Etki Alanı Denetleyicisini dağıtma ve kurma — En İyi Uygulamalar
BT yöneticileri, teknolojinin Windows 2000 Server'da kullanılmaya başlanmasından bu yana Active Directory ile ve çevresinde çalışıyorlar. Windows 2000 Server, 17 Şubat 2000'de piyasaya sürüldü, ancak birçok yönetici, 15 Aralık 1999'da üretime (RTM) piyasaya sürüldüğünde 1999'un sonlarında Active Directory ile çalışmaya başladı.
DC'leri dağıtırken uymanız gereken bazı iyi uygulamalar vardır. Bu uygulamaların çoğu belgelenmiştir. Ancak pek çok kuruluş bu uygulamaları hayata geçirmiyor.
Etki Alanı Denetleyicisi nasıl dağıtılır ve kurulur
Active Directory veritabanını tek bir disk mili setinde, günlük dosyalarını ayrı disk millerinde ve işletim sistemini kendi disk milleri setinde tutmak gibi iyi bilinen iyi uygulamaları atlayacağız.
Etki alanı denetleyicileri için daha az uygulanan iyi uygulamalardan bazıları şunlardır:
İşletim sisteminin Sunucu Çekirdeği kurulumunu çalıştırın.
Birçok yönetici, özellikle AD DS gibi son derece kararlı sistemler için değişiklikten kaçınır. Dolayısıyla, yeni bir yönetici Sunucu Çekirdeği kurulumuna geçmeyi önerdiğinde, genellikle buz gibi bakışlarla karşılanır. Ancak gerçek şu ki çoğu yönetici, istemci veya yönetim bilgisayarında ADUC veya PowerShell'i başlatarak AD DS'yi uzaktan yönetir. Active Directory Yönetim Merkezi (ADAC) ve Windows PowerShell dahil olmak üzere tüm temel yönetim araçları, bir DC'de yerel olarak veya bir istemci bilgisayardan veya yönetim bilgisayarından uzaktan kullanıldığında neredeyse aynı şekilde çalışır. Böylece Sunucu Çekirdeği kurulumuna geçildiğinde yönetim deneyimi bozulmaz. Ayrıca güvenlik geliştirmeleri ve bazı küçük performans geliştirmeleri elde edersiniz.
Diğer yazılımları veya hizmetleri DC'de çalıştırmayın.
Eski günlerde, tıpkı 10 yıl önce olduğu gibi, sanallaştırma henüz emekleme aşamasında olduğundan çoğu kuruluş fiziksel sunucular kullanıyordu. Bu nedenle, yeni bir dosya sunucusu, DHCP sunucusu veya yazdırma sunucusu hazırlamanın zamanı geldiğinde, yöneticiler genellikle yalnızca mevcut bir sunucuya dokundu. Bir DC de sıklıkla kullanıldı. Sanallaştırmanın fiili standart haline geldiği ve otomatik provizyonun dakikalar içinde yeni bir VM sunmaya yardımcı olduğu ve işleri yapmanın eski yönteminin o kadar da zorlayıcı olmadığı 2015'e hızla ilerleyin. Artık bir dosya sunucusu, DHCP sunucusu, yazdırma sunucusu veya başka bir uygulama sunucusu için bir yere ihtiyacınız olduğunda yeni bir VM hazırlayabilirsiniz. Veya daha da iyisi, yeni bir VM'yi yardımcı program sunucusu olarak sağlayabilirsiniz. Yardımcı sunucu, özel bir sunucuyu garanti edemeyecek kadar küçük olan tüm uygulamaları ve hizmetleri barındıran bir sunucudur. Bu, DC'lerinizin daha fazla kararlılık sağlayan özel bir hizmete bağlı kalmasını sağlar.
Başlatma sırasını ayarlayın ve bir BIOS şifresi belirleyin.
Tüm okuma-yazma DC'lerinizin güvenli bir veri merkezinde olması gerekirken, veri merkezine erişimi olan çok sayıda BT ve BT dışı kişi vardır. Örneğin soğutma sistemi üzerinde çalışan anlaşmalı elektrikçilerin veri merkezi erişimi bulunmaktadır. Ayrıca, veri merkezi erişimine sahip ağ görevlileri, kablolama görevlileri ve BT yönetimi görevlileri de vardır. Bir DC'ye fiziksel erişimi olan herkes, veri merkezindeki bir konsolda yalnızca birkaç dakika içinde fiziksel bir DC'ye erişim sağlayabilir. Diskin şifrelenmemiş olduğunu varsayarak, parolaları başlatmak ve sıfırlamak, kötü amaçlı yazılım yüklemek veya disk verilerine erişim sağlamak için kullanabileceğiniz özel ücretsiz önyükleme görüntüleri mevcuttur. Bunu önlemek için aşağıdaki yapılandırmaları gerçekleştirin:
- Tüm çıkarılabilir medyaların BIOS önyükleme sırasının parçası olmadığından emin olun. Bunun yerine, yalnızca işletim sisteminin kurulu olduğu sabit disk, önyükleme sırasının parçası olmalıdır. Bu, sanal DC'leriniz varsa, sanallaştırma ana bilgisayar sunucularınız için de geçerlidir.
- Güçlü bir BIOS şifresi belirleyin. Bir BIOS parolası ayarlamazsanız, birisi önyükleme sırasını güncelleyebilir, Windows Server kurulum ortamına veya birçok ücretsiz araç setine önyükleme yapabilir, komut istemine ulaşmak için onarım gerçekleştirebilir. Komut istemine ulaştıklarında ortalığı kasıp kavurabilirler ve etki alanı hesaplarının parolalarını hızla sıfırlayabilirler.
- DC'leri kilitli bir dolapta saklayın. BIOS parolası bir güvenlik katmanı olsa da, saldırgan yarı yetenekliyse, yapılandırmanın sıfırlanması ve parolanın kaldırılması için BIOS'u nasıl sıfırlayacağını büyük olasılıkla bilecektir. Çoğu zaman bu, anakarta erişmeyi gerektirir. DC'leri kilitli bir dolapta tutarak bu tür bir saldırı riskini azaltabilirsiniz. Bazı sunucular kasa kilitlerine de izin verir. Yüksek güvenlikli ortamlarda her ikisini de tercih etmelisiniz.
Tüm etki alanı denetleyicilerinin yapılandırmasını standartlaştırın.
Her DC için yapılandırma ayarlarını eşleştirmeye çalışmalısınız. System Center Configuration Manager gibi dağıtım araçları aracılığıyla yapı otomasyonunu kullanarak bunların bir kısmını gerçekleştirebilirsiniz. DC'lerin ilgisini çeken öğeler, denetim ve güvenlikle ilgili bilgileri yakalamak için büyük boyutlara sahip olmanızı sağlayan olay günlüğü boyutu ayarları, fiziksel sunucularda işletim sistemi seçimini bekleyen zaman aşımı gibi önyükleme ayarları, ürün yazılımı ve BIOS sürümleri ve ayarları ve donanım yapılandırmasıdır. . Elbette Grup İlkesi kullanılarak standartlaştırılacak birçok başka yapılandırma öğesi vardır. Birincil amaç DC'leri aynı şekilde yapılandırmaktır.
Active Directory'nin temelleri hakkında daha fazla bilgiyi yeni başlayanlar için AD eğitimimizde bulacaksınız.