Yirmi kişilik bir ofiste her bilgisayarın kendi kullanıcı hesabı vardır. Kırk kişiye çıkıldığında biri işten ayrılınca kaç makinede hesap kapatılacağını kimse bilmez. Active Directory tam olarak bu sorunu çözmek için vardır: kullanıcıları, bilgisayarları ve erişim kurallarını tek bir merkezde toplar.
Dizin hizmeti ne demek
Active Directory bir dizin hizmetidir. İçinde nesneler tutar — kullanıcılar, bilgisayarlar, gruplar, yazıcılar — ve bu nesnelere kim, nereden, hangi koşulda erişebilir sorusunu yanıtlar.
Bir kullanıcı sabah bilgisayarını açıp parolasını girdiğinde, o parola makinede değil etki alanı denetleyicisinde doğrulanır. Doğrulama başarılı olursa kullanıcı, ağdaki bütün kaynaklara aynı kimlikle erişir: dosya sunucusu, yazıcı, iç uygulama. Tek hesap, tek parola, tek kapatma noktası.
Etki alanı, ağaç, orman
Bu üç kelime aynı şeyin farklı ölçekleridir.
Etki alanı (domain) temel birimdir: ortak bir veritabanını ve güvenlik sınırını paylaşan nesneler kümesi. sirket.local gibi bir adı vardır.
Ağaç (tree) aynı ad alanını paylaşan etki alanlarıdır: sirket.local ve ankara.sirket.local.
Orman (forest) en dış sınırdır. Birden çok ağacı kapsayabilir ve asıl güvenlik sınırı ormandır — bu, sık yanlış bilinen bir noktadır. Bir etki alanında yönetici olan biri, orman genelinde etki yaratabilecek yollara sahiptir. İki iş birimini gerçekten ayırmak istiyorsanız ayrı etki alanı değil, ayrı orman gerekir.
Kuruluş birimleri ve grup ilkesi
Kuruluş birimi (OU) nesneleri düzenlemek için kullanılan klasördür. Ama asıl işlevi düzen değil, yönetimi devretmek ve ilke uygulamaktır.
Grup ilkesi nesneleri (GPO) OU’lara bağlanır ve içindeki bilgisayarlara ya da kullanıcılara ayar dayatır: parola kuralları, ekran kilidi süresi, haritalanmış sürücüler, yazılım dağıtımı. Bir ayarı yüz makinede elle yapmak yerine bir OU’ya bağlarsınız.
GPO’ların hangi sırayla uygulandığı ve neden bazen hiç uygulanmadığı ayrı bir konu; grup ilkesi neden uygulanmıyor rehberi bu tarafa bakıyor. Birden çok GPO çakıştığında sonucu görmek için GPO çakışma çözümleyici aracını kullanabilirsiniz.
Kimlik doğrulama nasıl yürür
Active Directory kimlik doğrulaması için Kerberos kullanır. Kullanıcı parolasını girdiğinde, denetleyiciden bir bilet alır; sonraki her erişimde parola değil bu bilet gösterilir. Böylece parola ağda tekrar tekrar dolaşmaz.
Kerberos’un pratikte en çok soru çıkaran yanı saate duyarlı olmasıdır: istemci ile denetleyici arasındaki fark beş dakikayı aşarsa bilet reddedilir ve kullanıcı “parolam doğru ama giremiyorum” der. Saat hiyerarşisini kurmak için NTP saat planlayıcı aracına bakabilirsiniz.
DNS olmadan çalışmaz
Bu, Active Directory hakkında bilinmesi gereken en pratik gerçektir: AD, DNS üzerine kuruludur. İstemciler etki alanı denetleyicisini DNS’teki SRV kayıtlarıyla bulur. DNS yanlış yapılandırıldığında AD “çalışmıyor” görünür, oysa sorun isim çözümlemesindedir.
En yaygın hata, etki alanı üyelerine dış DNS sunucusu (örneğin bir genel çözümleyici) tanımlamaktır. Genel çözümleyici SRV kayıtlarını bilmez; oturum açma yavaşlar, ilkeler uygulanmaz. Ayrıntı için DNS’te en sık yapılan üç yapılandırma hatası rehberi var.
Gruplar ve izinler
Erişim yetkisi kullanıcıya tek tek verilmez; gruplara verilir, kullanıcı gruba alınır. Bu ayrım küçük görünür ama bir yıl sonra “bu klasöre kimler erişiyor” sorusunu yanıtlanabilir kılan tek şeydir.
Active Directory’de üç grup kapsamı vardır ve aralarındaki fark sık karıştırılır. Evrensel gruplar orman genelinde geçerlidir. Genel gruplar kendi etki alanından üye alır ama her yerde izin verilebilir. Etki alanı yereli gruplar her yerden üye alır ama yalnızca kendi etki alanında izin taşır.
Yaygın uygulama, bu üçünü sırayla kullanmaktır: kullanıcı genel gruba girer, genel grup etki alanı yereli gruba girer, izin de o yerel gruba verilir. Böylece izin ile üyelik birbirinden ayrılır ve devretmesi kolaylaşır.
Dosya sunucusunda paylaşım izniyle NTFS izninin nasıl kesiştiği ayrı bir tuzaktır; dosya sunucusu izinleri rehberi ve etkin izin hesaplayıcı aracı bu tarafı ele alıyor.
Çoğaltma ve birden çok denetleyici
Tek bir etki alanı denetleyicisiyle çalışmak, o makine durduğunda kimsenin oturum açamaması demektir. Bu yüzden en az iki denetleyici bulundurulur ve aralarında çoğaltma yapılır: birinde yapılan değişiklik diğerine yayılır.
Çoğaltma anında değildir. Aynı sitedeki denetleyiciler arasında saniyeler, siteler arasında dakikalar sürebilir. Pratikte bunun anlamı şudur: bir kullanıcının parolasını değiştirdikten sonra başka bir lokasyondaki kullanıcı hâlâ eski parolayla oturum açabilir. Parola değişiklikleri için özel bir mekanizma bu gecikmeyi kısaltır ama diğer değişiklikler için bekleme gerçektir.
Denetleyici ekleme ve yükseltme sırası önemlidir; etki alanı denetleyicisi yükseltme sırası rehberinde ele alınıyor.
Bulutla ilişkisi
Sık karışan bir nokta: Microsoft Entra ID (eski adıyla Azure AD), Active Directory’nin bulut sürümü değildir. Farklı protokoller kullanır, OU ve GPO kavramları yoktur, ağaç–orman yapısı yoktur.
Çoğu kurum ikisini birlikte kullanır: şirket içi AD kimlikleri tutar, bir eşitleme aracı bunları Entra ID’ye taşır, bulut uygulamaları oradan doğrular. Bu hibrit yapıda kimliğin nerede yönetildiği ve nerede doğrulandığı ayrı sorulardır.
Kısaca
Active Directory, kurumsal ağın kimlik merkezidir: kim olduğunuzu doğrular, neye erişebileceğinizi belirler ve makinelere ayar dayatır. Üzerine kurulduğu iki temel DNS ve zamandır — bu ikisi sağlam değilse AD’nin kendisi de sağlam olmaz.
Yeni bir ortam kuracaksanız yeni sunucu kurmadan önce rehberi, ad standardı için AD adlandırma standardı aracı işinizi kolaylaştırır.