Active Directory Grupları ve Kapsamları Türleri

Active Directory Gruplarının Amacı

Active Directory grupları, kullanıcılar, bilgisayarlar ve hatta diğer gruplar gibi Active Directory (AD) nesnelerinden oluşan kümelerdir. AD gruplarının kullanılması, BT yönetiminin basitleştirilmesine yardımcı olur ve hakların doğru şekilde devredilmesini ve bilgilerin dağıtılmasını sağlar. Active Directory'de birçok yerleşik grup bulunur ve kuruluşlar birçok ek grup oluşturur.

Örneğin, yeni bir çalışana, işini yapması için ihtiyaç duyduğu BT kaynaklarına, onu rolüne göre uygun AD gruplarının üyesi yaparak hızlı bir şekilde erişim izni verebilirsiniz. Bu kişi daha sonra rol değiştirirse, onu eski gruplarından çıkarabilir ve uygun yeni gruplara ekleyebilirsiniz.

Daha genel anlamda, doğru gruplara sahip olduğunuzdan ve her grubun doğru izinlere ve üyeliğe sahip olduğundan emin olursanız, güvenliği güçlendirmek ve mevzuata uygunluğu kanıtlamak için en az ayrıcalık ilkesini daha kolay uygulayabilirsiniz.

Active Directory Gruplarının Türleri

Bazı gruplar bilgisayardaki yerel Güvenlik Hesapları Yöneticisi (SAM) veritabanında oluşturulur. Bu yerel gruplar bu belgenin kapsamında değildir.

Bunun yerine tek bir makineyle sınırlı olmayan etki alanı gruplarına odaklanacağız. Active Directory'de iki tür etki alanı grubu vardır:

Dağıtım grupları (bazen dağıtım listeleri olarak da adlandırılır), Microsoft Exchange gibi bir mesajlaşma sağlayıcısı aracılığıyla) üye olan bir grup kullanıcıya e-posta göndermeyi kolaylaştırır. ilgili grup.
Güvenlik grupları, kullanıcılara paylaşılan kaynaklara ilişkin izinler vermek için kullanılır. Bir kullanıcıyı bir güvenlik grubunun üyesi yaparak, o güvenlik grubuna atanan tüm izinleri ona vermiş olursunuz. Örneğin, İnsan Kaynakları adında bir grup oluşturabilir ve bu gruba belirli klasörlerdeki tüm dosyaları okuma ve düzenleme izinlerinin yanı sıra belirli uygulamaları yürütme izni de verebilirsiniz. Bu gruba üye olan herhangi bir kullanıcı bu eylemleri gerçekleştirebilecektir.

Güvenlik gruplarının Exchange'de dağıtım grupları olarak da kullanılabileceğini unutmayın; bunlar güvenliğin etkin olduğu dağıtım grupları veya postanın etkin olduğu güvenlik grupları olarak bilinir. Ancak dağıtım grupları özellikle e-posta için kullanılmak üzere tasarlanmıştır ve izin vermek için kullanılamaz.

Grup Kapsamı

Active Directory'deki her grubun, içerebileceği nesne türlerini ve hangi grup türlerine üye olabileceğini belirleyen bir kapsamı vardır. Üç kapsam vardır:

Scope	Can contain	Can be a member of	Can be converted to
Universal	Users, global groups and universal groups from any domain in the forest, regardless of whether trusts have been established between domains	Domain local groups or other universal groups but NOT global groups	A global group, provided it doesn’t contain another universal group as a member A domain local group without any restrictions
Global	Users, computers,?global groups and domain local groups from the same domain (but NOT universal groups)	Global groups in the same domain Domain local groups or universal groups in any domain in the forest or any trusted domain	A universal group, provided it is not a member of another global group
Domain Local	Users, computers, global groups and universal groups from any domain, including domains outside the forest Domain local groups from the same domain only	Any domain local group in the same domain	A universal group, provided it has no domain local group as members

Evrensel Gruplar

Evrensel kapsama sahip gruplar, alanlar arasında grupları birleştirmek için kullanılır. Grupları birleştirmeye yönelik en iyi uygulamalar şunlardır:

Küresel kapsama sahip gruplara kullanıcı hesapları ekleyin
Daha sonra bu grupları evrensel kapsama sahip bir grubun altına yerleştirin

Bu, küresel gruplar içindeki üyelikler değişse bile evrensel kapsama sahip gruplarda herhangi bir değişiklik yapılmasını önler. Ayrıca, evrensel bir grup için her üyelik değişikliği orman çapında çoğaltmayı tetiklediğinden, genel gruplarda yapılan değişiklikler yalnızca etki alanı düzeyinde çoğaltmayı tetiklediğinden çoğaltmanın kontrol edilmesine yardımcı olur.

Örneğin, üyeleri Asya-Pazarlama ve ABD-Pazarlama olmak üzere iki küresel gruba sahip olan AllMarketing adında evrensel bir grubunuz olabilir. Bir pazarlama ekibi üyesi işe alınırsa veya ayrılırsa, yalnızca uygun global grubun üyeliğini değiştirmeniz ve böylece orman çapında çoğaltmayı önlemeniz gerekir.

Küresel Gruplar

Küresel gruplar aşağıdaki amaçlar için en iyisidir:

Benzer izinlere ihtiyaç duyan AD nesneleri — Genel gruplar genellikle tüm muhasebeciler gibi benzer iş sorumluluklarına sahip kullanıcılara (üyelere) aynı izinleri vermek için oluşturulur.
Günlük bakım gerektiren nesneleri yönetme — Genel gruplarda bu tür hesapların değiştirilmesi genel kataloğa kopyalanmadığından, genel gruplar aynı zamanda günlük bakım gerektiren kullanıcı ve bilgisayar hesaplarını yönetmek için de kullanılır.

Etki Alanı Yerel Grupları

Etki alanı yerel grupları, belirli bir yazıcı gibi etki alanına özgü kaynaklara yönelik izinleri yönetmek için en iyisidir. Örneğin, etki alanı yerel kapsamına sahip US-MarketingPrinter adında bir AD grubu oluşturabilir ve bu gruba Pazarlama ekibinin alanındaki yazıcıya erişim izni verebilirsiniz. Daha sonra buna birden fazla global grup ekleyebilirsiniz. Bu, söz konusu küresel grupların üyelerinin yazıcıya erişmesine olanak tanıyacaktır.

Yerleşik Active Directory Güvenlik Grupları

Windows sunucularında bir dizi Active Directory güvenlik grubu otomatik olarak oluşturulur. İşte bilmeniz gereken en önemlilerden bazıları:

Yöneticiler

Bu grup, tüm etki alanı denetleyicileri (DC'ler) üzerinde denetime sahiptir ve Etki Alanı Yöneticileri, Kurumsal Yöneticiler ve Şema Yöneticileri dahil diğer güçlü yerleşik grupların üyeliklerini değiştirebilir.

Yedekleme Operatörleri

Bu grubun üyeleri, etki alanı denetleyicileri de dahil olmak üzere bilgisayarlardaki dosyaların yedeklenmesinden ve geri yüklenmesinden öncelikli olarak sorumludur. Yedekleme Operatörleri sunucu ayarlarını değiştiremez veya dizin yapılandırmasını değiştiremez ancak DC'lerdeki işletim sistemi dosyaları gibi dosyaları değiştirme yeteneğine sahiptirler.

Uzak Masaüstü Kullanıcıları

Bu grup, bir RD oturumu ana bilgisayar sunucusunda uzak oturum başlatma haklarını sağlar.

Alan Adı Yöneticileri

Bu grup, etki alanının Yöneticiler grubunun bir üyesidir ve dolayısıyla bu grubun tüm yeteneklerini devralır. Varsayılan olarak, her etki alanı üyesi bilgisayarın yerel Yöneticiler grubuna da atanır ve Etki Alanı Yöneticilerine tüm etki alanı bilgisayarları üzerinde tam denetim sağlar.

Kurumsal Yöneticiler

Bu grup aynı zamanda Yöneticiler grubunun bir üyesidir. Tüm etki alanı denetleyicilerine tam erişime sahiptir, bir dizin yapılandırma bölümüne sahiptir ve etki alanı adlandırma bağlamı üzerinde denetime sahiptir.

Şema Yöneticileri

Bu grup Active Directory şemasını kontrol eder.

Bu yerleşik AD güvenlik grupları çok güçlü olduğundan, üyeliklerini sıkı bir şekilde sınırlamak ve yetkisiz değişikliklere karşı onları yakından izlemek hayati önem taşımaktadır.

Active Directory Grup Yönetimi için En İyi Uygulamalar

Gördüğümüz gibi Active Directory grupları kritik BT kaynaklarına ve bilgilerine erişim sağlar. Bu nedenle, bunların etkili bir şekilde yönetilmesi güvenlik açısından hayati öneme sahiptir. İşte benimsenmesi gereken yedi temel en iyi uygulama:

Hangi gruplara sahip olduğunuzu bilin.
Standartları kullanın.
Grup sahipliği oluşturun.
Gruplardaki değişiklikleri kontrol edin.
Grup sahipleri tarafından düzenli olarak onay alınmasını zorunlu kılın.
Grup yönetimi görevlerini otomatikleştirin.
Artık ihtiyaç duyulmayan grupları silin.

#1: Hangi gruplara sahip olduğunuzu bilin.

Active Directory gruplarınızı yönetmenin ilk adımı doğru bir envanter elde etmektir. Aşağıdaki özelliklere sahip grupları işaretlediğinizden emin olun:

Üye yok
Sahibi yok
Yakın zamanda değişiklik yok
Kopya gibi görünüyor (isim veya üyelik yoluyla)
Diğer grupların içinde yuvalanmıştır

Bu bilgilerin toplanması ve manuel yöntemlerle, hatta PowerShell kullanılarak güncel tutulması yorucu ve hataya açıktır. İşi otomatikleştiren Netwrix GroupID gibi bir çözüme yatırım yapmayı düşünün.

#2: Standartları kullanın.

Muhtemelen şifreli adlara sahip birkaç grup keşfedeceksiniz ve bunların neden oluşturulduğunu ve hâlâ ihtiyaç duyulup duyulmadığını anlamak biraz çalışma gerektirebilir. Gelecekte bu sorunu önlemek için grupları adlandırma konusunda standartlar oluşturun. Ayrıca aşağıdakilere ilişkin standartlar oluşturun:

Grup kapsamı

Grup oluşturabilen veya değiştirebilen herkesin, kapsamın diğer gruplardaki çoğaltmayı, üyeleri ve üyeliği nasıl etkilediğini anladığından emin olun.

Grup türü

Güvenlik ve dağıtım grupları çok farklı amaçlara hizmet edecek şekilde tasarlanmıştır ancak işlevsellik açısından örtüşebilirler (posta özellikli güvenlik grubunda olduğu gibi). Grup türünü atayıp atayamayacağınız ve nasıl atayacağınız konusunda net olun.

Grup açıklaması ve notlar

Her grubun amacına ilişkin iyi bir tanımı ve notları olduğundan emin olun.

Nesne yerleştirme

Bir klasörün ne içerdiğini hızlı bir şekilde tanımlamanıza yardımcı olmak için bir dosya sistemindeki klasör yapılarını kullandığınız gibi, hem belgeleme hem de yetki verme amacıyla dizindeki kuruluş birimlerinden yararlanın.

Yuvalama kullanımı

Grup yerleştirmeyi doğru ve tutarlı bir şekilde kullanın.

#3: Grup sahipliğini oluşturun.

Grubun sahibi, grubun hangi izinlere sahip olması gerektiğini, kimlerin grubun üyesi olması gerektiğini ve gruba hâlâ ihtiyaç duyulup duyulmadığını belirleme konusunda en iyi konumda olan kişi olmalıdır. Çoğu durumda bu, BT ekibi değil, yönetici, bölüm başkanı veya proje lideri gibi bir iş kullanıcısıdır. İdeal olarak grupların birden fazla sahibi olmalıdır.

#4: Gruplardaki değişiklikleri kontrol edin.

Birçok kuruluşta kullanıcılar yalnızca bir yardım masası bildirimi göndererek kendilerini bir Active Directory grubuna ekleyebilirler. Çoğu zaman bu talepler "gerçekleşir" ve size çok az sorumluluk bırakır veya hiç sorumluluk bırakmaz. Sorumluluğu sağlamak için, en azından grup özelliklerinde, izinlerde, üyelikte ve gruplamada yapılan değişikliklerin yanı sıra grubun silinmesi de dahil olmak üzere gruplarda yapılan tüm değişiklikleri izlemelisiniz. Netwrix GroupID tüm değişiklikleri takip edebilir ve hatta kullanıcıların değişikliğin gerekçesi hakkında yorum eklemesini kolaylaştırır.

Daha da iyisi, hassas grupların yalnızca grup sahibi veya başka bir yetkili kişi tarafından onaylandıktan sonra değiştirilmesini sağlayacak bir iş akışı oluşturun.

Netwrix GroupID ile değişiklik yapılıp yapılmayacağını ve nasıl yapılacağını kontrol etmek için gruplarınızı kolayca kategorilere ayırabilirsiniz. Seçenekler şunları içerir:

Gizli — Kapalı üyelik
Yarı özel — Kullanıcılar grup sahiplerine katılma ve ayrılma istekleri gönderebilir
Herkese açık — Tüm kullanıcılara açıktır

#5: Grup sahiplerinin düzenli olarak onay vermesini zorunlu kılın.

Gruplarınız için değişiklik kontrolü uygulamış olsanız bile, grup sahiplerinin gerekli düzeltmeleri yapmak için grubun özelliklerini, üyeliğini ve izinlerini incelediği grup onayını periyodik olarak talep etmelisiniz.

Sahibi ayrıca grubun varlığının devam etmesi ihtiyacını da kanıtlamalıdır. Örneğin bir CRM uygulamasına erişim sağlamak için bir grup oluşturmuş olabilirsiniz. Bulut tabanlı bir CRM sistemine geçerseniz artık o gruba ihtiyacınız kalmaz, ancak düzenli bir inceleme süreci olmadan muhtemelen önümüzdeki yıllarda rehberinizde kalacaktır.

#6: Grup yönetimi görevlerini otomatikleştirin.

BT ve yardım masası ekiplerinin grupları ve grup üyeliğini manuel olarak yönetmesi gerektiğinde insan hataları kaçınılmaz olur ve bu da kuruluşunuzu artan güvenlik ihlalleri ve iş kesintileri riskiyle karşı karşıya bırakır. Bu riski azaltmak için grup oluşturma, üyelik değişikliklerine, onaylama ve sonunda silmeye kadar grupla ilgili süreçleri mümkün olduğunca otomatikleştirin.

#7: Artık ihtiyaç duyulmayan grupları silin.

Grup sahiplerinin, gruplarına hala ihtiyaç duyulduğunu veya silinebileceklerini düzenli olarak onaylamalarını zorunlu kılın. Bu en iyi uygulamayı manuel yöntemler kullanarak uygulayabilseniz de, daha iyi bir yaklaşım, her gruba bir son kullanma tarihi atamaktır, böylece onay süreciniz aracılığıyla doğrulanırsa otomatik olarak silinir. Netwrix GroupID bu işlemi kolaylaştırır.

Çözüm

Güvenlik ve dağıtım listeleri, BT kaynaklarına hızlı ve doğru bir şekilde erişim izni vermek ve bilgileri e-postayla dağıtmak için güçlü araçlardır. Bu makalede ayrıntıları verilen en iyi uygulamaları takip ederek ve Netwrix GroupID gibi bir yazılım çözümüne yatırım yaparak gruplarınızı verimli ve etkili bir şekilde yönetebilirsiniz.