Merhaba
Daha önceki yazilarimiz da Windows Server 2012 üzerinde Active Directory Domain Services kurulumu ve Windows Server 2012 R2 üzerinde Additional Domain Controller kurulumu ve yapılandırmasini anlatmiştik bu yazimizda da Windows Server 2012 R2 üzerinde Read Only Domain Controller ( RODC ) kurulumunu ve yapılandırmasini anlatiyor olacağım.
Peki Nedir Read Only Domain Controller ( RODC ) :
Merkezimiza bağlı çalışan bir şubemiz olduğunu düşünelim şubemizde 20 -30 kullanıcımız var. Şubemizdeki kullanıcılarımızın log on trafiğini rahatlatmak için elbetteki bir şubemiz yapısı içinde bir Active Directory Domain Services yapılandırılmasi şarttır. Bu şubemizin yapısına bir Active Directory Domain Services yapılandırarak merkez ile haberleşmesini sağlayabilirsiniz ancak buradaki IT görevlisinin merkezdeki Active Directory Domain Services sunucusu üzerinde de kullanıcı açma kapatma ve silme gibi işlemleri yapmasini istemiyorsunuz bunun için Windows Server 2008 ile birlikte gelen Read-Only Domain Controller ( RODC ) yapılandırmasi ile hem şubedeki kullanıcılarımızın log on trafigini rahatlatmiş oluruz hemde yetkisiz kullanıcıların Active Directory Domain Services üzerinde herhangi bir işlemi yapmasina izin vermemiş olursunuz.
Windows Server 2008 ile gelen en dikkat çeken özelliklerden birisi Read Only Domain Controller ( RODC ) özelliğidir. Read Only Domain Controller ( RODC ) adından da anlaşılacağı gibi Active Directory Domain Services sunuculardan farklı bir yapıya sahiptir. Tam olarak, Active Directory veritabanını barındıran fakat veritabanına yazma hakkına sahip olmayan bir Domain Controller tipidir.Yani üzerinden, Active Directory içerisindeki Organizational Unit,User, Group gibi objeler görülebilir fakat ekleme ve ya silmek gibi işlemleri yapmak mümkün değildir. Read Only Domain Controller ( RODC ) bulunduğu ortamda Domain Controller olarak hizmet verirken, üzerinde değişiklik yapılamadığı için herhangi bir güvenlik açığı da oluşturmamaktadir.
Windows Server 2003 işletim sisteminde Active Directory kurulumu Administrators grubuna üye olan kullanıcılar tarafından gerçekleştirilebilmekteydi. Bu durumun aksine Windows Server 2012 ile birlikte sunulan Read Only Domain Controller ( RODC ) rolünün kurulumu, Delegasyon yapıldıktan sonra Standart bir domain user tarafından da yapılabilmektedir. Amaç, uzak ofiste yer alan bir çalışan tarafından kurulum işleminin gerçekleştirilerek, bizim için zaman ve iş tasarrufu sağlamaktır.
Read Only Domain Controller ( RODC ) üzerine kurabileceğimiz bir başka sunucu rolü Read-Only DNS Server dır. Read Only Domain Controller ( RODC ) üzerindeki DNS de kayıtlar sadece okunabilir DNS üzerinde herhangi bşr ekleme ve ya silmek gibi işlemleri yapmak mümkün değildir.
Windows Server 2012 ile birlikte gelen Read Only Domain Controller ( RODC ) yeni özellikleri :
- Windows Server 2012 Read Only Domain Controller ( RODC ) Güvenlik daha da geliştirilmiştir.
- Kullanıcıların oturum açma süreleri çok daha hızlanmıştır.
- Network kaynaklarına erişim çok daha hızlı ve etkili olacaktır.
- Read Only Domain Controller ( RODC ) rolünün kurulmasını standart bir domain user grubuna üye kullanıcı ile yapmak mümkündür. Bu gibi durumlarda bölge ofislerinizdeki Read Only Domain Controller ( RODC )’yi herhangi bir kullanıcıya yaptırabilir, iş ve zaman tasarrufu sağlayabilirsiniz.
Windows Server 2012 yapısında Read Only Domain Controller ( RODC ) kullanabilmemiz için gereksinimler :
- Forest’ta bir adet yazılabilir ( Writeable ) Domain Controller olmalıdır.
- Forest ve Domain Functional Level seviyeleri Windows Server 2008 R2 olmalıdır.
Yukarıda yazılan gerekli ihtiyaçları tamamladıktan sonra Read Only Domain Controller ( RODC ) kurulumuna geçebiliriz .Bu işlemi iki farklı yoldan yapabiliriz.
- Domain’e dahil bir Windows Server 2012 üzerine Additional DC kurulumu yapar gibi Read Only Domain Controller ( RODC ) kurulumunu yapmak mümkündür.
- Workgroup’ta çalışan bir Windows Server 2012 üzerine Read Only Domain Controller ( RODC ) kurulumu yapmak mümkün.
Biz bu yazimda Domain’e dahil bir Windows Server 2012 R2 üzerine Additional DC kurulumu yapar gibi Read Only Domain Controller ( RODC ) kurulumunu ve yapılandırmasini anlatiyor olacağım.
Kuruluma geçmeden önce ortamdaki sunucular ile ilgili kisa bilgi bilgi aktarmak istiyorum.
Birinci sunucum W12R2DC isminde Ip Adres 192.168.2.200 olarak yapılandırılmiş ve üzerinde Active Directory Domain Services ve Domain Name Server ( DNS ) yapılandırılarak bakicubuk.local isminde bir domain ortami kurulmuştur.
İkinci sunucum W12R2RODC isminde Ip Adres 192.168.2.204 olarak yapılandırılmiş ve üzerinde Active Directory Domain Services kurulumu yapılarak Read Only Domain Controller ( RODC ) yapılandırılmasini anlatiyor olacağım.
Active Directory Domain Services rolünün kurulumu ve Additional Domain Controller yapılandırmasi geçmeden önce aşağıdaki işlemleri yapıyoruz.
- Sunucumuzun Computer name yani isminin düzenlenmesi.
- Sunucumuz üzerinde IP Adress ( IP Adresi ) yapılandırmasi
- Sunucumuzu Active Directory ortamina dahil ediyoruz.
Sunucumuzun Computer name yani isim düzenlemesini yaptıktan sonra Internet Protocol Version 4 ( TCP/IPv4 ) yapılandırmasini yapıyoruz. Preferred DNS server bölümüne ortamdaki Primary Domain Controller olarak görev yapan W12R2DC sunumuzun IP Adress ( IP Adresi ) yaziyoruz. Alternate DNS Server bölümüne bu sunucumuz ortamda Read Only Domain Controller ( RODC ) olarak görev yapacağı ve üzerinde Domain Name Server ( DNS ) Server olarak görev yapacağı için bu şekilde yapılandırıyoruz. Ortamda sunucu olarak görev yapan hiçbir sunucumuzun IP Adress ( IP Adresi ) her zaman Static ( Statik ) olmasi gerekmektedir.
Sunucumuz üzerindeki gerekli yapılandırmayi tamamladiktan sonra Server Manager konsolunu açıyoruz. Dashboard ekraninda Add roles and Features tikliyoruz. Dilerseniz sağ üst köşedeki Manage menüsünden Add Roles and Features ile rol ekleme sihirbazını açabiliriz.
Add Roles and Features Wizard bilgi ekrani geliyor karşımıza kuruluma devam etmek için Next diyerek devam ediyoruz.
Select Installation Type ekraninda Role-based or Features-based Installation kurulum standart bildiğimiz rol ve özelliklerin kurulumunu yapabileceğimiz bölümdür. Biz Active Directory Domain Services rolünün kurulumu yaparak yapılandıracağımız için Role-based or Features-based Installation seçerek Next diyerek devam ediyoruz.
Select destination server ekraninda kurulumu hangi sunucu üzerinde yapılacak ise o sunucuyu seçmemiz gerekiyor. Ben W12R2RODC üzerinde Active Directory Domain Services rolünü kurulumunu yaparak sunucumu Read Only Domain Controller ( RODC ) olarak yapılandıracağım için bu sunucumu seçiyorum ve Next diyerek yapılandırmaya devam ediyorum.
Select server roles ekraninda Active Directory Domain Services rolünün kurulumunu gerçekleştireceğimiz için Active Directory Domain Services rolünü işaretliyoruz.
Active Directory Domain Services rolünü seçtiğimizde Add Roles and Features Wizard ekrani geliyor karşımıza Active Directory Domain Services rolü ile birlikte diğer özelliklerimiz olan Group Policy Management ve Remote Administration Tools altında bulunan Active Directory Module for Windows Powershell, Active Directory Administrative Center , AD DS Snap-Ins and Command Line Tools özelliklerinin kurulmasını gerektiğini belirtiyor bizlere kurulumu devam etmek için Add Required Features diyerek Group Policy Management ve Remote Administration Tools altında bulunan Active Directory Module for Windows Powershell, Active Directory Administrative Center , AD DS Snap-Ins and Command Line Tools bu özelliklerinde kurulmasi sağlıyoruz.
Active Directory Domain Services rolü kurulumu yapılarak yapılandırmaya hazir Next diyerek devam ediyoruz.
Select features ekraninda sunucumuz üzerine kurabileceğimiz Features ( Özellik ) görüyoruz. Active Directory Domain Services rolünü seçtiğimizde Active Directory Domain Services rolü için gerekli olan Group Policy Management ve Remote Administration Tools altında bulunan Active Directory Module for Windows Powershell, Active Directory Administrative Center , AD DS Snap-Ins and Command Line Tools Features ( Özellik ) kurulmasi için izin vermiştik o nedenle Features ( Özellik ) ekraninda herhangi bir şey seçmeden Next diyerek devam ediyoruz.
Active Directory Domain Services rolünün kurulumu ile Microsoft’un bazi uyarilari görmekteyiz. Active Directory Domain Services rolünün kurulumuna devam etmek için Next diyerek devam ediyoruz.
Confirm installation selections ekraninda Active Directory Domain Services rolünün kurulumu tamamlandiktan sonra sunucunun otomatik olarak restart etmek istersek Restart the destination server automatically if required seçeneğini işaretlememiz gerekiyor. Ben Active Directory Domain Services rolünün kurulumu bittikten sonra sunucum üzerinde Read Only Domain Controller ( RODC ) yapılandırmasina devam edeceğim için kurulumu Install diyerek başlatiyorum.
Installation progress ekraninda Active Directory Domain Services rolü ile birlikte diğer özelliklerimiz olan Group Policy Management ve Remote Administration Tools altında bulunan Active Directory Module for Windows Powershell, Active Directory Administrative Center , AD DS Snap-Ins and Command Line Tools özelliklerinin kurulduğunu görüyoruz.
Active Directory Domain Services rolü ile birlikte diğer özelliklerimiz olan Group Policy Management ve Remote Administration Tools altında bulunan Active Directory Module for Windows Powershell, Active Directory Administrative Center , AD DS Snap-Ins and Command Line Tools özelliklerinin kurulumlari tamamlandiktan sonra Active Directory Domain Services rolü üzerinde Read Only Domain Controller ( RODC ) yapılandırılmasi için Promote this Server to a domain controller tıkliyoruz.
Active Directory Domain Services Configuration Wizard ekrani geliyor karşımıza. Deployment Configuration ekraninda üç seçenek bulunuyor.
Add a domain to an existing domain : Mevcut Forest yapımız içinde yeni bir Domain Controller yapılandırmak için bu seçeneği seçmemiz gerekiyor. Yani ortamimiza bir Additional Domain Controller yapılandırmasini yapacağımız zaman bu seçeneği işaretliyoruz.
Add a new domain to an existing forest : Mevcut Forest yapımız içinde yeni bir Domain yapılandırmak için bu seçeneği seçmemiz gerekiyor. Yani mevcut Forest yapımız içinde baki.local isminde bir Domain var ve biz bu Forest yapımız içine cubuk.local isminde bir Domain daha yapılandıracağımız zaman bu seçeneği işaretliyoruz.
Add a new forest : Ortamımıza yeni bir Forest ve Domain yapılandırmasini yapacağımız zaman bu seçeneği işaretliyoruz.
Biz mevcut Forest yapımız içinde bir Read Only Domain Controller ( RODC ) yapılandıracağımız için Add a domain to an existing domain seçeneğini işaretliyoruz. Biz mevcut ortamimizda bakicubuk.local domain içerisinde Read Only Domain Controller ( RODC ) yapılandıracağımız için ve sunucumuz Active Directory ortamina dahil olduğu için Specify the domain information for this operation bölümündeki Domain bölümüne bakicubuk.local geldiğini görüyoruz. Supply the credentials to perform this operation bölümü altinda bulunan Credentials for deployment operation bölümünde sunucumuz Active Directory ortamina dahil olduğu ve Administrator ile oturum açıldığı için bakicubuk\administrator olarak geldiğini görüyoruz. Next diyerek Read Only Domain Controller ( RODC ) yapılandırmasini devam ediyoruz.
Domain Controller Options ekraninda Specify domain controller capabilities bölümünde
Domain Name System (DNS) Server : Active Directory ve DNS entegrasyonu Windows Server Sisteminin en önemli özelliklerinden biridir. Active Directory ve DNS, objelerin hem Active Directory objeleri hem de DNS domainleri ve kaynak kayıtları (Resource Records) olarak sunulabilecek şekilde benzer bir hiyerarşik isimlendirme yapısına sahiptirler. Bu entegrasyonun sonucu olarak Windows Server Ağındaki bilgisayarlar, Active Directory’ye özgü birtakım servisleri çalıştıran bilgisayarların yerini öğrenmek için DNS Sunucuları kullanmaktadırlar. Örneğin, bir client Active Directory’ye logon olmak veya herhangi bir kaynağı (yazıcı veya paylaşılmış bir klasör) dizin içerisinde aratmak için bilmesi gereken Domain Controller IP adresini DNS Sunucu üzerinde SRV kayıtlarından öğrenmektedir. Active Directory’nin sorunsuz bir şekilde çalışması için DNS sunucuların SRV kayıtlarını eksiksiz bir şekilde barındırması gerekmektedir. SRV kayıtlarının amacı, client’lara logon esnasında veya herhangi bir kaynağa ulaşıyorken Domain Controller’ların yerlerini belirtmektir ve bu kayıtlar DNS sunucularda tutulur. SRV kayıtlarının olmadığı bir ortamda, client’lar Domain’e logon olamayacaklardır. Ayrıca Windows Server, DNS bilgilerinin Active Directory veritabanı ile tümleşik olarak saklanmasına olanak vermektedir. Bu sayede DNS bilgilerinin replikasyonu daha efektif ve güvenli bir hale gelmektedir.
Windows Server, Active Directory organizasyonunu kurmadan, önce oluşturulacak olan Domain’in DNS altyapısını önceden oluşturmayı gerektirmektedir. Eğer oluşturulacak olan Domain’in DNS altyapısı kurulum öncesinden hazırlanmamışsa, kurulum esnasında da DNS altyapısı kurulabilir.
Global Catalog ( GC ) : Global Catalog, Active Directory’deki tüm objelerin özelliklerinin bir alt kümesini taşıyan bilgi deposudur. Bu barındırılan özellikler, varsayılan olarak, sorgulamalar esnasında en sık kullanılan özelliklerdir (örneğin kullanıcı ön ismi, son ismi ve logon ismi).
Global Catalog kullanıcılara şu hizmetleri sunar:
• Gereken verinin nerede olduğundan bağımsız olarak Active Directory objeleri hakkında bilgiler sunar.
• Bir ağa logon oluyorken Universal Group Membership bilgisini kullanır.
Global Catalog Sunucusu Domain’deki bir Domain Controller’dır ve Domain’de oluşturulan ilk Domain Controller otomatik olarak Global Catalog seviyesine yükseltilir. Sonradan ek Global Catalog Sunucular eklenebilir.
Read Only Domain Controller (RODC) : Windows Server 2008 ile gelen en dikkat çeken özelliklerden birisi Read Only Domain Controller ( RODC ) özelliğidir. Read Only Domain Controller ( RODC ) adından da anlaşılacağı gibi Active Directory Domain Services sunuculardan farklı bir yapıya sahiptir. Tam olarak, Active Directory veritabanını barındıran fakat veritabanına yazma hakkına sahip olmayan bir Domain Controller tipidir.Yani üzerinden, Active Directory içerisindeki Organizational Unit,User, Group gibi objeler görülebilir fakat ekleme ve ya silmek gibi işlemleri yapmak mümkün değildir. Read Only Domain Controller ( RODC ) bulunduğu ortamda Domain Controller olarak hizmet verirken, üzerinde değişiklik yapılamadığı için herhangi bir güvenlik açığı da oluşturmamaktadir.Windows Server 2003 işletim sisteminde Active Directory kurulumu Administrators grubuna üye olan kullanıcılar tarafından gerçekleştirilebilmekteydi. Bu durumun aksine Windows Server 2012 ile birlikte sunulan Read Only Domain Controller ( RODC ) rolünün kurulumu, Delegasyon yapıldıktan sonra Standart bir domain user tarafından da yapılabilmektedir. Amaç, uzak ofiste yer alan bir çalışan tarafından kurulum işleminin gerçekleştirilerek, bizim için zaman ve iş tasarrufu sağlamaktır.Read Only Domain Controller ( RODC ) üzerine kurabileceğimiz bir başka sunucu rolü Read-Only DNS Server dır. Read Only Domain Controller ( RODC ) üzerindeki DNS de kayıtlar sadece okunabilir DNS üzerinde herhangi bir ekleme ve ya silmek gibi işlemleri yapmak mümkün değildir.
Directory Services Restore Mode (DSRM) password : Microsoft Domain ortamlarında Active Directory yedeğinin dönülmesi için kullandığımız özel yöntemdir. Directory Services Restore Mode (DSRM) kullanmak için bilgisayarınız ve ya sunucunuz açılırken F8 tuşuna basarak karşınıza gelen menüden directory services restore mode bölümünü seçmeniz gerekiyor. Bu bölümü seçerek gerçekleşen açılışta pek çok directory ile ilişkili servis durdurulduğu için rahatlıkla System State yedeğini dönebiliyoruz. Windows Server 2008 ile beraber gelen yeni özelliklerden biri artık Active Directory Domain Services servisinin olması ve bu servisi istediğiniz zaman durdurabiliyor olmanız. Ancak bu bir bilgi kirliliğine neden olmaktadır, Windows Server 2008 ve Windows Server 2008 R2 sistemlerinde de system state yedeğinden dönmek için Directory Services Restore Mode (DSRM) açılış şeklini kullanmanız gerekmektedir. Servisi durdurmak sadece Active Directory veri tabanını taşımak veya bakım işlemlerini gerçekleştirmek için kullanılır ancak system state yedeği için hala Windows Server 2003 sistemlerinde olduğu gibi Directory Services Restore Mode (DSRM) kullanılır. Directory Services Restore Mode (DSRM) ile açılış yapılırken sizden bir şifre istenir. Bu şifre sizin domain administrator kullanıcısı şifresi değildir, her Domain Controller için ayrı olarak atanan ve o Domain Controller sunucusu Domain kurulumu yapılırken ( dcpromo ) size sorduğu şifredir. Bu şifreyi hatırlamıyorsanız eğer normal mode ile açılış yaparak komutlar yardımı ile Directory Services Restore Mode (DSRM) şifresini resetleyebilirsiniz.
Domain Controller Options ekraninda Specify domain controller capabilities bölümünde Domain Name System (DNS),Server Global Catalog (GC) ve Read only domain controller (RODC) seçiyoruz ve Type the Directory Services Restore Mode (DSRM) password kısmına Active Directory Restore Mode için kullanacağımız complex password yazıyoruz. Next diyerek devam ediyoruz.
RODC Options ekraninda Delegasyon accountunu seçerek müdahale etmesini istediğimiz kullanıcı yada grubu seçebiliyoruz.Aşağıdaki seçenekte ise domain kullanıcılarından hangilerinin pasword ve account replikasyonlarının yapılacağını seçiyoruz.
Additional Options ekranında iki seçeneğimiz bulunuyor.
Specify Install From Media (IFM) : Active Directory Domain Services kurulumunu yaparken Install From Media (IFM) seçeneğini kullanıp kullanmayacağımızı soruyor.acaktır. Install From Media (IFM) ökurulum seçeneği uzak lokasyonlara Additional Domain Controller kurulumu ve yapılandırılmasi yapılırken kullanılan bir kurulum yöntemidir. Additional Domain Controller kurulumu ve yapılandırılmasi yapılırken database oluşumu ve diğer yapılandırmasini diğer Active Directory Domain Services sunucusu üzerinden replikasyon yöntemi ile yapmak yerine öndeden backup alinarak kurulacak olan Additional Domain Controller sunucusu üzerine restore edilerek gerçekleştirilen bir kurulum seçeneğidir. Bu kurulum seçeneği özellikler farkli ve uzak lokasyonlu büyük yapılarak Additional Domain Controller kurulumu ve yapılandırılmasi sirasinda network trafiğinde yaşanacak olan yoğunluğu en aza indirmemizi sağlayan bir yöntemdir. Install From Media (IFM) ile backuptan gelen database kullanılarak oluşan Active Directory Domain Services sunucumuz replikasyonla backuptan sonraki değişiklikleri merkez Active Directory Domain Services üzerinden replikasyon ile alicaktir.
Specify additional replication options : Active Directory Domain Services kurulumunu yaparken ortamdaki hangi Active Directory Domain Services sunucu üzerinden database oluşumu ve diğer yapılandırmanin replikasyon işlemleri yapacağını belirleyeceğimiz bölümdür.
Replika From bölümünde eğer Any domain controller seçersek ortamda bulunan bütün Active Directory Domain Services sunucu ile haberleşecektir ya da listeden hangi Active Directory Domain Services sunucusu ile haberleşmesini istiyorsak onu seçebiliriz.
Replika From bölümünde ortamda Primary Domain Controller olarak görev yapan sunucum olan W12R2DC.bakicubuk.local isimli sunucumu seçiyorum ve Next diyerek devam ediyorum.
Paths ekraninda Active Directory Domain Services yapımızın Database folder,Log files folder ve SYSVOL folder kurulacağı dizinleri belirliyoruz. Ben default dizinler üzerinde herhangi bir değişiklik yapmıyorum ve Next diyerek devam ediyorum.
Review Options ekraninda Active Directory Domain Services rolü yapılandırmasi sirasinda yapmış olduğumuz seçeneklerin bir listesini görüyoruz. View Script bölümüne tiklayarak Active Directory Domain Services rolü ve Additional Domain Controller için yapmiş olduğumuz yapılandırmayi PowerShell komutu olarak alarak kurulum yapabiliriz. Next diyerek devam ediyoruz.
Prerequisities Check ekraninda Windows Server 2o12 R2 Active Directory Domain Services rolü için check yaparak herhangi bir problem ya da eksiklik olup olmadiği kontrolünü yapacaktir.
Active Directory Domain Services rolü için gerekli kontroller tamamlandi All Prerequisite check passed succesfully. Click “Install” to begin installation. mesajını görmekteyiz. Install diyerek kurulumu başlatabiliriz.
Prerequisities Check ekraninda Active Directory Domain Services rolünün ve Additional Domain Controller yapılandırmasinin sunucumuz üzerinde başladiğini görüyoruz.
Sunucumuz restart olduktan sonra Server Manager konsoluna Active Directory Domain Services ( AD DS ) ve Domain Name Server ( DNS ) rollerinin geldiğini görüyoruz.
Administrative Tools altina Active Directory Domain Services rolü ile ilgili konsollarin geldiğini görüyoruz.
Active Directory User and Computers konsolu aşağıda görüldüğü gibidir. Domain Controllers Organize Unit ( OU ) altina W12R2ADC isimli sunucumuzun geldiğini görüyoruz.
Domain Name Server ( DNS ) Server rolünün DNS Manager konsolu aşağıdaki gibi geldiğini görüyoruz..Sunucularimizin DNS kayitlarinin geldiğini görüyoruz.
