Active Directory Kurulum Hizmeti: Domain Altyapısı

Active Directory kurulum hizmeti, bir kurumun kullanıcı hesaplarını, bilgisayarlarını ve erişim yetkilerini tek bir merkezî dizinde toplama işidir. Biz bu işi anahtar teslim yapıyoruz: sunucunun kurulması, domain yapısının kurumunuza göre tasarlanması, mevcut bilgisayarların domaine alınması ve yönetimi devralacak kişiye yazılı olarak teslim.

Bir şirket kurarken en çok düşünülen şey unvandır, çünkü unvan bir kez tescil edilir. Sonradan değiştirmek teknik olarak mümkündür ama bütün evrakı, sözleşmeleri ve banka kayıtlarını peşinden sürükler; kimse ikinci kez yapmak istemez. Domain kurulumu da böyle bir tescildir. Kuruluş gününde verilen birkaç karar, o dizin yaşadığı sürece yürürlükte kalır ve bu sayfanın asıl konusu o kararlardır.

Bu sayfa BT sistem yönetimi hizmetimizin kimlik ve dizin koluna odaklanıyor. İşin teknik tarafını, yani rol yüklemesinden DC promotion’a ve dcdiag doğrulamasına kadar her adımı Active Directory kurulum rehberimizde yazdık; dizinin bütün bileşenlerinin birbirine nasıl bağlandığını ise Active Directory rehberimiz topluyor. Bu sayfa o işin ticari tarafını, kapsamı ve kararları anlatıyor.

Active Directory Kurulumunda Ne Yapıyoruz, Ne Yapmıyoruz?

Kapsamımız dizinin kendisi ve onu kurumunuza oturtan kararlar. Sunucu donanımı ve işletim sistemi ayrı bir kalemdir, çoğu projede ikisi birlikte yürür.

Yaptıklarımız:

• Tasarım. Domain adı, forest ve domain yapısı, DC sayısı ve yerleşimi, OU ağacı ve grup modeli. Bu aşama kurulumdan önce biter ve yazılı olarak onayınıza gelir.
• Kurulum. Rolün yüklenmesi, ilk domain controller’ın ayağa kaldırılması, DNS’in dizinle birlikte doğru kurulması ve ikinci DC’nin eklenmesi.
• Kurumun dizine taşınması. Kullanıcı hesapları, grupları, yazıcı tanımları ve paylaşım yetkileri; yani dizinin boş bir kabuk olmaktan çıkıp sizin kurumunuz olması.
• Group Policy temeli. Password policy, ekran kilidi, sürücü eşleme ve yazıcı dağıtımı gibi ilk gün gereken policy’ler. Daha ileri policy ihtiyaçları Group Policy yönetimi tarafında ayrıca ele alınır.
• Bilgisayarların domaine alınması. Mevcut makinelerin katılımı ve kullanıcı profillerinin taşınması, gruplar hâlinde ve planlı biçimde.
• Bulut kimliğiyle eşleştirme. Şirket içi dizini Microsoft Entra ID ile eşleştirmek isterseniz bu da bizde: eşitleme kurgusu, kullanıcıların Windows ile bulut uygulamalarında tek parola kullanması ve kimlik doğrulama yönteminin seçilmesi. Kurulumla birlikte ya da sonradan yapılabilir, teklifte ayrı bir kalem olarak görünür; işin teknik adımları Entra ID Connect kurulum rehberimizde duruyor.
• Yazılı teslim. Yapılandırma kaydı, yönetici hesaplarının kaydı ve kararların gerekçesi. Bu dosyanın neden teslimin parçası olduğu BT dokümantasyonu rehberimizde duruyor.

Yapmadıklarımız:

• Lisans satmıyoruz. Windows Server ve erişim lisansları sizin adınıza, doğrudan sağlayıcıdan alınır. Hangi lisans tipinin gerektiğini hesaplıyoruz, faturası bizden çıkmıyor; modelin kendisi (çekirdek bazlı lisans ve erişim lisansı ayrımı) Windows Server yazımızda anlatılıyor.
• Uygulama göçünü biz yürütmüyoruz ama işi sahipsiz de bırakmıyoruz. Dizine bağlanacak üçüncü taraf uygulamaların kendi kurulumu üreticisinde ya da bayisindedir. Bizden çıkan iş, o bağlantının dizin tarafındaki her şeyini hazırlamaktır: servis hesabı, grup, yetki ve gerekiyorsa sertifika. Üreticinin ekibiyle birlikte çalışmak gerekiyorsa masaya biz de otururuz; bir işin yetki alanımızın dışında kalması, o işi reddettiğimiz anlamına gelmiyor.

Kurumsal Domain Altyapısı Kime Gerekir?

Domain ihtiyacını genellikle kullanıcı sayısı değil, yönetilemezlik haber verir. Sahada en sık karşılaştıklarımız şunlar:

• Her bilgisayarın kendi kullanıcısı var. Parola değişikliği makine makine dolaşmayı gerektiriyor ve kimin hangi makinede hangi yetkiyle çalıştığı kimsede yazılı değil.
• Ayrılan personelin erişimi kapanmıyor. Kapatılacak tek bir hesap olmadığı için iş, o kişinin dokunduğu her yeri hatırlamaya kalıyor. Hatırlanmayan yer açık kalıyor.
• Yazıcı, paylaşım ve sürücü eşlemeleri elle kuruluyor. Yeni gelen bir çalışanın masaya oturması saatler alıyor ve her kurulum bir öncekinden biraz farklı çıkıyor.
• Yeni bir uyum ya da denetim gereksinimi doğdu. Kim neye erişiyor sorusuna cevap verilemiyor; cevap verilemeyen bir yetki, denetimde alınmamış tedbir sayılıyor.
• Personel sayınız BT ekibinizden hızlı büyüyor. Merkezî bir dizin yokken yapılan her iş makine sayısıyla çarpılır: parola sıfırlama, yazıcı tanımı, yeni kullanıcı açma, ayrılan personelin erişiminin kapatılması. Sahada gördüğümüz kadarıyla iki yüz elli kişilik bir kurumu bu şekilde, merkezî bir sistem olmadan yönetmek on ile on beş kişilik bir BT ekibinin işidir; aynı kurum dizinle yönetildiğinde aynı işleri iki kişi yürütebilir hale gelir. Fark ekibin yeteneğinde değil, işin kaç kez tekrarlandığında.

Bir de alt sınırı dürüstçe çizelim: üç beş kişilik, tek lokasyonlu ve paylaşılan bir sunucusu olmayan bir ofiste domain kurmak çoğu zaman gereksizdir. Orada kazanç, kurulumun getirdiği yönetim yükünü karşılamaz.

Domain’in anlamlı hale geldiği eşik, kullanıcı sayısından çok paylaşılan kaynak sayısıdır: ortak bir dosya sunucusu, birden çok yazıcı ve birden çok kişinin kullandığı uygulamalar varsa dizin kendini ödemeye başlar. Yukarıdaki ölçek maddesiyle çelişmez, onu tamamlar: küçük kurumda kararı kaynak sayısı verir, büyük kurumda kişi sayısı zaten o kaynakları beraberinde getirir.

Active Directory Kurulumunun Geri Alınamayan Dört Kararı

Kurulumun teknik adımları tekrarlanabilir; yanlış giden bir adım baştan yapılır. Ama dört karar var ki bunlar tescil gibidir: dizin ayağa kalktıktan sonra değiştirmek, değiştirmemekten pahalıya gelir. Keşifte zamanın çoğu bu dördüne gider.

Domain Adı: Bir Kez Seçilir

Domain adı dizinin unvanıdır ve kurulumdan sonra pratikte sabittir. Yeniden adlandırma desteklenen bir yordamdır ama sertifikaları, dizine bağlı servisleri ve domaine katılmış her makineyi etkiler; bazı ürünlerin bulunduğu ortamlarda ise hiç desteklenmez. Kurumların çoğu ya eski adla yaşamaya devam eder ya da yeni bir domain kurup göç eder.

Doğru seçimin iki kuralı var. Birincisi, domain adı kurumun internetteki alan adından türetilmeli ama onunla aynı olmamalı: iç dizin için alan adının bir alt adı kullanılır, böylece aynı ad hem içeride hem dışarıda farklı adresleri işaret ederken çakışma doğmaz. İkincisi, sahip olmadığınız ya da uydurma bir uzantı kullanılmaz; bugün sorun çıkarmasa da sertifika ve bulut entegrasyonu tarafında ileride kapı kapatır.

Domain Controller Sayısı ve Yerleşimi

Bir domain controller, dizinin kaydının tutulduğu yerdir. Tek DC’li bir kurum, kaydının tek nüshası olan bir şirkete benzer: o nüsha kaybolduğunda kurum var olmaya devam eder ama hiçbir şeyi kanıtlayamaz. Pratikte olan şudur: DC durduğunda oturum açma, dosya erişimi ve yazıcı paylaşımı aynı anda durur.

Bu yüzden tek lokasyonlu kurumlarda bile ikinci bir DC öneriyoruz ve ikisinin ayrı fiziksel makinelerde durmasını istiyoruz. Aynı sunucu üzerinde çalışan iki sanal DC yedeklilik değildir, aynı arızayı iki kez yaşamaktır; bu, kurumun fark etmediği tek nokta arızasının en yaygın biçimlerinden biri. Çok lokasyonlu yapılarda ise karar hat kopmasına göre verilir: hattın koptuğu lokasyonda yerel bir DC yoksa o lokasyon çalışamaz hale gelir.

OU Yapısı: Yönetimin Şeklini Bu Belirler

Organizasyon birimi ağacı, dizindeki nesnelerin nasıl gruplandığını gösteren şemadır ve asıl işlevi göründüğünden farklıdır: OU ağacı policy ve yetki devrinin şeklini belirler, kurumun organizasyon şemasını taklit etmek zorunda değildir.

Sahada en sık yapılan hata, OU ağacını insan kaynakları şemasının kopyası gibi kurmaktır. Departman isimleriyle kurulan ağaç ilk bakışta düzenli görünür, ama bir yıl sonra departmanlar değişir ve policy’ler yanlış yerde kalır. Ölçüt şudur: bu ağacın dalları, birbirinden farklı policy alan ya da farklı kişiye yönetimi devredilen gruplar mı? Cevap hayırsa o dal gereksizdir. Kullanıcı, grup ve OU düzeninin kendi ayrıntısı kullanıcı, grup ve OU yönetimi yazımızda duruyor.

Group Policy Temeli

Group Policy, dizinin ana sözleşmesi gibidir: kurulduğu gün yazılır, herkesi bağlar ve sonradan değiştirmek bir usul ister. İlk gün kurulan policy seti küçük olmalı ama doğru olmalı, çünkü üstüne yıllarca yenisi eklenir ve kimse en alttaki katmanı sorgulamaz.

Kurulumda temel olarak koyduğumuz şey azdır: parola ve kilit policy’si, yerel yönetici parolalarının merkezî yönetimi, sürücü ve yazıcı dağıtımı. Bunların ötesine geçen her policy ayrı bir karardır ve gerekçesiyle birlikte kaydedilir; gerekçesi yazılmamış bir policy, iki yıl sonra kimsenin kaldırmaya cesaret edemediği bir kalıntıya dönüşür. Policy’lerin hangi sırayla işlediği ve çakıştıklarında hangisinin kazandığı ise kendi başına bir konu; ilk gün kurulan temel küçük tutulunca o konuya girmek de kolaylaşıyor.

Active Directory Kurulumunu Nasıl Yapıyoruz?

Süreç dört adımdır ve sırası yukarıdaki dört kararın olgunlaşma sırasıyla aynıdır.

1. İlk görüşme, uzaktan ve ücretsiz. Kullanıcı ve lokasyon sayınız, mevcut sunucu durumunuz ve bugün nasıl çalıştığınız üzerinden konuşuyoruz. Bu görüşmenin sonunda işin büyüklüğü ve keşfin kapsamı netleşir.
2. Keşif ve tasarım. Mevcut makineleri, paylaşımları ve yetkileri çıkarıyoruz; domain adı, DC yerleşimi, OU ağacı ve policy temeli yazılı bir tasarıma dönüşüyor. Bu belge onaylanmadan kurulum başlamaz, çünkü onaylanan şey kurulumun kendisi değil, geri alınamayan kararlardır.
3. Kurulum ve taşıma. Sunucular ayağa kalkar, dizin kurulur, doğrulanır ve kurum dizine taşınır. Bilgisayarları gruplar hâlinde alıyoruz; bir grupta sorun çıkarsa kurumun tamamı değil o grup etkilenir.
4. Devir. Yapılandırma kaydı, yönetici hesaplarının listesi ve kararların gerekçesi elinize geçer. Yönetimi kendi ekibiniz üstlenecekse birlikte bir tur yapıyoruz; bize bırakacaksanız sistem yönetilen hizmet kapsamına geçiyor.

Sunucu donanımının seçimi, boyutlandırması ve işletim sistemi kurulumu bu işin bir adım öncesidir; kapsamı sunucu kurulumu sayfasında duruyor.

Mevcut Yapıdan Geçiş: Çalışma Grubu ve Eski Domain

Kurulumların çoğu boş bir sahada başlamaz. İki tipik başlangıç var ve ikisinin riski farklı yerde.

Çalışma grubundan geçişte asıl iş dizinde değil, masaüstündedir. Makine domaine katıldığında kullanıcı ilk kez domain hesabıyla oturum açar ve yeni bir profil oluşur; eski yerel profildeki masaüstü, belgeler ve uygulama ayarları otomatik gelmez. Bu taşımayı geçişin parçası sayıyoruz, çünkü sayılmadığında kullanıcı ilk gün kendi dosyalarını bulamıyor ve projeye olan güven ilk saatte kayboluyor. Tek bir makinenin domaine katılması sırasında arka planda ne olduğunu bilgisayarı domaine ekleme yazımızda anlattık.

Eski bir domain’den geçişte ise risk devralınan mirasta. Yıllar içinde birikmiş, kimsenin ne işe yaradığını bilmediği gruplar, kullanılmayan hesaplar ve gerekçesi unutulmuş policy’ler bulunur. Bunları olduğu gibi taşımak, sorunu yeni sunucuya kopyalamaktır; hepsini silmek ise çalışan bir şeyi bozma riskidir. İzlediğimiz yol ortadadır: taşınan her nesnenin bir sahibi olur, sahibi bulunamayan nesne devre dışı bırakılır ama bir süre silinmez.

Sahada Ne Yaptık?

Bu sayfadaki iddiaların arkasında yayınlanmış bir iş var. Active Directory modernizasyonu, tek DC ile çalışan ve bilgisayarlarının neredeyse tamamı çalışma grubunda olan çok lokasyonlu bir kurumun bir ay içinde domaine alınmasıdır. Yerel yönetici parolalarının merkezî yönetimi de aynı çalışmada kuruldu.

O projede en çok konuşulan şey teknik bir ayar değildi: parola sıfırlamanın on beş dakikadan anlık işleme dönmesiydi. Merkezî dizinin gündelik karşılığı genellikle böyle görünür, mimari şemada değil.

Active Directory Kurulum Hizmeti Fiyatını Ne Belirler?

Bedeli belirleyen şey kullanıcı sayısından çok yapının şeklidir. Teklifleri karşılaştırırken bakacağınız başlıklar şunlar:

• Lokasyon sayısı. Her ek lokasyon kendi DC kararını, kendi ağ bağlantısını ve kendi geçiş planını getirir. Tek binadaki elli kullanıcı ile üç şubeye dağılmış elli kullanıcı aynı iş değildir.
• Sunucu sayısı ve durumu. Kurulacak her ek sunucu ayrıca fiyatlanır. Elinizde kullanılabilir bir sunucu var mı, yoksa donanım ve işletim sistemi de bu projenin parçası mı?
• Taşınacak makine sayısı ve dağınıklığı. Domaine alınacak bilgisayarların sayısı kadar, bugünkü hâlleri de önemli: profil taşıması gereken bir çalışma grubu ortamı, sıfırdan kurulan makinelerden uzun sürer.
• Devralınan miras. Eski bir domain’den geçiliyorsa temizlik ve sahiplendirme işi başlı başına bir kalemdir ve ancak mevcut yapı görüldükten sonra ölçülebilir.
• Devir mi, yönetim mi? Sistemi kendi ekibinize devretmek ile yönetimini üstlenmek farklı işler. İkincisi abonelik tarafına geçer.

Teklif toplarken tek bir soru çoğu şeyi ayırır: tasarım onayı kurulumdan önce mi geliyor? Domain adını, DC yerleşimini ve OU ağacını kurulum günü sahada kararlaştıran bir teklif, geri alınamayan kararları doğaçlamaya bırakıyor demektir.

Sonuç: Active Directory Kurulumu Bir Tescil İşlemidir

Active Directory kurulumu bir yazılım kurulumundan çok bir tescil işlemine benzer. Adımların çoğu tekrarlanabilir, ama kuruluş gününde verilen birkaç karar dizin yaşadığı sürece yürürlükte kalır ve o kararlar teknik değil kurumsaldır. Adınızın ne olacağı, kaydınızın kaç nüshası duracağı ve yönetimi kimin devralacağı o gün belirlenir.

İyi kurulmuş bir dizinin belirtisi de sessizliktir. Kimse ondan söz etmez, kimse ona dokunmaz; yalnızca yeni bir çalışan işe girdiğinde ya da biri ayrıldığında, işin ne kadar kısa sürdüğü fark edilir.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn