Active Directory Ne İşe Yarar?
Active Directory Domain Services (AD DS), Windows tabanlı bir ağda kullanıcıları, bilgisayarları ve yetkileri tek merkezden yönetmenizi sağlayan dizin hizmetidir. Çalışan her bilgisayarda ayrı ayrı yerel hesap açmak yerine, kullanıcı bir kez tanımlanır ve şirketteki herhangi bir bilgisayarda kendi hesabıyla oturum açabilir. Şifre politikaları, paylaşılan klasör izinleri, yazıcı dağıtımı ve güvenlik ayarları da grup ilkeleri aracılığıyla toplu olarak uygulanır.
On kişiyi aşan, ortak dosya sunucusu kullanan ya da personel değişimi sık yaşanan ofislerde merkezi kimlik yönetimi zamandan ve güvenlikten ciddi kazanç sağlar.
Kurulumdan Önce Planlama
Etki alanı adı
En kritik karar budur ve sonradan değiştirmek zahmetlidir. Eskiden yaygın olan .local uzantısı artık önerilmez. Sahip olduğunuz internet alan adının bir alt alanını kullanmak en sağlıklı yoldur; örneğin firmaniz.com.tr alan adına sahipseniz iç etki alanı için ad.firmaniz.com.tr gibi bir ad seçebilirsiniz. Böylece iç ve dış DNS birbirine karışmaz.
Sunucu ve sürüm
Güncel bir Windows Server sürümü tercih edin; desteği yakında bitecek bir sürüme yeni kurulum yapmak kısa süre sonra ikinci bir geçiş projesi demektir. Etki alanı denetleyicisi rolü çok yüksek donanım istemez, fakat bu rolü fiziksel sunucu yerine sanal makinede çalıştırmak yedekleme ve taşıma açısından esneklik sağlar.
Yedeklilik
Tek bir etki alanı denetleyicisi arızalandığında kimse oturum açamaz, DNS çözümlemesi durur. Mümkünse ikinci bir denetleyici planlayın; bütçe kısıtlıysa en azından düzenli sistem durumu yedeği alın.
IP ve DNS planı
Sunucuya sabit IP adresi verilmeli, bu adres DHCP havuzunun dışında olmalıdır. İstemciler DNS sunucusu olarak etki alanı denetleyicisini kullanmalı, internet çözümlemesi ise sunucudaki iletici (forwarder) ayarıyla dışarıya yönlendirilmelidir.
Kurulum Adımları
- Sunucuyu hazırlayın: Windows Server'ı kurun, tüm güncellemeleri yükleyin, anlamlı bir bilgisayar adı verin ve yeniden başlatın. Bilgisayar adını yükseltme sonrasında değiştirmek sorun çıkarır.
- Ağ ayarlarını yapın: Sabit IP, alt ağ maskesi ve ağ geçidini girin. Tercih edilen DNS olarak şimdilik sunucunun kendi adresini veya döngü adresini belirleyin.
- Rolü ekleyin: Sunucu Yöneticisi'nde Rol ve Özellik Ekle sihirbazından Active Directory Etki Alanı Hizmetleri rolünü seçin. Gerekli yönetim araçları da otomatik olarak işaretlenir.
- Etki alanı denetleyicisine yükseltin: Kurulum bittikten sonra bildirim alanındaki bağlantıdan yükseltme sihirbazını başlatın, yeni bir orman oluşturmayı seçin ve planladığınız etki alanı adını yazın.
- İşlev düzeyini ve seçenekleri belirleyin: Ortamda eski sürüm denetleyici olmayacaksa en güncel işlev düzeyini seçin. DNS sunucusu ve genel katalog seçeneklerini işaretli bırakın.
- DSRM şifresini kaydedin: Dizin Hizmetleri Geri Yükleme Modu şifresi acil durumlarda gerekir; güvenli bir şifre yöneticisinde saklayın.
- Ön koşul denetimini tamamlayın: Uyarıları okuyun, kurulumu başlatın ve sunucunun yeniden başlamasını bekleyin.
Kurulum Sonrası Yapılacaklar
- DNS yöneticisinde ileri ve geriye doğru arama bölgelerini kontrol edin, internet çözümlemesi için iletici ekleyin.
- DHCP kullanıyorsanız istemcilere dağıtılan DNS adresini etki alanı denetleyicisi olarak güncelleyin.
- Kullanıcılar, bilgisayarlar ve gruplar için departman bazlı organizasyon birimleri (OU) oluşturun; varsayılan kapsayıcılarda yığılma yapmayın.
- Varsayılan etki alanı ilkesinde şifre uzunluğu ve hesap kilitleme ayarlarını kurum politikanıza göre düzenleyin.
- Yerleşik Administrator hesabını günlük işlerde kullanmayın; yöneticiler için ayrı, adlandırılmış hesaplar açın.
- Silinen nesnelerin kolayca geri getirilmesi için Active Directory Geri Dönüşüm Kutusu özelliğini etkinleştirin.
- Saat senkronizasyonunu kontrol edin; Kerberos kimlik doğrulaması saat farkına duyarlıdır.
İstemcileri Etki Alanına Katmak
Bilgisayarların DNS ayarı etki alanı denetleyicisini gösterdikten sonra sistem özelliklerinden etki alanına katılma işlemi yapılır. Katılım öncesinde kullanıcının yerel profilindeki dosyaların yeni etki alanı profiline taşınacağını planlayın; masaüstündeki dosyalar ve tarayıcı yer imleri en sık unutulan verilerdir. Windows'un Home sürümleri etki alanına katılamaz; Pro veya üstü sürüm gerekir.
Sık Yapılan Hatalar
- İstemcilerde DNS olarak modemin veya genel bir DNS servisinin bırakılması
- Etki alanı denetleyicisinin aynı zamanda dosya, uygulama ve uzak masaüstü sunucusu olarak kullanılması
- Sanal etki alanı denetleyicisinin eski bir anlık görüntüden geri döndürülmesi
- Herkese Domain Admins yetkisi verilmesi
- Yedeklemenin yalnızca dosyaları kapsayıp sistem durumunu dışarıda bırakması
Profesyonel Destek
Active Directory kurulumu birkaç saatlik bir iş gibi görünse de yanlış verilen bir etki alanı adı ya da hatalı DNS yapılandırması yıllarca sorun çıkarır. Mevcut bir çalışma grubu ortamından geçiş, kullanıcı profillerinin taşınması ve grup ilkelerinin tasarımı deneyim gerektirir.
Grup İlkeleriyle Neler Yapılabilir?
Etki alanı kurulduktan sonra asıl verim, grup ilkesi nesneleri (GPO) ile gelir. Küçük bir ofiste bile şu ayarlar tek merkezden uygulanabilir:
- Ekran kilidinin belirli bir süre işlem yapılmadığında devreye girmesi
- Departmana göre ağ sürücülerinin ve yazıcıların otomatik eşlenmesi
- Masaüstü ve Belgeler klasörlerinin sunucuya yönlendirilerek yedek kapsamına alınması
- Windows Güvenlik Duvarı ve Microsoft Defender ayarlarının standartlaştırılması
- USB depolama aygıtlarının kısıtlanması
- Yerel yönetici şifrelerinin Windows LAPS ile her cihazda farklı ve otomatik yönetilmesi
İlkeleri doğrudan varsayılan ilkeler üzerinde değiştirmek yerine amaca göre ayrı GPO'lar oluşturmak ve önce küçük bir test grubunda denemek, hatalı bir ayarın tüm şirketi etkilemesini önler.
Grimax Bilişim, Çayırova, Gebze, Darıca ve çevresindeki ofislerde sunucu kurulumu ve Active Directory yapılandırması yapıyor. Ağınızı merkezi yönetime geçirmeyi düşünüyorsanız planlama aşamasında bizimle görüşün.