10 Active Directory Temizleme En İyi Uygulamaları

Bu kılavuzda, kullanıcılar, bilgisayarlar, gruplar ve kuruluş birimleri için temizleme ipuçları da dahil olmak üzere, etkili bir Active Directory temizliğinin nasıl gerçekleştirileceğine ilişkin en iyi uygulamalarımı paylaşıyorum.

Active Directory temizliği her Yöneticinin yapması gereken önemli bir görevdir; bunu 30 günde bir çalıştırmanızı öneririm.

Etkin olmayan kullanıcı ve bilgisayar hesapları ağınızda güvenlik açıklarına neden olabilir. Kötü aktörler bu hesapları ağınıza erişmek, verileri çalmak ve sistemlerinize zarar vermek için kullanabilir. Ayrıca düzenli bir AD temizliği yapmazsanız Active Directory'niz büyük bir karmaşaya dönüşecektir.

Başlayalım.

1. Hesapları Silmeden Önce 90 Gün Boyunca Devre Dışı Bırakın

Kullanıcıları ve bilgisayarları Active Directory'den silmeye hemen başlamayın. Bir kullanıcı veya bilgisayar hesabının etkin değil gibi görünmesine rağmen aslında hâlâ geçerli bir hesap olabilmesinin birçok nedeni vardır. Bu aynı zamanda gruplar ve grup politikaları için de geçerlidir. Bununla ilgili daha fazla ayrıntı aşağıdadır.

Hesapları silmeden önce 90 gün gibi bir süre boyunca devre dışı bırakmak en iyisidir. 90 gün sonra kimse çığlık atmazsa hesabı silebilirsiniz.

Çok sayıda geçici personelin ve sözleşmeli çalışanın olduğu ortamlarda çalıştım. Bazen bu kullanıcılar aylarca oturum açmazlar veya yalnızca yılın birkaç ayında çalışırlar. Bu tür hesapları defalarca sildim ve yeniden oluşturmak zorunda kaldım.

Yapmayı sevdiğim şey, hesapları devre dışı bırakmak ve onları Etkin Değil adlı bir kuruluş birimine taşımaktır. Bu şekilde herkes, temizleme işlemi sırasında devre dışı bırakılan hesapların tümünü kolayca görebilir.

Nasıl Yapılır Adımları:

AD Temizleme aracıyla hesapları toplu olarak devre dışı bırakabilir ve taşıyabilirsiniz. Bu araca sahip değilseniz, ücretsiz deneme sürümünü indirmek için buraya tıklayabilirsiniz.

Devre dışı bırakılacak hesapları seçin ve devre dışı bırak düğmesine tıklayın. Hesabı taşımak için Taşı düğmesini seçin.

Açıklama alanına tarih ve adının baş harflerini de eklemeyi seviyorum. Bu şekilde, birisinin bir hesabın neden devre dışı bırakıldığı konusunda bir sorusu varsa kime soracağını bilir.

2. Son 90 Günde Aktif Olmayan Kullanıcıları Bulun

Etkin olmayan kullanıcılar lastLogonTimestamp özelliğiyle tanımlanabilir. Bu öznitelik tüm etki alanı denetleyicilerine çoğaltılır ancak bir gecikmesi vardır (gerçek zamanlı değil). Bu öznitelik, etkin olmayan kullanıcı ve bilgisayar hesaplarını bulmak amacıyla Microsoft tarafından eklenmiştir. Bir kullanıcının LastLogonTimestamp'ının güncellenmemesinin birçok nedeni olabilir. Buna uzak bir sitede veya evde çalışmak da dahildir, tatildedirler, belki önbelleğe alınmış kimlik bilgileriyle veya VPN kullanarak giriş yapmış olabilirler.

Bunlar ve diğer birçok nedenden dolayı, LastLogonTimestamp'ın en az 90 gün içinde güncellenmediği hesapları aramanızı öneririm. Ancak hazırlıklı olun, bunun istisnaları olacaktır. Geçerli çalışan olan ancak çok sık oturum açmayan bir stajyer veya sözleşmeli çalışan veya uzatılmış izinli bir kullanıcı olacaktır. Bu kullanıcıların bir listesini tutmanız ve onları temizleme sürecinin dışında bırakmanız gerekecektir.

Nasıl Yapılır Adımları:

AD Temizleme Aracını kullanarak seçenekler kutusuna 90 gün girin ve Çalıştır'a tıklayın. Bu, en az 90 gün boyunca oturum açma etkinliği olmayan tüm hesapları görüntüler.

3. Son 90 Günde Aktif Olmayan Bilgisayarları Bulun

Etkin olmayan bilgisayarlar, lastLogonTimestamp özelliğiyle de tanımlanabilir.

LastLogonTimestamp'ın en az 90 gün içinde güncelleştirilmediği bilgisayar hesaplarını aramanızı öneririm.

Kullanıcılar gibi, bir bilgisayarın da lastLogonTimestamp'ı güncellemeyip etkin bir bilgisayar olmasının birçok nedeni vardır.

Yerel yönetimde çalıştığım dönemde polis arabalarında 4g bağlantıları vardı. Bunlar etki alanına katılan bilgisayarlardı ancak bilgisayarda yerel olarak oturum açtılar. Bu nedenle bilgisayarlar genellikle etki alanına bağlı olmayacaktı ve bu nedenle lastLogonTimstamp'ın güncellenmesi aylarca sürecekti. Bu dizüstü bilgisayarları temizleme sürecinin dışında bırakmak zorunda kaldık.

Pek çok kullanıcı VPN'e hiç bağlanmadığı için evden çalışmak bunu zorlaştırdı. Dizüstü bilgisayarlarının güncellendiğinden emin olmak için bu kullanıcıların bağlanmasını veya ofise gelmesini zorunlu kıldık.

Nasıl Yapılır Adımları:

Varsayılan olarak AD Temizleme Aracı etkin olmayan kullanıcıları ve bilgisayarları görüntüler. Yalnızca etkin olmayan bilgisayarları görmek istiyorsanız filtrelere tıklayın ve kullanıcıların işaretini kaldırın. Daha sonra, oturum açma yok kutusuna 90 gün girin ve çalıştır'a tıklayın.

4. Oturum Açma Geçmişi Olmayan Hesapları Bulun

Buna çok şaşıracaksınız!

Oturum Açma Geçmişi Olmayan Hesaplar, lastLogonStamp alanında tarihi olmayan hesaplardır. Bu raporu ilk kez çalıştırdığımda şok olmuştum; neden hiç kullanılmamış bu kadar çok hesap var? En yaygın neden, yeni çalışanların işe gelmemesi veya ilk gününde işten ayrılmamasıdır.

Bu hesapları ararken aynı zamanda WhenCreated özelliğine de bakmak istersiniz. LastLogonTimestamp boşsa ve WhenCreated birkaç gün içindeyse, hesabı devre dışı bırakmak istemeyebilirsiniz. Bu rapordaki WhenCreated özelliği için 90 gün kuralını kullanmanızı öneririm.

Nasıl Yapılır Adımları:

AD temizleme aracında filtrelere tıklayın ve Oturum Açma Geçmişi Olmayan Kullanıcılar'ı seçin. Seçenekler kutusunun işaretli olmadığından emin olun. Oturum açma geçmişi olmayan hesaplar, lastlogonTimeStamp sütununda Asla Oturum Açma ifadesini görüntüler.

Yukarıdaki ekran görüntüsünde oturum açma geçmişi olmayan birkaç hesabım olduğunu görebilirsiniz. Daha sonra WhenCreated sütununu kontrol ediyorum ve bu hesapların 90 günden daha uzun bir süre önce oluşturulduğunu, dolayısıyla devre dışı bırakılmalarının güvenli olduğunu görüyorum.

5. Süresi Dolmuş Kullanıcı hesaplarını bulun

Süresi dolmuş hesaplar, kullanıcı hesapları sayfasında süresi dolacak şekilde ayarlanmış hesaplardır. Bu hesaplar, son kullanma tarihi değiştirilmedikçe veya asla olarak ayarlanmadıkça kullanılamaz. Süresi dolmuş hesaplar sıklıkla gözden geçirilir veya unutulur.

Bunlar genellikle sözleşmeli çalışanlar, geçici çalışanlar (yaz programları), denetçiler vb.'dir. Bir hesabın geçici olduğunu bildiğimde genellikle onlar için bir son kullanma tarihi belirlerim, bu şekilde otomatik olarak devre dışı bırakılırlar.

Nasıl Yapılır Adımları:

Süresi dolmuş tüm kullanıcıları bulmak için filtrelere tıklayın ve Süresi Dolmuş Kullanıcılar'ı seçin.

Hesapların süresi dolduğundan ve kullanılamadığından, devam edip onları devre dışı bırakırdım. Bu hesapları devre dışı bırakmak için 90 gün beklemeye gerek görmüyorum.

6. Şifresi Zayıf veya Hiç Olmayan Hesaplar

Aşağıdaki ayarlara sahip hesapları aramak istiyorsunuz:

• Şifre gerektirmeyen kullanıcılar - Bunun neden bir seçenek olduğu hakkında hiçbir fikrim yok ancak hesaplar boş bir şifreyi kabul edecek şekilde yapılandırılabilir. Bu gerçekten kötü bir güvenlik uygulamasıdır ve devre dışı bırakılması gerekir.
• Şifreleri hiçbir zaman sona ermeyecek şekilde ayarlanmış kullanıcılar - Kullanıcı hesabı şifreleri sık sık değiştirilmelidir. Şifrelerini hiçbir zaman değiştirmeyecek şekilde yapılandırılmış hesapları bulup düzeltmeniz gerekiyor.
• Eski Şifreleri Olan Yöneticiler - Alan adı yöneticileri gibi ayrıcalıklı hesaplar, şifrelerini sık sık değiştirdiklerinden emin olmak için incelenmelidir.

Nasıl Yapılır Adımları:

AD Pro Araç Kitini kullanarak Raporlar -> Kullanıcılar'a tıklayın. Parola Durumu bölümüne gidin ve çalıştırılacak raporlardan birini seçin.

Eski Şifrelere Sahip Yöneticiler raporu, Raporlar -> Güvenlik altında bulunur

7. Boş Active Directory Gruplarını Bulun

Kaç kez grup oluşturdunuz ve onu hiç kullanmadınız? Veya test amacıyla bir grup oluşturdunuz ancak test tamamlandığında onu hiçbir zaman kaldırmadınız. Bu çok sık oluyor. Active Directory'de çalışan birden fazla yöneticiniz olduğunda, çok sayıda kullanılmayan ve boş grupla karşılaşabilirsiniz.

Alan adınızdaki boş grupları incelemeli, gerekmiyorsa kaldırmalısınız.

Uyarı: Varsayılan olarak üyesi olmayan birçok yerleşik grup vardır, varsayılan grupları silmeyin.

Nasıl Yapılır Adımları:

AD Temizleme Aracını kullanarak Filtreler'e tıklayın, ardından Grupları ve Üyesi Olmayan Grupları Göster'i seçin.

Yukarıda birkaç boş grubum olduğunu görebilirsiniz.

Yapmayı sevdiğim şey bu listeyi dışa aktarmak ve incelemesi için ekibime e-postayla göndermek. Belki başka bir yönetici bunlardan birini kullanıyordur ve bunları silmeden önce kontrol etmek iyi bir fikirdir.

Bana sık sık etkin olmayan grupları nasıl bulacağım soruluyor. Bunun benim bildiğim kolay bir çözümü yok. Ağınızı (klasörler, uygulamalar, sistemler) taramanız ve bir grubun kullanılıp kullanılmadığını kontrol etmeniz gerekecektir. Bu yazı için bir çözüm biliyorsanız aşağıya bir yorum yapın.

8. Envanter Grupları ve Organizasyon Birimleri

Grupları ve organizasyon birimlerini temizlemek kolay değildir. Bu, özellikle binlerce kullanıcıya ve etki alanı nesnesine sahip büyük kuruluşlar için geçerlidir.

Grupları ve kuruluş birimlerini kaldırma tavşan deliğine inmeden önce, hangi nesnelere sahip olduğunuza dair bazı raporlar çalıştırmanızı öneririm. Bu raporları dışa aktarabilir ve ardından diğer ekip üyeleriyle birlikte inceleyebilirsiniz.

Yararlı bulduğum bir rapor, tüm kuruluş birimlerini ve nesne sayısını listelemektir. Çoğu zaman içinde 0 nesne bulunan birçok kuruluş birimi buluyorum. Bunlar silebileceğiniz bazı kuruluş birimleri olabilir.

Nasıl Yapılır Adımları:

Raporlar -> OU'lara tıklayın ve Tüm OU'lar ve nesne sayısı raporunu çalıştırın.

Yukarıda gördüğünüz gibi, içinde hiçbir nesne olmayan birkaç kuruluş birimim var. Bunları test etmek için oluşturdum ve şu anda kullanılmıyorlar.

9. Active Directory Temizlemeyi Otomatikleştirin

Her 30 günde bir Active Directory Temizleme işlemini çalıştırmanızı öneririm. Tüm temizleme adımlarını manuel olarak gerçekleştirebilirsiniz ancak bunu otomatikleştirmek çok daha verimli olacaktır, ayrıca size çok zaman kazandıracaktır.

Şu anda araç seti, otomatikleştirilebilen ve belirli bir programa göre size e-postayla gönderilebilen çeşitli raporlar içermektedir. Bir alternatif, bir PowerShell betiği oluşturmak ve bunu bir zamanlamaya göre çalıştırmak için görev zamanlayıcıyı kullanmaktır.

10. Active Directory Hesap Değişikliklerini Bildirin

Gerçek hikaye.

Yıllar önce eski kullanıcı ve bilgisayar hesaplarını ilk silmeye başladığımda bunu kimseyle paylaşmadım. Hesapları devre dışı bıraktıktan kısa bir süre sonra yardım masası arayıp "bu kullanıcı giriş yapamıyor" diyordu, şifresini sıfırladım ancak kullanıcı hala giriş yapamıyor. Ah! Evet, o hesabı devre dışı bıraktım, kullanıldığını düşünmedim. Hesabı devre dışı bıraktığım için yardım masası bu sorunu gidermek için çok zaman harcadı.

Bilgisayar hesaplarında da aynı sorun var. Yardım masası arar ve kullanıcının giriş yapamadığını söyler. Bilgisayarda sorun gidermek için saatler harcadım ama şansım olmadı. Hmm… ah evet bilgisayarlarını devre dışı bıraktım.

AD hesaplarını devre dışı bıraktığınızda, listeyi Excel'e aktarmanızı ve tüm sistem yöneticilerinize, BT teknisyeninize ve yardım masasına e-posta ile göndermenizi öneririm. Bu şekilde, devre dışı bıraktığınız hesapların farkında olurlar ve sorun gidermeye saatler harcamazlar.

Nasıl Yapılır Adımları:

AD Pro Toolkit ile dışa aktarma düğmesine tıklayarak herhangi bir raporu kolayca dışa aktarabilirsiniz.

İşte karşınızda, Active Directory temizliği için en iyi uygulamalar listem. Umarım bu makaleyi faydalı bulmuşsunuzdur, yorumlarınızı veya sorularınızı aşağıya gönderin.

Active Directory'nizi Temizleme ve Güvenliğini Sağlama

AD Pro Temizleme Aracı ile

İlgili İçerik:

• Grup İlkesi Temizleme Kılavuzu
• Sahip Olunması Gereken 14 Active Directory Yönetim Aracı