Active Directory Nedir? Merkezi Kullanıcı Yönetimi

Giriş

Active Directory (AD), Microsoft’un Windows Server üzerinde çalışan dizin hizmetidir; bir kuruluştaki kullanıcıları, bilgisayarları, grupları ve kaynakları tek bir merkezden kimliklendirmek, yetkilendirmek ve yönetmek için kullanılır. Her çalışanın her bilgisayarda ayrı ayrı yerel hesap açtığı dağınık yapı yerine, AD ile tek bir kurumsal kimlikle tüm sistemlere giriş yapılır. Teknik adıyla bu bileşen Active Directory Domain Services (AD DS) olarak geçer ve domain denetleyicisi (Domain Controller) adı verilen sunucular üzerinde çalışır.

KOBİ ölçeğinde AD çoğu zaman “10-15 bilgisayar oldu, artık tek tek yönetmek imkânsız” noktasında gündeme gelir. Doğru kurulduğunda parola politikasından dosya erişim yetkilerine, yazılım dağıtımından güvenlik ayarlarına kadar her şeyi merkezden kontrol etmenizi sağlar. Bu yazıda AD’nin temel mantığını, domain ve GPO kavramlarını, yetki ile parola politikası yönetimini ve KOBİ’ye sağladığı somut faydaları ele alıyoruz.

Active Directory domain nedir ve nasıl çalışır?

Domain, AD’nin temel yönetim sınırıdır. Aynı domain’e dahil olan tüm kullanıcılar ve bilgisayarlar ortak bir güvenlik veritabanını ve politika setini paylaşır. Kullanıcı bir kez kullanici@firma.local kimliğiyle tanımlanır; bu kimlikle domain’deki yetkili olduğu her bilgisayara ve kaynağa erişebilir.

İşin merkezinde Domain Controller (DC) bulunur. DC, kimlik doğrulama (authentication) işlemlerini yürüten, dizin veritabanını barındıran ve politikaları dağıtan sunucudur. Kimlik doğrulama için modern AD ortamlarında ağırlıklı olarak Kerberos protokolü kullanılır.

Yapı genellikle şu hiyerarşiyle düşünülür:

Domain: Tek bir yönetim ve güvenlik sınırı (ör. firma.local)
Tree: Ortak bir isim alanını paylaşan domain’ler
Forest: Bir AD kurulumunun en üst sınırı; bir veya birden çok tree’yi kapsar
Organizational Unit (OU): Domain içinde kullanıcı/bilgisayarları mantıksal olarak gruplayan ve politika uygulamayı kolaylaştıran kaplar

KOBİ’lerin büyük çoğunluğu için tek domain, tek forest yapısı yeterlidir; gereksiz karmaşıklıktan kaçınmak yönetimi kolaylaştırır.

Group Policy (GPO) ne işe yarar?

Group Policy Object (GPO), domain’deki kullanıcı ve bilgisayarlara merkezi olarak ayar dayatmanızı sağlayan en güçlü AD özelliğidir. Bir ayarı bir kez tanımlar, bağladığınız kapsamdaki (domain, OU vb.) tüm makinelere otomatik uygularsınız. Tek tek bilgisayar dolaşmak yerine politika tek noktadan yönetilir.

GPO ile yapılabilecek tipik işler:

Parola ve hesap kilitleme politikaları uygulamak
Ekran kilidi / oturum zaman aşımı zorunlu kılmak
USB bellek kullanımını kısıtlamak veya engellemek
Eşlenmiş ağ sürücüleri ve yazıcılar otomatik bağlamak
Masaüstü, tarayıcı ve uygulama ayarlarını standartlaştırmak
Yazılım dağıtımı ve güvenlik güncelleme davranışını yönetmek

GPO’lar OU bazında bağlanabildiği için, örneğin “Muhasebe” OU’suna farklı, “Saha Personeli” OU’suna farklı kurallar uygulayabilirsiniz. Bu yüzden temiz bir OU tasarımı, sürdürülebilir GPO yönetiminin ön koşuludur.

Yetki yönetimi (yetkilendirme) nasıl kurgulanır?

AD’de yetkilendirmenin altın kuralı AGDLP olarak bilinen yaklaşımdır: kullanıcı hesapları (Account) global gruplara (Global), global gruplar domain yerel gruplarına (Domain Local), izinler ise domain yerel gruplara atanır (Permission). Pratikte bunun anlamı nettir: izinleri tek tek kişilere değil, gruplara verin.

Bu yaklaşımın avantajı, personel değişikliklerini son derece kolaylaştırmasıdır. Yeni bir muhasebe elemanı geldiğinde tek yapmanız gereken kişiyi “Muhasebe” grubuna eklemektir; o grubun sahip olduğu tüm dosya, klasör ve uygulama yetkileri otomatik gelir. İşten ayrılan biri için hesabı devre dışı bırakmak yeterlidir.

Yetki yönetiminde uygulanması gereken temel ilke en az ayrıcalık (least privilege) prensibidir: her kullanıcı yalnızca işini yapması için gereken kaynaklara erişmeli, daha fazlasına değil. Domain Admin gibi yüksek yetkili hesapların sayısı minimumda tutulmalı ve günlük işler için kullanılmamalıdır.

Active Directory parola politikası nasıl belirlenir?

Parola politikası, domain genelinde GPO ile uygulanan en kritik güvenlik ayarlarından biridir. AD, hem klasik Default Domain Policy üzerinden hem de farklı kullanıcı gruplarına ayrı kurallar uygulamak için Fine-Grained Password Policies (FGPP) ile parola yönetimine izin verir.

Ayarlanabilen başlıca parametreler:

Ayar	Açıklama
Minimum parola uzunluğu	Kabul edilen en kısa parola karakter sayısı
Karmaşıklık zorunluluğu	Büyük/küçük harf, rakam, sembol karışımı şartı
Parola geçmişi	Eski parolaların tekrar kullanılmasını engelleme
Maksimum parola yaşı	Parolanın ne kadar süre sonra değişeceği
Hesap kilitleme eşiği	Kaç hatalı denemeden sonra hesabın kilitleneceği

Güncel güvenlik rehberleri (örneğin NIST’in parola tavsiyeleri), zorla ve sık parola değişimi yerine uzun ve benzersiz parolalara ve mümkün olduğunda çok faktörlü kimlik doğrulamaya (MFA) ağırlık vermeyi önerir. Kurumunuza uygun eşikleri belirlerken ilgili güncel resmi/sektörel güvenlik kaynaklarını kontrol etmenizi öneririz. Önemli olan, politikanın hem güvenli hem de kullanıcıyı zorlamayarak “parolayı not kağıdına yazma” davranışını tetiklemeyen bir dengede olmasıdır.

Active Directory’nin KOBİ’ye somut faydaları nelerdir?

Active Directory teknik bir araç olmanın ötesinde, büyüyen bir işletme için operasyonel ve güvenlik avantajları sağlar:

Tek noktadan kullanıcı yönetimi: İşe giriş/çıkışlar, yetki değişiklikleri ve şifre sıfırlama tek konsoldan yapılır.
Hızlı işten çıkış güvenliği: Ayrılan personelin tüm sistemlere erişimi tek hareketle kapatılır; unutulmuş yerel hesap riski ortadan kalkar.
Tutarlı güvenlik: Parola, ekran kilidi, USB kısıtlaması gibi politikalar tüm makinelerde aynı şekilde uygulanır.
Verimlilik: Yazıcı, ağ sürücüsü ve uygulama ayarları otomatik dağıtılır; her yeni bilgisayarı sıfırdan elle kurmak gerekmez.
Denetlenebilirlik: Kim, nereye, ne zaman giriş yaptı sorularına yanıt verecek kayıt altyapısı kurmak kolaylaşır; bu, KVKK ve ISO 27001 gibi uyum çalışmalarına da temel oluşturur.
Ölçeklenebilirlik: 10 kullanıcıdan 200 kullanıcıya büyürken yönetim yükü doğrusal artmaz.

Bu faydalar özellikle ERP, ortak dosya sunucusu ve çok sayıda istemci bilgisayarı olan KOBİ’lerde belirgin şekilde hissedilir.

Active Directory kurulum kontrol listesi

Sıkça Sorulan Sorular

Active Directory için kaç bilgisayar gerekir? Net bir alt sınır yoktur, ancak pratikte 8-10 bilgisayarı ve birden fazla ortak kaynağı olan işletmeler için AD yönetimi belirgin kolaylık sağlamaya başlar. Daha az sayıda makinede yerel yönetim hâlâ kabul edilebilir olabilir.

Active Directory ile Azure AD (Entra ID) aynı şey mi? Hayır. Geleneksel Active Directory (AD DS) şirket içi sunucularda çalışır ve domain mantığına dayanır. Microsoft Entra ID (eski adıyla Azure AD) ise bulut tabanlı bir kimlik hizmetidir ve farklı protokollerle çalışır. İkisi birbiriyle entegre edilebilir ancak aynı ürün değildir.

Tek Domain Controller yeterli mi? Teknik olarak tek DC ile çalışılabilir, fakat o sunucu arızalanırsa kimlik doğrulama durur. Süreklilik için en az iki Domain Controller ile yedekli yapı önerilir.

Active Directory dosya erişim yetkilerini yönetir mi? AD, kullanıcı ve grup kimliklerini sağlar; dosya/klasör izinleri ise bu kimlikler üzerinden NTFS ve paylaşım izinleriyle tanımlanır. Doğru kurgu, izinleri kişilere değil AD gruplarına vermektir.

Mevcut bilgisayarlardaki yerel hesaplar ne olacak? Bilgisayarlar domain’e dahil edildiğinde kullanıcılar artık domain hesaplarıyla giriş yapar. Yerel hesaplar acil durum/yönetim için sınırlı tutulur; günlük kullanım domain kimliğiyle yürütülür.

Giza Teknoloji ile merkezi BT yönetimi

Active Directory kurulumu, OU/GPO tasarımı, parola politikaları ve yetki yönetimi — yani işletmenizin BT omurgasının merkezi yönetimi — Gaziantep/Şehitkamil merkezli Giza Teknoloji uzmanlık alanındadır. Logo Yazılım yetkili Netsis bayisi olmamızın yanı sıra, server ve güvenlik hizmetleri (Fortinet güvenlik duvarı dahil), donanım ve bakım ve proje yönetimi & iş zekası tarafında kurumsal çözümler sunuyoruz. İş süreçleriniz için Netsis 3 ERP, e-Dönüşüm, Xenon saha satış ve PDKS/Tapu/Desen gibi özel yazılım çözümlerimizi inceleyebilirsiniz.

AD altyapınızı kurmak veya mevcut yapınızı düzene sokmak için bizimle iletişime geçin: 0532 599 51 12 (telefon destek), WhatsApp 0532 599 51 12 veya bilgi@gizateknoloji.com. Daha fazla bilgi için hakkımızda ve iletişim sayfalarımıza göz atın.