Active Directory'de Kullanıcı, Grup ve Bilgisayar Hesapları Nasıl Yönetilir

Hesap yönetimi Active Directory işletiminin neresindedir?

Active Directory Domain Services, ağdaki sunucular, bilgisayarlar, yazıcılar ile kullanıcı ve bilgisayar hesapları gibi nesneleri tek bir hiyerarşik dizinde tutar. Günlük BT işinin büyük kısmı bu dizindeki nesnelerin açılması, taşınması, yetkilendirilmesi ve kapatılmasıdır. Yeni bir çalışan geldiğinde hesap açılır, bölüme göre doğru gruplara eklenir; ayrılan çalışanın erişimi kapatılır; bilgisayar etki alanına alınır.

Bu işlerin doğru yapılması güvenlik kadar süreklilik meselesidir. Her kullanıcıya tek tek yetki vermek ilk bakışta hızlıdır, ancak kişi bölüm değiştirdiğinde ya da ayrıldığında hangi erişimin kaldığını kimse bilmez. Grup temelli, OU yapısıyla desteklenmiş ve belgelenmiş bir hesap yönetimi bu karışıklığı baştan önler.

OU yapısı nasıl kurulur?

Organizasyonel birimler (OU), hesapları ve bilgisayarları mantıksal olarak gruplayan kapsayıcılardır. İki amaca hizmet ederler: yönetim yetkisini devretmek ve grup ilkesini bağlamak. Bu yüzden OU yapısı, kuruluş şemasından çok yönetim ve ilke ihtiyacına göre kurulmalıdır.

Pratik bir başlangıç iskeleti:

• Kullanıcılar için bir üst OU, altında bölüm ya da konum bazlı alt OU'lar.
• Bilgisayarlar için ayrı bir üst OU, altında iş istasyonları, dizüstü cihazlar ve özel amaçlı cihazlar.
• Sunucular için ayrı bir OU, rol bazında alt kırılımlarla.
• Hizmet hesapları ve güvenlik grupları için ayrı OU'lar.
• Ayrılan kullanıcılar ve kullanılmayan bilgisayarlar için bir bekleme (karantina) OU'su.

Kullanıcı ve bilgisayarları aynı OU'da karıştırmak, grup ilkesini bağlarken gereksiz zorluk çıkarır; çünkü bilgisayar ve kullanıcı ayarları farklı mantıkla çalışır. OU'ları rastgele açmayın: her OU'nun bir yetki ya da ilke gerekçesi olmalı.

Kullanıcı hesabı adım adım nasıl açılır?

Kullanıcı hesabı grafik arayüzden (Active Directory Users and Computers konsolu) ya da PowerShell ile açılabilir. Yeni hesabın doğru OU'da oluşturulması, sonradan taşımaktan daha doğrudur. Toplu işlemlerde PowerShell Active Directory modülündeki New-ADUser cmdlet'i kullanılır; Path parametresi hesabın açılacağı OU'yu, AccountPassword parametresi başlangıç parolasını, ChangePasswordAtLogon parametresi ise ilk girişte parola değiştirme zorunluluğunu belirler.

Örnek bir komut iskeleti (kurgusal değerlerle):

New-ADUser -Name ‘Ayşe Demir’ -SamAccountName ‘ayse.demir’ -Path ‘OU=Muhasebe,OU=Kullanıcılar,DC=example,DC=local’ -AccountPassword (Read-Host -AsSecureString) -ChangePasswordAtLogon $true -Enabled $true

İyi bir hesap açma akışı şunları içerir: tutarlı bir adlandırma kuralı, başlangıç parolasının güvenli iletimi, doğru OU, bölüme uygun gruplara üyelik ve işlem kaydı. Parolayı betiğin içine düz metin olarak yazmayın.

Gruplar: yetkiyi kişiye değil gruba vermek

Kaynaklara erişim, bireysel kullanıcılara değil gruplara tanımlanmalıdır. Microsoft'un güvenlik tanımlayıcıları belgesi de erişimi bir kişiye değil bir gruba izin verme ya da engelleme şeklinde kurmayı önerir; böylece kullanıcı iş değiştirdiğinde erişimi gruptan çıkarıp başka gruba ekleyerek ayarlarsınız.

Active Directory'de iki grup türü vardır: güvenlik grupları (erişim izni vermek için) ve dağıtım grupları (e-posta listesi gibi yalnızca iletişim için). Grup kapsamları ise etki alanı yerel, genel (global) ve evrensel olarak üçe ayrılır. Yaygın tasarım kalıbında kullanıcılar bölüm bazlı genel gruplara, bu gruplar da kaynağa özgü etki alanı yerel gruplara eklenir, izin ise etki alanı yerel gruba verilir.

Örneğin muhasebe paylaşımına erişim için ‘Muhasebe-Kullanıcıları’ genel grubu açılır, bu grup paylaşımdaki ‘Muhasebe-Paylaşım-Değiştir’ yerel grubuna üye yapılır. Yeni gelen bir muhasebeciyi yalnızca ilk gruba eklemek yeterlidir; paylaşımın izin listesine dokunulmaz.

Bilgisayar hesapları ve etki alanına katılım

Etki alanına katılan her bilgisayar Active Directory'de bir bilgisayar hesabı alır. Bilgisayar hesabı, makinenin kimliğini taşır ve grup ilkelerinin makineye uygulanmasını sağlar. Katılım öncesinde bilgisayarın DNS ayarlarının etki alanı denetleyicisini bulabilecek şekilde yapılandırılması gerekir; çünkü istemci, etki alanı denetleyicisini DNS üzerinden bulur. DNS yanlışsa katılım hatası alırsınız.

Katılımdan sonra bilgisayar hesabı varsayılan kapsayıcıya düşer. Hesabı kurumsal OU yapısındaki doğru OU'ya taşımak, ona ait grup ilkelerinin uygulanması için gereklidir. Kullanılmayan, uzun süredir etki alanıyla iletişim kurmayan bilgisayar hesapları yönetilmezse hem güvenlik açığı hem dizin kirliliği olur. Dönemsel olarak bu hesapları tespit edip bekleme OU'suna alın, bir süre sonra silin.

Domain Computers, Domain Controllers gibi yerleşik gruplar bilgisayar hesaplarını otomatik olarak toplar; elle üyelik yönetmenize gerek yoktur.

Ayrılan çalışan ve hesap yaşam döngüsü

Active Directory her hesaba benzersiz bir güvenlik tanımlayıcısı (SID) atar ve silinmiş bir hesabın SID'si bir daha başka hesaba verilmez. Bu yüzden yanlışlıkla silinen bir hesabı aynı adla yeniden açmak, eski erişimleri geri getirmez; yeni hesap tamamen yeni bir kimliktir. Bu nedenle ayrılan çalışanlarda önce silmek yerine kontrollü bir kapatma akışı izlenir:

• Hesabı devre dışı bırakın.
• Grup üyeliklerini kayda alıp gerekirse kaldırın.
• Hesabı bekleme OU'suna taşıyın.
• Posta kutusu, dosya sahipliği ve devredilecek işleri sorumlu yöneticiyle netleştirin.
• Saklama süresi dolunca hesabı silin.

Bölüm değiştiren çalışanda ise OU taşıma ve grup değişikliği birlikte yapılır. Yetkili hesaplar (yönetici hesapları) için ayrıca düzenli üyelik gözden geçirmesi yapılmalıdır; çünkü yetkili gruplara yalnızca gerekli kişiler üye olmalıdır.

Sık yapılan hesap yönetimi hataları

• Kullanıcıya doğrudan izin vermek: Bu, ayrılan ya da yer değiştiren kişide temizlenmesi imkânsız bir erişim listesi bırakır.
• Yönetici yetkisiyle günlük iş yapmak: Gündelik e-posta ve tarama için ayrı, yetkisiz bir hesap; yönetim işleri için ayrı hesap kullanın.
• Varsayılan kapsayıcılarda bırakmak: Yeni kullanıcı ve bilgisayarlar varsayılan kapsayıcıda kalırsa grup ilkesi OU üzerinden uygulanmaz.
• Adlandırma kuralı olmaması: Aynı kişinin birden fazla hesabı ve sahipsiz hesaplar oluşur.
• Devre dışı bırakma yerine doğrudan silme.
• Grup içinde grup zincirlerini kontrolsüzce büyütmek: Hangi kullanıcının neye eriştiğini izlemek imkânsızlaşır.

Bu hataların ortak noktası, hesap yaşam döngüsünün tanımsız olmasıdır. Yazılı bir işe giriş, bölüm değişikliği ve işten ayrılma prosedürü bu sorunların çoğunu önler.

Bu beceriyi Mindset programlarında nerede çalışırsınız?

Windows Server Yönetimi ve Active Directory İşletimi programı, BT destek, sistem yöneticisi ve altyapı rollerindeki çalışanlara yöneliktir. Programdaki Kullanıcı, Grup ve Bilgisayar Yönetimi modülü bu sayfadaki konuların çalışıldığı yerdir; Active Directory Mimarisi modülü ise OU ve alan yapısının neden öyle kurulduğunu açıklar.

Kurumsal ekipler için bu modül özellikle yeni sistem yöneticisi işe alındığında ya da yetkiyi devrederken ortak bir hesap yönetimi standardı oluşturmak için kullanılabilir. Yaşam döngüsü prosedürünün güvenlik ve denetim tarafı, programın güvenlik, denetim ve işletim planı modülüyle bağlanır.