Active Directory İzin Kılavuzu ve En İyi Uygulamalar
Active Directory (AD), bir Windows ağı içindeki kullanıcılar, cihazlar, gruplar ve güvenlik politikaları üzerinde kontrol sağlar. AD izinleri, yöneticilerin dosyalar, klasörler, yazıcılar, paylaşımlar ve hatta nesne grupları dahil olmak üzere çeşitli ağ kaynaklarına kimin erişebileceğini belirlemesine yardımcı olur. Bu makalede, Active Directory izinleri ayrıntılı olarak ele alınmakta ve bunların etkili bir şekilde nasıl ayarlanacağı, listeleneceği, inceleneceği ve kaldırılacağı açıklanmaktadır.
Active Directory İzinleri Nelerdir?
Active Directory, ağ bileşenlerinin ve bunların hiyerarşik ilişkilerinin merkezi bir veritabanıdır. Windows ortamlarında kullanıcı yönetiminin temeli olan AD, dosyalara, klasörlere ve uygulamalara kimlerin erişebileceğinin belirlenmesinde çok önemli bir rol oynar. Gelişmiş izin yönetimi özellikleri, yöneticilerin izinleri kolaylıkla atamasına, doğrulamasına ve iptal etmesine olanak tanır. Bu izinlerin nasıl çalıştığını anlamak etkili yönetim için çok önemlidir. Güvenlik grupları ve kuruluş birimleri, etkili izin yönetimini kolaylaştırmaya ve grup ilkesi nesnelerinin belirli kullanıcılara ve cihazlara hizalanmasına olanak sağlamaya yardımcı olabilir.
Active Directory İzinleri Nasıl Çalışır?
Windows'ta, kullanıcının Güvenlik Tanımlayıcısı (SID) ile nesnenin Erişim Kontrol Listesi (ACL) arasındaki karşılaştırmaya dayalı olarak bir nesneye erişim verilir veya reddedilir. ACL, o nesnedeki belirli kullanıcılar ve gruplar için izinleri tanımlar. Özellikle, reddetme izinleri önceliklidir ve sonraki girişleri geçersiz kılacak şekilde ACL'nin başında listelenir. Ayrıca, Windows ağlarındaki izinler genellikle üst nesnelerden alt nesnelere miras alınır ve açık izinler, devralınanlara göre önceliklidir. Ancak izinleri reddet, izin verme izinlerini geçersiz kılarak erişim hakları üzerinde ayrıntılı kontrol sağlar.
Active Directory İzinlerini Ayarlama ve Görüntüleme
Active Directory'deki izinleri kontrol etmek için, izinleri Active Directory Kullanıcıları ve Bilgisayarları aracılığıyla yönetmek üzere aşağıdaki adımları izleyin:
- İzinlerini değiştirmek istediğiniz nesneyi seçin.
- Seçilen nesneye sağ tıklayın ve "Özellikler"i seçin.
- “Güvenlik” sekmesine geçin.
- Belirli gruplara ve kullanıcılara atamak istediğiniz izinleri seçin.
Active Directory içindeki izinleri araştırmak için Active Directory Kullanıcıları ve Bilgisayarları'na gidin, istediğiniz nesneyi seçin, sağ tıklayın, Özellikler'i seçin ve Güvenlik sekmesine geçin. Bu sekme, çeşitli AD kullanıcılarına ve gruplarına verilen izin düzeylerini görüntüleyerek onların erişim ayrıcalıklarını değerlendirmenize olanak tanır. Aşağıda üç ana Active Directory İzin türü verilmiştir:
- Oku: Dosyaların ve özelliklerinin görüntülenmesine olanak tanır.
- Yaz: Dosyaların düzenlenmesine ve silinmesine izin verir.
- Tam Denetim: Ayarların değiştirilmesinin yanı sıra dosyaların görüntülenmesine, düzenlenmesine ve silinmesine olanak tanır.
AD'deki gelişmiş izinlere Güvenlik sekmesinin Gelişmiş ayarları aracılığıyla erişilebilir. Bu izinler, temel hakların ötesine geçer ve belirli görevler için bireysel seçenekler sunarak daha hassas bir kontrol düzeyi sunar. Yöneticiler, nesneleri silme, sahipliği değiştirme veya izinleri değiştirme gibi işlemler üzerinde ayrıntılı yetki kullanabilir.
Active Directory İzinlerine İlişkin En İyi Uygulamalar
Active Directory izinlerini etkili bir şekilde yönetmek, güvenli ve iyi organize edilmiş bir ortamı sürdürmek için çok önemlidir. Aşağıdaki en iyi uygulamalar, kuruluşların, kullanıcıların kaynaklara uygun düzeyde erişime sahip olmalarını ve düzenleyici gereksinimlerle uyumluluğu sürdürebilmelerini sağlamalarına yardımcı olacaktır.
1. Mümkün Olduğunda Grupları Kullanın: AD'de erişim haklarını etkili bir şekilde yönetmek için kullanıcılara doğrudan izin atamaktan kaçının. Bunun yerine kullanıcıları rollerine göre gruplandırın ve bu gruplara izinler verin. Her izin için özel güvenlik grupları oluşturun ve kontrol ettikleri kaynakları gösterecek şekilde bunları açıkça adlandırın. Bu izin gruplarına kullanıcı grupları ekleyerek grup üyeliklerinin ve erişilebilir kaynakların net bir şekilde kaydedilmesini sağlayın. AGDLP (hesap, global, etki alanı yerel, izin) olarak bilinen bu yaklaşım, verimliliği artırır ancak grup yapısına ve yöneticiler arasındaki adlandırma kurallarına tutarlı bir şekilde bağlı kalmayı gerektirir.
2. İzin Devralmayı Tutarlı Bir Şekilde Kullanın: Active Directory'de izin devralma, nesnelerin izinleri üst nesnelerinden devraldığı ve bunları alt nesnelerine aktardığı hiyerarşik bir şekilde akar. İzin devralmayı anlamak ve yönetmek AD yöneticileri için çok önemlidir. Etkin bir şekilde kullanıldığında, devralma, yöneticilerin iç içe geçmiş nesnelere ve klasörlere damlayan üst düzey kararlara odaklanmasına olanak tanıyarak izin yönetimini basitleştirir. Ancak miras, dosyalar yanlış konuma yerleştirilirse istenmeyen erişime de yol açabilir. Hangi ayrıcalıkların devralındığını ve hangilerinin devralınmadığını izlemeyi zorlaştırabileceğinden, tek tek nesnelerde mirasın kısıtlanması veya reddedilmesi son çare olmalıdır.
3. Açık ve Sıkı bir AD Yapısı Benimseyin: AD'nin etkili yönetimi, istisnai durumları en aza indiren titiz bir tasarım stratejisi gerektirir. Bu, uygun mirası, hedeflenen ayarları ve sezgisel klasör organizasyonu yoluyla erişim izinlerinin zahmetsizce tanımlanmasını garanti eden şeffaf, hiyerarşik bir yapıyı gerektirir. Mantıksal bir AD ortamının sürdürülmesi, tüm yöneticiler arasında disiplin ve titizlik gerektirir. Grupları, izinleri ve kullanıcı erişimini yönetmek için standartlaştırılmış yöntemlere toplu olarak uymaları ve böylece kök düzeyinde yetkisiz klasör oluşturulmasını önlemeleri gerekir.
4. En Az Ayrıcalık İlkesine Uyun: AD'de izinlerin yönetilmesi, kullanıcıların gerekli kaynaklara erişmesini sağlar ve hassas verilere yetkisiz erişimi önler. Kullanıcılara yalnızca iş görevlerini yerine getirmek için ihtiyaç duydukları izinleri veren en az ayrıcalık ilkesi (PoLP) bu yaklaşımın temelini oluşturur. En az ayrıcalıklı erişim, genellikle rol tabanlı erişim denetimi (RBAC) yoluyla elde edilen, kullanıcı yetkilendirmesi ve yetkilendirmeyi kaldırmaya yönelik sistematik bir yaklaşım gerektirir. Zaman içinde gereksiz izinlerin birikmemesini sağlamak için düzenli denetimler veya kullanıcı erişimi incelemeleri önemlidir. En az ayrıcalık ilkesine bağlı kalmak, NIST CSF, ISO 27001, GDPR ve NIS2 direktifi dahil olmak üzere birçok güvenlik standardı ve düzenlemesinin kritik bir bileşenidir.