Domain Controller Kurulumu

Domain Controller (DC), Microsoft Active Directory Domain Services (AD DS) altyapısının temel bileşenidir. Kullanıcı hesaplarının, bilgisayarların, güvenlik politikalarının ve kimlik doğrulama işlemlerinin merkezi olarak yönetilmesini sağlar. Doğru yapılandırılmış bir Domain Controller, hem güvenliği artırır hem de kurum içindeki BT operasyonlarını önemli ölçüde kolaylaştırır.

Kurumsal yapılarda Domain Controller kurulumu yalnızca Windows Server yüklemekten ibaret değildir. DNS, Active Directory, zaman senkronizasyonu, FSMO rolleri, Grup İlkeleri (GPO), replikasyon ve güvenlik yapılandırmaları birlikte değerlendirilmelidir.

Domain Controller Nedir?

Domain Controller, Active Directory veritabanını (NTDS.dit) barındıran ve etki alanındaki kullanıcıların kimlik doğrulamasını gerçekleştiren Windows Server’dır.

Başlıca görevleri:

• Kullanıcı kimlik doğrulama (Kerberos ve NTLM)
• Active Directory yönetimi
• Grup İlkeleri (Group Policy)
• DNS entegrasyonu
• LDAP servisleri
• Bilgisayar yönetimi
• Güvenlik politikalarının uygulanması

Active Directory bulunan yapılarda kullanıcıların bilgisayarlara giriş yapabilmesi büyük ölçüde Domain Controller’ın çalışmasına bağlıdır.

Domain Controller Kullanım Alanları

Domain Controller aşağıdaki ortamlarda yaygın olarak kullanılır:

• Kurumsal şirket ağları
• Kamu kurumları
• Üniversiteler
• Hastaneler
• Fabrikalar
• Belediye bilgi işlem merkezleri
• Çok şubeli işletmeler

• Veri merkezleri

Kurulum Öncesi Gereksinimler

Kuruluma başlamadan önce aşağıdaki hazırlıklar yapılmalıdır.

Gereksinim	Açıklama
Windows Server	2022 veya 2025 önerilir
Statik IP	Zorunludur
Sunucu Adı	Kurulum öncesinde belirlenmelidir
DNS	Yerel DNS kullanılmalıdır
Saat Senkronizasyonu	NTP doğru yapılandırılmalıdır
Disk Yapısı	NTFS önerilir
Yönetici Yetkisi	Local Administrator

Önerilen Sunucu Kaynakları

Küçük ölçekli işletmeler:

• 2 vCPU
• 8 GB RAM
• 120 GB SSD

Orta ölçekli işletmeler:

• 4 vCPU
• 16 GB RAM
• 250 GB SSD

Büyük yapılarda:

• Ayrı fiziksel Domain Controller
• Yedek Domain Controller
• RAID yapılandırması
• Düzenli yedekleme

Domain Controller Kurulumu

1. Sunucu Adını Değiştirin

Kurulum öncesinde sunucu adı belirlenmelidir.

Örneğin:

DC01

2. Statik IP Tanımlayın

Örnek:

IP:

192.168.1.10

 

Subnet:

255.255.255.0

 

Gateway:

192.168.1.1

 

Preferred DNS:

192.168.1.10

Kurulum sonrasında DNS olarak yine kendi IP adresi kullanılmalıdır.

3. Active Directory Domain Services Rolünü Kurun

Server Manager

↓

Add Roles and Features

↓

Role-based installation

↓

Active Directory Domain Services

↓

Install

PowerShell ile:

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

4. Sunucuyu Domain Controller’a Yükseltin

Kurulum tamamlandıktan sonra:

Promote this server to a domain controller

seçilir.

Yeni Domain oluşturulacaksa:

Add a new forest

Örnek:

firma.local

veya

corp.example.com

Microsoft, yeni kurulumlarda gerçek sahip olunan DNS alan adının alt etki alanını (ör. ad.example.com) kullanmayı önerir. .local geçmişte yaygın kullanılmış olsa da güncel tasarım rehberlerinde herkese açık alan adıyla uyumlu bir iç adlandırma tercih edilmektedir.

5. DSRM Parolasını Belirleyin

Directory Services Restore Mode parolası mutlaka güvenli saklanmalıdır.

Bu parola;

• Felaket kurtarma
• Active Directory onarımı
• Yetkili geri yükleme

işlemlerinde kullanılır.

6. Kurulumu Tamamlayın

Sihirbaz gerekli ön kontrolü gerçekleştirir.

Yaygın uyarılar:

• DNS Delegation Warning
• Dynamic IP Warning
• NetBIOS Name Warning

Her uyarı hata anlamına gelmez.

PowerShell ile Domain Controller Kurulumu

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

Yeni Forest oluşturma:

Install-ADDSForest `

-DomainName “firma.local” `

-InstallDNS `

-Force

Kurulum Sonrası Yapılması Gerekenler

Kurulum tamamlandıktan sonra aşağıdaki işlemler önerilir:

• OU yapısı oluşturulmalı
• Kullanıcı hesapları açılmalı
• Grup İlkeleri hazırlanmalı
• DHCP kontrol edilmeli
• DNS Forwarder eklenmeli
• Windows Update yapılmalı
• Zaman senkronizasyonu doğrulanmalı
• Yedekleme planı hazırlanmalı
• İkinci Domain Controller kurulmalı

FSMO Rolleri Kontrolü

FSMO rollerini görüntüleme:

netdom query fsmo

PowerShell:

Get-ADForest

Get-ADDomain

Active Directory Sağlık Kontrolü

En sık kullanılan komutlar:

dcdiag

dcdiag /v

Replikasyon kontrolü:

repadmin /replsummary

repadmin /showrepl

DNS kontrolü:

dcdiag /test:dns

Domain Controller’da DNS Neden Kritik?

Active Directory’nin neredeyse tamamı DNS üzerinde çalışır.

Yanlış DNS;

• Login problemleri
• GPO uygulanmaması
• Replikasyon hataları
• Kerberos sorunları
• Domain Join başarısızlığı

oluşturabilir.

Bu nedenle Domain Controller kendi DNS servisini kullanmalıdır.

Yaygın Hatalar ve Çözümleri

Hata / Durum	Muhtemel Neden	Çözüm
Active Directory Domain Services could not install	DNS veya ağ yapılandırması hatalı	Statik IP kullanın, DNS yapılandırmasını doğrulayın ve AD DS önkoşullarını tekrar kontrol edin.
DNS Delegation Warning	Üst DNS bölgesinde delegation oluşturulmamış	Tek etki alanlı ortamlarda çoğu zaman bilgilendirme niteliğindedir; altyapınıza göre değerlendirin.
Bilgisayar domaine katılamıyor	Yanlış DNS sunucusu kullanılıyor	İstemcinin DNS ayarını Domain Controller’ın DNS sunucusuna yönlendirin ve ad çözümlemesini test edin.
dcdiag testlerinde DNS hataları	DNS kayıtları eksik veya yanlış	dcdiag /test:dns çıktısını inceleyin, gerekli SRV kayıtlarını ve DNS yapılandırmasını doğrulayın.
Replikasyon başarısız	Ağ, DNS veya zaman senkronizasyonu sorunu	repadmin /replsummary ve repadmin /showrepl ile hatayı analiz edin; DNS ve NTP ayarlarını kontrol edin.

Domain Controller Güvenlik Önerileri

Kurulum sonrasında aşağıdaki güvenlik önlemleri uygulanmalıdır:

• Ayrı yönetici hesapları kullanın.
• Günlük kullanıcı hesabıyla Domain Admin oturumu açmayın.
• BitLocker kullanın.
• Güçlü parola ilkeleri uygulayın.
• Çok faktörlü kimlik doğrulama (MFA) gerektiren yönetim çözümlerini değerlendirin.
• Windows Server’ı düzenli olarak güncelleyin.
• NTDS.dit ve System State yedeklerini alın.
• Yönetim erişimlerini denetleyin ve olay günlüklerini düzenli inceleyin.

Uyarı: FSMO rol transferi, Active Directory veritabanı onarımı, kayıt defteri (Registry) değişiklikleri veya sertifika altyapısında yapılacak işlemler üretim ortamında dikkatle planlanmalıdır. Bu tür değişikliklerden önce System State yedeği alınması önerilir.

Sophos Ortamlarında Domain Controller

Domain Controller kullanan kurumlarda Sophos Central, Sophos Endpoint ve Sophos Firewall birlikte kullanıldığında merkezi güvenlik yönetimi önemli ölçüde kolaylaşır.

Örneğin:

• Active Directory kullanıcılarına göre güvenlik politikaları uygulanabilir.
• Sophos Firewall, LDAP veya Active Directory entegrasyonu ile kullanıcı tabanlı kimlik doğrulama sağlayabilir.
• Sophos Central üzerinde istemciler merkezi olarak izlenebilir.
• Sophos ZTNA ve diğer kimlik tabanlı erişim çözümleri, Active Directory altyapısıyla entegre çalışabilir.

Sophos’un resmi dokümantasyonunda LDAP/Active Directory entegrasyonu, kimlik doğrulama yöntemleri ve dizin hizmetleriyle ilgili yapılandırmalar ayrıntılı olarak açıklanmaktadır. Benzer şekilde, Sophos Central dokümantasyonu etki alanına katılmış istemcilerin yönetimi ve dağıtımı konusunda ayrıntılı rehberler sunar.

Domain Controller Bakımı

Önerilen periyodik kontroller:

• Haftalık Event Viewer incelemesi
• dcdiag çalıştırılması
• repadmin çıktılarının kontrolü
• DNS sağlık kontrolü
• Güncelleme yönetimi
• Yedeklerin test edilmesi
• Disk doluluk oranının izlenmesi
• Güvenlik günlüklerinin incelenmesi

Domain Controller, kurumsal BT altyapısının kimlik yönetimi ve merkezi yönetim bileşenidir. Sağlıklı bir Active Directory ortamı için yalnızca ilk kurulumun doğru yapılması yeterli değildir; DNS tasarımı, zaman senkronizasyonu, replikasyon, Grup İlkeleri, düzenli yedekleme ve güvenlik sertleştirmesi de aynı derecede önem taşır. Windows Server’ın yerleşik tanılama araçları (dcdiag, repadmin) ile yapılan düzenli kontroller, olası sorunların kullanıcıları etkilemeden önce tespit edilmesini sağlar.

Sık Sorulan Sorular

Domain Controller ile Active Directory aynı şey midir?

Hayır. Active Directory, dizin hizmetidir. Domain Controller ise Active Directory veritabanını barındıran ve kimlik doğrulama hizmetlerini sağlayan sunucudur.

Domain Controller için statik IP zorunlu mudur?

Evet. Domain Controller’ın IP adresinin değişmesi DNS, Kerberos ve istemci iletişimini olumsuz etkileyebileceğinden statik IP adresi kullanılmalıdır.

Bir kurumda birden fazla Domain Controller kullanılabilir mi?

Evet. Üretim ortamlarında yüksek erişilebilirlik ve yük paylaşımı amacıyla en az iki Domain Controller önerilir. Active Directory çoklu Domain Controller yapısını replikasyon mekanizmasıyla destekler.

Domain Controller sanal sunucu üzerinde çalışabilir mi?

Evet. Microsoft, Hyper-V ve VMware gibi sanallaştırma platformlarında Domain Controller çalıştırılmasını desteklemektedir. Sanal ortamda da zaman senkronizasyonu, yedekleme ve replikasyon ayarlarının doğru yapılandırılması önemlidir.

Domain Controller ile Sophos Firewall entegrasyonu yapılabilir mi?

Evet. Sophos Firewall, LDAP ve Active Directory entegrasyonu sayesinde kullanıcı kimlik doğrulaması, grup tabanlı erişim politikaları ve kullanıcı bazlı raporlama gibi özellikleri destekler. Bu entegrasyonun yapılandırılması için Sophos’un resmi dokümantasyonundaki LDAP ve Active Directory entegrasyon rehberlerinin takip edilmesi önerilir.