Active Directory'de Grup İlkesi Tasarımı: GPO Nasıl Kurgulanır ve Yönetilir

Grup ilkesi tasarımı neden ayrı bir beceridir?

Grup ilkesi, Active Directory ortamındaki kullanıcı ve bilgisayar ayarlarını tek tek makineye dokunmadan merkezden dağıtmanın yoludur. Parola kuralları, masaüstü kısıtları, ağ sürücüsü eşlemeleri, güvenlik duvarı ayarları ya da yazılım kısıtları aynı mekanizmayla yönetilir. Bir ayarı yazmak kolaydır. Zor olan, o ayarın doğru kapsama, doğru sırayla ve beklenmedik yan etki üretmeden uygulanmasını sağlamaktır.

Kötü tasarlanmış bir ilke ortamı iki yönde zarar verir. Çok sayıda küçük, birbirine karışmış GPO oturum açma süresini uzatır ve sorun gidermeyi neredeyse imkânsız hale getirir. Gereğinden geniş bağlanmış tek bir GPO ise bir hatayı bütün etki alanına yayar. Bu yüzden GPO tasarımı, ayar bilgisinden çok kapsam, öncelik ve değişiklik disiplini bilgisidir.

GPO'lar hangi sırayla uygulanır?

Microsoft'un belgelediği işleme sırası şöyledir: önce yerel GPO, ardından siteye bağlı GPO'lar, sonra etki alanına bağlı GPO'lar, en son organizasyonel birimlere (OU) bağlı GPO'lar uygulanır. İç içe OU yapısında üst OU'ya bağlı ilkeler önce, alt OU'ya bağlı ilkeler sonra işlenir. Sonradan uygulanan, öncekiyle çakışan ayarı ezer. Yani bilgisayara ya da kullanıcıya en yakın kapsayıcıdaki ayar kazanır.

Aynı kapsayıcıya birden fazla GPO bağlandığında bağlantı sırası belirleyicidir ve listede sırası en küçük olan bağlantı varsayılan olarak öncelik alır. İki özel istisna vardır:

• Enforced (zorunlu kılınmış) bağlantı: üst kapsayıcıdaki ayarın alt kapsayıcılar tarafından ezilmesini engeller. Zorunlu kılma bir bağlantı özelliğidir.
• Block Inheritance (kalıtımı engelle): bir etki alanı ya da OU düzeyinde, üstten gelen normal ilkelerin uygulanmasını durdurur. Bu bir kapsayıcı özelliğidir ve zorunlu kılınmış bağlantıları durduramaz.

Bilgisayar ayarları ile kullanıcı ayarları çakıştığında bilgisayar tarafı kazanır. Tasarım yaparken bu sırayı kâğıt üzerinde çizmeden GPO yazmaya başlamayın.

OU yapısı GPO tasarımını nasıl belirler?

GPO'lar OU'lara bağlandığı için OU hiyerarşisi ilke tasarımının iskeletidir. Yaygın ve sürdürülebilir yaklaşım, OU'ları ayarların kime uygulanacağına göre kurmaktır: bilgisayarlar ve kullanıcılar ayrı üst OU'larda, bunların altında konum, bölüm ya da cihaz türü gibi gerçek yönetim farkları. Kurumun organizasyon şemasını birebir kopyalamak çoğu zaman gereksizdir; çünkü ayarlar şemaya değil yönetim ihtiyacına göre değişir.

Örneğin bir şirkette sunucular, ofis bilgisayarları ve paylaşımlı kiosk makineleri farklı güvenlik ve kullanıcı deneyimi ister. Bunları ayrı OU'lara koyarsanız her türe uygun GPO'yu doğrudan o OU'ya bağlarsınız. Etki alanı düzeyine yalnızca gerçekten herkes için geçerli olan ayarları (parola ve hesap kilitleme gibi kurumsal temel güvenlik ayarlarını) koyun.

İyi bir kural: bir ayarı değiştirmeniz gerektiğinde hangi GPO'ya gideceğinizi düşünmeden bilmelisiniz. Bilemiyorsanız yapı fazla karışıktır.

Adım adım: yeni bir GPO nasıl tasarlanır ve devreye alınır?

GPO yönetiminin ana aracı Group Policy Management Console (GPMC) konsoludur. Güvenli bir uygulama akışı şöyle kurulur:

• Amacı yazılı hale getirin: hangi ayar, kime, neden. Tek amaçlı GPO'lar sorun gidermeyi kolaylaştırır.
• Kapsamı seçin: hangi OU, site ya da etki alanı. Mümkün olan en dar kapsamdan başlayın.
• GPO'yu oluşturup açıklayıcı bir adla adlandırın. Ad, ne yaptığını ve kimi etkilediğini söylesin.
• Yalnızca kullanıcı ya da yalnızca bilgisayar ayarı içeriyorsa kullanılmayan yarıyı devre dışı bırakın. Bu, istemcinin gereksiz tarama yapmasını önler.
• GPO'yu önce küçük bir test OU'suna bağlayın ve test hesaplarıyla doğrulayın.
• Sonuçları kontrol edip ilgili OU'ya bağlayın. Gerekirse güvenlik filtresiyle kapsamı grupla daraltın.

Küçük bir senaryo: tüm ofis bilgisayarlarında ekran kilidinin belirli bir boşta kalma süresinden sonra devreye girmesini istiyorsunuz. Bu bir bilgisayar ayarıdır; GPO'yu ofis bilgisayarları OU'suna bağlar, kullanıcı yarısını kapatır ve önce yalnızca bir test bilgisayarında denersiniz.

Filtreleme, loopback ve yenileme: ilkelerin kime ve ne zaman ulaştığı

Bir GPO bağlandığı kapsayıcıdaki herkese uygulanır; bunu daraltmanın iki yolu vardır. Güvenlik filtrelemesi, GPO'nun hangi kullanıcı, grup ya da bilgisayarlara uygulanacağını belirler ve GPO içindeki ayarlar arasında seçici kullanılamaz, GPO'nun tamamı için geçerlidir. WMI filtresi ise hedef bilgisayarda bir sorgu değerlendirir ve yalnızca sorgu doğru dönerse GPO uygulanır. Bir GPO'ya yalnızca tek bir WMI filtresi bağlanabilir, ama aynı filtre birden fazla GPO'da kullanılabilir.

Loopback işleme modu, kullanıcı ayarlarını oturum açan kişiye göre değil bilgisayara göre belirler. Sınıf bilgisayarları, kiosk ve resepsiyon makineleri gibi sıkı yönetilen özel amaçlı cihazlarda kullanılır. Birleştirme (merge) modunda bilgisayarın GPO'ları kullanıcının normal GPO'larına eklenir ve çakışmada bilgisayar tarafı kazanır; değiştirme (replace) modunda yalnızca bilgisayarın GPO listesi kullanılır.

Bilgisayar ayarları açılışta, kullanıcı ayarları oturum açılırken uygulanır; sonrasında arka planda düzenli aralıklarla yenilenir. Değişiklik hemen görünmüyorsa önce GPO'nun etki alanı denetleyicilerine çoğalıp çoğalmadığına bakın. Elle yenilemek için istemcide gpupdate komutu, uzaktan yenilemek için Invoke-GPUpdate cmdlet'i ya da GPMC'de OU üzerinde sağ tıklayıp Group Policy Update seçeneği kullanılır.

GPO uygulanmıyorsa sorun nasıl giderilir?

Sorun gidermeyi tahmin yerine sırayla ilerleyen bir kontrol listesiyle yapın:

• GPO gerçekten doğru kapsayıcıya bağlı mı ve bağlantı etkin mi? Bağlantı devre dışı bırakılmış olabilir.
• GPO'nun ilgili yarısı (bilgisayar ya da kullanıcı) devre dışı mı bırakılmış?
• Güvenlik filtresi ve WMI filtresi hedef hesabı dışarıda bırakıyor mu?
• Daha yakın bir kapsayıcıdaki başka bir GPO aynı ayarı eziyor mu? Ya da Block Inheritance sizin ilkenizi durduruyor mu?
• Bilgisayar ayarı mı yoksa kullanıcı ayarı mı? Kullanıcı ayarını yanlış nesne türüne bağlamak yaygın bir hatadır.
• Ayar bilgisayara çoğalmış mı? Değişiklik etki alanı denetleyicileri arasında henüz çoğalmamış olabilir.

İstemci tarafında hangi GPO'ların uygulandığını görmek için gpresult aracından ve GPMC içindeki Group Policy Results özelliğinden yararlanılır. Bu sonuç raporu, her ayarın hangi GPO'dan geldiğini ve kazanan GPO'yu gösterdiği için ‘neden bu ayar uygulanıyor’ sorusunun en hızlı cevabıdır.

Sık yapılan tasarım hataları

• Varsayılan etki alanı ilkesini kurcalamak: Bu GPO'ya her türlü ayarı yığmak, sorunun kaynağını bulmayı zorlaştırır. Kurumsal temel ayarları ayrı ve adlandırılmış GPO'larda tutun.
• Her küçük ayar için ayrı GPO oluşturmak: Çok sayıda GPO oturum açma ve açılış süresini uzatır. Birbiriyle ilişkili ayarları tek GPO'da birleştirin.
• Enforced ve Block Inheritance'ı alışkanlık haline getirmek: İkisi de istisna aracıdır. Çok kullanılması ilke ağacının okunamaz hale gelmesine yol açar.
• Test etmeden geniş kapsama bağlamak: Hatalı bir ayar bütün kullanıcıları aynı anda etkileyebilir.
• Değişiklik kaydı tutmamak: Kim neyi neden değiştirdi sorusunun cevabı yoksa geri dönmek zordur. GPO yedeği almak ve açıklama alanını doldurmak bu açığı kapatır.
• Parola ve hesap kilitleme gibi etki alanı geneli ayarlarla OU bazlı ayarları karıştırmak.

Bu beceriyi Mindset programlarında nerede çalışırsınız?

Windows Server Yönetimi ve Active Directory İşletimi programı, sistem ve ağ yöneticisi rollerindeki ya da bu role geçmek isteyen BT çalışanları için kurgulanmış bir yoldur. Program içinde Grup İlkesi Tasarımı ayrı bir modül olarak yer alır; bu modülün kullanıcı, grup ve bilgisayar yönetimi ile Active Directory mimarisi modüllerinin ardından gelmesi, ilke tasarımının OU yapısına dayandığı gerçeğiyle uyumludur.

Kurumsal bir BT ekibi için asıl kazanım, ilke kurallarının kişiye bağlı kalmadan ortak bir standarda dönüşmesidir: kimin hangi GPO'yu nasıl adlandıracağı, değişikliğin nasıl test edileceği ve yedeğin nasıl alınacağı. Eğitimin güvenlik, denetim ve işletim planı modülü de ilkelerin sürdürülebilirliğiyle ilgili bu işletim yaklaşımını tamamlar.