Rehber · Sunucu Sistemleri
Active Directory ile Merkezi Kimlik Yönetimi: Kullanıcı, Yetki, GPO ve Dosya Erişimi
Active Directory kurulumu ve yönetiminde kullanıcı hesapları, grup politikaları, dosya yetkileri ve Microsoft 365 entegrasyonu için pratik rehber.
Yayın · Güncelleme · İyi Bilişim
Kısa cevap
Active Directory (AD), kullanıcıları, bilgisayarları ve yetkileri tek merkezden yöneten Windows dizin hizmetidir. Doğru kurulum için en az iki etki alanı denetleyicisi (DC), AD ile bütünleşik DNS, departman bazlı OU yapısı, rol bazlı güvenlik grupları, Grup İlkesi (GPO) standartları ve ayrı yönetici hesapları gerekir. Microsoft 365 kullanılıyorsa kimlikler Entra Connect veya Cloud Sync ile eşitlenir.
Kullanıcı hesapları, dosya yetkileri ve bilgisayar ayarları dağınık yönetilen; personel giriş-çıkışlarında hangi erişimin kapatılacağını takip edemeyen işletmeler için hazırlanmıştır.
- OKTek etki alanı denetleyicisi tek hata noktasıdır; en az iki DC ve düzenli sistem durumu yedeği gerekir.
- OKDosya yetkileri kişilere değil gruplara verilmelidir; personel değişikliği tek grup üyeliğiyle yönetilir.
- OKGPO ile parola, ekran kilidi, USB ve güncelleme politikaları tüm bilgisayarlara aynı anda uygulanır.
- OKYönetici hesapları günlük kullanıcı hesaplarından ayrılmalı, yerel yönetici parolaları LAPS ile benzersizleştirilmelidir.
10 kişilik bir ofiste her bilgisayara ayrı kullanıcı açmak ve paylaşımları tek tek yetkilendirmek idare edilebilir görünür. Kullanıcı sayısı 20-30'u geçtiğinde ise ayrılan personelin erişimlerini kapatmak, yeni gelene doğru klasörleri açmak ve parola politikasını uygulamak elle yönetilemez hale gelir. Active Directory bu dağınıklığı tek bir kimlik ve yetki merkezine toplar.
01Active Directory neyi çözer?
AD; kullanıcı hesaplarını, bilgisayarları, yazıcıları ve güvenlik gruplarını tek bir dizinde tutar. Kullanıcı hangi bilgisayara oturum açarsa açsın aynı kimlikle çalışır, parolası tek yerden değişir ve hesabı kapatıldığında tüm kaynaklara erişimi aynı anda kesilir. Dosya sunucusu, yazıcılar, VPN ve birçok iş uygulaması (ERP, muhasebe, CRM) kimlik doğrulamayı AD üzerinden yapabildiği için işletmede tek bir 'kim neye erişebilir' kaydı oluşur. Denetim ve KVKK süreçlerinde bu kayıt, erişimlerin kontrol altında olduğunu göstermenin en pratik yoludur.
02Etki alanı denetleyicisi ve DNS tasarımı
AD'nin kalbi etki alanı denetleyicisidir (Domain Controller). Tek DC ile çalışan bir yapıda sunucu arızalandığında oturum açma, dosya erişimi ve DNS çözümlemesi aynı anda durabilir. Bu nedenle en az iki DC (biri sanal, biri farklı fiziksel sunucuda veya bulutta olabilir) önerilir. AD ile bütünleşik DNS kullanılmalı, istemciler yalnızca iç DNS sunucularını göstermelidir; modemin DNS'ini veya genel DNS'leri istemcilere dağıtmak oturum açma gecikmelerine ve GPO hatalarına yol açar. Etki alanı adı olarak sahip olunan alan adının bir alt alanı (ör. ad.firma.com.tr) kullanılması ileride çakışma riskini azaltır.
03OU yapısı: yetkiyi ve politikayı düzenli dağıtmak
Organizational Unit (OU) yapısı, kullanıcıları ve bilgisayarları mantıklı klasörlere ayırır. Pratik bir başlangıç; 'Kullanıcılar', 'Bilgisayarlar', 'Sunucular', 'Servis Hesapları' ve 'Devre Dışı' ana OU'ları ile bunların altında departman veya lokasyon kırılımıdır. OU yapısı organizasyon şemasını birebir kopyalamak için değil, GPO uygulamak ve yönetim yetkisi devretmek için tasarlanır. Örneğin şube BT sorumlusuna yalnızca kendi şubesinin OU'sunda parola sıfırlama yetkisi verilebilir. Varsayılan 'Users' ve 'Computers' kapsayıcılarına GPO bağlanamadığı için yeni hesapların doğru OU'ya açılması standart hale getirilmelidir.
04Grup bazlı yetkilendirme ve dosya erişimi
Paylaşılan klasör yetkileri asla tek tek kullanıcılara verilmemelidir. Önerilen model; kullanıcıları rol gruplarına (ör. 'GRP-Muhasebe'), rol gruplarını kaynak gruplarına (ör. 'FS-Muhasebe-Okuma', 'FS-Muhasebe-Yazma') eklemek ve NTFS yetkisini yalnızca kaynak gruplarına vermektir. Böylece yeni bir muhasebe personeli tek grup üyeliğiyle doğru klasörlere erişir; ayrılan personelin tüm erişimi hesabının devre dışı bırakılmasıyla kapanır. Paylaşım yetkisi 'Authenticated Users – Değiştir' gibi geniş, NTFS yetkisi ise dar tutulur. Erişim tabanlı numaralandırma (ABE) açılırsa kullanıcılar yetkisi olmayan klasörleri görmez.
05Grup İlkesi (GPO) ile standart bilgisayar
GPO, yüzlerce ayarı tüm bilgisayarlara merkezi olarak uygular. KOBİ'ler için öncelikli politikalar şunlardır: parola uzunluğu ve hesap kilitleme eşiği, 10-15 dakikada ekran kilidi, Windows Update ayarları, sürücü eşleme ve yazıcı dağıtımı, USB depolama kısıtı, Microsoft Defender ve güvenlik duvarı ayarları ile yerel yönetici grubunun denetimi. Her GPO tek bir amaca hizmet etmeli ve anlaşılır isimlendirilmelidir (ör. 'BIL-Guvenlik-EkranKilidi'). Değişiklikler önce test OU'sunda denenmeli; 'Default Domain Policy' içine her şeyi yığmak sorun gidermeyi zorlaştırır.
06Yönetici hesapları ve AD güvenliği
Saldırganların hedefi çoğunlukla Domain Admins grubudur. BT personeli e-posta okuduğu, internette gezdiği hesabıyla etki alanını yönetmemelidir; günlük işler için standart hesap, yönetim için ayrı ve MFA ile korunan bir yönetici hesabı kullanılmalıdır. Domain Admins üyeliği en aza indirilmeli, hizmet hesapları için yönetilen hizmet hesapları (gMSA) tercih edilmelidir. Her bilgisayarda aynı yerel yönetici parolasının olması fidye yazılımlarının ağda yayılmasını kolaylaştırır; Windows LAPS bu parolaları otomatik olarak benzersiz ve dönüşümlü hale getirir. Kritik olay günlükleri (başarısız oturum açma, grup üyeliği değişikliği) izlenmelidir.
07Microsoft 365 ile hibrit kimlik
Şirket Microsoft 365 kullanıyorsa kullanıcıların iki ayrı parola ile çalışması hem verimsiz hem risklidir. Microsoft Entra Connect veya daha hafif olan Entra Cloud Sync ile AD'deki kullanıcılar Microsoft 365'e eşitlenir; parola karma eşitlemesi (PHS) ile kullanıcı aynı parolayla Outlook, Teams ve OneDrive'a girer. Eşitleme öncesinde AD'deki UPN sonekinin gerçek alan adıyla uyumlu olması, yinelenen veya eski hesapların temizlenmesi gerekir. Bulutta MFA ve Koşullu Erişim politikaları devreye alınarak şirket dışından gelen girişler ek doğrulamaya bağlanmalıdır.
08Bakım: AD kurulduktan sonra ne yapılmalı?
AD'nin sağlığı düzenli kontrol ister: DC'ler arası çoğaltmanın (dcdiag, repadmin) hatasız çalışması, sistem durumu (System State) yedeğinin alınması ve geri yükleme senaryosunun bilinmesi gerekir. 90 gündür oturum açmamış kullanıcı ve bilgisayar hesapları raporlanıp devre dışı bırakılmalı, personel çıkış süreci BT ile entegre edilmelidir. Desteği biten Windows Server sürümlerindeki DC'ler planlı biçimde güncel sürüme taşınmalıdır. Yılda en az bir kez yetki ve grup üyeliği gözden geçirmesi yapmak, zamanla biriken gereksiz erişimleri temizler.
Uygulama kontrol listesi
- OKEn az iki etki alanı denetleyicisi var ve çoğaltma hatasız çalışıyor mu?
- OKİstemciler yalnızca iç DNS sunucularını kullanıyor mu?
- OKKullanıcı, bilgisayar ve sunucular amaca uygun OU'larda mı?
- OKKlasör yetkileri kişilere değil gruplara mı verilmiş?
- OKParola, ekran kilidi ve güncelleme GPO'ları uygulanıyor mu?
- OKYönetici hesapları ayrı ve MFA ile korunuyor mu, LAPS etkin mi?
- OKSystem State yedeği alınıyor ve geri yükleme adımları belgelenmiş mi?
- OKPersonel çıkışında hesap kapatma süreci tanımlı mı?
Sık yapılan hatalar
- WARNTek etki alanı denetleyicisiyle çalışıp yedeğini almamak
- WARNPaylaşım yetkilerini kullanıcı bazında vermek
- WARNTüm ayarları Default Domain Policy içine yazmak
- WARNBT personelinin günlük hesabını Domain Admins grubuna eklemek
- WARNAyrılan personelin hesabını aylarca açık bırakmak
Sık sorulan sorular
Kaç kullanıcıdan sonra Active Directory gerekir?
Kesin bir sayı yoktur; ancak 15-20 kullanıcıyı geçen, ortak dosya sunucusu kullanan veya personel değişimi sık olan işletmelerde merkezi kimlik yönetimi kısa sürede zorunluluğa dönüşür. Tamamen bulutta çalışan işletmelerde Microsoft Entra ID tek başına yeterli olabilir.
Active Directory ile Microsoft Entra ID aynı şey mi?
Hayır. AD şirket içi sunucularda çalışan klasik dizin hizmetidir; GPO, dosya sunucusu ve yerel uygulamalarla çalışır. Entra ID ise Microsoft 365 ve bulut uygulamalarının kimlik hizmetidir. Birçok işletme ikisini eşitleyerek hibrit kullanır.
Mevcut çalışma grubu (workgroup) yapısından geçiş kesinti yaratır mı?
Doğru planlanırsa kesinti kısa ve kontrollü olur. Bilgisayarlar etki alanına alınırken kullanıcı profilleri taşınmalıdır; bu iş mesai dışında ve bilgisayar bazında planlanır.
Etki alanı denetleyicisi bulutta çalışabilir mi?
Evet. Azure üzerindeki bir sanal sunucu ikinci DC olarak kullanılabilir veya Microsoft Entra Domain Services tercih edilebilir. Ofisle bulut arasında güvenli VPN bağlantısı ve doğru DNS yapılandırması gerekir.