Active Directory OU'ları ve Grupları Arasındaki Fark
Dosyaların izinleri üst klasörlerinden devralması gibi, Active Directory'de de kullanıcı ve grup nesnelerinin, özelliklerini kimlerin görüntüleyebileceğini veya düzenleyebileceğini belirleyen kendi erişim kontrol listeleri (ACL'ler) vardır. Her kullanıcı veya grup nesnesi için idari yetkiyi ayrı ayrı kontrol etmek yerine, bunları bir kuruluş biriminde toplamak ve bu kuruluş birimi üzerinde gerekli yetkiyi bir alt yöneticiye vermek daha pratiktir. Bir kuruluş biriminin ACL'sinde tanımlanan izinler, klasör ACL'lerinin bir klasör içindeki tüm dosyalara uygulanmasına benzer şekilde, söz konusu kuruluş birimi içindeki tüm kullanıcıları ve grupları etkileyecektir. Bir kullanıcının birden fazla grubun üyesi olabileceğini ancak yalnızca bir OU'da bulunabileceğini, tıpkı bir dosyanın yalnızca bir klasörde bulunabilmesi gibi, dikkate değer. Active Directory içindeki kullanıcı ve bilgisayarların verimli bir şekilde yönetilmesinde kuruluş birimlerinin önemi göz ardı edilemez. Bu kılavuzda kuruluş birimleri için temel en iyi uygulamaları inceleyeceğiz ve bunların gruplardan ve varsayılan kapsayıcılardan nasıl farklı olduklarını açıklayacağız.
Active Directory Grupları nedir?
Active Directory (AD) grupları, Windows ağ ortamlarının önemli bir bileşeni olan Microsoft'un Active Directory hizmetinin ayrılmaz bir parçasıdır. Bu gruplar kaynak yönetimi ve erişim kontrolünde önemli roller üstlenir. İki ana tür mevcuttur: Paylaşılan kaynaklara kullanıcı ve bilgisayar erişimini yöneten Güvenlik Grupları ve güvenlikle ilgili izinler olmadan e-posta dağıtımını kolaylaştıran Dağıtım Grupları.
Gruplar, kolaylaştırılmış izin ve erişim kontrolüne olanak tanıyacak şekilde hem kullanıcıları hem de bilgisayarları içerebilir. Grupların diğer grupların üyesi olmasına izin vererek, verimli yönetim için hiyerarşik bir yapıyı teşvik ederek yuvalama desteklenir. Organizasyon Birimleri (OU'lar), Active Directory hiyerarşisi içindeki grupların organize edilmesine daha fazla yardımcı olur.
Grup kapsamları erişimlerini tanımlar: Yerel Etki Alanı belirli bir etki alanıyla sınırlıdır, Genel, Active Directory ormanındaki herhangi bir etki alanına uzanır ve Evrensel, ormandaki herhangi bir etki alanını kapsar. Active Directory grupları, ağlar arasında ilkelerin uygulanması için Grup İlkesi Nesneleri (GPO'lar) ile sinerji oluşturarak grup üyeliklerine dayalı ilkeleri uygular.
Esasında, Active Directory grupları ağ ortamlarındaki kullanıcıları, bilgisayarları ve kaynakları organize etmek ve yönetmek için esnek ve etkili bir araç sağlar, izin atamalarını ve politika uygulamalarını kolaylaştırır.
Active Directory Organizasyon Birimleri (OU'lar) nedir?
Active Directory, etki alanı denetleyicileri tarafından yönetilen etki alanlarından oluşur. Etki alanları güven ilişkileriyle ağaçlar halinde düzenlenebilir ve ağaçlar daha büyük ormanlar oluşturabilir. Kuruluş birimleri (OU'lar), Active Directory içindeki en küçük birimdir ve yöneticilerin belirli grup ilkesi ayarlarını ve devredilen yönetici haklarını tanımlamasına olanak tanır. Kuruluş birimleri kullanıcıları, bilgisayarları, grupları ve diğer kuruluş birimlerini içerebilir. Bunlar, yöneticilerin denetimi belirli kuruluş birimleriyle kısıtlamasına izin vererek ve grup ilkesini yöneterek ayarları Active Directory'nin belirli bölümlerine uygulayarak yetkilendirilmiş yönetim için kullanılır.
Kuruluş Birimleri (OU), grup ilkesi ayarlarının bir etki alanındaki belirli kullanıcılara, gruplara ve bilgisayarlara uygulanmasına yardımcı olur. Farklı BT ekipleri bir etki alanı içinde ayrı alt organizasyonları yönettiğinde özellikle kullanışlıdırlar. Ayrı kuruluş birimleri oluşturmak, her BT ekibinin kendi birimlerindeki kullanıcılar ve bilgisayarlar için kendi ilkelerini yönetmesine olanak tanır. Kuruluş birimleri aynı zamanda kullanıcılara veya gruplara tam yönetici ayrıcalıkları vermeden idari görevlerin devredilmesine de olanak tanır.
Kuruluş birimleri (OU'lar) aracılığıyla devredilebilecek çeşitli ortak idari görevler vardır. Bu görevler, kullanıcı hesapları oluşturarak veya silerek kullanıcıları yönetmeyi, grupları yönetmeyi, grup üyeliklerini değiştirmeyi, grup ilkesi bağlantılarını yönetmeyi ve kullanıcı hesaplarının parolalarını sıfırlamayı içerir. Bu görevleri belirli kuruluş birimlerine atayarak idari sorumluluklar bir kuruluş içinde verimli bir şekilde dağıtılabilir.
Nasıl Organizasyon Birimi Oluşturabilirim?
Active Directory Yönetim Merkezi, Windows Sunucu Yöneticisi veya Uzak Sunucu Yönetim Araçları (RSAT) dahil olmak üzere, Active Directory'de yeni bir kuruluş birimi oluşturmanın birkaç yolu vardır. PowerShell cmdlet'i New-ADorganizationalUnit'i de kullanabilirsiniz, ancak uygun yapıyı sağlamak için kuruluş birimlerini görsel bir arayüz aracılığıyla oluşturmak ve yönetmek genellikle daha kolaydır.
Kuruluş Birimleri ve Gruplar Arasındaki Fark
Başlangıçta, kuruluş birimleri ve gruplar, kullanıcı hesapları veya cihaz hesapları gibi benzer nesneleri gruplandırarak Active Directory'ye yapı sağladıklarından benzer görünürler. Ancak uygulamada organizasyon birimlerinin ve AD gruplarının farklı amaçları vardır. Kuruluş birimleri, yönetim haklarını devretmek ve grup ilkesi ayarlarını uygulamak için kullanılırken, gruplar izinleri yönetmek için kullanılır. Örneğin, Exchange'deki dosya sunucusu veya posta kutusu izinleri üzerindeki NTFS izinleri ve paylaşım izinleri gruplar tarafından kontrol edilebilir. Ayrıca Active Directory grup üyeliği, üçüncü taraf uygulamalara ve kaynaklara erişimi belirleyebilir.
Aşağıda Active Directory grupları ile kuruluş birimleri arasındaki bazı temel farklar verilmiştir:
- Kuruluş birimleri grup ilkesi nesnelerini (GPO'lar) kapsayabilir ancak AD grupları bunu yapamaz.
- Kuruluş birimleri yönetici haklarını devredebilir ancak AD grupları bunu yapamaz.
- AD grupları izinleri yönetebilirken kuruluş birimleri bunu yapamaz.
- AD gruplarının kendi güvenlik tanımlayıcıları (SID) vardır, ancak kuruluş birimlerinin yoktur.
Organizasyon Birimleri ve Kapsayıcılar Arasındaki Fark
Active Directory'yi kurduğunuzda Windows, kullanıcıları, bilgisayarları ve diğer nesneleri depolamak için otomatik olarak varsayılan kapsayıcılar oluşturur. Bu konteynerler, aslında bir konteyner türü olan organizasyon birimleri (OU'lar) ile benzer bir amaca hizmet eder. Ancak çok önemli bir ayrım vardır: Grup ilkesi nesneleri kapsayıcılara değil yalnızca kuruluş birimlerine uygulanabilir. Bu nedenle, genellikle AD'deki varsayılan kapsayıcıları, kullanıcı ve bilgisayar hesaplarını yönetmek için kendi kuruluş birimlerinizle değiştirmeniz önerilir. Bu kuruluş birimleriyle ağınızdaki tüm hesaplar veya cihazlar için geçerli olması gereken genel politikaları etkili bir şekilde yönetebilirsiniz. Yeni hesapların varsayılan kapsayıcılar yerine kuruluş birimlerinde oluşturulduğundan emin olmak için redirusr ve redircmp komutlarını kullanarak hesap oluşturma işlemini yeniden yönlendirebilirsiniz.
Azure AD'deki Kuruluş Birimleri?
Azure Active Directory, kuruluş birimlerini kullanmak yerine yönetim birimlerini (AU) kullanır. Kuruluş birimleri gibi yönetim birimleri de kullanıcıları, aygıtları ve grupları barındırabilir ancak diğer yönetim birimlerini içeremez. AU'lar, yönetim birimi içindeki nesnelerle sınırlı olan kullanıcılara belirli yönetim rollerinin atanmasına olanak tanır. Azure AD'de GPO bulunmadığından, kuruluş birimlerinin aksine yönetim birimleri grup ilkesi nesnelerini desteklemez.
Organizasyon Birimi En İyi Uygulamaları
Kuruluş birimlerini kullanırken izlenecek en önemli en iyi uygulamalardan bazıları aşağıda verilmiştir:
Mantıksal Bir Çerçeve Oluşturun
Yöneticiler, kullanıcıları ve bilgisayarları kuruluş birimleri (OU'lar) halinde gruplayarak bir etki alanı düzenleyebilir. İhtiyaç duyulan kuruluş birimlerinin sayısı ve yapısı, spesifik BT ortamına ve gereksinimlerine bağlıdır. Kuruluş birimlerini oluşturmanın ve yerleştirmenin çeşitli yolları vardır ancak işe yarayan bir yapı bulmak ve ona bağlı kalmak çok önemlidir. Rol tabanlı erişim kontrolüne benzer şekilde birçok işletme, farklı ofisler ve departmanlar için ayrı kuruluş birimleri oluşturarak, kuruluş birimlerini şirket yapılarıyla uyumlu olacak şekilde tasarlar. Ancak bu yaklaşımı takip etmek zorunlu değildir. Kuruluş birimlerini planlarken göz önünde bulundurulması gereken ana husus, Active Directory'nin hangi bölümlerinin yetkilendirilmiş yönetim veya benzersiz grup ilkeleri gerektirdiğini belirlemektir. Örneğin, her birine farklı yapılandırmalar uygulamak için bilgisayar hesaplarını cihaz türüne (ör. masaüstü veya dizüstü bilgisayar) göre bölmek yararlı olabilir.
Kullanıcıları ve Bilgisayarları Ayırın
Çoğu kuruluşun kullanıcı ve bilgisayar hesaplarına farklı grup ilkesi ayarları uyguladığı göz önüne alındığında, daha kolay yönetim için bu nesneleri ayrı kuruluş birimlerine yerleştirmek mantıklıdır. Bu OU'lar tüm kullanıcı/bilgisayar hesapları için genel ayarlar oluşturabilirken, iç içe geçmiş OU'lar planlanan OU yapısına göre belirli kurallar tanımlayabilir.
Tutarlı Bir Adlandırma Kuralı Kullanın
Uzun vadeli bakım ve yönetimi kolaylaştırmak için kuruluş birimlerinin amaçlarını ve kapsamlarını açıkça belirten açık adlara (ve muhtemelen açıklamalara) sahip olması gerekir. Ayrıca tüm yöneticilerin aynı adlandırma yaklaşımını izlemesi gerekir. Bir yöneticinin kuruluş birimlerini departmana, diğerinin ise iş unvanlarına göre adlandırması gibi tutarsızlıklar kafa karışıklığına yol açabilir. Tutarlı bir adlandırma kuralını belgelemek, tekdüzeliği güçlendirmenin en basit yoludur.
Grup İlkesi Ataması için Devralmayı Kullan
Kuruluş birimleri yöneticilerin Active Directory'nin farklı bölümleri için farklı kurallar oluşturmasına izin verirken çoğu kuruluşta tüm kullanıcılar ve cihazlar için geçerli olması gereken evrensel ayarlar bulunur. Devralma, genel yapılandırmaların tüm hesaplara uygulanmasını sağlayan etkili bir yöntemdir. Bu temel ayarlara sahip bir grup ilkesi nesnesini bir üst kuruluş birimine yerleştirerek, iç içe geçmiş kuruluş birimleri, Active Directory'nin alt bölümlerine ilişkin belirli ayarları yönetebilir.
İstisnalar için İç İçe Kuruluş Kuruluşlarını Kullanın
İç içe geçmiş kuruluş birimleri yalnızca devralınan grup ilkelerini genişletmekle kalmaz, aynı zamanda gerektiğinde ilkelerin üzerine yazılmasına da olanak tanır. Örneğin bir kuruluş, güvenlik nedeniyle 10 dakika boyunca işlem yapılmadığında ekranları otomatik olarak kilitlemek için bir grup ilkesi kullanabilir. Ancak bunu yapmak, konferans odalarındaki sunumlar ve görüntülü görüşmeler sırasında sorunlara neden olabilir. Çözüm, konferans odası bilgisayarları için mevcut kuruluş birimi içerisinde yeni bir kuruluş birimi oluşturmak ve uzatılmış zaman sınırına sahip yeni bir grup ilkesi nesnesi uygulamaktır. Bu cihazlar ilgili ayarları üst kuruluş biriminden devralmaya devam eder, ancak yeni politika istenmeyen ayarın üzerine yazılır.