Aşağıdaki makale size yardımcı olacaktır:FSMO Rolleri nedir ve Active Directory’deki FSMO Rolleri nelerdir?
Önce şunu anlayalım:
Aktif Dizin nedir?
Microsoft’un tescilli dizin hizmeti Active Directory’dir (AD). Windows Server üzerinde çalışır ve yöneticilerin ağ haklarını ve erişimi yönetmesine izin verir.
Active Directory’deki veriler nesneler olarak depolanır. Kişi, grup, uygulama veya yazıcı gibi bir aygıt gibi tek bir öğeye nesne denir. Genellikle nesneler, yazıcılar veya bilgisayarlar gibi kaynaklar veya kişiler veya gruplar gibi güvenlik ilkeleri olarak tanımlanır.
Peki! Öyleyse, FSMO Rolleri ile başlayalım
İçindekiler:
FSMO Rolleri nedir?
FSMO (Esnek tek ana işlem), düzenli veri taşıma ve güncelleme yöntemlerinin yetersiz kaldığı durumlarda özelleştirilmiş bir etki alanı denetleyicisi işi olarak hizmet veren bir Microsoft Active Directory yeteneğidir.
Kendilerini çok yöneticili çoğaltmaya uyarlamayan görevler, yalnızca esnek tek yöneticili işlemler olarak gerçekleştirilebilir.
Tek bir yönetici, çok yöneticili kurulumlarda birkaç operatörü kontrol eder. Tek bir etki alanı denetleyicisinde birkaç eylem gerçekleştirilerek bu sorunun üstesinden gelinir.
Tek bir etki alanı denetleyicisi, belirli bir işlemin işlevini üstlenir ve bu etkinlik için tek yönetici olarak hizmet eder. Bu faaliyetler, esnek tek yöneticili işlemler olarak bilinir.
FSMO Rolleri Active Directory’de nasıl çalışır?
AD, Şubat 2000’de Windows 2000 sunucu sürümüyle resmen tanıtıldı. Bir nesneye ve onun ağlarına ilişkin tüm veri ve bilgiler bu erişim kontrol hizmeti tarafından saklanır.
AD nesneleri, bireyleri, grupları, bilgisayarları ve yazıcıları içerir. Bu nesnelerin her biri, kendisine atfedilen benzersiz bir dizi özelliğe sahiptir.
Active Directory, etki alanlarını, ağaçları ve bir ormanı içeren hiyerarşik bir yapıya sahiptir.
- İhtisas: Kişiler, gruplar, dosya sunucuları, bilgisayarlar ve yazıcılar gibi öğeleri içerir.
- Ağaç: Bir etki alanı kümesidir. ‘Güvenler’, çeşitli alanlardaki nesnelerin birbirleriyle ilişki kurmasına izin verir.
- Orman: En üst düzey kategoridir ve bir ağaç koleksiyonundan oluşur. Çeşitli ormanlardan gelen nesneler birbirleriyle iletişim kuramaz, bu da ormanlar arasındaki veri ve bilgi paylaşımını sınırlar.
Active Directory yöneticileri, birden çok nesne ayrıcalığı ve ağ erişimi sağlama gücüne sahiptir.
Bir yöneticinin sorumluluklarından biri, ağı kötü niyetli saldırılara karşı korumak ve işletmeyi herhangi bir ihlale karşı güvende tutmaktır. Active Directory’nin güvenlik önlemleri değişti.
FSMO Rollerinin Amacı
Gereklilik:
Birden çok yükseltme ve ilerleme olmasına rağmen, Active Directory’de sorunlar var. Temel sorun, birkaç somatik ve bilişsel olduğunda, DC’ler ayarlamaları kimin uygulayacağı konusunda tartışırken, değişikliklerle başa çıkmada fazlalık olmasıydı. Bu, değişiklik taleplerinin muhtemelen göz ardı edileceği anlamına geliyordu.
Microsoft’un çözümü:
Microsoft, bunu düzeltmek için bir etki alanı denetleyicisinin doğrulamayı ve diğer etki alanı denetleyicilerinin güncellemeleri ele aldığı “Tek Ana Model” ile geldi.
Büyük bir gelişme olmasına rağmen, hala sorunlar vardı. Ana etki alanı denetleyicisi kullanılamıyorken hiçbir ayarlama gerçekleştirilemez.
Microsoft, bu zorlukların üstesinden gelmek için 2003 yılında etki alanı denetleyicileri için Esnek Tek Yönetici İşlemi (FSMO) Rolleri geliştirmiştir. Etki alanı denetleyicilerinin her birine farklı roller verilir.
Bir etki alanı denetleyicisinde atanmış rol yok. Bir arıza durumunda, başka bir etki alanı denetleyicisi başarısız olanın yerini alır.
FSMO Rolleri nelerdir? Aktif Dizinde?
Active Directory’deki beş FSMO rolünün listesi aşağıdadır:
- Şema Yöneticisi FSMO Rolü
- Etki Alanı Adlandırma Yöneticisi FSMO Rolü
- Göreceli Kimlik (RID) Ana FSMO Rolü
- Birincil Etki Alanı Denetleyicisi (PDC) Öykünücüsü FSMO Rolü
- Altyapı Yöneticisi FSMO Rolü
İlk iki rol, orman düzeyinde Şema Yöneticisi ve Etki Alanı Adlandırma Yöneticisi iken, son üç işlev (RID Yöneticisi, PDC Öykünücüsü ve Altyapı Yöneticisi) Etki Alanı düzeyindedir.
Şema Yöneticisi FSMO Rolü
Active Directory şema yükseltmesi, Şema Yöneticisi FSMO rolünün sorumluluğundadır. Klasör nesneleriyle kullanım için bir dizi nitelik, Active Directory şemasını oluşturur.
Şema, özelliklerin (grup sahibi, telefon numarası ve üye kimliği gibi) yanı sıra sınıfları (kategori, bireysel veya msPKI-Key-RecoveryAgent gibi) içerir.
Dizin şemasına yönelik değişiklikler, yalnızca Schema Master fsmo rolüne sahip bir DC tarafından gerçekleştirilebilir. Etki alanındaki diğer tüm Etki Alanı Denetleyicileri, değiştirilmiş şemayı Şema Yöneticisinden çoğaltma yoluyla alır. Bir ormanda yalnızca bir Şema Yöneticisi vardır.
Şema Yöneticisi fsmo rolü, Exchange’i yüklemek veya bir ormanın işlev düzeyini yükseltmek amacıyla Active Directory şemasını artırmak için kullanılabilir.
Etki Alanı Adlandırma Yöneticisi FSMO Rolü
Etki alanlarının Active Directory’den eklenmesi ve silinmesi, Etki Alanı Adlandırma Yöneticisi fsmo rolü tarafından gerçekleştirilir. Bu rolle bir ormanda aynı etki alanlarını oluşturmanıza izin verilmez.
Bu, her etki alanı web adresinin farklı olmasını sağlar. Bu fsmo rolünün varlığında, etki alanları Active Directory’ye dağıtılamaz veya Active Directory içinde geri çekilemez.
Ek olarak, bu fsmo rolü, etki alanı çapraz bağlantılarını dış dizinlerden ekleme ve silme yeteneğine sahiptir.
Göreceli Kimlik Ana FSMO Rolü
Göreceli tanımlayıcılardan (RID’ler) oluşan bir koleksiyon, bir Göreceli Kimlik Ana Fsmo rolü tarafından her DC’ye dağıtılır. Etki Alanı Denetleyicisi, kişi veya kuruluş gibi bir nesne oluşturduğunda, ona SID (Güvenlik Tanımlaması) adı verilen özel bir kimlik verir. Bir SID aşağıdaki gibi biçimlendirilmelidir:
SRX-Y1-Y2-Yn-1-Yn
Bir kişinin ulusal kimlik numarasına benzer bir SID’dir. Özgündür ve kopyalanması imkansızdır. Bir öğenin SID’si, kendisine verilen izinler ve ayrıcalıklarla ilişkilendirilir.
Koruyun ve Güvenceye Alın: Etik Hacking Kursumuza Şimdi Katılın!
PDC Emülatörü FSMO Rolü
PDC Öykünücüsü FSMO Rolü aşağıdaki işlevleri gerçekleştirebilir:
Zaman senkronizasyonu:
Bir şirkette zamanı pekiştirir. Etki alanındaki tüm Etki Alanı Denetleyicilerinin saatleri, PDC Emulator fsmo rolünü oynayan etki alanı denetleyicisi tarafından eşitlenir. Çoklu Active Directory ormanında, Birincil Etki Alanı Denetleyici Öykünücüsü fsmo rolüne sahip Etki Alanı Denetleyicileri, ana etki alanındaki Birincil Etki Alanı Denetleyici Öykünücüsü ile saatini koordine eder.
DC’ler Kullanılarak Gerçekleştirilen Şifre Değişiklikleri:
Diğer etki alanı denetleyicileri tarafından yapılan parola güncellemeleri, Birincil Etki Alanı Denetleyici Öykünücüsüne kopyalanır. Bir DC, geçersiz bir parola nedeniyle kimlik doğrulamasında başarısız olduğunda, başarısızlık, doğrulamak için isteği en son parolayla karşılaştıran Birincil Etki Alanı Denetleyici Öykünücüsü fsmo rolüne gönderilir.
Hesap Kilitleme, diğer DC’lere çoğaltılır:
Birincil Etki Alanı Denetleyici Öykünücüsü, hesaplar kilitliyken de kullanışlıdır. Hesap kilitlenmeleri, yinelenen tek nesne yaklaşımı kullanılarak anında diğer Etki Alanı Denetleyicilerine kopyalanır. Sonuç olarak, kilitli hesaplar başka bir Etki Alanı Denetleyicisine erişemez.
Kontrol Grubu İlkesi:
Grup İlkesi Yönetim Konsolu (GPMC) yardımcı programı, grup ilkesini yönetmekten sorumludur. Grup İlkesi Yönetim Konsolu, Active Directory’de değişiklikler gerçekleştirmek için Birincil Etki Alanı Denetleyici Öykünücüsü fsmo rolünü kullanarak etki alanı denetleyicisine bağlanır. Birincil Etki Alanı Denetleyici Öykünücüsüne erişilemiyorsa, GPMC üzerinden alternatif bir Etki Alanı Denetleyicisi seçmeniz istenecektir.
Altyapı Yöneticisi FSMO Rolü
Bir nesnenin başka bir etki alanına bağlantısı, onun tarafından belirlenir:
- DN (ayırt edici isim)
- GUID (Global Olarak Benzersiz Tanımlayıcı)
- SID (Güvenlik Tanımlaması)
Etki alanları arası nesne örneğinde SID’yi güncellemek ve bir öğenin adını farklılaştırmak, Altyapı Yöneticisine ait görevlerdir. Ayrıca bu iş, orman etki alanları arasında DNS, SID’ler ve GUID’leri aktarır.
Çözüm
FSMO, etki alanınızın, kullanıcıların ve izinlerin kimliğini doğrulama temel görevini kesinti olmadan (ağın açık kalması gibi standart uyarılarla) yerine getirebilmesini sağlar.
Active Directory FSMO sorumlulukları, AD’nin amaçlandığı gibi çalışmaya devam etmesini sağlamak için çok önemlidir. Çoğu zaman FSMO rolleri hakkında endişelenmenize gerek olmasa da, zamanı geldiğinde nasıl çalıştıklarını kavramak yine de çok önemlidir!
