Active Directory Yetkilendirmesine Genel Bakış
Active Directory (AD) izinlerini anlamak siber güvenlik, uyumluluk ve iş sürekliliği açısından hayati öneme sahiptir. Bu blogda, Active Directory izinlerinin bir alanda nasıl uygulandığını ve bunların yerel olarak nasıl görüntüleneceğini üst düzeyde ele alacağız.
Active Directory izinlerini uygulamanın en yaygın yolu Active Directory Kullanıcıları ve Bilgisayarları (ADUC) aracıdır. ADUC'ta izinleri uygulamanın iki yolu vardır:
- Yetki verme sihirbazını kullanma
- Bir nesneye gitme ve izinleri doğrudan nesneye veya onun alt öğelerine uygulama
Bu blog yazısı bu seçeneklerin her ikisini de kapsayacaktır. Daha deneyimli yöneticiler veya komut dosyası oluşturma konusunda bilgi sahibi olanlar, devredilen izinleri PowerShell ile uygulamayı ve incelemeyi seçebilir, ancak bu blogda bunu ele almayacağız.
Active Directory Yetkilendirme Sihirbazı
Active Directory Yetki Sihirbazı, bir kullanıcıya veya gruba belirli bir görevi gerçekleştirme izinleri vermek için kullanılan, kullanımı kolay bir kullanıcı arayüzüdür. 'Yardım Masası' grubunun belirli bir kuruluş birimindeki tüm kullanıcılar için şifre sıfırlama hizmeti sunmasını etkinleştirmesi gereken bir yönetici olarak atacağımız adımları inceleyelim.
1. Bir kuruluş birimine veya kapsayıcıya sağ tıklayıp 'Kontrol Yetki Ver…'i seçerek sihirbazı başlatın.
Active Directory Denetim Yetkisi sihirbazı açılacaktır:
2. Sihirbazın ilk adımı, izin vermek istediğimiz kullanıcıları veya grupları seçmektir:
3. Next ile bu nesnelerin hangi görevleri gerçekleştirebilmesi gerektiğini belirtiriz. Ortak görevler listesinden seçim yapabilir veya onlara gerçekleştirmeleri için erişim yetkisi vermek üzere özel bir görev oluşturabiliriz. Bu örnekte, bahsettiğimiz senaryoya sadık kalarak kullanıcıların şifrelerini sıfırlayacağız.
4. Son olarak Bitir:'i tıklayarak seçiminizi onaylamanız gerekir.
Gördüğünüz gibi, 'Yardım Masası' grubuna, 'SB Test Alanı' kuruluş biriminin tüm alt kullanıcılarına 'Kullanıcı şifrelerini sıfırlama ve bir sonraki oturum açmada şifre değişikliğini zorunlu kılma' hakkını verdik.
Güvenlik Sekmesi
İzinleri İnceleme
Yetki verme sihirbazında belirttiğimiz izinlerin doğru şekilde uygulandığını doğrulamak için 'SB Test Alanı' OU'sunun Güvenlik sekmesini kontrol edeceğiz.
1. Bir nesnedeki Güvenlik sekmesini görüntülemek için, Görünüm açılır menüsünden 'Gelişmiş Özellikler'i seçerek ADUC'ta Gelişmiş Özellikleri etkinleştirmeniz gerekir:
2. Daha sonra SB Test Alanı OU'suna sağ tıklayın ve 'Özellikler'i seçin; ardından Güvenlik sekmesine gidin:
3. Bu sekme bize Erişim Kontrol Girişlerini (ACE'ler) içeren SB Test Alanı nesnesi için Erişim Kontrol Listesini (ACL) gösterir. SB Test Alanı OU ACL'ye uygulanan grupları ve kullanıcı hesaplarını incelersek eklediğimiz Yardım Masası grubunu bulabiliriz:
4. Bu hesaba 'Özel İzinler' verildiğini görüyoruz, dolayısıyla uyguladığımız güvenlik izinlerini görüntülemek için Gelişmiş'e tıklamamız gerekecek. Aşağıdaki ekran görüntüsünde 'Yardım Masası' sorumlusunun ACE'sinin, SB Test Alanı OU'sunun 'Alt Kullanıcı nesneleri' üzerinde 'Parolayı Sıfırla' izinleri verdiğini görebiliriz.
5. Tıklamastyle="color: #54585c;">Düzenle burada SB Test Alanı kuruluş birimindeki Yardım Masası sorumlusunun ACE'sini inceleyelim.
Yukarıda, SB Test Alanı OU'sunda Yardım Masası hesabına verdiğimiz iznin yalnızca 'Şifreyi sıfırla' olduğunu görebiliyoruz.
İzinleri Doğrudan Uygulama
Artık yetki verme sihirbazını kullanarak izinlerin nasıl uygulanacağını gördüğümüze göre, izinleri doğrudan Güvenlik sekmesinden nasıl uygulayabileceğimizi ele alalım.
Hesabıma belirli bir kuruluş birimindeki grupların üyelerini değiştirme hakkını vermek istediğimizi varsayalım.
1. İstediğiniz OU'ya (KevinJSandbox) sağ tıklayıp Özellikler'e gidip Güvenlik sekmesini açıyoruz:
2. Aşağı kaydırıp hesap adımız Kevin Joyce'u seçiyoruz:
3. Sonra 'Ekle…'ye tıklıyoruz. Gördüğünüz gibi, bu, hesabıma KevinJSandbox OU'ya 'Okuma' erişim hakları verdi, ancak bu arayüzden grup değişikliklerine ayrıntılı olarak izin vermenin bir yolu yok. Bunu yapmak için 'Gelişmiş'i tıklamamız gerekecek. Ardından, az önce erişim izni verdiğimiz nesne için ACE'de 'Düzenle'yi tıklıyoruz:
4. Kullanıcı hesabımı eklediğimde oluşturulan varsayılan ACE'yi görebiliriz; yalnızca KevinJSandbox nesnesindeki içeriklerin listelenmesine, tüm özelliklerin okunmasına ve izinlerin okunmasına olanak tanır. Bunu, KevinJSandbox OU'daki alt grupların üyeliğini de değiştirmemize izin verecek şekilde değiştireceğiz. Bunu yapmak için öncelikle 'Aşağıdakilere Uygulanır' açılır menüsünden 'azalan grup nesneleri'ni seçmek isteyeceğiz:
Uygulanmasına izin verilen izinlerin listesi, Şuna Uygulanır alanında seçilen nesnelere göre değişir:
5. Yukarıdaki listeden de görebileceğiniz gibi İzinler girişlerinde ‘Grup üyeliğini değiştirme’ izni bulunmuyor. Yöneticiye yalnızca bir grubun grup üyelerini değiştirme yeteneğini vermek için, aşağıdaki ekran görüntüsünde gösterildiği gibi aşağı kaydırmalı ve 'Üyeleri Yaz' özelliğini seçmeliyiz:
Çözüm
Gördüğünüz gibi Active Directory izinlerini anlamak, uygulamak, analiz etmek ve silmek çok karmaşık olabilir. Ancak izin yönetimi ve denetimi konusunda size yardımcı olabilecek araçlar vardır. Özellikle Netwrix Active Directory Güvenlik Çözümünü mutlaka inceleyin.
SSS
Active Directory yetkisi nedir?
Yönetici haklarını devretmek, kullanıcılara, Etki Alanı Yöneticileri ve Hesap Operatörleri gibi yüksek ayrıcalıklı gruplara atamadan, yükseltilmiş izinler gerektiren görevleri gerçekleştirme izinleri vermenizi sağlar.
Active Directory'de yönetici ayrıcalıkları nasıl devredilir?
Active Directory izinlerini devretmek için, Active Directory Kullanıcıları ve Bilgisayarları konsolunu açın ve bir kuruluş birimine (OU) veya kapsayıcıya sağ tıklayıp 'Kontrol Yetki Ver…'i seçerek AD Yetkilendirme sihirbazını başlatın.
Active Directory'de yetkilendirmeyi nasıl kontrol ederim?
Kullanıcılar ve Bilgisayarlar konsolunda Görünüm menüsüne gidin ve 'Gelişmiş Özellikler'in işaretlendiğinden emin olun. Daha sonra bir kuruluş birimine sağ tıklayın, Özellikler'i seçin ve devredilen izinleri görüntülemek için Güvenlik sekmesine gidin.