Kurulumdan grup ilkesine Active Directory yönetimini öğrenme sırası

Windows Server ve Active Directory ne iş görür?

Windows Server, Microsoft'un sunucu işletim sistemidir. Kurumlarda dosya paylaşımı, yazdırma, ağ hizmetleri ve uygulama barındırma gibi ortak hizmetleri sağlar. Active Directory (AD) ise bu sunucuların üzerinde çalışan dizin hizmetidir: kurumdaki kullanıcıları, bilgisayarları ve grupları merkezden tanımlar, kimlik doğrular ve erişim yetkilerini yönetir.

Bir çalışanın sabah bilgisayarını açıp kullanıcı adı ve parolasıyla oturum açması, ardından ortak klasörlere ve yazıcılara erişmesi bu yapının sonucudur. Kullanıcı bir kez tanımlanır, kurumdaki birçok kaynağa aynı kimlikle ulaşır. Çalışan ayrıldığında hesabı tek yerden kapatıldığında tüm erişimleri sona erer.

Bu yüzden sistem yöneticisi için Active Directory, hem günlük işlerin hem de güvenliğin merkezidir. Hatalı kurulmuş ya da bakımsız bir dizin hizmeti, kurum genelinde sorunlara yol açar.

Önce kurulumu ve temel yönetimi öğrenin

İlk adım, sunucunun kurulumu ve temel yapılandırmasıdır. Sunucu rolleri, işletim sistemine yüklenen hizmetlerdir: dosya sunucusu, DNS sunucusu, dizin hizmeti gibi. Sunucuya ihtiyaç duyulan rolü eklemek, gereksiz rolleri yüklememek hem performansı hem de güvenliği olumlu etkiler.

Sunucuyu yönetirken iki yaklaşım kullanılır: grafik arayüzlü yönetim araçları ve komut satırı. Başlangıçta grafik araçlar yapıyı öğrenmeyi kolaylaştırır. Zamanla PowerShell gibi komut satırı araçları öğrenmek, tekrarlayan işleri otomatikleştirmek ve çok sayıda sunucuyu yönetmek için kritik hale gelir.

Üretim ortamında denemeye girişmeden önce bir test laboratuvarı kurun. Sanallaştırma yazılımı üzerinde birkaç sanal sunucu ve istemci oluşturmak, hata yapmanın maliyetsiz olduğu bir öğrenme alanı sağlar. Yapılandırmaları bozup yeniden kurmak, yönetim becerisinin en hızlı öğrenildiği yoldur.

Active Directory mimarisini kavrayın

Active Directory'nin mantıksal yapısı birkaç kavram üzerine kuruludur. Etki alanı (domain), aynı dizin veritabanını paylaşan kullanıcı ve bilgisayarların yönetim sınırıdır. Birden fazla etki alanı bir ağaç, ağaçlar da bir orman (forest) oluşturabilir. Etki alanı denetleyicisi, dizin veritabanını tutan ve kimlik doğrulama isteklerine cevap veren sunucudur.

Etki alanı içinde nesneler organizasyonel birimler (OU) altında düzenlenir. Organizasyonel birimler, kurumun yapısını yansıtacak biçimde tasarlanır ve iki amaca hizmet eder: yönetim yetkisini devretmek ve ilke uygulamak. İyi tasarlanmış bir OU yapısı, ileride değişikliği kolaylaştırır; kötü tasarım ise ilke ve yetki yönetimini karmaşıklaştırır.

Dizin hizmeti DNS'e sıkı biçimde bağımlıdır. İstemciler etki alanı denetleyicilerini DNS üzerinden bulur. Bu yüzden DNS hataları çoğunlukla "kimlik doğrulama çalışmıyor" gibi görünen sorunlara yol açar ve sorun giderme sırasında ilk kontrol edilecek yerlerden biri olmalıdır.

Kullanıcı, grup ve bilgisayar yönetimi

Günlük yönetimin büyük kısmı kullanıcı, grup ve bilgisayar nesneleriyle ilgilidir. Yeni çalışan geldiğinde hesap oluşturulur, doğru gruplara eklenir ve gerekli kaynaklara erişim verilir. Ayrılan çalışanın hesabı devre dışı bırakılır ve süreç yazılı prosedüre bağlanır.

Yetkilendirmede en önemli ilke, erişimi tek tek kullanıcıya değil gruplara vermektir. Bir klasöre erişimi kullanıcı bazında tanımlamak, yönetilemez bir yapı yaratır. Bunun yerine rol ya da birim bazlı gruplar oluşturulur, erişim gruba verilir ve kullanıcı gruba eklenir. Çalışan görev değiştirdiğinde yalnız grup üyeliği güncellenir.

Ayrıca en az yetki ilkesi uygulanmalıdır: her kullanıcı yalnız işi için gerekli erişime sahip olmalıdır. Yönetici yetkisine sahip hesapların sayısı kısıtlı tutulmalı ve yöneticiler günlük işlerinde ayrı, standart hesapla çalışmalıdır. Çok sayıda kullanıcı oluşturma, toplu güncelleme gibi işlemler, komut satırı ve betiklerle verimli hale gelir.

Grup ilkeleriyle ayarları merkezden yönetin

Grup ilkesi (Group Policy), kullanıcı ve bilgisayar ayarlarını merkezi olarak uygulamayı sağlar. Parola kurallarını belirlemek, masaüstü ayarlarını sabitlemek, belirli programların çalışmasını kısıtlamak, ağ sürücülerini bağlamak ve güvenlik yapılandırmalarını zorunlu kılmak mümkündür.

İlkeler organizasyonel birimlere bağlanır ve hiyerarşik olarak uygulanır. Bir ilkenin hangi nesneye hangi sırayla uygulandığını anlamak, beklenmeyen sonuçları çözmenin anahtarıdır. Bu yüzden ilke tasarımı sade tutulmalı, her ilkenin amacı belgelenmeli ve değişiklik öncesi test ortamında denenmelidir.

Sık görülen hata, çok sayıda küçük ve birbirini örtüşen ilke oluşturmaktır. Sorun giderirken hangi ilkenin hangi ayarı belirlediği anlaşılamaz hale gelir. Az sayıda, net amaçlı ilke ile başlamak ve gerektikçe genişletmek daha sürdürülebilirdir.

DNS, DHCP, dosya ve sertifika hizmetleri

Dizin hizmetinin yanında birçok yardımcı hizmet bulunur. DNS, adları adreslere çevirir ve etki alanının çalışması için gereklidir. DHCP, ağdaki cihazlara otomatik adres dağıtır; adres havuzlarının ve kiralama sürelerinin doğru planlanması, adres çakışmasını önler.

Dosya hizmetleri, ortak klasörlerin paylaşılmasını ve erişim yetkilerinin yönetilmesini kapsar. Yazdırma hizmetleri yazıcıların merkezden yönetilmesini sağlar. Sertifika hizmetleri ise kurum içi dijital sertifika üretimine imkân verir; şifreli iletişim ve kimlik doğrulama gibi senaryolarda kullanılır.

Her hizmeti ayrı ayrı bilmek yerine, birbirine nasıl bağlandığını anlamak daha önemlidir. Bir istemcinin ağa bağlanıp adres alması, etki alanı denetleyicisini bulması, kimlik doğrulaması ve ortak klasöre erişmesi, bu hizmetlerin zincirleme çalışmasıdır. Zincirin bir halkası aksadığında belirti başka bir yerde görünebilir.

Çoğaltma, yedekleme, güvenlik ve işletim

Kurumsal ortamlarda dizin hizmeti tek bir sunucuya bırakılmaz. Birden fazla etki alanı denetleyicisi, verileri birbirine çoğaltarak hem yedeklilik hem yük dağılımı sağlar. Çoğaltmanın sağlıklı çalıştığını izlemek, düzenli yönetim görevidir.

Yedekleme ve geri yükleme planı, dizin hizmetinin kritik olduğu için ayrıca ele alınmalıdır. Yedek almak yetmez; geri yüklemenin gerçekten çalıştığı da düzenli olarak denenmelidir. Dizin hizmeti ele geçirilirse kurumun tamamı etkilenir; bu yüzden güvenlik, denetim kaydı ve olay izleme işin parçasıdır.

Güvenli işletim için şu uygulamalar öne çıkar: • Yönetici hesaplarının sayısını sınırlamak ve güçlü kimlik doğrulama uygulamak • Sunucuları güncel tutmak ve yama yönetimini düzenli yürütmek • Kritik değişikliklerin denetim kaydını tutmak ve incelemek • Kullanılmayan hesapları ve eski nesneleri düzenli temizlemek • Yazılı bir işletim planı ve felaket kurtarma prosedürü bulundurmak

Mindset programlarında nerede çalışılır?

Mindset kataloğundaki Windows Server Yönetimi ve Active Directory İşletimi eğitiminin modül başlıkları, bu becerinin aşamalarıyla örtüşür: Windows Server Kurulumu ve Temel Yönetim, Active Directory Mimarisi, Kullanıcı, Grup ve Bilgisayar Yönetimi, Grup İlkesi Tasarımı, DNS ve DHCP Hizmetleri, Dosya, Yazdırma ve Sertifika Hizmetleri, Çoğaltma, Yedekleme ve Süreklilik, Güvenlik, Denetim ve İşletim Planı.