6.5 Active Directory

Administration → Settings → Active Directory. Ada’yı LDAPS üzerinden Active Directory’ye bağlar. Bağlantı üç şey için kullanılır: AD hesaplarıyla konsola oturum açma, Groups ve Users seçicilerinde AD grup/kullanıcı/bilgisayarlarının canlı aranması ve her ajan makinesinde oturum açmış kullanıcının grup üyeliklerinin çözümlenmesi (politika grubu hedefleme).

Sayfada görünenler

Directory server kartı en fazla bir dizin satırı içerir:

• Ad (Display name veya Active Directory sign-in).
• Birincil DC URL’sini gösteren bir rozet; ikincil DC ayarlıysa · +1 failover DC, ek etki alanları için · +N domains eklenir.
• Dizin kapalıyken bir disabled rozeti.
• Dizini hemen açan veya kapatan bir anahtar (saklanan parola ve sertifika korunur).
• Edit (kalem) ve Delete (çöp kutusu) simgeleri.

Yapılandırılmış dizin yokken kart No directory yet — click “Add server” to enable AD sign-in. iletisini ve bir + Add server düğmesini gösterir.

AD ile oturum açma nasıl çalışır

1. Hizmet hesabı DC’ye bağlanır (bind) ve Base DN alt ağacında, {u}’nun kaçışlanmış kullanıcı adıyla değiştirildiği User search filter ile arama yapar. Tam olarak bir girdi eşleşmelidir; sıfır veya birden çok eşleşme başarısız oturum açma sayılır.
2. Ada, yazılan parolayla kullanıcı olarak bağlanır. Parolayı yalnızca DC doğrular; Ada parolayı asla saklamaz.
3. Ada, kullanıcının iç içe grup üyeliklerini (LDAP_MATCHING_RULE_IN_CHAIN kuralıyla tüm düzeyler), birincil grubunu (örneğin Domain Users) ve kullanıcının kendi SID’ini okur.
4. Bu SID’ler Administration → Users → Active Directory access altındaki rol atamalarıyla karşılaştırılır. Administrator, Auditor’a üstün gelir. Hiçbiriyle eşleşmeyen kullanıcı Your account is not authorized for the Ada console. iletisiyle reddedilir.

Bir AD kullanıcısının konsol oturumu, kullanıcı adı olarak kullanıcının UPN’sini taşır. Parola ve hesap politikası (süre dolumu, kilitleme) etki alanında kalır.

Dizini yapılandırma

1. AD’de salt okunur bir hizmet hesabı oluşturun (örneğin svc-ada-ldap). Bu hesap yalnızca kullanıcı ve grup arar.
2. Ada sunucusunun her DC’ye TCP 636 üzerinden erişebildiğinden ve DC’lerin bir LDAPS sertifikası olduğundan emin olun.
3. + Add server’a (veya mevcut satırdaki kaleme) tıklayın.
4. Aşağıdaki alanları doldurun. Enabled kutusunu işaretleyin: yeni bir dizin devre dışı başlar.
5. Test connection’a tıklayın. Bildirilen hataları (DNS, güvenlik duvarı, sertifika, hizmet hesabı parolası) giderin.
6. Save’e tıklayın. İleti Saved. Users can now sign in with their AD accounts. olur (etkin değilse AD ile oturum açmanın devre dışı kaldığını belirtir).
7. Administration → Users → Active Directory access sayfasına gidin ve Administrator ile Auditor rollerini atayın (bölüm 7.3). O zamana kadar hiçbir AD kullanıcısı oturum açamaz.
8. Doğrulamak için gizli bir tarayıcı penceresinde bir AD hesabıyla bir kez oturum açın.

Alan başvurusu — varsayılan etki alanı

Sertifika sabitleme. Bir PEM yapıştırıldığında LDAPS yalnızca o sertifikaya ve ona zincirlenen sertifikalara güvenir; ana makine adı denetimi gevşetilir (güveni imza sağlar). Tek bir PEM her iki DC’ye de hizmet eder; bu nedenle birincil ve ikincil DC’lerin farklı sertifikaları varsa, tek bir DC’nin sertifikası yerine veren CA’yı (örneğin kurumsal kök CA) yapıştırın. PEM yoksa DC sertifikası, sunucunun zaten güvendiği bir CA’ya (genel CA’lar ve kurulumda ADA_EXTRA_CA_CERTS olarak verilen kurumsal CA paketi) zincirlenmeli ve URL’deki ana makine adıyla eşleşmelidir. TLS 1.2 veya üzeri gereklidir; sertifika hataları asla yok sayılmaz.

Birden çok etki alanı veya orman

Bağlantı alanları varsayılan etki alanını tanımlar. Domains → Additional domains altında + Add domain, kendi DC’leriyle başka bir etki alanı veya orman ekler. Her satır, Test connection sonrasında bir sınama rozeti (OK, degraded veya failed) ve kaldırmak için bir çöp kutusu simgesi gösterir.

Kurallar:

• Makineler, ajanlarının bildirdiği NetBIOS adı, DNS adı veya DNS sonekine göre bir etki alanıyla eşleştirilir; hiçbiriyle eşleşmeyen makine varsayılan etki alanını kullanır. Windows ajanları 1.3.83 ve sonrası kullanıcının SID’ini de bildirir; böylece kullanıcı SID ile aranır ve iki etki alanındaki aynı kullanıcı adı asla karıştırılmaz.
• Konsola oturum açma: DOMAIN\user veya user@dns.name etki alanını seçer. Yalın bir kullanıcı adı tam olarak bir etki alanında bulunmalıdır.
• Grup ve kullanıcı hedefleri SID olarak saklanır; bu nedenle etki alanı eklendiğinde politika gruplarının değişmesi gerekmez.
• Ormanlar arası güven (yabancı güvenlik sorumluları) üzerinden verilen grup üyelikleri değerlendirilmez; her kullanıcının grupları kullanıcının kendi etki alanında okunur.
• Test connection her etki alanını sınar ve her birinin sonucunu kendi satırının altında bildirir.

Bağlantı sınaması sonuçları

Sınama, yan paneldeki değerleri kullanır (boş parolalar saklanan parolalara geri döner); böylece kaydetmeden önce sınayabilirsiniz. Bağlantı zaman aşımı DC başına 8 saniyedir. Her sınama, AD bileşeninin System kaydına yazılır.

Davranış

• Save hemen uygulanır; değişiklikler bir sonraki oturum açmada etkili olur. Kaydetme anında bir sağlık denetimi başlatır.
• Sağlık: bağlantı her 5 dakikada bir, her Save sonrasında ve bir AD oturum açma dizine ulaşamadığında denetlenir. Durum ve geçmiş Administration → System ve Status sayfalarında gösterilir. Kopan bağlantı ad_connection_lost, yeniden kurulan bağlantı ad_connection_restored yazar (uyarı kategorisi Service health).
• Yük devretme: ikincil DC yalnızca birincile erişilemediğinde denenir. Bir DC’den gelen yanlış parola yanıtı kesindir ve başka bir DC’de yeniden denenmez.
• Politika grupları için grup çözümlemesi: ajan sinyallerinde (heartbeat) sunucu, oturum açmış kullanıcının grup SID’lerini çözümler ve yaklaşık 10 dakika (±%10) önbellekte tutar; böylece bir AD grup değişikliği makinelere yaklaşık 11 dakika içinde ulaşır. Aynı anda en fazla dört sorgu çalışır. Yerel hesaplar ve etki alanına katılmamış makineler asla AD grubu almaz.
• DC kesintisi: makineler, sunucu yeniden başlatmaları dahil, son bilinen AD gruplarını korur; böylece AD’ye hedeflenmiş politika grupları Default’a düşmez. Bir etki alanında art arda üç sorgu hatasından sonra o etki alanındaki sorgular 60 saniye duraklatılır. Grupları hiç çözümlenmemiş bir makine, DC yanıt verene kadar yedek grubunda kalır.
• Kesinti sırasında konsola oturum açma: AD hesapları oturum açamaz (…Active Directory could not be reached, so directory accounts cannot sign in right now.); yerel hesaplar, Local password sign-in ayarı ne olursa olsun acil durum (break-glass) hesapları olarak çalışmaya devam eder (bölüm 6.8). DC’ye erişilemezken yalnız AD’de bulunan kullanıcıların başarısız denemeleri kilitlemeye sayılmaz.
• Devre dışı bırakma ve silme: satır anahtarı AD ile oturum açmayı ve grup çözümlemesini devre dışı bırakır, ancak yapılandırmayı korur. Delete yapılandırmayı kaldırır; herhangi bir AD grubu veya kullanıcısının hâlâ bir konsol rolü varken reddedilir (önce Users → Active Directory access altında bunları kaldırın). Her iki durumda da makineler en son çözümlendikleri AD gruplarını korur.
• Değişen her alanı listeleyen denetim olayı directory_config_changed (parolalar veya sertifika içerikleri asla yazılmaz).