RODC ile Şube Ofisi Kurulumu

Şube ofisine SUBE-RODC01 adında bir Read-Only Domain Controller kuruyoruz. Staged install, yetki devri, Password Replication Policy ve parola önbelleğini doğrulama adımları bu rehberde.

Fiziksel güvenliği zayıf bir şube ofisine tam yetkili bir Domain Controller koymak risklidir; sunucu çalınırsa tüm domain'in parola hash'leri de gider. Öte yandan şubede hiç DC olmazsa, WAN hattı koptuğunda kullanıcılar oturum açamaz. Bu iki sorunun ortasındaki çözüm Read-Only Domain Controller (RODC)'dir. Bu yazıda firma.local domain'inin şube ofisine SUBE-RODC01 adında bir RODC kuracak ve hangi parolaların şubede saklanacağını belirleyeceğiz.

RODC Neyi Farklı Yapar?

RODC, AD veritabanının salt okunur bir kopyasını tutar. Temel farkları şunlardır:

• Tek yönlü replikasyon: RODC yalnızca yazılabilir DC'lerden (DC01, DC02) veri alır, hiçbir değişikliği geri göndermez.
• Varsayılan olarak parola saklamaz: Kullanıcı parolaları yalnızca Password Replication Policy izin veriyorsa önbelleğe alınır.
• Yetki ayrımı: Şubedeki yerel bir yöneticiye, Domain Admin yetkisi vermeden RODC sunucusunun yönetimini devredebilirsiniz.
• Salt okunur DNS: RODC üzerindeki DNS zone'ları da salt okunurdur; istemcilerin kayıt güncellemeleri yazılabilir bir DC'ye yönlendirilir.
• Filtered Attribute Set: Hassas olarak işaretlenen öznitelikler RODC'ye hiç kopyalanmaz.

Ön koşullar: forest functional level en az Windows Server 2003 olmalı ve aynı domain'de en az bir yazılabilir Windows Server 2008 veya üzeri DC bulunmalıdır. Forest'ınız eski bir sürümden yükseltildiyse bir kez adprep /rodcprep çalıştırmanız gerekebilir; sıfırdan kurulan ortamlarda buna gerek yoktur.

Hazırlık: Site ve Gruplar

RODC'nin şube kullanıcılarına hizmet verebilmesi için doğru siteye yerleşmesi gerekir. Sites and Services yazısında şube için oluşturduğumuz Sube sitesini (192.168.2.0/24) kullanacağız. RODC'ye bu subnet'ten bir IP adresi verin.

Önce şube kullanıcıları, şube bilgisayarları ve RODC yöneticisi için grupları oluşturalım:

New-ADGroup -Name "Sube-Kullanicilar" -GroupScope Global -GroupCategory Security `
    -Path "OU=Kullanicilar,OU=Firma,DC=firma,DC=local"
New-ADGroup -Name "Sube-Bilgisayarlar" -GroupScope Global -GroupCategory Security `
    -Path "OU=Bilgisayarlar,OU=Firma,DC=firma,DC=local"
New-ADGroup -Name "Sube-RODC-Yoneticileri" -GroupScope Global -GroupCategory Security `
    -Path "OU=Kullanicilar,OU=Firma,DC=firma,DC=local"

Add-ADGroupMember -Identity "Sube-RODC-Yoneticileri" -Members "sube.admin"

Şube bilgisayarlarını da gruba eklemeyi unutmayın. Bilgisayar hesaplarının parolası önbellekte değilse, WAN koptuğunda bilgisayarın kendisi domain'e kimlik doğrulayamaz.

Staged Install: Önce Hesap, Sonra Sunucu

Şubede Domain Admin bulunmadığında en temiz yöntem staged install'dur. Merkezdeki yönetici RODC hesabını önceden oluşturur, şubedeki yetkili kişi sunucuyu bu hesaba bağlar.

Merkezde RODC Hesabını Oluşturmak

DC01 üzerinde Domain Admin yetkisiyle:

Add-ADDSReadOnlyDomainControllerAccount `
    -DomainControllerAccountName "SUBE-RODC01" `
    -DomainName "firma.local" `
    -SiteName "Sube" `
    -DelegatedAdministratorAccountName "FIRMA\Sube-RODC-Yoneticileri" `
    -AllowPasswordReplicationAccountName "FIRMA\Sube-Kullanicilar", "FIRMA\Sube-Bilgisayarlar" `
    -InstallDns

Hesap artık Domain Controllers OU'sunda "Unoccupied DC account" olarak görünür. Bu hesap, gerçek bir sunucu bağlanana kadar boş bir kabuktur.

Şubede Kurulumu Tamamlamak

Şubedeki sunucuya Windows Server kurun, adını SUBE-RODC01 yapın, sabit IP verin ve DNS olarak merkezdeki DC01/DC02 adreslerini girin. Sunucu domain'e katılmamış olmalıdır. Ardından:

Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools

Install-ADDSDomainController `
    -DomainName "firma.local" `
    -UseExistingAccount `
    -Credential (Get-Credential "FIRMA\sube.admin") `
    -SafeModeAdministratorPassword (Read-Host -AsSecureString "DSRM parolasi")

sube.admin Domain Admin olmadığı halde, hesap oluşturulurken yetki devredildiği için kurulumu tamamlayabilir. Sunucu yeniden başladıktan sonra RODC olarak çalışır.

Tek Adımda Kurulum

Şubede Domain Admin yetkisine sahipseniz iki adımı birleştirebilirsiniz:

Install-ADDSDomainController `
    -DomainName "firma.local" `
    -ReadOnlyReplica `
    -SiteName "Sube" `
    -InstallDns `
    -ReplicationSourceDC "DC01.firma.local" `
    -DelegatedAdministratorAccountName "FIRMA\Sube-RODC-Yoneticileri" `
    -AllowPasswordReplicationAccountName "FIRMA\Sube-Kullanicilar", "FIRMA\Sube-Bilgisayarlar" `
    -Credential (Get-Credential "FIRMA\Administrator") `
    -SafeModeAdministratorPassword (Read-Host -AsSecureString "DSRM parolasi")

Password Replication Policy (PRP)

PRP, RODC'nin hangi hesapların parolasını önbelleğe alabileceğini belirler. İki temel grup vardır:

• Allowed RODC Password Replication Group: Bu gruptaki hesapların parolası tüm RODC'lerde önbelleğe alınabilir. Varsayılan olarak boştur.
• Denied RODC Password Replication Group: Domain Admins, Enterprise Admins, Schema Admins, Cert Publishers ve krbtgt gibi hassas hesapları içerir. Deny her zaman Allow'u ezer.

Bu genel grupları kullanmak yerine, yukarıda yaptığımız gibi her RODC'ye özel izin listesi tanımlamak daha güvenlidir. Mevcut politikayı görüntüleyin:

Get-ADDomainControllerPasswordReplicationPolicy -Identity "SUBE-RODC01" -Allowed
Get-ADDomainControllerPasswordReplicationPolicy -Identity "SUBE-RODC01" -Denied

Listeye sonradan grup eklemek veya çıkarmak için:

Add-ADDomainControllerPasswordReplicationPolicy -Identity "SUBE-RODC01" `
    -AllowedList "Sube-Kullanicilar"

# Merkezdeki IT yoneticilerinin parolasi subede asla saklanmasin
New-ADGroup -Name "IT-Yoneticileri" -GroupScope Global -GroupCategory Security `
    -Path "OU=Gruplar,OU=Firma,DC=firma,DC=local"
Add-ADDomainControllerPasswordReplicationPolicy -Identity "SUBE-RODC01" `
    -DeniedList "IT-Yoneticileri"

Remove-ADDomainControllerPasswordReplicationPolicy -Identity "SUBE-RODC01" `
    -AllowedList "Sube-Bilgisayarlar"

Parola Önbelleğini Kontrol Etmek ve Doldurmak

Bir kullanıcının parolası, ancak o kullanıcı RODC üzerinden ilk kez oturum açtığında önbelleğe alınır. Hangi hesapların parolasının RODC'de saklandığını ve hangilerinin RODC üzerinden kimlik doğruladığını görmek için:

Get-ADDomainControllerPasswordReplicationPolicyUsage -Identity "SUBE-RODC01" -RevealedAccounts
Get-ADDomainControllerPasswordReplicationPolicyUsage -Identity "SUBE-RODC01" -AuthenticatedAccounts

AuthenticatedAccounts listesinde olup RevealedAccounts listesinde olmayan hesaplar, PRP'ye takılan hesaplardır. Bu liste, izin listesine kimi eklemeniz gerektiğini gösterir.

WAN kesintisinden önce parolaları önceden doldurmak isterseniz repadmin kullanın:

repadmin /rodcpwdrepl SUBE-RODC01 DC01 "CN=Ayse Demir,OU=Kullanicilar,OU=Firma,DC=firma,DC=local"
repadmin /rodcpwdrepl SUBE-RODC01 DC01 "CN=PC01,OU=Bilgisayarlar,OU=Firma,DC=firma,DC=local"

Hesap PRP'de izinli değilse komut hata verir; bu da politikanızın doğru çalıştığını gösterir.

RODC Çalınırsa Ne Yapılır?

Şubedeki sunucu çalındığında veya ele geçirildiğinde, dsa.msc içinde Domain Controllers OU'sundaki SUBE-RODC01 hesabını silin. Silme sırasında açılan pencerede şu seçenekleri işaretleyin:

• Reset all passwords for user accounts that were cached on this RODC: Önbellekteki kullanıcı parolalarını sıfırlar.
• Reset all passwords for computer accounts that were cached on this RODC: Bilgisayar hesaplarını sıfırlar.
• Export the list of accounts: Etkilenen hesapların listesini dosyaya yazar.

Her RODC'nin kendine ait bir krbtgt_XXXXX hesabı vardır. RODC silindiğinde bu hesap da silinir, böylece RODC'nin ürettiği Kerberos biletleri geçersiz olur.

Sık Karşılaşılan Hatalar

• Sunucuyu önceden domain'e katmak: Staged install, workgroup'taki bir sunucu bekler. Sunucuyu domain'den çıkarıp tekrar deneyin.
• Sunucu adının hesapla eşleşmemesi: UseExistingAccount önceden oluşturulan adı arar. Bilgisayar adı birebir SUBE-RODC01 olmalıdır.
• Yalnızca kullanıcıları izin listesine eklemek: WAN koptuğunda bilgisayarlar domain'e doğrulanamaz. Şube bilgisayar hesaplarını da PRP'ye ekleyin.
• Yöneticileri izin listesine almak: Domain Admin parolasının şubede saklanması RODC'nin amacını ortadan kaldırır. Ayrıcalıklı hesaplar Denied grubunda kalmalı.
• İstemcilerin DNS kaydı yapamaması: RODC'deki DNS salt okunurdur; güncellemeler yazılabilir DC'ye gider. Replikasyon gelene kadar yeni kayıtlar şubede gecikmeli görünebilir.
• RODC'ye değişiklik yazmaya çalışmak: RODC yazma işlemlerini kabul etmez. GPMC varsayılan olarak PDC Emulator'a bağlanır; ADUC'de ise Change Domain Controller ile yazılabilir bir DC seçin. WAN kapalıyken değişiklik yapılamaz.

Bir sonraki yazıda ayrıcalıklı hesapları korumaya geçiyor; Protected Users grubunu, AdminSDHolder'ı ve krbtgt parola sıfırlamayı ele alıyoruz.