Active Directory Modernizasyonu: Domaine Toplu Geçiş

Bu projeyi Sistem Kuşu kurulmadan önce, kurumun BT ekibinde çalıştığım dönemde ben yürüttüm.

Cihazların yüzde 99’u WORKGROUP’taydı: uç noktalar, hiçbir merkezi yönetimin ulaşamadığı kendi başına adalar halinde çalışıyordu. Diğer projelerden önce bu dağınık yapıyı sıkılaştırılmış, tek bir domain çatısı altına aldık.

Sorun

Kurumun Windows Server 2012 üzerinde çalışan bir Active Directory’si vardı, ama sadece muhasebe sunucusu gibi birkaç kritik sunucu domaine bağlıydı; uç cihazların neredeyse tamamı WORKGROUP’ta, yani merkezi yönetimin dışındaydı. Muhasebe sunucusuna etki eden GPO’ların bir kısmının kim tarafından, neden yapıldığı bile bilinmiyordu.

Ortamda yedek bir domain controller yoktu; tek DC’nin başına bir şey gelmesi tüm kimlik doğrulamayı durdurabilirdi. Replikasyon tarafı da dağınıktı: site ve subnet tanımları eksik kalmış, RODC’ler ve birbiriyle ilgisi olmayan sunucular karşılıklı replike olur hale gelmişti. Kalabalık bir şubeye bakan domain controller ise yetersiz donanımla çalışıyordu.

Sonuç kullanıcı tarafında öngörülemezlik olarak görünüyordu: GPO bazen anında uygulanıyor, bazen parola sıfırlama gibi sıradan bir işlem on beş dakika sürüyordu.

Neden bu yol?

En görünür eksik cihazların domainde olmamasıydı ve doğrudan oradan başlamak mümkündü. Sırayı tersine kurduk: önce dizinin kendisini düzelttik, cihazları en sona bıraktık.

Gerekçesi basit bir hesap. Bozuk bir dizine binlerce cihaz eklemek, düzeltilmemiş bir yapıyı bütün envantere yaymak demektir; aynı işi sonra düzeltmek, o cihazların hepsine ikinci kez dokunmayı gerektirir. Dizin sağlamlaştıktan sonra yapılan geçiş ise kullanıcı açısından tek bir yeniden başlatmaya iner.

Nasıl kurduk?

Önce muhasebe sunucusuna etki eden, amacı belirsiz GPO’ları tarayıp temizledik. Ardından domain ortamını uçtan uca sıkılaştırdık: eksik GPO’ları tamamladık, AD Recycle Bin’i etkinleştirdik, LAPS kurarak her cihazın yerel yönetici parolasını birbirinden bağımsız hale getirdik ve iki süper yetkili servis hesabının parolalarını değiştirip credential’ları (kimlik bilgileri) dizinin serbest metin alanlarından temizledik.

Tek nokta arızası riskini kaldırmak için yedek bir domain controller kurduk. Yetersiz donanımdaki domain controller’ı emekliye ayırıp site ve subnet tanımlarını yeniden kurduk; replikasyon topolojisi düzeldiğinde GPO ve parola sıfırlama gecikmeleri kendiliğinden ortadan kalktı.

Son adımda uç noktaların tamamını, kullanıcıları etkileyecek herhangi bir kesinti yaşanmadan domaine aldık. Tüm süreç yaklaşık 1 ay sürdü.

Geçiş bittikten sonra günlük yönetimin tek noktaya yığılmaması için şubelerdeki BT personeline RSAT yönetim konsollarını kurduk ve ihtiyaç duydukları yetkileri Active Directory’nin devretme mekanizmasıyla yalnızca kendi birimleriyle sınırlı olarak verdik.

Devreye alındıktan sonra

Parola sıfırlama ve GPO uygulaması gecikmeli olmaktan çıktı; kullanıcı tarafında öngörülemezlik yerini beklenen davranışa bıraktı. Kimlik doğrulama artık tek bir sunucuya bağlı değil.

Yetki devri sayesinde parola sıfırlama ve kullanıcı açma gibi işler yerel ekiplerin elinde kaldı; kimsenin domain controller’a bağlanması ya da gereğinden geniş yetkili bir hesap taşıması gerekmedi.

Aynı işi kendi kurumunuz için planlıyorsanız kapsam ve süreç Active Directory kurulum hizmeti sayfasında yazılı. Bu projede belirlediğimiz GPO isimlendirme standardını, kurumun tüm BT bilgisini topladığımız dokümantasyon sunucusu projesinde de kullandık.

Sıkılaştırdığımız bu AD ortamı, TeamViewer’ın tüm cihazlara toplu dağıtıldığı help desk modernizasyon projesinin de altyapısını oluşturdu; DLP ajanının ve antivirüsün grup üyeliğiyle otomatik dağıtıldığı DLP kurulum ve antivirüs geçiş projeleri de aynı zeminde yürüdü. Teknik detaylar için Active Directory Güvenlik Sıkılaştırması ve GPO Yönetimi rehberlerimize, tüm kurulum ve yönetim konuları için Active Directory Rehberi’ne bakabilirsiniz.