Серия «Кудахтеры»

A couple weeks later we had anther video call but Nate called me first and told me I’d be excluded from it. No explanation was given beyond I had “made some comments and would not be happy”. If someone is telling you what your emotions that is when controlling behaviour starts to become abusive. And thus ended my 25 years with KDE.

And what of my colleagues? Surely they wouldn’t want a setup where they have no control over their professional life and all their profit goes to one person? Well dunno, they’ve stopped speaking to me. Nothing. Silence. Nil. Not so much as a “cheereo”, nor “sorry we chose the option were you got excluded” and certainly no explanation.

Дружба это магия, а магия это ересь. Коммерческий мир победил.

Патчей пока нет

10 лет назад, и даже 5 лет назад, люди, путающие IDE VScode и SATA, мне рассказывали, что ядро линукса и все базовые сервисы проверены и исправлены, и обновлять Linux не надо.

Оказывается, надо.

@editors, можно ли добавить тег "CVE" ?

История российских ЦОД, центров обработки данных

Исторически российские ЦОД начинались как три независимых направления.
Центры суперкомпьютеров. Это вычислительные центры немирного атома, ракетной техники, и вот этого всего. Потом к ним, ВНЕЗАПНО, подключилась и нефтяная отрасль, а потом и гидрометео и все остальные.

Центры суперкомпьютеров для военных. Точнее, военные узлы вычислений и связи. Там всегда была своя атмосфера, и про это тут не будет.

Гражданские узлы связи, то есть автоматические телефонные станции, АТС.

Центры суперкомпьютеров
Такие как лежачий небоскреб (Варшавское шоссе, 125) и все вокруг. Изначально строились как индивидуальные проекты, и туда ставили все что угодно, и под любую разумную мощность, которую могла подать энергосистема.

АТС изначально строились для достаточно «горячих» нагрузок, но ключевой момент не только в питании, но и в охлаждении.
С охлаждением все достаточно интересно. Воздух достаточно плохой теплоноситель, теплоемкость мала. У охлаждения водой есть свои минусы, прежде всего это сложность монтажа и демонтажа, протечки, требования к воде. Использовать хоть воду, хоть жидкий азот (как в серийных суперкомпьютерах Cray-2) для единичных проектов можно, для массовых неудобно (хотя IBM справляется).
Есть разница между сборкой водяного охлаждения "1 штука, дома" и "1 тысяча штук на ряд".

Поэтому если речь идет про массовые и дешевые АТС, и массовые и дешевые телекоммуникационные системы, выбор охлаждения воздухом очевиден.

Но при вменяемой скорости воздушного потока, когда воздух еще не отрывает детали и радиаторы от платы, и при вменяемом охлаждении воздуха на входе, или без дополнительного охлаждения воздуха, кубическим метром воздуха при его нагреве от +20 до +70 можно снять..
Посчитаем.
Теплоемкость кубометра воздуха составляет приблизительно 1,25 кДж/°С.
Сечение шкафа возьмем как квадратный метр, при фактических 482,6 мм на 1867 мм – 0.9 квадратного метра.
50 градусов на 1.25 Кдж на градус даст 62.5 кДж. 62 килоджоуля в секунду, это 62 киловатта снимаемой тепловой нагрузки на 42 юнита или примерно 1.5 киловатта на юнит при скорости потока 1 метр в секунду.
Только надо учитывать, что внутри сервера не все сечение занято «ничем», есть ограничения по размерам радиаторов, есть сами платы, конденсаторы, прочие элементы.
И есть ограничения по тепловому потоку микросхема – радиатор, радиатор – воздух.
70 градусов на выходе это достаточно горячо, потому что есть ограничения по температуре самого кремния. При температуре 100-120 градусов, для простых структур до 150 градусов Цельсия, проводниковые свойства кремния начинают меняться настолько, что для процессора это означает выход процессора из строя. При этом не надо забывать, что процессор имеет некоторую толщину, и теплопроводность самого кремния имеет пределы, и тепло нужно отводить из самого центра кристалла. Поэтому промышленность остановилась на лимите «90-95 градусов это предел для ядра». Физический предел чуть выше.
В итоге всех ограничений «для воздушного охлаждения» получается предел охлаждения около 500-700 ватт, может 1 киловатт, на средний сервер в 2 юнита высотой. Может чуть больше, если очень нужно.

Предел охлаждения воздухом может быть и в пару киловатт на юнит, но фактический предел существенно ниже.
Производители прямо пишут: предел для 2 процессорных систем для одного процессора – не более 190 ватт на сокет, сокетов в 2 сервере в 2 юнита обычно 2.
В итоге приходим к цифре около 0.5. 0.7 киловатт х 2 сервер в юнита х шкаф 48 юнитов – 12 киловатт.
У некоторых производителей  (вроде, та же Nvidia) были готовые шкафы «на 15 киловатт».
Существует 6 юнитовый ASrock 6U8X-EGS2 H100 и H200, на 4+4 блока питания по 3000 ватт
Внутри стоят NVIDIA® HGX H200 8-GPU with NVIDIA® NVSwitch™ - 8 штук по 350 ватт, 2.8 киловатта только на видеокарты. Получается киловатт примерно 6, на 6 юнитов.

Производители идут на разные ухищрения. Тут и подача воздуха чуть-чуть под давлением, и межстоечные кондиционеры, вдобавок к подаче холодного воздуха снизу, и снижение температуры воздух на входе, и подготовка воздуха до нужной влажности. Но слишком сухой воздух тоже вреден из-за накопления статики, и не только.
10-15 киловатт на шкаф остается разумным пределом. Больше можно, только шумно, не надежно (высокоскоростные вентиляторы стоят дорого, а ресурс не так велик), есть пределы скорости потока, есть ограничения по подключению пилотов Power Distribution Unit (PDU) внутри шкафа.

Вступает в силу «унаследованная архитектура» и экономика

Экономика говорит, что не все заказчики стоек в ЦОД требуют полной нагрузки, на все 10 киловатт.
А раз так, то можно ориентироваться на требования ГОСТ, который говорит, что есть ряд типовых сечений проводов и автоматом выключения, в частности 25, 32 и 40 ампер.
25 ампер при 230 вольтах – 5.7 киловатт
32 ампера при 230 вольтах – 7.3 киловатта
40 ампер при 230 вольтах – 9.2 киловатт

Поэтому часть стоек в ЦОД проектируют под «5 киловатт как  у дедов на шагово-координатных АТС», часть (значительно меньшую) под 10 киловатт.
Если у вас какое-то тяжелое (по мощности) оборудование, типа тяжелой IBM, то перед ее установкой поставщик проводит предварительное обследование – выдержат ли перекрытия эти 1.5 – 2 тонны, выдержат ли пути доставки (его еще и наклонять нельзя), что там с электропитанием и так далее. Про это давным-давно много и интересно писал Господин Инженер, кто хочет – почитает.

А раз так, то можно и нужно отводить не 10-12 киловатт тепла с стойки (а стоек на ЦОД может быть 2-3 тысячи), а 4-5. Это другие кондиционеры, другие системы, и все другое.
Разумеется, можно сразу планировать «на побольше», но выйдет «подороже». Там одного этиленгликоля 20-30 тонн на ЦОД, если не больше. Плюс электрическая мощность «на работу самих кондиционеров и насосов», плюс сами кабеля, Плюс стоимость подключения двух независимых веток внешнего питания, плюс стоимость батарей и инверторов для резервирования до пуска дизелей, плюс стоимость дизелей. Это все стоит денег, это все надо планировать, и для обычного ЦОД какой-то баланс необходим.

Ничего плохого в этом нет, обычная экономика и экономическое обоснование окупаемости.

В игру вступает NVIDIA Grace Blackwell NVLink72

Если посмотреть на документ от Supermicro NVIDIA GB200 NVL72 SuperCluster, страницу 4,
NVIDIA GB200 NVL72 Rack-Scale Configuration

то там все написано:
Сверху - 10 Compute Trays • 4x NVIDIA Blackwell GPUs per tray
В середине - Интерконнект
Внизу - 8 Compute Trays• 4x NVIDIA Blackwell GPUs per tray

Итого 18 по 4 - 72 GPUs -
GPUs 72x NVIDIA Blackwell B200 GPUs
CPUs 36x NVIDIA 72-core Grace Arm Neoverse V2
Supermicro 250kW capacity coolant distribution unit (CDU) with redundant PSU and dual hot-swap pumps
1.3MW capacity in-row CDU

В документе Supermicro NVIDIA GB200 NVL72 Datasheet указано и потребление. От 125 до 135 киловатт на стойку. Что не удивительно для 72 супер горячих GPU.

Есть решения попроще и постарше, например NVIDIA DGX B200. Потребление, а значит и нагрев, 14.3 киловатта на 10 юнитов.
Есть решение поновее, NVIDIA DGX B300. Те же 14 киловатт.

Есть и прочее горячее оборудование

Современные корпоративные SSD тоже греются, и греются весьма серьезно.
В ряде решений по хранению данных для расчета софт-рейда SSD нужна видеокарта. Греется.
Современные сетевые карты на 100\200\400 G греются.
Современные 100\200\400 G коммутаторы греются еще больше.

В общей массе "нагрузки вообще" таких конфигураций не так много, но они есть.
Ситуация осложняется тем, что заказчик иногда смотрит не на данные по стойке на PDU, особенно если у него не управляемые PDU, и не на показания из BMC сервера по потребляемой мощности, а на маркировку блока питания. На которой написано 1500 W, а таких блоков там два. Все, сервер потребляет 3000 ватт, при фактически потребляемых 300 ватт.

Некоторое теоретические отступление

С ростом технологий по поколениям, от паровой машины до лунного модуля Аполлон, требовала все более развитой стендовой базы.
Околозвуковые и сверхзвуковые самолеты потребовали сверхзвуковых аэродинамических труб.
Следующее поколение самолетов и двигателей к ним потребовало численного моделирования потока воздуха вокруг крыла, потока воздуха вокруг лопаток и прочего числового моделирования поведения газов, постройки вычислительных кластеров.

Технологии следующего поколения (это я про цикл про поколения техники) требуют вот таких монстров. Ничего, кстати, особенного - Cray-2 потреблял 200 киловатт.

И конечно это не техника для малого и среднего бизнеса и среднего ЦОД – в США ориентировочная стоимость комплекта была:

The estimates suggest a fully-loaded GB200 NVL72 server with 72 GB200 Superchips could fetch around $3 million

В РФ предлагают за 6.5 миллионов долларов.

Можно ли жить без такой техники?
Конечно можно.

Можно и пешком или на лошади спокойно добраться из Лефортово в Хамовники, как Гиляровский.
Можно долететь на кукурузнике (Ан-2) из Москвы в Владивосток? Можно, дальность Ан-2 в зависимости от нагрузки от 900 до 1200 км. Не так быстро и комфортно, как на Боинг или Эйрбас, но можно.
Можно ли считать газовую динамику, траекторию до Луны (и посадку в Луну с литосферным торможением) на технике из 70х-80х? Можно.

Немного математики или мнение про реальные причины низкого спроса на ЦОД

Сейчас 2025 год. 15 лет назад я убирал из стойки 6 (или 8?) юнитовый сервер IBM из 2000 года или около того. 2 процессора, целых 128 МЕГАБАЙТ памяти.
Заменял я его на виртуальную машину с 256 мегабайтами, а всего на физическом сервере было, кажется, 2 гигабайта.
На технике, которую коллеги и я ставили в 2020, было, кажется, уже по 768 Гб памяти. И это был «обычный такой сервер». 24 слота по 32 Гб памяти.
Сейчас есть и модули 128GB DDR4 ECC REG, и модули 256 ГБ DDR5 ECC RDIMM.
То, что в 2020 занимало две стойки, в 2025 занимает половину стойки. При цене аренды стойки в 100-150 тысяч рублей, или почти 2 миллиона в год, и жизненном цикле техники 5-7 лет, проще при следующей замене перейти (при определенном масштабе, конечно), от выделенной СХД на гиперскейлеры, поставить процессоры «подороже», и повысить плотность размещения на стойку раза в два. За 3 года окупится. Но такая техника требует уже не 5, а 7 киловатт, если плотно набивать, и таких стойко мест, и спроса на них не так много.

Литература
Supermicro NVIDIA GB200 NVL72 SuperCluster
Supermicro NVIDIA GB200 NVL72 Datasheet
NVIDIA DGX B200
NVIDIA DGX B300
Статистика и ЦОД: откуда берутся 5 кВт на стойку и почему это немало

Летом 2007 оборудование начали готовить к транспортировке в Россию, вместе с постройкой нового завода, через известную фирму  M+W Zander.

В декабре 2007 запустился и Микрон, на 180 – нм линии: Электроника: Россия вошла в семерку лидеров.
Линия от STMicroelectronics, куплена в 2006. Обещались, цитата:

Основная продукция, которую планируется выпускать на предприятии по технологии 0,18 мкм, это смарт-карты, RFID-чипы и ID-чипы.

К 2008 пошли запросы про разрешение получить сразу и разрешение и оборудование для 90 нм

However, the deal between AMD and JSC Angstrem is not done. Soukhaparov also stated that the company is negotiating with the U.S. and EU governments to win approvals to import 90 nm processing technology as well. The executive expects that the 90nm deal could close in couple of years and AMD will continue to supply JSC Angstrem with 90nm equipment from Fab 36, resulting in additional revenues for AMD.

В июле 2008 что-то собирались завозить в РФ, и планы запуска были поставлены на осень 2009 года.

В том же, 2008, году, на Ангстреме сменился генеральный директор, но планы на 0.13 мкм (130 нм) так и стояли – до конца 2009 года:

Всеволод Вуколов 16 июня был назначен генеральным директором микроэлектронного концерна «Ангстрем». На этом посту ему предстоит создать производство микрочипов с топологическим размером 0,11–0,13 мкм, запуск которого намечен на конец 2009 г, рассказали CNews в пресс-службе.

В ноябре 2008 что-то на Ангстреме пошло не так:

Как стало известно CNews, акционеры концерна «Ангстрем» расстались с генеральным директором Всеволодом Вуколовым, пришедшим на эту должность менее полугода назад из аппарата правительства. Кроме того, «Ангстрем» покинула и вновь созданная Вуколовым команда топ-менеджеров.

К 2009 ничего так и не запустилось, и в 2010 пошла замена руководства в многочисленных Ангстремах – их больше одного, классика – ООО, ААА, ЫЫЫ:

Акционеры российского производителя микрочипов - ОАО "Ангстрем" - практически полностью поменяли состав совета директоров. Из него ушли председатель СД "Ангстрема" и бывший заместитель министра информтехнологий и связи Дмитрий Милованцев и заместитель генерального директора "Телекоминвеста" Григорий Цуприк. Обновленный совет директоров назначил генеральным директором компании Алексея Таболкина, а бывший гендиректор предприятия Валерий Дшхунян теперь возглавит совет директоров.
Милованцев и Цуприк ушли из "Ангстрема"

К 2011 лучше не стало:

На 9 мест в совете директоров «Ангстрема» было номинировано 10 кандидатов. Свои места сохранили зампред Внешэкономбанка Анатолий Балло, гендиректор ЗАО «Концерн Центр «Информатика и Электроника» Валерий Дшхунян, гендиректор ОАО «Российская электроника» Андрей Зверев и глава «Ангстрема» Алексей Таболкин.
«Ангстрем» входит в одноименную группу наряду с ОАО «Ангстрем-М», ОАО «Сборочное производство «Ангстрем», ОАО «Ангстрем-Т» и «НПО Ангстрем».

Завод при этом не простаивал, но речь про 130 нм, и планах на 90 нм, уже не шла. Потому что оборудование так и лежало на складе в Германии.

В 2010 году компания выпустила 107 млн интегральных микросхем и изделий в сборе, увеличив в 1,8 раза показатель 2009 года. Также в прошлом году в 2 раза увеличилось общее количество продаваемой на экспорт продукции кристального производства – до 102,7 млн штук.

В 2012 году Ангстрем тоже работал, но и про «ура прорыв запустили 130» тоже речи не было.

Согласно Годовому отчету ОАО «Ангстрем», в 2012 году продолжился рост выручки предприятия, которая по итогам года составила 3 060 млн. рублей. (1987 млн. руб. в 2011 году). Выручка от реализации продукции составила 694 млн. рублей и от выполнения опытно-конструкторских работ — 2 170 млн. рублей. По итогам 2012 года ОАО «Ангстрем» показало чистую прибыль в размере 61,106 млн. рублей. «Ангстрем» и «Концерн Радиоэлектронные технологии» отчитались за 2012 год

сроки постройки завода, даже не запуска линии, постоянно сдвигались - с 2008 на 2013 год.

В начале 2012 г. "Ангстрем-Т" заявил, что предприятие выбрало подрядчика для строительства - им стала российская компания "Рамос". Строительство было запланировано на май 2012

И позже:

В Россию же оборудование AMD попадет еще не скоро. Сейчас в Зеленограде идет монтаж электроподстанции и производственных цехов. Затем по плану в марте 2013 г. немецкая компания M+W Zander должна начать монтаж чистой комнаты, куда уже можно будет завозить оборудование. За свои услуги по хранению и доставке оборудования Runica Investments получит от «Ангстрем-Т» 17,5 млн евро. «Ангстрем» застраховал оборудование AMD на 180 млн евро

Осенью 2012 Ангстрем подписал соглашение в IBM по 90-нм линии. В российских новостях это продавали как:

Корпорация IBM заключила соглашение с зеленоградскими предприятиями НПО «Ангстрем» и «Ангстрем-Т» о лицензировании технологии производства интегральных схем с топологическими нормами 90 нм...
В 2012 г. «Ангстрем» лицензировал для данной фабрики технологию IBM, позволяющую модернизировать производство до более современной технологии 90 нм.

Для иностранной прессы было другое мнение:

Through the first agreement, IBM has licensed Angstrem integrated circuit technology of the topological size of 90nm. With the license, Angstrem plans to manufacture microelectronic devices such as chips and sensors for use in the industrial and consumer sectors. Besides the license for the use of the technology, Angstrem will receive design rules from IBM required for contract manufacturing organizations so that the company will be able to offer "Smart Foundry" services to Russian and foreign customers. Alexey Dianov, Director of PR Department "Angstrem" company group

Осенью 2014 сроки запуска линии (Twinscan XT1250) сдвинули уже на январь 2016. (Коммерсант)
Осенью 2015 даже «сделано у нас» торжественно публиковало (с фото), что «уря уря монтаж идет» по Twinscan XT:1250, и добавляло сладких мечт, может быть, получить Twinscan XT:1250i .

В 2016 году Ангстрем-Т опубликовал очередной отчет по РСБУ:
Выручка «Ангстрем-Т» в 2016 году составила 56,6 млн руб., чистая прибыль — 10,09 млн руб.
В 2017 году прибыль упала до 2,7 млн руб
В 2018 – убытки 478,1 млн руб
В 2019 – убытки 1,1 млрд руб
В 2020 – убытки 693,7 млн руб.
Все это время: ни официального запуска 130 нм линии, ни чипов.

С августа 2017 года начались подачи исков по долгам Анстрема, еще в 01 апреля 2017 года был подан запрос на оценку «что там на Анстреме»,
В том числе:
ASML PAS5500/400B. Лазер 365 нм, модель из середины 90х, модельный ряд с 1991 года
ASML PAS5500/400C
ASML PAS5500/700B. Лазер 248 нм, модель из конца 90х.
ASML PAS5500/750E
ASML PAS5500/800B
ASML  Twinscan XT1250D. Этот поновее, модель из начала 00, с патчами.

После 2017 года ни о каких 130-90-65 нм на Ангстреме речь уже не шла.

Спецификации можно детально посмотреть в архиве, прочие цифры у asml на сайте, или в статье ASML - PAS 5500/400, Step & Scan System.

Тут можно было бы сделать табличку, технологии лазера / длина волны от лазера / технологии в нанометрах, но мне лень.

Тем временем в замке Шефа

На втором российском производстве – Микроне, к уже бывшей 180 нм линии, в 2010 году купили линию 90 нм (все там же, ST - STM - STMicroelectronic). В 2012 ее запустили, в 2014 году вышли на серийное производство оперативной памяти и не только, в общий доступ попали фото 16Mbit SRAM 1663RU1. Линия на 200 мм, точнее , 8 дюймовых, пластинах.
Даже делали Эльбрус – но Эльбрус-2СМ (1891ВМ9Я), 300 МГц, без Elcore-09.
Может быть, что там же делали и Эльбрус-S и МЦСТ-4R, оба – очень специального назначения, очень малыми партиями.

А не замахнуться ли нам на Вильяма, понимаете ли, нашего Шекспира.

Тогда же, в 2014 году, на Микроне стали собираться перейти от 90 нм к 65 нм. К 2015 году даже что-то разработали, но на 2022 год это все так и осталось на уровне «как-то так», цитата

Сейчас у нас есть PDK [Process Design Kit — правила проектирования для дизайн-центров от конкретной фабрики] уровня 250нм, 180нм, 90нм, — сообщила Карина Абагян, директор по стратегическому развитию „Микрон“
На вопрос слушателя о том, как обстоят дела с технологией 65 нм на «Микроне» — «На сайте Микрона указано, что технология 65 нм „в разработке: проходит квалификацию и освоение в производстве“, это длится уже много лет» — представитель завода ответила, что для полномасштабного запуска этой технологии «Микрону» необходим новый фаб, работающий на пластинах диаметром 300 мм. Существующее производство действует на 200 мм пластинах — для них технологии 65 нм проверялись только на уровне R&D, в качестве подготовки к переходу на пластины 300 мм.
Микрон» и «Ангстрем» предложили проектировщикам чипов ориентироваться на отечественные фабрики. Для этого им нужно «вернуться назад

Итого
Ангстрем делал что мог, но его максимум - ASML  Twinscan XT1250D, 130 нм, и то, если он работает.
Микрон делал 90 нм, но как-то уже не делает – что не удивительно, там не очень новый ASML Twinscan XT 1250B. Чипмейкер №1 в России заложил в банк полторы сотни своих установок для производства микроэлектроники

Так что «до 90, но скорее на 180, не кашляйте».
Процент выхода годных чипов, конечно, никто писать не будет.

Список фабрик и установок, конечно, не исчерпывается Микроном и Ангстремом, но и "тихналохии" не ограничиваются нанометрами.

Как тут не вспомнить уже классику из 2022:

Примерно опишу мыслительный процесс позитивно (патриотично) настроенных граждан.

Оборудование можно сделать и самим, но пока можно и просто привезти серым импортом. Оборудование выглядит примерно как большой ящик с дырками, включённый в розетку; в одну дырку складываешь кремний, в другую заливаешь фоторезистор. Под третью дырку надо подставить ведро - в него будут ссыпаться чипы. Вёдра мы делать умеем (хотя и импортируем сейчас, но чертежи-то остались), фоторезистор научатся намешивать в Зелинограде; с кремнием разберемся, не всё сразу. Надо ещё заранее заказать в Китае переходник с европейской розетки на нормальную - лучше сразу 3 или 4, они постоянно горят. Вроде все ясно. И надо ещё 3 или 4 росгвардейца, чтобы ведро не сп%здили.

Чтобы вывезти оборудование, надо дать денег охраннику на заводе чипов в Европе, чтобы он аккуратно отключил от розетки и выволок ящик к проходной. Будет немного поцарапанный - ничего, покрасим. Денег надо дать в пятницу вечером, чтобы они до понедельника не спохватились. Грузовик лучше взять в аренду прямо в Европе (у наших все шины китайские), а потом не возвращать - у нас сразу появятся и чипы и бесплатный грузовик. На грузовике потом можно будет возить кремний.

Там какой-то типа модуль с гпс и электронный ключ. Но мы его хакнем, это не может быть сложно. У меня вот была программа которая выдавала ключ для Windows в 2001 году ещё. И другая для Симсити. Могу даже поискать.

Саппорт разумеется не нужен, зачем - это же просто ящик с тремя дырками. Ну там может какой-то тумблер ещё есть: налево - сыпятся cpu, направо - карты памяти, это можно просто попробовать и понятно будет. Если перестанет работать, то надо просто открыть (гарантия всё равно тютю) и если что-то болтается - подтянуть, где скрипит - смазать, это вам любой инженер скажет. Иногда надо термопасту менять, конечно. Но я вот менял сам, ничего сложного.

Так что не надо негатива. Надо просто засучить рукава и делать.

Часть 1. Начну с новости:
PoC Exploit Released for Actively Exploited Linux Kernel Out-Of-Bounds Write Vulnerability
The vulnerability affects Linux kernel versions 2.6.26 and later. Applying the patches mitigates the risk of exploitation and ensures system security. Источник, NVD CVE-2024-53104, RHEL support, Ubuntu.

Предлагаемое исправление: просто выключите вебкамеру.
Block autoloading the uvcvideo module by adding the following line to /etc/modprobe.d/blacklist.conf: blacklist uvcvideo. This may disable webcam or prevent it from functioning correctly.

Патчи вышли к убунте 20,22,24, остальное не смотрел

Интересное не это, интересны две маленькие детали.
1. Это модуль ядра, то есть его, согласно концепции опенсорс, его должны были, просто обязаны были найти все разработчики Linux, все тестетры, все анализаторы кода, etc.
2. Linux kernel 2.6.26 вышел 13 июля 2008 года. 16 с лишним, ШЕСТНАДЦАТЬ, КАРЛ, лет назад. На тот момент размер ядра был порядка 10 миллионов строк кода, сейчас размер ядра около 40 миллионов строк.

Но не нашли. Как не нашли SambaCry (он же EternalRed) с 2010 по 2017,  пока эту уязвимость и модуль для эксплуатации не стащили у NSA.

Похоже, в настоящее время модель безопасности у всего опенсорса, в том числе ядра, опирается на корпоративные программы поиска уязвимостей, особенно за деньги.

Часть 2. Развитие продуктов.
Если посмотреть на более-менее заметные продукты на рынке опенсорс, то:
Android. Разработка Google. Существует Android Open Source Project (AOSP), существует HarmonyOS (HMOS) – но сам по себе андроид разработан и поддерживается гуглем, и доступ к сервисам уже бывал ограничен.
Kubernetes, k8s. Разработка Google.
Vault: Разработка HashiCorp
PostgreSQL. Очень, очень старый продукт, и, скорее, исключение из правил.
MySQL. С 2008 года разработка Sun Microsystems, с 2010 - Oracle Corporation. Движение «Save MySQL» в 2010 году закончилось ничем, и теперь MySQL Enterprise Server продается задорого.
Open vSwitch project. Nicira, затем VMware (в виде NSX). Подробнее тут.
Open Contrail / Tungsten Fabric (2017 – 2023) / OpenSDN - Juniper Networks, 2013 год.
Детали: Rumors of Tungsten Fabric’s Death Are Greatly Exaggerated, OpenSDN 24.1: The Next Evolution in Open-Source SDN. Что интересно, проект не умер только потому, что Randy Bias решил, что проекту умирать рановато,  поговорил с Nipa Cloud, проект тащили и дотащили в CloudStack (ShapeBlue).
Software for Open Networking in the Cloud (SONiC). Microsoft.
KVM. Qumranet, финансирование Cisco Systems.
NetBox – DigitalOcean, причем версия NetBox Enterprise продается по подписке задорого.

И это все на фоне кладбищ из хороших проектов, где разработчик решил, что с него хватит, и ушел. Как Ceki Gülcü (log4j), или как tildaslash и zemmiph0bia.
И это все на фоне того, что в отдельных репозиториях стал появляться код с вредоносными функциями при обнаружении в системе русского языка или таймзоны Москва.
И это все на фоне того, что реестр таких репозиториев заброшен.

Часть 3. Интересная ситуация с двумя в чем-то сходными продуктами.
OpenStack. Изначально NASA, а сейчас очень много (интересно, сколько в % кода) дорабатывается .. кем-то, до проприетарных вариантов OpenStack. Ванильная версия, конечно, осталась, только падает иногда при развертывании новой версии. Просто потому что.
Red Hat ? Переехал в 2023 на Red Hat OpenStack Services on OpenShift.
Rackspace ? Интересны цифры, которые показывал Rackspace в октябре 2024 на OpenInfra Days North America 2024 – 28606 нод, 117314 виртуалок. Почему так мало?

OpenNebula Subscription – это такой опенсорс, который продает подписку по 24/7 SLA за $13,750 плюс €1.100 ($1,375) per managed node.
Дорого? В деньгах сравнимо. Ценник на VMware by Broadcom находится где-то в диапазоне:
VVF $135/core, standard $50/core. (реддит)
vSphere Standard $50 per core ,vSphere Enterprise - $150 per core. (реддит)

Не то, чтобы это было дешево, на том же Xeon 9468 или 8488C всего по 48 ядер, на  AMD EPYC Bergamo и по 128 ядер бывает, но 48*50 – это 2400$ за сокет, 4800$ за 2 сокета (там сложнее, надо будет попросить посчитать), и итоговая разница в 4 раза. Но. Это после подорожания, и все равно OpenNebula Subscription ну совсем не дешево. Тем более, учитывая при расчете проблемы KVM с CPU планировщиком и плотностью размещения.

Часть 4. Что там у VMware by Broadcom?
Когда  Broadcom перевел VMware на модель «все по подписке» и кому-то поднял цены, а кому-то нет, попутно озвучив новую бизнес-модель «голытьбу с пляжа» «сосредоточить усилия на крупных клиентах», в интернетах началось ликование. Началось самопроизвольное истечение мечты, что сейчас кровавый энтерпрайз поймет, как он недооценивал опенсорс, бизнес Broadcom закроется, всех уволят, и будет как раньше, только с победой опенсорца.
Вышло не так. 70% крупных покупателей покряхтели, посчитали, и остались на подписке - 70 percent of large VMware customers bought its biggest bundle. Покряхтывают, конечно, что дорого.
Но зато у Broadcom 25% рост доходов, до $14.92 миллиарда. Чистая прибыль выросла на 315 %, до $5.5 миллиарда.
Похоже что, пишут в иностранной прессе, рост от $1.97 миллиарда в Q4 2023 до $6.7 миллиарда в Q1 2025,  все благодаря VMware, чей последний заявленный доход - $3.4 миллиарда.
Так что, 6.7 – 3.4 – 1.97 = 1.33 миллиарда в копилку эти изменения принесли.
Статья: Broadcom has won. 70 percent of large VMware customers bought its biggest bundle

Часть 5. Что там у Microsoft ?
Пишут, что все неплохо, 16% рост год к году (до 245 миллиардов), 24 % рост прибыли (до 109 миллиардов). AI продают везде. Ссылки: Microsoft, Macrotrends. Вендекапец, видимо, опять откладывается, особенно с ростом продаж и установок Linux on Azure , в том числе своего дистрибутива - Azure Linux.
На фоне этих цифр хорошо смотрится прибыль ООО «Майкрософт рус» из 2018 года, 567 млн руб. Среднегодовой курс в 2018 году: 62.60 рублей, значит прибыль целых 9 миллионов долларов.
Сумма, что и говорить, немалая. На фоне 35 миллиардов долларов чистой прибыли самой MS в 2018 году.

Часть 6. Что там с импортозамещением ?
Да, собственно, ничего.
Как были в РФ облака на VMware Cloud Foundation, так и остались.
Как внутри каждого провайдера покрупнее пытаются сделать что-то свое, вокруг KVM в основном, хотя и не только, так и пытаются.
Как были разговоры про КИИ и перенос сроков, так и остались.
Получается? Где как. Иногда падает и валяется, как МТС, или Яндекс, или частично ВК.
Ситуация в чем-то напоминает конец СССР в авиации – когда КБ Антонова, Туполева, Яковлева, Ильюшина, Бериева, и, иногда, Сухого, каждый выпускали для гражданского рынка что-то свое, не совместимое с соседями, местами в виде легаси, обмазанное легаси. Та же ситуация на закате СССР была в каждой соседней отрасли, где техника одного завода была не совместима с техникой другого завода никак, совсем. Разве что солярка была одинаковая, и солидол, и то с солярки местами перешли на керосин. Теперь та же ситуация в ИТ секторе.
Проблема импортозамещения не только в том, что был выбран подход «русифицируем что есть».
И не в том, что с 2007 года, когда в РФ стали говорить про РосГослинукс и РосГосрепозиторий, не было сделано почти ничего.
Но проблема в том, что с 2000 - 2005 годов некоторые продукты вокруг опенсорса стали настолько сложными, что даже доработка форка может не пойти. Потому что нет экспертизы по комплексному продукту «задешево». Задорого никто нанимать команду не хочет, да еще и не особо есть из кого, если смотреть в РФ.
Проект в целом может не окупиться, потому что нет платежеспособного спроса на продукт такого качества, и с такой поддержкой, и такой внутренней экспертизой. Ничего удивительного, что телекому и облакам с такими вводными очень не хочется, очень сложно, и очень дорого слезать с продуктов западных и восточных вендоров. Иногда проще сидеть на каких-то продуктах, закрытых внутренней экспертизой, и с контролируемой кодовой базой. Даже если продукт не пакуется в коробку, имеет унаследованные не исправленные проблемы, но все равно свой продукт лучше, чем менять на такое же, но без внутреннего центра экспертизы.

Подводя итоги.
Опенсорс пришел к тому, что часть проектов умерли совсем. Многие проекты или финансирует FAANG и сопутствующий бигтех, или передаются из FAANG в опенсорс. Не все, пока еще не все. Но движение "зачем писать код бесплатно, если в магазине не берут интересные проекты" уже есть.
Почти никакого анализа кода, кроме того, что иногда ведется бигтехом, так и не появилось. Баги остаются не обнаруженными не просто годами, но десятилетиями.

Импортозамещение в РФ даже не пыталось консолидироваться, скорее наоборот. Возникли 20-30 разных концептов, зачастую не упакованных в коробки. Концепты пытаются конкурировать между собой. Некоторые вариации импортозамещения скорее напоминают демонстрацию интерфейса, чем как-то работающий прототип или MVP (минимально жизнеспособный продукт).
Ничего удивительного, что на фоне этого горького катаклизма топ-10 интеграторов набрали себе достаточно технической экспертизы и каналов поставок, для организации доставки и эксплуатации подсанкционных товаров. Цены, говорят, чуть выше – но что же поделать.

Попытки продвинуть какие-то «новые российские сервисы» типа рутуба, или россграм, Looky и так далее, не пошли дальше рекламы запуска. Даже замена Тиндера не возникла, хотя, казалось бы, такой огромный рынок.
Но нет. Вслед за кабанчиками, наносеками и скуфами отбыли и ваннаби альтушки. Теперь оставшиеся в РФ коллеги грустят, что с личной жизнью стало никак, дайвинчик – дно. Что, опять же, не удивительно, на фоне огромного числа разводил и кафе для разводов, особенно в Санкт-Петербурге. Да и в Москве таких разводил полно. Но, это выбор коллег. Или грустить, или 15 часов, и вы на Walking street. Тоже, кстати, не российское явление - на фоне движения 666 в США и Европе, Тиндер и попутные приложения страдают. 666 - это The 666 Rule: 6 Feet, 6 Inches, 6 Figures. Рост 180+, длина 15+ см, оклад в 6 знаков в год. Желающие могут пересчитать 6 дюймов по ПЕС. ПЕС это как ППС, только для другого.
Ничего удивительного, что новости в РФ теперь про то, что в запретограмме российская знаменитость показала бритую ногу. Не в ВК. Не на Рутубе.
Ничего удивительного, что на Хабре теперь в копроблогах пишут про что угодно, кроме ИТ. Про пельмени и продажу фотографий, например. Или какой то студент, даже не за еду, а за обещание еды, пытается пересказать Сети Для Самых Маленьких своими словами. Только не выходит даже пересказать.
Среди тех, кто сэкономил на копроблоге, но пишет статьи с рекламой под заказ, жизни не просто не наблюдается, что отлично видно и на статистике набора плюсов, и на статистике просмотров авторов вне копроблогов. Есть и плюсы - мне уже не актуально, а коллеги теперь точно знают, в каких облаках ничего покупать не надо.

Откуда этот плак плак.
Плак плак возник из VMware – замещения.
На текущем месте работы идет, или готовится два пилота – один по Proxmox, и Proxmox еще ничего.
Продукт понятный, свою нишу закрывает, есть недочеты, но жить можно, при определенных условиях.
Я, со своей стороны, смотрю в его API, и не могу выбрать, к какому чемпионству надо теперь стремиться. Добрый Дедушка прислал дары, склоняюсь к нему и перед ним.
Второй пилот стартует через неделю, и это OpenNebula.
Пока соседний отдел смотрит, что и как в целом, планирует сети, подбирает документацию, тыкает палочкой в AI, но пока проект выглядит как избыточно сложный, совокупно дорогой, и, может, ну его.

И там же, в базе, хранятся все остальные сущности.

При добавлении компьютера в домен на нем магией Kerberos (или NTLM) для учетной записи SYSTEMOFTHISCOMPUTERNAME создается логин, пароль и дальше уже по учебнику.

Централизованная архитектура, вот это все.

Растет это все из принципа «все централизовано, все под контролем».

В противоположность этому, Linux вырастал из концепции «тут есть только я», то есть никакой централизации «из коробки», и есть только один root. Как следствие, в Linux из коробки управление пользователями и правами весьма отличается от Windows. Впрочем, для большей части задач этого достаточно, особенно если права пользователя в исполняемом приложении не те же самые, что права пользователя Linux.

Однако в некоторых сценариях возникает необходимость централизованного управления не только права внутри приложений, но и правами в самой ОС, и тут на помощь приходят SSSD, Winbind, realmd.

Раньше был Identity management for Unix/NIS, но он закончился.ся.

За деньги были PowerBroker Identity Services, Centrify Server Suite, Quest Authentication Services.

В теории это можно сделать разными методами, хоть через управление сертификатами через Ansible или что угодно «прочее», хоть паролями по любой схеме.

На практике в организациях обычно есть ряд требований по сложности пароля, по не-хранению паролей в открытом виде, по регулярной смене пароля, по централизованной блокировке, итд.

Ansible в чистом виде эту задачу не решает, FreeIPA не то чтоб популярна, хотя можно и ее использовать, если вы любите боль (и унижение), да и смысла в замена MS AD нет, если только не совсем угнетаться. Потому что Windows Standard стоит около 1100 $ на 16 ядер, и около 6200$ на Datacenter, что для организации не так дорого. Если у вас работники не за еду работают, конечно.

То есть проще купить, да и глобально Microsoft не так пристально следит за лицензированием, как Broadcom. Можно сказать, что вообще не следит, учитывая работу доменного центра лицензирования, когда ты, фактически, даешь Microsoft честное слово, что у тебя не будет намного больше того количества, что ты лицензировал. Software Assurance это просто удобно. Но, конечно, никто не мешает делать «только Linux», хотя так чаще говорят те, кто цены на RHEL \ Oracle Linux не видел.

Часть 2. К практике. Подготовка

Я развернул домен Windows Server 2025, это делается так же просто и легко, методом далее далее готово. Мне бы снапшот сделать, перед установкой, ну да переживу. На 2 ядрах и 6 Гб оперативки Windows 2025 + AD как-то живет, но немного грустит.

Развернул рядом новый Debian 12 с длинным именем Linux-with-long-name-199 и .. и сразу уперся в мелкие проблемы, которые на Windows давно решены из коробки, в том числе:

Для работы нужен ntp, но инсталлятор Debian предлагает при установке установить Gnome, KDE, ssh, web – но не предлагает выбрать ntp клиент. Из коробки стоит systemd-timesyncd, что видно по

timedatectl status, но sssd не предлагает сконфигурировать службу времени для работы с контроллером домена, надо конфигурировать вручную. Или опять Ansible (предпочтительнее, но это не предмет данной статьи)

Но пока вручную, отредактируем
nano /etc/apt/sources.list
и
nano /etc/network/interfaces

Эмуляция легаси в Linux

Создам юзера AlexanderPushkin, приделаю к нему сертификат, зайду в него, чтобы профиль точно был, и положу в профиль текстовый файл.
/usr/sbin/useradd -m AlexanderPushkin
Обожаю дебиан, что там пути по умолчанию в версии 12 так и не поправили.
passwd AlexanderPushkin
chown -R AlexanderPushkin:AlexanderPushkin AlexanderPushkin/.ssh/

прописываем ключи, не забывая (я постоянно забываю, еще один повод это делать в Ansible)
НЕ в формате ---- BEGIN SSH2 PUBLIC KEY ----
а в формате ssh-rsa (ключ)

Как же раздражает после перерыва то, что по умолчанию -
echo $SHELL == /bin/sh
вместо /bin/bash
и что надо делать
chsh -s /bin/bash
А то не будет ничего из .bashrc, ни echo $HISTSIZE, ни echo $HISTFILESIZE, ни echo $HISTFILE
Бесит, что надо как-то так.
/usr/sbin/useradd -m -s /bin/bash AlexanderPushkinTheSecond
passwd AlexanderPushkinTheSecond
mkdir /home/AlexanderPushkinTheSecond/.ssh
touch /home/AlexanderPushkinTheSecond/.ssh/authorized_keys
chown -R AlexanderPushkinTheSecond:AlexanderPushkinTheSecond /home/AlexanderPushkinTheSecond/.ssh
Или что-то такое, поправьте меня, если вдруг чего спутал.

Часть 3. К практике. Начинаем медленно вводить. В домен.

У нас есть два пользователя, AlexanderPushkin и AlexanderPushkinTheSecond
Можем ли мы создать пользователей с такими именами в AD?
AlexanderPushkin. Длина имени 16 символов, создается без вопросов.
AlexanderPushkinTheSecond. Длина имени 25 символов, и это длиннее SAM-Account-Name, у которого длина 20 символов.
Из AlexanderPushkinTheSecond получился SAM-Account-Name AlexanderPushkinTheS
Сомнительно ,но окей.

Начинаем подготовку к вводу в домен самого Linux сервера.

В всяких инструкциях прописана тонна всяких пакетов, но никакой расшифровки к ним. Список включает, но не ограничивается:realmd sssd sssd-tools libnss-sss libpam-sss adcli
или
realmd sssd-tools samba-common-bin samba-libs krb5-user adcli
или
realmd sssd-tools sssd libnss-sss libpam-sss adcli packagekit
или
realmd sssd sssd-tools libnss-sss libpam-sss packagekit oddjob oddjob-mkhomedir krb5-user adcli

Такое впечатление, что авторы инструкций списывают руководство друг у друга, вообще не вдаваясь в детали, зачем нужен, и нужен ли, тот или иной пакет.

Описания пакетов сделаны в том же самом виде, что и в классике, например, цитата:

PackageKit allows performing simple software management tasks over a DBus interface e.g. refreshing the cache, updating, installing and removing software packages or searching for multimedia codecs and file handlers.

Напомнило

«СЕПУЛЬКИ — важный элемент цивилизации ардритов (см.) с планеты Энтеропия (см.). См. СЕПУЛЬКАРИИ».

«СЕПУЛЬКАРИИ — устройства для сепуления (см.)».

Я пойду другим путем, вообще ничего ставить не буду!

Найти детальное описание «что нужно сейчас и почему», это подвиг сложнее, чем накормить кота таблеткой.

realmd как интерфейс к sssd понятен. sssd-tools – уже не так понятен. krb5-user понятно, но его перечисляют не везде.

Подготовительные работы

В первую очередь необходимо вручную заменить thishostname на hostname.mydomain.domain
или, в моем случае,
hostname Linux-with-long-name-199.win2025.mydomain
Затем поправить /etc/hosts , и наконец сделать
apt install realmd

И проверить что вышло
Делаю realm discover и получаю bash: realm: command not found

КАК ЭТО ВОТ ТАК ? Проклятый Debian, почему там пути то не прописали.
/usr/sbin/realm discover работает, с сообщением realm: No default realm discovered
realm discover win2025.mydomain –verbose выдает realm: No such realm found

Почему?
потому что я не настраивал DNS, а в /etc/resolv.conf прописался DHCP сервер еще с момента установки.
dig @192.168.122.250 win2025.mydomain – работает, но в целом работа службы DNS в Linux, или в Debian, в случае если первый сервер сказал «ну я даже и не знаю», без попытки спросить второй сервер в списке тоже с непривычки может вызывать ряд проблем.

Если все настроить правильно, то команда
/usr/sbin/realm discover win2025.mydomain

Должна вернуть список пакетов:
win2025.mydomain
type: Kerberos
realm-name: WIN2025.MYDOMAIN
domain-name: win2025.mydomain
configured: no
server-software: active-directory
client-software: sssd
required-package: sssd-tools
required-package: sssd
required-package: libnss-sss
required-package: libpam-sss
required-package: adcli
required-package: samba-common-bin

Значит,

apt install realmd sssd sssd-tools libnss-sss libpam-sss adcli samba-common-bin

Пакета krb5-user в списке нет, и это странновато.

Отредактируем /etc/realmd.conf
nano /etc/realmd.conf

И внесем туда
[active-directory]
os-name = Debian GNU/Linux/PikabuTest
os-version = 12.0 (Bookworm)/or Windows
computer-ou = ou=LinuxServer,DC= win2025,DC=example

Данный конфиг содержит ошибку, и знающий Linux читатель, конечно, ее сразу увидит.

Пробуем.
/usr/sbin/realm --verbose join win2025.mydomain -U Administrator

И пааалучаем воооот такую на воротник!
realm: Couldn't join realm: Necessary packages are not installed: sssd-tools sssd libnss-sss libpam-sss adcli

Эта же ошибка была в Ubuntu 16, сколько лет прошло.

Делаем
/usr/sbin/realm --verbose join win2025.mydomain -U Administrator --install=/
запускаем, получаем на воротник еще раз:
Failed to join the domain
realm: Couldn't join realm: Failed to join the domain

При этом, не смотря на прописанный в /etc/realmd.conf параметр для OU, учетная запись все равно создалась в OU по умолчанию, COMPUTERS в моем случае, да еще и с именем LINUX-WITH-LONG

15 символов для PC name, это лимиты Netbios, и не болейте.
DNS имя при этом правильное, linux-with-long-name-109.win2025. mydomain
И остальные параметры взяты из файла правильно. Только OU не тот.

При этом, если бы я, как нормальный человек, сделал отдельную учетную запись для ввода в домен с правом создания компьютеров только в этом OU, то получил бы и ошибку, и крики «да у нас все настроено правильно», со стороны «средней» Linux команды.

К счастью, на текущем месте работу у нас вменяемая и команда CI\CD, и команда Linux, и команда windows.

Точнее, это одна команда со специализациями внутри команды.

Давайте разбираться.

В примере выше я написал:

computer-ou = ou=LinuxServer,DC= win2025,DC=example
Это, конечно, неправильно -
computer-ou = ou=LinuxServer,DC= win2025,DC= mydomain

В конфиге я это исправил (а в тексте – нет), но зато в конфиге я сделал другую ошибку. В читаемом тексте это так сразу и не видно, но там
computer-ou = ou=LinuxServer,DC=(пробел)win2025,DC= mydomain

Окей,
realm leave ad.example.com -U 'AD.EXAMPLE.COM\user' то есть
realm leave win2025. mydomain -U ' win2025. mydomain\Administrator'

Напоминаю, что учетную запись администратора домена для таких задач в рабочей среде использовать нельзя, необходимо создать отдельную учетную запись и делегировать ей права на создание и удаление записей в выделенной OU. Исключения: МТС и Аэрофлот, там все равно делают что угодно, кроме безопасности.

Но с точки зрения Linux – она не в домене, хотя УЗ сервера и создалась. Поэтому просто удалю созданную УЗ в домене, поправлю /etc/realmd.conf, создам УЗ в с правом создания УЗ типа компьютер в этой OU (как надо было с самого начала) и попробую еще раз.

делегирование сложности не составляет, даже ссылку не буду приводить, сделал один раз из GUI, с результатом:

They have the following permissions: Full Control
For the following object types: Computer

Пометка. Я всего один раз видел как ЭТО переведено, и навсегда отказался иметь дело с русифицированным Windows.

Снова делаю
/usr/sbin/realm --verbose join
Иииии вижу

Found well known computer container at: CN=Computers, DC=win2025,DC= mydomain
и, очевидно, получаю опять на воротник!

Insufficient permissions to join the domain
realm: Couldn't join realm: Insufficient permissions to join the domain

Параметр OU (Organizational Unit или specified subtree в терминах RH) можно указать и в командной строке:

--computer-ou="ou=Linux Computers,dc=domain,dc=com", и я так и попробую, но хотелось бы разобраться, что не так.

/usr/sbin/realm --verbose join win2025.mydomain -U LinuxAdmin --install=/ --computer-ou=" ou=LinuxServer,DC=win2025,DC= mydomain

Calculated computer account: CN=LINUX-WITH-LONG,OU=LinuxServer,DC=win2025,DC=mydomain

И все заработало, вот только что это – ВСЕ ?

Попробую для начала удалить это все штатно:
/usr/sbin/realm --verbose leave
И Linux 5 минут висит на операции:
Sending NetLogon ping to domain controller
и еще 5 минут на операции:
Couldn't perform discovery search: Can't contact LDAP server
Received NetLogon info from:dc1.win2025.mydomain

И в итоге:
Process was terminated with signal: 13
Successfully unenrolled machine from realm

Но запись в AD осталась. Вот такой успешный успех.
Удалил из AD руками, что еще сделать остается.

Исправляю ошибку в конфиге выше
Еще одна не замеченная ошибка. В каком-то примере (вот в этом - realmd) настройка в /etc/realmd.conf  приведена как:

[active-directory]
default-client = sssd
и вот в этой статье (Подключение Debian GNU/Linux 12 (Bookworm) к домену Active Directory с помощью SSSD и настройка PAM для доменной аутентификации и авторизации в SSHD) схоже.
У RH в то же время эта настройка приведена как
[ad.example.com]
а в статье Подключаемся к Active Directory с помощью realmd – как
[example.org]
Надо было не читать статьи по верхам, а читать документацию. Читать Debian Manpages  REALMD.CONF(5) если быть точнее.

Почему так? Потому что надо было не читать статьи по верхам, а читать документацию. Читать Debian Manpages REALMD.CONF(5) если быть точнее.

Опция [active-directory]
These options should go in an [active-directory] section:
default-client
use-ldaps
os-name
os-version

Опция [domain.example.com]
For example for the domain.example.com domain the section would be called [domain.example.com]
computer-ou
computer-name
user-principal
automatic-join
automatic-id-mapping
manage-system

И в таком виде оно работает

[active-directory]
os-name = Debian GNU/Linux/PikabuTest
os-version = 12.0 (Bookworm)/or Windows

[win2025.mydomain]
computer-ou = OU=LinuxServer,DC=win2025,DC=mydomain

Часть 4. Но зачем это все, или возврат к теории

Для чего надо вводить компьютер в домен?
С точки зрения домена Windows – чтобы управлять объектом «компьютер» через Desired State Configuration (DSC), и (или) через Group Policy.
С точки зрения управления пользователями – чтобы иметь единую базу конфигураций пользователей, и использовать хотя бы систему account, global, domain local – AGDLP.
Но тут мы пропустим пре-авторизацию в AD(Kerberos Pre-Authentication – или просто pre-authentication по другой статье), и перейдем к вопросу «как и зачем».

Что нам нужно? Авторизовать ПОЛЬЗОВАТЕЛЯ, а точнее аутентифицировать пользователя, получить перечисление его участия в группах AD\LDAP, и по этому списку авторизовать, то есть выдать ему нужные права на конечном сервере или сервисе. Классическое Authentication, authorization, and accounting (AAA).
И еще, для целей безопасности, нужно вовремя отзывать Ticket-Granting Tickets. И немного знать не только про Golden Ticket и Silver Ticket ,но и про privilege::debug.
И знающие люди тут же напомнят, что, хотя срок жизни TGT – 1 час плюс минус, но срок жизни Ticket-Granting Service (TGS) – 10 часов.

Поэтому все эти авторизации для сервера это хорошо, а как закрывать сессии у отозванных пользователей? Для Windows можно настроить GPO на автоматический выход, можно проверить список сессий и лишние закрыть, а для Linux системы придется держать отдельный склад костылей для проверки всех серверов и не закрытых пользовательских сессий.

Но это все в следующей части, которую, я надеюсь, кто-то уже написал. Шуйский, Курбский, вы когда закончите с etcd, может уже сами что-то напишете?

Но, к делам.

Часть 5. Лось Пользователь, просто пользователь

Напоминаю, что у нас были два локальных пользователя: AlexanderPushkin и AlexanderPushkinTheSecond

Вместо них у нас появляется два доменных пользователя:
AlexanderPushkin@win2025.mydomain и AlexanderPushkinTheSecond@win2025.mydomain

Инструкция говорит про:
Configure the /etc/krb5.conf file to use the Active Directory realm.
Set the Samba configuration file, /etc/samba/smb.conf, to point to the Windows Kerberos realm.

Какая-то явно старая инструкция, с строками
Make sure that the Services for Unix package is installed on the Windows server.
Unix package уже давно не существует. Инструкция от RH 6, текущая версия IBM RH – 10.
Когда же мы, наконец, дойдем до статьи Using Active Directory to Authenticate Linux Users, где в три раза короче написано то же, что и в других статьях, и проверим что там в
/etc/sssd/sssd.conf

в том числе по умолчанию -
fallback_homedir = /home/%u@%d

И попробуем.
/usr/sbin/realm list – окей, результаты есть.
/usr/bin/getent passwd AlexanderPushkin - – окей, результаты есть.
/usr/bin/getent passwd AlexanderPushkin@win2025.mydomain – не окей, результатов нет. Вообще ничего нет.
/usr/bin/getent passwd administrator@win2025.mydomain - не окей, результатов тоже нет.

Почему - остается только гадать. Нет вывода отладки.
Одни и другие пишут, что ldap_id_mapping = True
другие, что ldap_id_mapping = false

Но при этом, если попытаться залогиниться как AlexanderPushkinTheSecond@win2025.mydomain, то в логе контроллера AD проскочит запрос с event ID 4768 - A Kerberos authentication ticket (TGT) was requested для LINUX-WITH-LONG$

Можно конечно сделать на контроллере домена
nltest /dbflag:0x2080ffff

И посмотреть в отладку, хотя это и не случай отлова Zerologon для CVE-2020-1472.

делать я так, конечно, не буду. И так на написание заметки потрачено больше стандартного получаса.

/usr/bin/id AlexanderPushkinTheSecond – результаты есть
/usr/bin/id AlexanderPushkinTheSecond@win2025. mydomain – результаты есть, и даже список групп есть.
/usr/bin/id Administrator@win2025.mydomain – результаты есть, и даже список групп есть.

Как это так вообще работает ? Кто ни разу не входил, тому getent passwd не положен, так чтоли?

Так и есть. Цитата

Используя команды getent passwd и getent group нельзя увидеть доменных пользователей и группы. Этот функционал отключен по умолчанию, для того чтобы сократить нагрузку на серверы.

Документация к Альт линукс.

После первого входа getent passwd начинает работать и что-то показывать, но.
Поскольку я не прописывал pam-auth-update --enable mkhomedir , то и домашняя директория не создалась
В /etc/sssd/sssd.conf прописан fallback_homedir = /home/%u@%d , но автоматом все равно ничего не сделалось.

Зато я могу спокойно читать файлы из
/home/AlexanderPushkin и /home/AlexanderPushkinTheSecond
Но из /home/user не могу. Очень, очень странное поведение, как по мне.

Заключение

Дальше надо перечитывать и пробовать сделать все по статье Разграничение прав доступа к Linux-системе и её сервисам через доменные группы безопасности с помощью SSSD и PAM

Но я хотел сказать совсем другое.

Сделать авторизацию пользователей через AD и SSSD можно, и кто-то делает. Однако, если делать «в лоб» и ничего не проверять, то можно получить проблемы с безопасностью больше, чем было «до введения авторизации».

Отдельно надо отметить проблемы с авторизацией не в ssh, а внутри самих сервисов, то есть придется переписать «все вообще», особенно если у вас по каким-то легаси причинам много завязано на доменных или локальных пользователей.

Отдельным подвидом развлечения в данном случае будут зависимости сервисов самой ОС и сервисов, разворачиваемых для ОС.

Все что выше, теоретически и практически, можно и нужно автоматизировать через тот же Ansible. Команды понятны, скрипты ясны.

Automating the Process of Joining Linux Systems to an AD Domain using Ansible and SSSD
riponbanik/ansible-role-domain-join
Ansible Playbook to Join Ubuntu/Debian to Active Directory Using Realmd

Плюсы: Система, в целом, скорее работает, чем совсем не работает. Тем более в совсем простых сценариях.

Минусы: Для первичной настройки и описания надо потратить пару дней, потом еще пару дней на проверку. И все равно в чуть более сложных сценариях будет глюки. Особенно, если надо обязательный Kerberos, и никакого NTLM, если везде LDAPS, или если уровень вложенности групп чуть больше чем 1 юзер – 1 группа, или если прописаны сценарии ограничения входа на уровне AD по времени и списку серверов, итд, итп.

Документация есть, но стандартные сценарии описывают «как делать», не описывая «почему надо так, и как не надо, и что будет, если делать не как надо». Стандартные сценарии очень скупо описывают отладку «что может пойти не так».

И это решение, с централизованным управлением пользователями, не решает задач безопасности, то есть отключение в AD «типа вредоносного пользователя» не приводит к мгновенному выходу «везде». В Windows, впрочем, тоже.

Литература
Active Directory Domain Services overview
What is Active Directory? The Ultimate AD Tutorial
Configuring Microsoft Entra ID to provision users into an LDAP directory for Linux authentication
Как настроить SSH-ключи в Debian 11
How to Set Up SSH Keys on Debian 11
[Article] NTLM vs KERBEROS
Подключаемся к Active Directory с помощью realmd
Как ввести Debian в домен Windows (Active Directory) с помощью realmd, SSSD.
Debian man REALMD.CONF
Подключение Debian GNU/Linux 12 (Bookworm) к домену Active Directory с помощью SSSD и настройка PAM для доменной аутентификации и авторизации в SSHD
Разграничение прав доступа к Linux-системе и её сервисам через доменные группы безопасности с помощью SSSD и PAM
Restrict the set of groups the user is a member of with SSSD
Reddit: Realmd/SSSD on Ubuntu - Configuring Auth to AD, Running into AD groups issue
Reddit: SSSD: realmd vs adcli
Reddit: What is it called when an AD account gets "signed out" everywhere and the user has to sign back in again?

RH8 Chapter 1. Connecting RHEL systems directly to AD using SSSD
RH7 3.4. Discovering and Joining Identity Domains - Joining a Domain
RH7 3.5. Removing a System from an Identity Domain
RH7 3.9. Additional Configuration for the Active Directory Domain Entry
RH7 7.4. Additional Configuration for Identity and Authentication Providers
RH6 13.2.14. Configuring Domains: Active Directory as an LDAP Provider (Alternative)

Using Active Directory to Authenticate Linux Users

RedOS 2.9.20.6 Сравнение функций Winbind и SSSD
Astra Сравнение winbind и sssd
Документация к Альт линукс.

Особенно хорошо напомнить тем, кто страдает склерозом, про вот это:

CVE-2025-55234 - Windows SMB Elevation of Privilege Vulnerability
Microsoft fixed an elevation of privileges flaw in SMB Server that is exploited through relay attacks.

Дежурное напоминание: сертификаты не забываем, не забываем сертификаты!
Windows Secure Boot certificate expiration and CA updates

Примечание

Опять управление AD пересунули, теперь пуск - Windows Tools , который ведет в Control Panel\All Control Panel Items\Windows Tools

Сколько можно, доколе это терпеть!

Ссылки
Microsoft September 2025 Patch Tuesday fixes 81 flaws, two zero-days