.

2) Служба каталога ALD Pro введена в промышленную эксплуатацию с двусторонним доверием к Microsoft AD; отключён NTLM, устранены проблемы кросс-доменного разрешения групп.

3) Keycloak развёрнут с нуля как единый брокер идентификации в отказоустойчивой конфигурации: один рабочий realm, два LDAP-провайдера с приоритетами (ALD Pro проверяется первым), SPNEGO с keytab в целевом realm, корреляция учётных записей AD и ALD Pro по табельному номеру, маркер миграции в IDM, единая модель ролей — приложения видят только роли Keycloak.

4) IDM Solar inRights доработана: коннектор ALD Pro, кроссдоменный режим, SSO по OpenID Connect через Keycloak, механизм поэтапной миграции учётных записей с доставкой паролей по СМС.

5) Экосистема «Аладдин Р.Д.»: система МФА JMS 4LX + JAS с интеграцией в Keycloak, доставкой второго фактора через eXpress и поддержкой аппаратных токенов; спроектирован двухуровневый удостоверяющий центр на замену Microsoft CA с миграцией доверия, перевыпуском сертификатов и передачей событий в SIEM.

Изменения после внедрения. Информационные системы подключаются к одной точке аутентификации и перестают зависеть от домена пользователя; перевод сотрудника из AD в ALD Pro выполняется средствами IDM без вмешательства в приложения. Рабочие места управляются централизованно из единой консоли ALD Pro — экономия ~30% рабочего времени ИТ-специалистов. Настроен процесс вывода Microsoft AD и Microsoft CA из эксплуатации. Создан внутренний центр компетенций — более 100 обученных специалистов. Сформирована тиражируемая методология перехода для непрерывных производств, получившая отраслевое признание (TAdviser IT Prize 2026, «Импортозамещение ПО: проект года»).

Российская Федерация, 6 производственных площадок ГК ФосАгро: г. Череповец (Вологодская обл.), г. Кировск (Мурманская обл.), г. Балаково (Саратовская обл.), г. Волхов (Ленинградская обл.), г. Москва, г.Санкт-Петербург