Sabah bilgisayarını açan her çalışan kullanıcı adı ve parolasını yazar; birkaç saniye sonra masaüstü gelir, ortak klasörler bağlanır, yazıcılar tanımlanır. Bu birkaç saniyede arka planda çalışan sunucu, domain controller’dır (etki alanı denetleyicisi). Kimsenin aklına gelmez, ta ki durana kadar: o gün kimse oturum açamaz, dosya paylaşımına ulaşamaz, bazı uygulamalar çalışmaz. Bu yazıda domain controller’ın ne olduğunu, hangi işleri yaptığını ve sağlıklı çalışması için nelere dikkat edilmesi gerektiğini anlatıyoruz. Sunucularınızın bakımı için sunucu yönetimi hizmetimize bakabilirsiniz.
Domain controller nedir?
Domain controller, Windows Server üzerinde Active Directory Etki Alanı Hizmetleri (AD DS) rolünü çalıştıran sunucudur. Active Directory, şirketteki kullanıcıların, bilgisayarların, grupların ve yetkilerin tutulduğu merkezi dizindir. Domain controller bu dizinin bir kopyasını barındırır ve etki alanına yapılan kimlik doğrulama isteklerini cevaplar.
Etki alanı (domain) olmayan küçük bir ofiste her bilgisayarın kendi kullanıcı hesapları vardır. Kullanıcı sayısı arttıkça bu yapı yönetilemez hâle gelir: bir çalışan ayrıldığında her bilgisayarda hesabını ayrı ayrı kapatmak, bir parola ilkesini tüm cihazlara uygulamak mümkün olmaz. Etki alanı bu yönetimi tek merkezde toplar.
Domain controller ne işe yarar?
Kimlik doğrulama
Kullanıcı etki alanına bağlı bir bilgisayarda oturum açtığında, kimliğini domain controller doğrular. Windows etki alanlarında bunun için varsayılan olarak Kerberos protokolü kullanılır. Doğrulanan kullanıcı, dosya sunucusu, yazıcı ya da bir uygulama gibi kaynaklara ayrıca parola girmeden erişebilir.
Yetkilendirme
Kullanıcıların hangi gruplarda olduğu Active Directory’de tutulur. Muhasebe klasörüne yalnızca muhasebe grubunun erişebilmesi, bu grup üyeliklerine dayanan yetkilerle sağlanır. Yetkiyi kişiye değil gruba vermek, yönetimi sade tutar.
Grup İlkesi
Grup İlkesi (Group Policy) ile parola kuralları, ekran kilidi süresi, USB kısıtlamaları, masaüstü ayarları, eşlenen sürücüler ve yazılım dağıtımı gibi ayarlar merkezi olarak tüm bilgisayarlara uygulanır.
DNS
Active Directory, kaynakları ve domain controller’ları bulmak için DNS’e dayanır. Çoğu yapıda DNS rolü de domain controller üzerinde çalışır. DNS sorunları, Active Directory arızalarının en sık nedenlerinden biridir.
Neden en az iki domain controller?
Tek domain controller’lı bir yapıda o sunucu tek arıza noktasıdır. Donanım arızası, başarısız bir güncelleme ya da fidye yazılımı, tüm şirketin oturum açma ve kaynak erişimini durdurabilir. Tek sunucuyu yedekten geri yüklemek mümkündür, ama bu saatler sürebilir ve dikkat gerektiren bir işlemdir.
İkinci bir domain controller, Active Directory verisinin eşlenmiş (replike edilmiş) bir kopyasını tutar. Biri durduğunda diğeri kimlik doğrulama isteklerini karşılamaya devam eder. İki sunucunun farklı fiziksel donanımlarda, mümkünse farklı sanallaştırma sunucularında çalışması gerekir; aynı fiziksel sunucudaki iki sanal makine aynı arızadan birlikte etkilenir. Şubeli yapılarda şubeye yerel bir domain controller konup konmayacağı, bağlantı kalitesine ve güvenlik koşullarına göre değerlendirilir.
Fiziksel güvenliği zayıf şubeler için Windows Server, salt okunur domain controller (RODC) seçeneği sunar. RODC, Active Directory’nin değiştirilemeyen bir kopyasını tutar ve yalnızca izin verilen hesapların parolalarını önbelleğe alır. Böylece şubedeki sunucu çalınsa bile tüm etki alanının parolaları risk altına girmez.
FSMO rolleri
Domain controller’lar büyük ölçüde eşittir, ama bazı işler yalnızca bir sunucu tarafından yürütülür. Bu işlere FSMO (Flexible Single Master Operations) rolleri denir; beş tanedir. Örneğin PDC öykünücüsü rolü, etki alanındaki saat eşitlemesinin ve parola değişikliklerinin merkezidir. Bir domain controller emekliye ayrılırken bu rollerin önce başka bir sunucuya devredilmesi gerekir; aksi hâlde sorunlar aylar sonra ortaya çıkabilir.
Sık yapılan hatalar
- Domain controller üzerine başka uygulamalar kurmak. ERP, dosya paylaşımı ya da uzak masaüstü aynı sunucuda çalıştığında hem güvenlik riski hem de arıza riski artar.
- Yedeği yalnızca sanal makine anlık görüntüsüne (snapshot) bırakmak. Eski bir anlık görüntüye dönmek, birden fazla domain controller olan yapılarda eşleme sorunlarına yol açabilir. Active Directory için desteklenen bir sistem durumu yedeği alınmalı ve geri yükleme prosedürü bilinmelidir. Genel yapı için yedekleme sayfamıza bakabilirsiniz.
- Saat eşitlemesini ihmal etmek. Kerberos zaman farkına duyarlıdır; saatler arasındaki fark büyüdüğünde oturum açma sorunları başlar.
- Yönetici hesaplarını günlük işlerde kullanmak. Alan yöneticisi yetkisi yalnızca yönetim işleri için, ayrı hesaplarla kullanılmalıdır.
- Active Directory Geri Dönüşüm Kutusu’nu açmamak. Açık olduğunda yanlışlıkla silinen kullanıcı, grup ve organizasyon birimleri özellikleriyle birlikte geri getirilebilir; kapalıysa geri dönüş çok daha zahmetlidir.
- Eski hesapları biriktirmek. Ayrılan çalışanların açık kalan hesapları saldırganlar için hazır kapılardır.
- Destek süresi dolmuş Windows Server sürümünde çalışmak. Güvenlik güncellemesi almayan bir domain controller, tüm etki alanını riske atar.
Güvenlik: saldırganların ilk hedefi
Domain controller’ı ele geçiren saldırgan, etki alanındaki her hesaba ve her bilgisayara erişebilir. Fidye yazılımı saldırılarında saldırganlar zararlıyı çoğu zaman domain controller üzerinden, Grup İlkesi aracılığıyla tüm ağa dağıtır. Bu yüzden domain controller’lar ağın en korunan bölgesinde durmalı, internetten doğrudan erişilememeli, güncellemeleri geciktirilmemeli ve üzerlerinde yapılan değişiklikler kayıt altına alınmalıdır. Kimin hangi grupta olduğunu düzenli olarak gözden geçirmek, temel bir güvenlik alışkanlığıdır. Bu konuda Active Directory temizliği yazımıza bakabilirsiniz.
Unna ile Active Directory
Domain controller kurulumundan günlük kullanıcı yönetimine kadar Active Directory’nin tamamını birlikte ele alırız.
- Önce dinleriz. Mevcut etki alanı yapınızı, domain controller sayınızı, FSMO rollerinin yerini, yedek durumunu ve yetki düzeninizi inceleriz.
- Birlikte planlarız. Yedeklilik, güncelleme, sürüm yükseltme ve güvenlik sıkılaştırma için bir yol haritası çıkarırız.
- Kurar ve düzenleriz. İkinci domain controller’ı kurar, Grup İlkelerini sadeleştirir, kullanıcı yönetimini ADManager Plus ile şablonlara ve otomasyona bağlarız.
- Yanınızda kalırız. Sunucu yönetimi kapsamında domain controller’larınızı izler, güncel tutar ve yedeklerini düzenli olarak kontrol ederiz.
Başlamak için bize yazın.
