Active Directory İzin Yetkisi En İyi Uygulamaları
Active Directory (AD) Yetkisi Nedir?
Active Directory'de kontrolü devretmek güvenlik ve uyumluluk açısından önemlidir. Microsoft Yönetim Konsolu'ndaki (MMC) Denetim Yetkisi Sihirbazı, Etki Alanı Yöneticileri ve Hesap Operatörleri gibi ayrıcalıklı gruplara eklenmeden kullanıcılara üst düzey görevleri gerçekleştirme yetkisi vermenin basit bir yolunu sağlar. Bir delegasyon modeli oluşturmak, kullanılabilirlik ile ayrım arasında dengeyi sağlamak için açık ve sınırlı roller tanımlamayı içerir.
Active Directory Yetkilendirme Modeli Nasıl Geliştirilir?
1. Adım: Rolleri ve Sorumlulukları Oluşturun
Bir dizi yönetici rolü oluşturarak ve bunlara uygun görevler atayarak başlayın. Etkili delegasyon kontrolü için rol sayısını mümkün olduğunca düşük tutmak önemlidir. Çok fazla rol artan karmaşıklığa ve yönetim zorluklarına yol açabileceğinden, doğru dengeyi yakalamak zor olabilir, ancak çok az rol yeterli rol ayrımı sağlayamayabilir. Rolleri atarken uyulması gereken bazı yönergeler aşağıda verilmiştir:
Hizmet yöneticileri:
Kurumsal Yöneticiler: Kuruluş genelinde genel hizmet yönetiminden sorumludur. Grubun daimi üyesi olmamalıdır.
Alan Yöneticileri: Alan genelinde üst düzey hizmet yönetiminden sorumludur. Bu grubun yalnızca birkaç güvenilir yöneticisinin parçası olması gerekir.
4. Kademe Yöneticiler: Alan genelinde hizmet yönetiminden sorumludur. Bu yöneticilere yalnızca gerekli hizmetleri ve özellikleri yönetmek için gerekli erişim hakları verilir. Veri yöneticileri için yükseltme noktası görevi görürler.
Veri yöneticileri:
1. Kademe Yöneticiler: Şifre sıfırlamalar ve kullanıcı hesabı özellikleri gibi dizin nesnelerini yönetmekten sorumludur.
2. Kademe Yöneticiler: Kuruluşları veya konumları için kullanıcı ve bilgisayar hesaplarını seçerek oluşturmaktan ve silmekten sorumludur.
Bölgesel Yöneticiler: Yerel kuruluş birimi yapısını yönetmekten sorumludur ve kuruluş birimleri içinde çoğu nesneyi oluşturma iznine sahiptir.
3. Kademe Yöneticiler: Tüm veri yöneticilerini yönetmekten sorumludur ve tüm bölgesel yöneticiler için üst düzey yardım masası ve iletme noktası olarak hizmet eder.
Adım 2: Görevleri Delege Edin
Her rolün neyi yapabileceğini ve neyi yapamayacağını belirlemeye yardımcı olacak bir dizi kullanım senaryosu oluşturun. Kapsamlı bir şekilde hazırlanmış kullanım senaryoları, kuruluşunuzdaki paydaşlara yönelik sorumlulukların netleştirilmesine yardımcı olacak ve uygun görev dağılımını garanti edecektir. Görevleri tanımlarken bunları sıklık, önem ve karmaşıklığa göre sıralayın.
Active Directory kapsayıcı ACL'leri hangi nesnelerin oluşturulabileceğini ve bu nesnelerin nasıl yönetileceğini belirler. İzinlerin delegasyonu, bir nesneyi görüntülemek, belirli bir sınıfın alt nesnesini oluşturmak veya belirli bir sınıftaki nesnelere ilişkin öznitelik ve güvenlik bilgilerini okumak gibi temel nesne işlemleriyle ilgilidir. Bu temel işlemlerin yanı sıra Active Directory, Farklı Gönder ve Çoğaltma Topolojisini Yönetme gibi işlevleri güçlendiren Genişletilmiş Haklar belirler.
Her rolün beklendiği gibi performans göstermesini sağlamak için test prosedürlerini kolaylaştırın.
3. Adım: Bir YB Güvenlik Modeli Oluşturun
Rolleri ve sorumlulukları belirledikten sonra bir OU ve güvenlik grubu modeli oluşturmak önemlidir. Başlangıçta, tüm nesneleri içerecek şekilde etki alanının altında üst düzey bir kuruluş birimi (veya kuruluş birimi kümesi) oluşturulmalıdır. Bu üst düzey kuruluş birimi, 4. Kademe Yöneticiler için gelişmiş yönetim kapsamını tanımlar. Sonuç olarak, dizin hizmetine ilişkin hakları etki alanı düzeyinden ziyade kuruluş birimi düzeyinde vermek mümkündür.
Daha sonra, ayrı verileri yöneten her bölge veya iş birimi için üst düzey kuruluş birimlerinin altında ayrı alt kuruluş birimi hiyerarşileri oluşturmak zorunludur. Her bölgesel alt kuruluş birimi, dizin nesnesi yönetimi amacıyla aynı, genişletilemez bir hiyerarşiye sahip olmalıdır.
Son olarak, yöneticilerin ayrıcalıklarını kötüye kullanmasını önlemek için, her bir alt kuruluş birimi hiyerarşisi için 1. Kademe Yöneticiler, 2. Kademe Yöneticiler ve Bölgesel Yöneticiler grubu gibi ayrı alt yönetici grupları oluşturulmalıdır. Uygun hesaplar uygun gruba yerleştirilmelidir. Bu hesapları kuruluş birimine göre ayırarak yönetim, herhangi bir ayrıcalık yükseltme girişiminden kaçınarak kendi seviyelerine veya daha aşağısına sınırlandırılabilir.
4. Adım: “En Az Ayrıcalıklı” Erişimi Zorunlu Hale Getirin
Başarılı bir delegasyon modeli sağlamak için kullanıcıların ve hizmet hesaplarının yalnızca rolleri için gerekli görevleri gerçekleştirmelerine izin verilmesini sağlayan en az ayrıcalık ilkesine uymak önemlidir. Temel olarak yöneticiler normal kullanıcılar olarak oturum açmalı ve ayrıcalıklı haklarını yalnızca gerektiğinde kullanmalıdır.
Kullanıcıların sürekli olarak oturum açıp kapatmasına gerek kalmadan bunu başarmak için İkincil Oturum Açma hizmeti (Runas.exe) kullanılabilir. Alternatif kimlik bilgileri sağlayarak bu hizmet, kullanıcıların sunucularda ve iş istasyonlarında komut dosyalarını veya yürütülebilir dosyaları çalıştırırken ayrıcalıklarını yükseltmelerine olanak tanır.
Active Directory İzin Yetkisi En İyi Uygulamaları
Aşağıda Active Directory izinlerini devretmeye yönelik en iyi uygulamalar listemiz bulunmaktadır.
- İyi bir kuruluş birimi tasarımı kullanın: Kuruluş Birimi (OU) tasarımı, AD yetkilendirmesinde çok önemli bir rol oynar. İyi yapılandırılmış bir kuruluş birimi tasarımı, daha ayrıntılı yetkilendirmeye olanak tanıyarak, belirli idari görevlerin atanan yöneticilere atanmasını kolaylaştırır. Açık bir hiyerarşi sağlar ve izinlerin yönetimini ve bakımını basitleştirir.
- Yerleşik grupları kullanmayın: Yetki verme amacıyla Etki Alanı Yöneticileri veya Kurumsal Yöneticiler gibi yerleşik grupları kullanmaktan kaçının. Bu grupların, kötüye kullanılması durumunda önemli bir güvenlik riski oluşturabilecek geniş ve güçlü izinleri vardır. Bunun yerine, yeni gruplar oluşturun ve onlara en az ayrıcalık ilkesine göre gerekli izinleri atayın.
- Yuvalanmış kuruluş birimlerini kullanın: İç içe geçmiş kuruluş birimlerinin kullanılması daha esnek ve ölçeklenebilir bir yetkilendirme modeline olanak tanır. İnce taneli bir kontrol mekanizması sağlayarak yöneticilerin AD yapısının farklı düzeylerinde kontrolü devretmelerine olanak tanır. İç içe geçmiş kuruluş birimleri aynı zamanda kaynakların daha verimli bir şekilde organize edilmesine ve yönetilmesine de yardımcı olur.
- Kontrolü Kullanıcılara Değil Gruplara Devredin: Kontrolü bireysel kullanıcılar yerine gruplara devretmek, yönetimi basitleştirir ve ölçeklenebilirliği artırır. Gruplara izinler atayarak, özellikle personel veya iş rollerinde değişiklik olduğunda üyelik ve erişim haklarını yönetmek daha kolay hale gelir.
- Yıllık Yetki kontrolü denetimleri gerçekleştirin: Yetki denetiminin yıllık denetimleri, atanan izinlerin hala geçerli olduğundan ve kuruluşun gereksinimlerine uygun olduğundan emin olunmasına yardımcı olur. Aşırı izinlerin, güncel olmayan yetkilendirmelerin veya potansiyel güvenlik risklerinin belirlenmesine yardımcı olur. Düzenli denetimler güvenliği artırır ve en az ayrıcalık ilkesini korur.
- Ayrıcalıklı erişime ilişkin düzenli denetimler gerçekleştirin: Ayrıcalıklı erişimin denetlenmesi, ayrıcalıklı hesaplara verilen yetkisiz veya aşırı izinlerin tespit edilmesine ve azaltılmasına yardımcı olur. Ayrıcalıklı erişimin düzenli denetimleri, güvenlik açıklarını belirleyebilir ve yönetici ayrıcalıklarının iş ihtiyaçlarına göre atanmasını ve en iyi güvenlik uygulamalarına bağlı kalınmasını sağlayabilir.
- AD ortamınızı şüpheli etkinlik açısından denetleyin: AD ortamındaki şüpheli etkinliği izlemek ve tespit etmek için denetim mekanizmaları uygulamak güvenlik açısından çok önemlidir. Denetim, olası güvenlik ihlallerini gösterebilecek değişiklikleri, erişim girişimlerini ve diğer olayları izlemenize olanak tanır. Şüpheli etkinliklerin zamanında tespit edilmesi ve araştırılması, risklerin azaltılmasına ve daha fazla riskin önlenmesine yardımcı olabilir.
- PoLP modelini kullanın: En Az Ayrıcalık İlkesi (PoLP), erişim haklarını kullanıcıların veya yöneticilerin görevlerini yerine getirmeleri için gereken minimum düzeyde sınırlar. PoLP modelinin AD yetkilendirmesinde uygulanması, yetkisiz erişim riskinin azaltılmasına, içeriden gelen tehditlerden kaynaklanan potansiyel hasarın en aza indirilmesine ve genel olarak daha güvenli bir ortamın korunmasına yardımcı olur.
- RBAC kullanın: Rol Tabanlı Erişim Denetimi (RBAC), belirli rolleri veya iş işlevlerini önceden tanımlanmış izin kümeleriyle ilişkilendirerek izin yönetimini basitleştirir ve standartlaştırır. RBAC, kullanıcıların yalnızca ilgili rolleri için gereken izinlere sahip olmasını sağlayarak, saldırı yüzeyini azaltarak ve en az ayrıcalığı uygulayarak güvenliği artırır.
- Yetki izinlerini Yedekleme ve Geri Yükleme: Yetki izinlerinin düzenli olarak yedeklenmesi, izinlerin yanlışlıkla kaldırılması veya kaybolması durumunda hızlı kurtarmaya olanak tanır. Bu uygulama, atanmış yöneticilerin görevlerine kesintisiz olarak devam edebilmelerini sağlar ve olası veri kaybı veya yetkisiz erişim riskini en aza indirir.
Active Directory'de Yönetici Ayrıcalıkları Nasıl Delege Edilir?
Denetim Yetkisi Sihirbazı, Active Directory'de izin verme sürecini basitleştirir. Bir grubun AD etki alanınızın Tüm Kullanıcılar kuruluş biriminde kullanıcı hesapları oluşturmasına, yönetmesine ve silmesine izin vermek için şu adımları izleyin:
- Active Directory Kullanıcılar ve Bilgisayarlar konsolunu başlatın.
- Tüm Kullanıcılar kuruluş birimini sağ tıklayın ve Kontrol Yetki Ver'i seçin. Daha sonra İleri butonuna tıklayın.
- Sihirbazın Kullanıcılar veya Gruplar sayfasında Ekle düğmesine basın.
- Grubun adını Kullanıcıları Seç, Bilgisayarlar veya Gruplar iletişim kutusuna girin. Adları Kontrol Et düğmesini tıklayarak adı doğrulayın ve ardından Tamam'a basın.
- Seçilen grubun adının Kullanıcılar veya Gruplar sayfasında mevcut olup olmadığını kontrol edin ve ardından İleri'yi tıklayın.
- Yetki Verilecek Görevler sayfasından kullanıcı hesaplarını Oluşturun, silin ve yönetin'i seçin ve ardından İleri'yi tıklayın.
- Sihirbazın son sayfasında ayrıntıları onaylayın ve Son düğmesine basın.
İzinlerin doğru şekilde eklendiğini doğrulamak için hedef kuruluş biriminin özelliklerinin Güvenlik sekmesini inceleyin.