Windows Server'da Active Directory Domain Services Kurulumu

Yeni bir orman kurup ilk domain controller'ı firma.local alanıyla ayağa kaldırıyoruz: ön hazırlık, Install-ADDSForest ve DSRM parolası, kurulum sonrası dcdiag ile DNS doğrulaması ve sahadan sık hatalar.

İster beş kişilik bir ofis olsun ister beş yüz kullanıcılı bir kurum, kimlik yönetimini tek merkezden yürütmek her şeyi kolaylaştırır: tek parola, tek oturum, tek yerden uygulanan güvenlik politikası. Active Directory Domain Services (AD DS) Windows dünyasında bu merkezin adıdır. Bu yazıda sıfırdan bir orman kurup ilk domain controller'ı firma.local alan adıyla ayağa kaldıracağız.

Kurulum Öncesi Hazırlık

Domain controller ağın kalbidir; baştan doğru kurmak sonradan taşımaktan çok daha ucuzdur. Role geçmeden önce şunları tamamlayın:

• Sabit IP: DC asla DHCP ile adres almamalı
• Anlamlı bilgisayar adı: kurulumdan sonra ad değiştirmek sancılıdır, baştan DC01 gibi verin
• DNS: sunucu birincil DNS olarak kendini göstermeli; IP yapılandırmasında 127.0.0.1 en temizi
• Zaman: Kerberos, istemci ile DC arasında en fazla 5 dakika sapmaya izin verir, güvenilir bir NTP kaynağı şart
• Sürüm: Windows Server 2019 veya 2022, Standard ya da Datacenter, Server Core da olur

Ağ ve ad ayarlarını PowerShell ile tek seferde yapabilirsiniz:

New-NetIPAddress -InterfaceAlias "Ethernet" -IPAddress 192.168.10.10 `
  -PrefixLength 24 -DefaultGateway 192.168.10.1

Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses 127.0.0.1

Rename-Computer -NewName "DC01" -Restart

AD DS Rolünü Yükleme

Sunucu yeniden başladıktan sonra rolü ekleyin. Grafik arayüzde bu, Server Manager üzerinden Add Roles and Features ile yapılır; komut satırında tek satır yeter:

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

-IncludeManagementTools, Active Directory Users and Computers konsolunu ve Get-AD* cmdlet'lerini getiren RSAT bileşenlerini de kurar. Bu adım yalnızca ikili dosyaları yükler; sunucu henüz bir DC değildir.

Ormanı ve İlk Domain Controller'ı Oluşturma

Asıl işi Install-ADDSForest yapar. Yeni ve bağımsız bir ortam kurduğumuz için orman seçiyoruz; var olan bir yapıya DC ekliyor olsaydınız Install-ADDSDomainController kullanırdınız.

Import-Module ADDSDeployment

Install-ADDSForest `
  -DomainName "firma.local" `
  -DomainNetbiosName "FIRMA" `
  -ForestMode "WinThreshold" `
  -DomainMode "WinThreshold" `
  -InstallDns:$true `
  -DatabasePath "C:\Windows\NTDS" `
  -SysvolPath "C:\Windows\SYSVOL" `
  -LogPath "C:\Windows\NTDS" `
  -SafeModeAdministratorPassword (Read-Host "DSRM parolasi" -AsSecureString) `
  -Force:$true

Birkaç parametre açıklama hak ediyor:

• DomainName: iç alan adı. Sahip olduğunuz herkese açık alan adının bir alt alanını (ad.firma.com) ya da ayrılmış bir son ek kullanın. Düz .local yıllarca standarttı, artık önerilmiyor ama laboratuvar için sorun değil.
• ForestMode / DomainMode: WinThreshold, Windows Server 2016 işlevsel düzeyidir. Tüm DC'leriniz 2016 ve üzeriyse bırakın.
• DSRM parolası: Directory Services Restore Mode parolası. AD veritabanı bozulduğunda sunucuyu kurtarma kipinde açmak için gerekir; bir yere yazın.
• InstallDns: ilk DC'de neredeyse her zaman $true. AD, DNS'e SRV kayıtlarıyla bağımlıdır.

Komut biter bitmez sunucu kendini yeniden başlatır ve artık bir domain controller olarak açılır.

Kurulum Sonrası Doğrulama

Yeniden başlatmanın ardından FIRMA\Administrator ile oturum açın ve şu kontrolleri yapın:

Get-ADDomainController -Identity $env:COMPUTERNAME |
  Select-Object HostName, Domain, Forest, Site, IsGlobalCatalog

Get-Service ADWS, KDC, Netlogon, DNS | Select-Object Name, Status

Get-ADDomain | Select-Object DNSRoot, NetBIOSName, DomainMode

Üç servis de Running olmalı. Ardından yerleşik tanılama aracını çalıştırın:

dcdiag /c /v > C:\dcdiag.txt

nltest /dsgetdc:firma.local

dcdiag çıktısındaki testlerin tümü passed olmalı; Advertising, Services ve DNS testleri özellikle önemlidir.

DNS ve SYSVOL Kontrolü

AD'nin bel kemiği _msdcs bölgesindeki SRV kayıtlarıdır; eksiklerse istemciler DC'yi bulamaz:

nslookup -type=SRV _ldap._tcp.dc._msdcs.firma.local

dfsrmig /getmigrationstate

nslookup sorgusu DC'nizin adını ve 389 portunu döndürmeli. dfsrmig çıktısı Eliminated diyorsa SYSVOL çoğaltması DFS-R üzerinden sağlıklı yürüyor demektir.

İlk Yapılandırma Adımları

DC ayakta; artık üzerine ortamı kurmaya başlayabilirsiniz:

• OU yapısı: kullanıcı, bilgisayar ve grupları departman ya da konuma göre organizational unit'lere ayırın; GPO'lar bu yapıya bağlanır
• İkinci DC: tek DC, tek arıza noktasıdır; aynı ormana en az bir DC daha ekleyin
• Yedekleme: Windows Server Backup ile system state yedeği alın ve kurtarmayı bir kez deneyin
• Zaman kaynağı: PDC emulator rolündeki DC'yi dış bir NTP sunucusuna bağlayın

Küçük bir OU ve test kullanıcısı oluşturmak için:

New-ADOrganizationalUnit -Name "Kullanicilar" -Path "DC=firma,DC=local"

New-ADUser -Name "Ahmet Yilmaz" -SamAccountName "ahmet.yilmaz" `
  -UserPrincipalName "ahmet.yilmaz@firma.local" `
  -Path "OU=Kullanicilar,DC=firma,DC=local" `
  -AccountPassword (Read-Host "Parola" -AsSecureString) `
  -Enabled $true -ChangePasswordAtLogon $true

Sık Karşılaşılan Hatalar

• DNS'i modeme/ISS'e göstermek: DC'nin birincil DNS'i kendisi olmalı; dış çözümleme için DNS rolünde forwarder tanımlayın
• Kayıtlı alan adıyla birebir aynı iç ad: iç ad firma.com ile aynı olursa split-brain DNS derdine girersiniz
• Tek DC ile üretime çıkmak: ikinci DC olmadan bir donanım arızası tüm oturum açmaları durdurur
• DSRM parolasını unutmak: ntdsutil ile sıfırlanabilir ama felaket anında son isteyeceğiniz iş budur
• Sanal makinede zaman sapması: hipervizör ile Windows zaman servisi çakışırsa Kerberos biletleri reddedilir; VM entegrasyon servislerinde DC için zaman senkronunu kapatın

İlk domain controller, üzerine kuracağınız her şeyin temelidir: Group Policy, sertifika hizmetleri, dosya sunucusu izinleri, tek oturum açma. Temeli sağlam atınca gerisi eklenerek büyür. Bir sonraki yazıda ikinci DC ekleyip FSMO rollerini ve replikasyonu ele alacağız.