Merhaba

Ön Not – Kapsam ve Amaç

Bu seri, Windows Server 2025 ile birlikte gelen Active Directory Domain Services (AD DS) dünyasını uçtan uca kavratmak amacıyla yazılmıştır. Odak noktası tek tek ürünler değil, mimarinin ve sürecin kendisidir: hangi bileşenin neden var olduğu, nasıl kurulduğu, yönetildiği ve güvenliğinin nasıl sağlandığı.

Metindeki donanım, yazılım ve komut örnekleri (ürün adları, Event ID’ler, PowerShell parametreleri, sürüm numaraları) versiyona, sürüme ve yıllara göre değişiklik gösterebilir. Bir ayarın adı değişebilir, bir ürün yaşam döngüsünü tamamlayabilir, yeni bir alternatif ortaya çıkabilir. Bu nedenle örnekleri birebir kopyalanacak reçeteler olarak değil, mantığı kavramak için birer illüstrasyon olarak okuyun; kendi ortamınıza uygularken ilgili üreticinin (Microsoft) güncel dokümantasyonunu esas alın.

Kısacası: amaç, mimariyi ve mantığı anlamaktır. Örnekler bugünün fotoğrafıdır; ilke ise kalıcıdır.

Seri Bölümleri:

1. Bölüm 1: Temeller ve Mimari ← (Bu Yazı)
2. Bölüm 2: Kurulum ve Kimlik Doğrulama
3. Bölüm 3: Yönetim ve Güvenlik
4. Bölüm 4: Yönetim Araçları ve Hibrit Kimlik

Bu ilk bölümde AD (Active Directory)’nin ne olduğunu, temel kavramlarını, Windows Server 2025 ile gelen yenilikleri (Fonksiyon Seviyesi (Functional Level) 10, schema sürümleri, dMSA, 32k page vb.) ve AD (Active Directory)’nin mantıksal (Forest, Tree, Domain, OU, Objects) ile fiziksel (Site, Subnet, DC, DNS, Trust) yapısını ele alıyoruz. Serinin temelini oluşturan kavramsal zemin burada kuruluyor.

1. 1. Active Directory Nedir? Temel Kavramlar

Active Directory Domain Services (AD DS), Microsoft tarafından Windows domain ağları için geliştirilen bir dizin hizmetidir (Directory Service). Ağdaki User (Kullanıcı), Computer (Bilgisayar), Group (Grup), Printer (Yazıcı) ve diğer kaynaklar hakkındaki bilgiyi merkezi bir veritabanında saklar ve bu bilgiyi yetkili kullanıcı ve yöneticilere sunar. Basit bir ifadeyle AD DS (Active Directory Domain Services), bir kuruluşun “kim kimdir ve neye erişebilir” sorusunun tek merkezden yanıtlandığı platformdur.

AD DS (Active Directory Domain Services)’in çözdüğü temel problem şudur: Onlarca, yüzlerce hatta binlerce bilgisayarın olduğu bir ortamda her makinede ayrı ayrı kullanıcı hesabı ve parola yönetmek sürdürülebilir değildir. AD DS (Active Directory Domain Services), tek bir kimlikle (single sign-on) tüm domain kaynaklarına erişimi mümkün kılar; parolalar, izinler ve güvenlik politikaları merkezi olarak yönetilir.

Temel Terminoloji

Rehber boyunca sık kullanılan kavramları en baştan netleştirelim:

• Object (Obje): Dizinde saklanan her kaynak bir objedir. User (Kullanıcı), Computer (Bilgisayar), Group (Grup), Printer (Yazıcı), OU (Organizational Unit) vb. Her obje, adlandırılmış ve birbirinden ayrı özniteliklerden (attributes) oluşur.
• Attribute (Öznitelik): Bir objeyi tanımlayan karakteristik. Örneğin bir User objesinin sAMAccountName , mail , department öznitelikleri vardır.
• Class (Sınıf): Özniteliklerin topluluğu; oluşturulabilecek obje türünü tanımlar. Her obje bir sınıfın örneğidir (instance).
• Schema (Şema): Dizinde hangi obje sınıflarının ve hangi özniteliklerin var olabileceğini tanımlayan resmi kurallar bütünüdür (formal tanım kümesi). Her obje ve öznitelik, kullanılmadan önce şemada tanımlanmış olmalıdır. Tüm Forest’ta ortaktır ve yalnızca Schema Master rolündeki DC üzerinden değiştirilebilir.
• Distinguished Name (DN): Bir objenin dizindeki benzersiz tam yolu. Örn: CN=Baki Cubuk,OU=BT,DC=bakicubuk,DC=com.
• SID (Security Identifier): Her güvenlik ilkesinin (User, Group, Computer) benzersiz güvenlik kimliği.
• GUID (Globally Unique Identifier): Her objenin değişmeyen 128-bit benzersiz kimliği.
• LDAP (Lightweight Directory Access Protocol): AD (Active Directory)’nin sorgulandığı standart dizin protokolü.
• Kerberos: AD (Active Directory)’nin varsayılan kimlik doğrulama protokolü.

AD DS ve Diğer Rollerin İlişkisi

Active Directory tek bir teknoloji değil, bir aileyi ifade eder. Rehberin odağı AD DS (Active Directory Domain Services) olmakla birlikte, ekosistemdeki diğer roller şunlardır: dizin hizmetinin çekirdeği olan AD DS (Active Directory Domain Services); sertifika altyapısını yöneten AD CS (Active Directory Certificate Services); iddia tabanlı (claims-based) kimlik federasyonu sağlayan AD FS (Active Directory Federation Services); belge/e-posta koruması için AD RMS (Active Directory Rights Management Services); ve uygulamalara özel, Domain’e bağımlı olmayan dizinler için AD LDS (Active Directory Lightweight Directory Services). Bu rehber boyunca “AD (Active Directory)” dendiğinde aksi belirtilmedikçe AD DS (Active Directory Domain Services) kastedilir.

2. Windows Server 2025 ile Gelen Yenilikler

Windows Server 2025, AD DS (Active Directory Domain Services) açısından uzun yıllardır gelen en önemli güncellemedir. Windows Server 2016’dan bu yana (Windows Server 2019 ve Windows Server 2022 dahil) AD DS (Active Directory Domain Services) Fonksiyon Seviyesi (Functional Level) değişmemişti; bu makaleler yalnızca Windows Server 2016 seviyesini kullanıyordu. Windows Server 2025, Fonksiyon Seviyesi (Functional Level) 10‘u (DomainLevel 10 / ForestLevel 10) tanıtarak bu durgunluğu sona erdiriyor.

2.1. 32k Veritabanı Sayfa Boyutu (32k Database Pages)

AD (Active Directory), 2000 yılından beri ESE (Extensible Storage Engine – “Jet Blue”) veritabanını 8k sayfa boyutu ile kullanıyordu. Bu, tek bir objenin 8k‘yı aşamaması gibi çeşitli sınırlamalara yol açıyordu. Windows Server 2025, sayfa boyutunu 32k‘ya çıkararak objelerin bu boyuta kadar büyümesine ve çok değerli özniteliklerin (multi-value attributes) 3200 değere kadar barındırılmasına olanak tanır. Yeni kurulan DC (Domain Controller)’ler 32k sayfa boyutu ve 64-bit uzun değer kimlikleri (long value IDs) kullanır. Bu, daha az parçalanma (fragmentation) ve daha hızlı I/O anlamına gelir. Bu özellik opsiyoneldir ve Fonksiyon Seviyesi (Functional Level) 10 ile etkinleştirilir.

2.2. Delegated Managed Service Accounts (dMSA)

Windows Server 2025’in en önemli güvenlik yeniliklerinden biri dMSA‘dır. Geleneksel servis hesaplarının (statik parolalı kullanıcı hesapları) yol açtığı güvenlik risklerini özellikle Kerberoasting saldırılarını hedef alır. dMSA, geleneksel bir servis hesabından, yönetilen ve tamamen rastgele anahtarlara sahip bir makine hesabına geçişe olanak tanırken, orijinal servis hesabının parolasını devre dışı bırakır. Kimlik doğrulama cihaz kimliğine (device identity) bağlanır; yalnızca AD (Active Directory)’de eşlenmiş belirli makine kimlikleri hesaba erişebilir. Bu bölümün detayları Bölüm 3: Yönetim ve Güvenlik yazısında 11. Kullanıcı, Grup ve Servis Hesabı Yönetimi bölümünde ele alınmıştır.

2.3. LDAP over TLS 1.3

Windows Server 2025, LDAP (Lightweight Directory Access Protocol) bağlantıları için TLS 1.3 desteği getirir. Bu, dizin trafiğinin daha güçlü ve modern şifreleme ile korunması anlamına gelir. Gizli öznitelikler (confidential attributes) için şifreli bağlantı zorunluluğu da güvenliği artırır.

2.4. Credential Guard Varsayılan Açık

Windows Server 2025’ten itibaren Credential Guard, gereksinimleri karşılayan cihazlarda varsayılan olarak etkindir. Credential Guard, kimlik bilgilerini (NTLM hash, Kerberos bileti) donanım destekli (VBS – Virtualization Based Security) yalıtılmış bir kasada tutarak pass-the-hash ve pass-the-ticket saldırılarına karşı korur.

2.5. Replication Priority Boost (Replikasyon Öncelik Artışı)

Yöneticiler artık belirli Domain Controller’lar arasındaki veri aktarımını optimize etmek için replikasyon önceliğini yükseltebilir. Kritik değişikliklerin belirli DC (Domain Controller)’lere daha hızlı ulaşması sağlanır.

2.6. Diğer İyileştirmeler

Windows Server 2025 AD DS (Active Directory Domain Services)’e ayrıca şunları getirir: 64 çekirdeğin ötesinde NUMA desteği (büyük DC (Domain Controller)’lerde tüm işlemci kaynaklarının kullanımı), gizli öznitelikler için zorunlu şifreli bağlantı, gelişmiş AES Kerberos şifreleme (SHA-256/384) ve genel performans/güvenlik sıkılaştırmaları.

⚠️ Önemli: Fonksiyon Seviyesi (Functional Level) 10’a yükseltmek için Forest’taki/Domaindeki tüm DC’lerin Windows Server 2025 çalıştırması gerekir. Windows Server 2025 DC (Domain Controller)’yi mevcut bir domaine eklemek içinse domain en az Windows Server 2016 Fonksiyon Seviyesinde (Functional Level) olmalıdır. Microsoft, Windows Server 2019 ve Windows Server 2022 için geriye dönük Fonksiyon Seviyesi (Functional Level) eklemeyi planlamıyor.

2.7. Fonksiyon Seviyesi (Functional Level) Nedir?

Fonksiyon Seviyesi (Functional Level) , bir AD (Active Directory) ortamının hangi Windows Server sürümünün özelliklerini kullanabileceğini belirleyen ayardır. İki türü vardır: Domain Functional Level (DFL) ve Forest Functional Level (FFL). Temel mantık şudur: bir Domain/Forest, ancak içindeki en eski DC (Domain Controller)’nin desteklediği seviyeye kadar yükseltilebilir. Seviye yükseldikçe o sürüme özgü yeni AD (Active Directory) özellikleri açılır, ancak karşılığında artık daha eski Windows Server sürümlerini DC (Domain Controller) olarak ekleyemezsiniz.

Her Windows Server sürümünün bir seviye numarası vardır. Fonksiyon seviye (functional level), geriye dönük uyumluluğu kontrol eden ve özellik setini açan bir eşik görevi görür. Windows Server 2019 ve Windows Server 2022 yeni bir fonksiyon seviye (functional level) getirmediği için ikisi de Windows Server 2016 seviyesinde kalır.

Fonksiyon Seviyesi (Functional Level) 10, işte bu yüzden önemlidir: Windows Server 2025’in getirdiği yeni seviyedir ve Windows Server 2016’dan (Fonksiyon seviye (functional level) 7) bu yana ilk seviye artışıdır. Yani 8 ve 9 atlanmış, doğrudan 10’a geçilmiştir.

Fonksiyon seviye (functional level) 10’a çıktığınızda Windows Server 2025’e özgü şu özellikler etkinleşir: 32k veritabanı sayfa boyutu, dMSA (delegated Managed Service Accounts) gibi yenilikler. Ancak bunun için Forest’taki/Domain’deki tüm DC (Domain Controller)’lerin Windows Server 2025 çalıştırması şarttır ve yükseltme pratikte geri alınamaz (yalnızca Forest kurtarma ile döner).

Önemli ayrım: Windows Server 2025 DC (Domain Controller)’yi mevcut bir ortama eklemek için Fonksiyon seviye (functional level) 10 gerekmez. Domain’in en az Windows Server 2016 (Fonksiyon seviye (functional level) 7) seviyesinde olması yeterlidir. Fonksiyon seviye (functional level) 10’a yükseltme, yalnızca yeni özellikleri kullanmak istediğinizde ve tüm DC (Domain Controller)’ler Windows Server 2025 olduğunda yapılır. Yükseltmenin PowerShell komutları Bölüm 2: Kurulum ve Kimlik Doğrulama yazısında 5.5. Fonksiyon Seviyesini Yükseltme (Functional Level 10) bölümünde ele alınmıştır.

2.8. Schema Seviyesi (Schema objectVersion)

Schema seviyesi (Schema objectVersion), Active Directory şemasının (dizindeki nesne ve öznitelik tanımlarının) sürümünü ifade eden değerdir; objectVersion özniteliğinde tutulur. Her yeni Windows Server sürümü genellikle şemaya yeni nesne sınıfları ve öznitelikler eklediğinden bu değer artar. Bir DC (Domain Controller) kurmadan veya yükseltmeden önce genellikle adprep /forestprep ile şema güncellenir; bu değer, ortamda hangi şema sürümünün geçerli olduğunu doğrulamak için kullanılır.

Fonksiyonel Seviyeden (Functional Level) farklı olarak, Windows Server 2019 ve Windows Server  2022’de Fonksiyon Seviyesi (Functional Level) aynı kalsa da (7) şema sürümü değişebilir. Bu ayrım kritiktir: bir sunucu Windows Server 2016 fonksiyon seviyesinde (functional level) çalışsa bile şema sürümü daha yüksek olabilir.

Ortamınızdaki güncel şema sürümünü PowerShell ile kontrol edebilirsiniz:

# Mevcut şema objectVersion değerini oku
Get-ADObject (Get-ADRootDSE).schemaNamingContext -Property objectVersion |
    Select-Object objectVersion

# Windows Server 2025 için beklenen sonuç: 91

Not: Yeni bir Windows Server 2025 DC (Domain Controller) yükseltildiğinde (promotion) şema otomatik güncellenir; ayrıca adprep çalıştırmanız çoğu senaryoda gerekmez. Yine de şema değişiklikleri geri alınamaz olduğundan, işlem öncesi Schema Master rolündeki DC (Domain Controller)’nin System State yedeğini alın.

3. Mantıksal Yapı: Forest, Tree, Domain, OU, Objects

AD DS (Active Directory Domain Services)’in mantıksal yapısı, bir kuruluşun organizasyonel yapısını yansıtacak şekilde tasarlanmıştır. Bu yapı, kaynakların fiziksel konumdan bağımsız olarak ada göre bulunmasını sağlar; ağın fiziksel yapısı kullanıcılar için şeffaftır (görünmez).

3.1. Forest

Forest, AD (Active Directory)’nin en üst düzey ve en dış güvenlik sınırıdır. Ortak bir schema (şema), configuration (yapılandırma) ve Global Catalog paylaşan bir veya daha fazla Tree’nin topluluğudur. Forest, gerçek güvenlik sınırıdır: farklı güvenlik gereksinimleri olan kuruluşlar genellikle ayrı Forest’lar kullanır. İlk Domain oluşturulduğunda Forest da oluşur ve bu Domain forest root domain (Forest kök domaini) olur.

3.2. Tree

Tree, bitişik (contiguous) bir DNS ad alanını paylaşan bir veya daha fazla domainin hiyerarşik yapısıdır. Örneğin bakicubuk.com , satis.bakicubuk.com ve avrupa.satis.bakicubuk.com aynı tree’nin parçalarıdır hepsi bakicubuk.com kök alanından türer. Aynı forest’ta nihatcubuk.com gibi farklı bir ad alanı olursa, bu ayrı bir tree oluşturur.

3.3. Domain (Domain / Alan)

Domain, aynı dizin veritabanını paylaşan objelerin (User, Computer, Group vb.) mantıksal grubudur. Domain; bir yönetim, replikasyon ve politika sınırıdır. Her Domain’in kendi güvenlik politikaları ve DC (Domain Controller)’leri vardır. Domain’ler arasında parent-child (üst-alt) ilişkisi kurulabilir; örneğin satis.bakicubuk.com , bakicubuk.com‘un alt domaini (child domain) olur.
Tek domain mi, çoklu domain mi? Modern en iyi uygulama, çoğu kuruluş için tek domainli tek forest tasarımıdır. Çoklu domain yalnızca gerçek yönetim/replikasyon sınırı ihtiyacı, coğrafi/yasal ayrım veya devralma (acquisition) senaryolarında gerekçelendirilir. Karmaşıklık ve güven yönetimi maliyeti göz önünde bulundurulmalıdır.

3.4. Organizational Unit (OU)

OU (Organizational Unit), bir Domain içinde objeleri mantıksal olarak düzenlemek için kullanılan konteynerdir. OU’lar üç temel amaca hizmet eder:

1. Objeleri organizasyonel yapıya göre gruplamak.
2. Group Policy (GPO) uygulamak.
3. Yönetim yetkilerini devretmek (delegation of control).

OU (Organizational Unit) tasarımı, AD (Active Directory) güvenliğinin temelidir. Modern kurumsal yaklaşım, Tiered Administration (Katmanlı Yönetim) modelini benimser:

• Tier 0: Forest’ı kontrol eden varlıklar DC (Domain Controller)’ler, AD FS (Active Directory Federation Services), PKI, Entra Connect sunucuları, Domain/Enterprise Admin hesapları. En sıkı korunan katman.
• Tier 1: Sunucular ve sunucu yöneticileri.
• Tier 2: İş istasyonları ve son kullanıcılar.

Her katman ayrı OU’larda izole edilir ve katmanlar arası kimlik bilgisi sızıntısı (credential theft) engellenir.

En iyi uygulama: Computer ve User objelerini varsayılan CN=Computers ve CN=Users konteynerlerinde bırakmayın bunlar OU (Organizational Unit) değildir ve GPO (Group Policy Object) bağlanamaz. Objeleri amaca uygun OU’lara taşıyın.

3.5. Objects (Objeler)

Yapının en alt seviyesinde objeler bulunur: User (Kullanıcı), Computer (Bilgisayar), Group (Grup), Printer (Yazıcı), paylaşımlı klasörler, GPO (Group Policy Object)’lar, kişiler (contacts) ve servis hesapları (gMSA/dMSA). Her obje, dizinde belirli bir ağ kaynağını temsil eden benzersiz bir öznitelik kümesidir.

3.6. Dizin Bölümleri (Directory Partitions / Naming Contexts)

AD (Active Directory) veritabanı (Ntds.dit) mantıksal olarak bölümlere ayrılır:

• Schema Partition: Tüm obje ve öznitelik tanımları. Forest’ta tektir, tüm DC (Domain Controller)’lere replike edilir.
• Configuration Partition: Forest’ın mantıksal yapısı – domain yapısı, site/replikasyon topolojisi. Tüm forest’ta ortaktır.
• Domain Partition: Bir domaindeki tüm objeler. Domaine özgüdür; başka domaine replike edilmez.
• Application Partitions: Uygulamaya özel veri. En yaygın örneği AD (Active Directory)-integrated DNS bölgelerini taşıyan ForestDnsZones ve DomainDnsZones‘tur.

4. Fiziksel Yapı: Site, Subnet ve Domain Controller

Mantıksal yapı organizasyonu yansıtırken, fiziksel yapı ağın gerçek topolojisini (konum, bant genişliği, gecikme) yansıtır ve replikasyon ile oturum açma trafiğini optimize eder.

4.1. Domain Controller (DC)

Domain Controller, AD (Active Directory) veritabanının bir kopyasını barındıran ve kimlik doğrulama isteklerini işleyen sunucudur. Modern AD (Active Directory), multi-master mimarisidir: tüm DC (Domain Controller)’ler eşittir, herhangi biri değişiklik kabul edebilir ve bu değişiklik diğerlerine replike olur. (Eski Windows NT dönemindeki PDC/BDC ayrımı artık yoktur.)

Bir DC (Domain Controller) şunları saklar ve replike eder: forest’ın şema bilgisi, tüm domainlerin yapılandırma bilgisi, kendi domainine ait tüm objeler ve (GC ise) diğer domainlerdeki objelerin bir alt kümesi.

Bir domaindeki DC (Domain Controller)’ler rol açısından eşit olsa da kurulum sırasına göre iki şekilde adlandırılır: domaini/forest’ı sıfırdan oluşturan ilk DC (Domain Controller) ve sonradan aynı domaine katılıp veritabanının replikasını alan Additional Domain Controller (Ek Domain Controller). Bu ayrım yalnızca kuruluma özgüdür; kurulum tamamlandıktan sonra multi-master mimaride hepsi eş yetkili çalışır. Kurulum adımları Bölüm 2: Kurulum ve Kimlik Doğrulama yazısında 5.2 Yeni Forest Kurulumu (PowerShell) ve 5.3. Mevcut Domaine Ek DC (Domain Controller) Ekleme bölümlerinde ele alınmıştır.

4.2. Global Catalog (GC)

Global Catalog, forest’taki tüm objelerin kısmi bir kopyasını (en sık aranan öznitelikler) barındıran özel bir DC (Domain Controller)’dir. GC (Global Catalog) şu işlevleri sağlar: forest genelinde obje arama (hangi domainde olduğundan bağımsız), oturum açma sırasında evrensel grup üyeliği çözümü ve UPN (User Principal Name) çözümlemesi.

En iyi uygulama: Modern ortamlarda tüm DC (Domain Controller)’lerin (Global Catalog) olarak yapılandırılması yaygın ve önerilen bir yaklaşımdır. Bu, Infrastructure Master rolü kısıtlamasını da pratikte ortadan kaldırır. Uzak sitelerde (Global Catalog) bulundurmak istemediğiniz durumlarda Universal Group Membership Caching (UGMC) etkinleştirilebilir.

4.3. Site (Site)

Site, hızlı ve güvenilir bir bağlantıyla (tipik olarak LAN) birbirine bağlı bir veya daha fazla IP subnet’inin birleşimidir. Site’ler, ağ trafiğini yerelleştirmek için kullanılır; ad alanının parçası değildir. Site tanımlamanın üç temel faydası vardır:

1. Oturum açma optimizasyonu: İstemci, kendi site’ındaki en yakın DC (Domain Controller)’de kimlik doğrular.
2. Replikasyon kontrolü: Site içi replikasyon anında; siteler arası replikasyon zamanlanmış ve sıkıştırılmış olur.
3. Servis konumlandırma: DFS, SYSVOL gibi site-farkındalıklı servisler doğru sunucuya yönlendirir.

🔄 Modern Not: Eski dokümanlardaki “128 Kbps yeterlidir” ölçütü artık geçersizdir. Günümüzde site tasarımı bant genişliğinden çok gecikme (latency), DC (Domain Controller) yerleşimi ve replikasyon planlaması ekseninde yapılır. Şube ofisleri için RODC (Read-Only Domain Controller) veya bulutta Azure IaaS DC (Domain Controller) değerlendirilir.

4.4. Subnet (Alt Ağ)

Subnet objeleri, IP alt ağlarını site’lerle ilişkilendirir. Bir bilgisayar, IP adresine göre hangi subnet’te (dolayısıyla hangi site’ta) olduğunu belirler ve buna göre en yakın DC (Domain Controller)’yi bulur. Subnet’leri doğru tanımlamamak, istemcilerin uzak DC (Domain Controller)’lerde kimlik doğrulamasına ve yavaş oturum açmaya yol açar.

4.5. RODC (Read-Only Domain Controller)

RODC (Read-Only Domain Controller), AD (Active Directory) veritabanının salt-okunur bir kopyasını barındıran DC (Domain Controller) türüdür. Fiziksel güvenliğin zayıf olduğu şube ofisleri için tasarlanmıştır. RODC, parolaları varsayılan olarak önbelleğe almaz (yalnızca izin verilen hesaplar için, Password Replication Policy ile) ve yerel yönetici yetkisi domain yetkisi vermez. Bir RODC ele geçirilse bile domain genelinde hasar sınırlı kalır.

4b. DNS ve Active Directory İlişkisi {#4b-dns-ve-active-directory-iliskisi}

DNS (Domain Name System), AD DS (Active Directory Domain Services)’in olmazsa olmaz temelidir. AD (Active Directory), DNS olmadan çalışamaz abartı değil, mimari bir gerçektir. İstemciler, domain controller’ları ve sundukları servisleri DNS SRV kayıtları aracılığıyla bulur. “AD (Active Directory) sorunlarının çoğu aslında DNS sorunudur” sözü boşuna söylenmez.

DNS’in AD (Active Directory) İçindeki Rolü

Bir istemci domaine katılmak veya oturum açmak istediğinde, DNS’e şunu sorar: “bakicubuk.com domaini için LDAP servisi sunan domain controller’lar hangileri?” Bu bilgi, DNS’te _ldap._tcp.dc._msdcs.bakicubuk.com gibi SRV kayıtlarında tutulur. _msdcs alt bölgesi, AD (Active Directory)’ye özgü servis kayıtlarının kalbidir; DC (Domain Controller) bulma, (Global Catalog) bulma ve replikasyon bu kayıtlara dayanır.

AD (Active Directory)-Integrated DNS Bölgeleri

En iyi uygulama, DNS bölgelerini AD (Active Directory)-integrated (AD (Active Directory) ile bütünleşik) olarak yapılandırmaktır. Bu yaklaşımın avantajları: DNS verisi AD (Active Directory) veritabanında saklanır ve AD (Active Directory) replikasyonu ile tüm DC (Domain Controller)’lere güvenli şekilde çoğaltılır (ayrı bir zone transfer gerekmez), multi-master güncelleme (her DC (Domain Controller) DNS güncellemesi kabul edebilir) ve secure dynamic update (yalnızca yetkili makineler kendi kayıtlarını güncelleyebilir). AD (Active Directory)-integrated bölgeler, daha önce bahsedilen ForestDnsZones ve DomainDnsZones uygulama bölümlerinde saklanır.

# DNS sunucu rolünü kontrol et
Get-Service DNS

# Bir DC'nin SRV kayıtlarını doğrula
nslookup -type=SRV _ldap._tcp.dc._msdcs.bakicubuk.com

# DNS test (dcdiag ile)
dcdiag /test:DNS /v

# Netlogon servisini yeniden başlatarak SRV kayıtlarını yeniden kaydet
Restart-Service Netlogon

En iyi uygulama: Her DC (Domain Controller)’nin tercih edilen DNS’i başka bir DC (Domain Controller)’yi, ikincil DNS’i ise kendisini (veya 127.0.0.1) işaret etmelidir. DC (Domain Controller)’nin kendini birincil DNS olarak göstermesi, başlangıçta “island” (ada) sorununa yol açabilir. İstemciler asla genel/ISP DNS’i (Ör. 8.8.8.8) birincil olarak kullanmamalı; domain DNS’ini kullanmalıdır.

“Island” (ada) sorunu nedir? AD-integrated DNS bölgeleri AD (Active Directory) replikasyonu ile taşınır; replikasyonun başlaması içinse DC (Domain Controller)’nin önce DNS’e sorgu yapıp diğer DC (Domain Controller)’leri bulması gerekir. Bir DC (Domain Controller) kendini birincil DNS olarak gösteriyorsa şöyle bir kısır döngü oluşabilir: DC (Domain Controller) yeniden başlar → replikasyon partnerlerini bulmak için kendi DNS’ine sorar → ancak kendi DNS bölgesi henüz replike olmadığı için güncel değildir → diğer DC (Domain Controller)’leri bulamaz → replike olamaz. Bu durumda DC (Domain Controller), kendi eski/güncel olmayan kaydına takılıp kalır ve diğerlerinden kopuk bir “ada” haline gelir adı buradan gelir. Birincil DNS’i başka bir DC (Domain Controller)’ye yönlendirmek, açılışta güncel kayıtların alınmasını sağlayarak bu döngüyü tamamen önler.

4c. Güven İlişkileri (Trust Relationships) {#4c-guven-iliskileri-trust-relationships}

Güven (trust), bir domaindeki kullanıcıların başka bir domaindeki kaynaklara erişebilmesini sağlayan mekanizmadır. Aynı forest’taki tüm domainler arasında otomatik, çift yönlü ve geçişli (transitive) güven vardır (Kerberos’un domain hiyerarşisi boyunca çalışmasını sağlar). Farklı forest’lar veya harici sistemler arasında ise güvenlerin manuel kurulması gerekir.

Güven Türleri

• Parent-Child Trust: Aynı tree’de üst-alt domainler arasında otomatik oluşur (geçişli, çift yönlü).
• Tree-Root Trust: Aynı forest’taki farklı tree’lerin kökleri arasında otomatik oluşur.
• External Trust: Farklı forest’lardaki iki domain arasında; geçişli değildir. Genellikle eski/devralınan ortamlarla entegrasyon için.
• Forest Trust: İki ayrı forest arasında; geçişli olabilir. Birleşme/devralma senaryolarında en yaygın kurumsal güven türü.
• Shortcut Trust: Büyük forest’larda, sık erişilen domainler arası kimlik doğrulama yolunu kısaltmak için.

Güven Yönü ve Güvenlik

Güvenler tek yönlü veya çift yönlü olabilir. Yön, “hangi domainin kullanıcıları hangi domainin kaynaklarına erişebilir” sorusunu belirler (dikkat: güven yönü ile erişim yönü terstir). Güvenlik açısından, güvenler saldırı yüzeyini genişletir; bu nedenle SID filtering (yabancı forest’tan gelen ayrıcalıklı SID’leri filtreleme) ve selective authentication (yalnızca belirli kaynaklara erişime izin verme) gibi kısıtlamalar uygulanmalıdır.

# Mevcut güven ilişkilerini listele
Get-ADTrust -Filter * | Select-Object Name, Direction, TrustType, IntraForest

# Güvenleri komut satırından sorgula
nltest /domain_trusts

# Bir güveni doğrula
netdom trust bakicubuk.com /domain:nihatcubuk.com /verify

🔄 Modern eğilim: Bulut çağında, kuruluşlar arası işbirliği için geleneksel forest trust yerine giderek Microsoft Entra B2B (harici kullanıcıları misafir olarak davet etme) tercih ediliyor. Yeni entegrasyonlarda önce bulut tabanlı seçenekleri değerlendirin.

Bu yazıda AD DS (Active Directory Domain Services)’in temel kavramlarını, Windows Server 2025 yeniliklerini, mantıksal ve fiziksel yapıyı, DNS (Domain Name System) ilişkisini ve güven ilişkilerini ele aldık. Bölüm 1 böylece tamamlandı.

Serinin bir sonraki yazısında “Bölüm 2: Kurulum ve Kimlik Doğrulama” konularına giriyoruz: Domain Controller kurulumu (adım adım PowerShell), Kerberos ve NTLM kimlik doğrulama, FSMO (Flexible Single Master Operations) rolleri ve replikasyon mimarisi.

Başka bir yazıda görüşmek dileğiyle…

---

Bu yazı, Windows Server 2025 Active Directory Teknik Rehberi serisinin 1. bölümüdür. Seri bakicubuk.com için hazırlanmıştır.