Active Directory Nedir?

Active Directory Nedir?

Active Directory; Microsoft’un Windows etki alanı ağlarında kullanım için tasarladığı kendi dizin hizmetidir. Ağ kaynaklarına erişmek ve erişim izinlerini yönetmek için kullanılan, Windows Server üzerinde birkaç hizmetten oluşan bir teknolojidir. Bu makalede “Active Directory nedir?” sorusuna yanıtlar aranacak ve bu teknolojiye özel adım adım temel bilgi verilmeye çalışılacaktır.

Active Directory Hizmeti Nedir?

Active Directory hizmeti, insanların isim, telefon, adres gibi bilgilerinin kaydedildiği bir rehber gibi çalışır. Ayrıca kimlik doğrulama ve yetkilendirme işlevlerinin yanı sıra, bu tür diğer hizmetler için bir kullanım çerçevesi de sağlar. Aslında ağ bağlantılı nesneler içeren bir Lightweight Directory Access Protocol – LDAP veritabanıdır. İş gereksinimlerine göre kimlikleri güvenli ve avantajlı bir şekilde kullanılmasına yardımcı olan farklı roller, özellikler ve bileşenler ile donatılmıştır.

Active Directory hizmeti:

• Diğer dizin servislerine erişmek için kullanılan açık bir standart olan Lightweight Directory Access Protocol (LDAP) ile ağdaki kullanıcı nesneleri, bilgisayarlar ve hizmetler hakkında bilgi sağlar. Bu bilgileri güvenli bir veri tabanında saklar ve dizini yönetmek ve aramak için araçlar sunar,
• Kullanıcı hesaplarını ve kaynaklarını yönetmeye izin verir, bir kuruluşun ihtiyaç duyduğu şekilde tutarlı politikalar uygular.
• Secure Sockets Layer (SSL) ve Kerberos tabanlı kimlik doğrulama ilkelerini kullanarak güvenlik protokolü uygular,
• Daha iyi ölçeklenebilirlik sağlamak için eş zamanlı güncellemeleri olan birden fazla sunucuda veri kullanılabilirliği avantajlarını sağlar.

Active Directory Tarihçesi

Teknoloji için başlangıç, 1988 yılında ITU Telecommunication Standardization Sector (ITU-T) kuruluşunun dizin servisleri yani directory services için yeni bir endüstri standardı geliştirmesi ve adını da X.500 vermesiyle olmuştur.

X.500 içinde Directory Access Protocol (DAP) tanımlanmış ve birçok alternatifi ile birlikte TCP/IP ağlarında kullanılabilir hale getirilmiştir. En popüler alternatif ise, LDAP – Lightweight Directory Access Protocol‘dür. Limitli bir kullanımla ilk versiyonu 1993 yılında yayınlandı. Michigan Üniversitesi tarafından 1995 yılında ilk bağımsız LDAP Daemon (slapd) sunucu yayınlandı. LDAP adı altında geliştirilmeye devam eden ve 1997 yılında yayınlandığında dikkatleri oldukça üzerine çeken LDAP – LDAPv3 aralarında Microsoft’un da bulunduğu birçok üretici tarafından geliştirilmeye başlandı. Microsoft, Active Directory ismiyle geliştirdiği servisi, Windows 2000 işletim sistemiyle birlikte 17 Şubat 2000 tarihinde piyasaya sürdü.

Active Directory ne işe yarar?

Sıkı güvenlik protokolleri ile korunan bir şirkete herhangi bir sebeple girilmek ve şirket içinde dolaşmak istenildiğinde, bir takım prosedürler ile karşılaşılması muhtemeldir.

Örneğin; bu standartlarda çalışan bir kuruluşa girilip, 2 ayrı binada bulunan insan kaynakları ve finans departmanları ile görüşülecek, tarafınızdan bilişim altyapılarına dair bir takım danışmanlık faaliyetleri icra edilecektir. Danışma bölümü tarafınıza birtakım sorular yöneltecek ve bir form doldurmanızı talep edecektir. Bu sorular, kimlik bilgileriniz, nerelere gideceğiniz ve kiminle görüşeceğiniz şeklinde olacaktır. Siz soruların cevabını verirken, onlar görüşülecek kişileri arayıp durumun teyidini yapacaktır. Eğer ziyaretiniz teyit edilirse doldurduğunuz formun üzerindeki seri numarasının eşleştirildiği bir manyetik geçiş kartı tarafınıza gideceğiniz binalar, katlar, asansörler ve odalar için yetkilendirilip verilecektir. Kartın nasıl kullanılacağı tarafınıza anlatılıp, ilgili bölümlere gidiş için müsaade edilecektir.

Doldurulan bu form AD servisi için özel bilgilerin girildiği bir uygulamaya benzetilebilir. Verilen manyetik kart ise benzersiz kimlik bilgileri olarak düşünülebilir. Bu kart ile başka bir binaya ya da yetki verilmemiş başka bir kata gidilmesi normal yollardan imkansızdır. Eğer bir başka binanın girişinden geçmeye çalışıldığı bir görevli tarafından fark edilirse, mevcut yetkiler kontrol edilip o alandan geçiş yetkisinin olmadığı tekrar tarafınıza anlatılır. Bu Active Directory sisteminin yetkilendirme mekanizması ile benzerlikler göstermektedir. Merkezi veri tabanında kimlik bilgileri doğrulanan bir kişi sistemde oturum açabilir, yetkisi doğrultusunda kaynaklara erişebilir.

Doğru bina ve doğru kapıdan giriş yapılmaya çalışıldığında sistem geçişe izin verecektir. Merkezi veri tabanına; geçiş için uğraşılan yanlış kapılardan geçiş istekleri ile birlikte, doğru kapılardan yapılan giriş-çıkış istekleri ve içeride geçirilen zaman kayıt edilecektir. Bu durumu yine Active Directory sisteminin, izin verilen zaman diliminde yetkili olunan sistemlere erişim istekleri ve bu isteklerin kayıt altına alınması işlemleriyle kıyaslamak doğru olacaktır.

Giriş-çıkış istekleri, yetkili alanlara giriş, farklı protokol ve standartlar ile kimlik bilgilerinin korunması, merkezi veri tabanında saklanması işleri Active Directory servisinin ana görevidir.

En önemli ortak yol insan kaynakları, bilgi teknolojileri, finans vb. disiplinlerinin rollerinin, varlıklarının ve sorumluluklarının birbirinden ayrı kalabilmesidir. Geçmiş tecrübelerin, bilgi ve becerilerin, yani kısacası tüm şirket kaynaklarının dışarıya çıkmaması, amacında kullanılması, kontrol edilebilir olması ve maksimum faydanın sağlanması işverenlerin ana hedefidir. Bu kaynaklar gerekli zamanda gerekli kişiler tarafından kullanılmalıdır. Büyük organizasyonlarda tüm kaynakların akılda ya da dağınık şekilde tutulması, erişime açılması, kontrol edilmesi, denetlenmesi mümkün olamayacak ve kısacası yönetilemeyecektir. Bu yüzden merkezi veri tabanları kullanılmaktadır. İşte bu Active Directory sisteminin yine ana karakteristiğidir.

Active Directory Avantajları ve Faydaları

Active Directory avantajları ve faydaları 8 başlıkta toplanabilir.

Merkezi Veri Tabanı (Centralized Data Repository)

Active Directory veri tabanı kullanıcıların, uygulamaların ve kaynakların kimlik bilgilerini merkezi bir veri tabanında depolar. Bu veritabanı dosyasına “ntds.dit” denir ve arka planında “Joint Engine Technology (JET)” kullanılır. Bu veri tabanındaki veriler herhangi bir domain controller tarafından değiştirilebilir. İnanması zor olsa da piyasadaki birçok veri tabanından farklı olarak Active Directory veri tabanı 2 milyardan fazla nesneyi saklayabilir. Kullanıcılar saklanan veriyi ağdaki herhangi bir yerden erişerek yetkileri doğrultusunda kullanabilir. Veri yapısı sayesinde, active directory yönetimi oldukça kolaylaştırılmıştır. Sistem yöneticileri kuruluşa ait kimlik bilgilerini, oturum açma ve yetki politikalarının tümünü merkezi bir yerden yönetebilirler.

Active Directory olmayan bir ortamda kimlik bilgileri her sistem ve bölge özelinde çoğaltılır. Bu şekilde de ekstra yönetimsel maliyetler oluşacaktır.

Veri Çoğaltma (Replication)

Birçok kuruluş tek bir domain controller ile çalışmaktadır. Ancak organizasyonların büyüyüp, yeni lokasyonların açıldığı ve ihtiyaçlar karmaşık hale geldiği durumlarda veri yedekliliği için birden fazla domain controller ihtiyacı doğacaktır. Eğer kimlik bilgileri merkezi bir sistem üzerinden yönetiliyorsa, her bir domain controller’ın AD veri tabanındaki değişikliklerden haberdar oluyor olması gerekir. Örneğin, İstanbul ofiste çalışan bir kullanıcı parolasını unuttu ve merkez ofiste yani Ankara’da çalışan bir bilgi teknolojileri görevlisinden şifresini değiştirmesi için ricada bulundu. Bilgi teknolojileri görevlisi şifreyi Ankara’da bulunan bir domain controller üzerinden değiştirecektir. Ancak bu verinin İstanbul ofisine doğru hemen kopyalanması gerekir ve kullanıcı bu sayede yeni parolası ile oturum açabilir.

Microsoft Active Directory iki tip replikasyon (veri çoğaltma) politikası kullanır:

• Outbound Replication
• Inbound Replication

Eğer bir domain controller kendisinde yapılan değişiklikleri komşu domain controller’lara gönderiyorsa buna “outbound replication (giden replikasyon)” denir. Tam tersi durumda yani bir domain controller komşusunda yapılan değişikleri kabul ediyorsa da buna “inbound replication (gelen replikasyon)” denir.

Erişilebilirlik (High Availability)

Bir sistemin erişilebilir olması kritik iş yapan organizasyonlarda çok önemlidir ve bu durum domain controller içinde geçerlidir. Başka sistemlerde erişilebilirliği sağlamak için yazılımsal ve donanımsal değişiklikler gerekirken, varsayılan olarak hata tolere edebilen domain controller’da ekstra bir değişikliğe gerek yoktur. Merkezi veri tabanı ve replikasyon teknolojileri ile birlikte kullanıcılar o an uygun durumda olan herhangi bir domain controller üzerinden oturum açabilir ve yetkileri doğrultusunda çalışabilirler.

Güvenlik (Security)

Modern iş hayatında veri ve kimlik yönetimi kanunlarla sıkıca korunan ve çok önemli bir hale gelmiştir. Active Directory geliştirildiği teknolojiler sayesinde ortaya çıkabilecek tehditlerde kimlik güvenliğini sağlar. Sağladığı farklı kimlik doğrulama metotları, group policy ve iş akışları ile kaynaklarınızı korur. Üstelik sizler için geliştirilen diğer uygulamalarda bu güvenlik metotlarını ve teknolojileri kullanabilirler. Yöneticilere bölüm ve gruplar için kolayca yazabilecekleri farklı güvenlik kuralları ile çalışma alanlarında korunma sağlar. Ayrıca kurumsal anlamda bağımsız veri ve ağ güvenliği standartları kullanmaya zorlar.

Denetlenebilirlik (Auditing)

Gelişmiş güvenlik politikaları oluşturmak, altyapıyı korumak için yeterli olmayacaktır. Periyodik denetimler, yeni güvenlik tehditlerinin anlanması ve önlem alınması için yardımcı olacaktır. Active Directory, kimlik altyapısında meydana gelen olayları yakalayabilmek ve denetlemek için olanak sağlar. Bunlar kullanıcı kimlik doğrulaması, dizin servisi değişiklikleri veya erişim ihlali ile ilgili olabilir. Ayrıca, merkezi bir konumdan veri toplanmasına yardımcı olur ve bu da kimlik doğrulama ve yetkilendirme sorunlarını etkili bir şekilde gidermek için yardımcı olacaktır.

Single Sign-On (SSO)

Bir organizasyonda onlarca farklı uygulama kullanılıyor olabilir ve bu uygulamaların tümü farklı kimlik doğrulama yöntemleri ile çalışıyor olabilir. Bu uygulamaları kullanan tüm kullanıcıların oturum açmak için gerekli olan kullanıcı adı, parola gibi bilgilerini yönetmek oldukça zor olabilir. Bir çok uygulama Active Directory ile entegrasyon için destek vermektedir. Bunun anlamı, Active Directory kimlik bilgileri ile bütün uygulamalarda oturum açılabilmesidir. Üstelik oturum açmak için sadece bilgisayar açılışında bir kere şifrenin girilmesi yeterli olacaktır ve uygulamalar için bir daha şifre girilmesi gerekmeyecektir.

Veritabanı Şeması (Database Schema)

Tüm veri tabanları şema olarak isimlendirilen kendilerine has bir yapıya sahiptir. Bu durum aynen Active Directory içinde geçerlidir. Şema Active Directory içindeki tüm nesneleri tanımlar. Eğer şema yapısına hakim olunabilirse, istenilen şekilde değiştirebilir ve esnetilebilir. Bu durum özellikle servis ile entegre çalışacak uygulama geliştirilirken önemlidir. Microsoft, Active Directory hizmetlerine farklı kaynaklardan erişebilmek için   “Component Object Model (COM)”, “Active Directory Service Interfaces (ADSI)” ara yüzlerini yayınlamıştır.  Bu sayede geliştirilen uygulamalar ile AD nesnelerinin entegrasyonu yapılabilir.

İndeksleme ve Sorgulama (Indexing & Querying)

Active Directory, merkezi veri tabanı yapısının korunarak, kullanıcıların ve uygulamaların nesneleri sorgulamasına ve doğru verileri almasına olanak sağlar. Eğer bir kullanıcının hesabına erişim gerekiyorsa, kullanıcının nerede ya da hangi bölümde çalıştığının bir önemi olmaksızın her yerden erişilebilir.