AI Ön İzleme
Bu içerik sana uygun mu? Kısa ön izleme ile hızlıca karar ver.
Techaptic’e hoş geldiniz!
Bugünkü rehberimizde, Windows Server 2025 üzerinde Active Directory Domain Controller kurulumunu ve kurumsal düzeyde yapılandırmasını adım adım inceliyoruz. Temel bir kurulumun ötesine geçerek, güvenli ve ölçeklenebilir bir mimari oluşturmak için sektördeki en iyi pratiklere odaklanıyoruz.
Bu yazı; doğru domain isimlendirme stratejileri, I/O performansını artırmak için NTDS veritabanının ayrı disklere izole edilmesi ve Server 2025’te sunulan yeni 32K veritabanı sayfa boyutunun aktifleştirilmesi gibi kritik yapılandırmaları kapsamaktadır. Uzun vadeli operasyonel kararlılık için DNS reverse lookup zone’ları, recycle bin aktivasyonu ve NTP zaman senkronizasyonu ile Active Directory ortamınızı optimize etmek için adımları takip edin.
🔗 Faydalı Linkler
- Bu bölümde paylaşılan bir link bulunmamaktadır.
Video Anlatımı


Bu videoyu izleyebilmeniz için çerezlere izin vermeniz gerekir.
Kullanılan Komutlar
Bu script; AD Recycle Bin özelliğini aktif edip DNS ile NTP ayarlarını yapılandırır.
<#
.SYNOPSIS
Windows Server 2025 Active Directory Post-Install Optimization Script
.DESCRIPTION
This script automates essential post-installation best practices for a newly promoted
Domain Controller. It enables the Active Directory Recycle Bin, configures DNS client
settings, and synchronizes the PDC Emulator time with reliable external NTP servers.
.NOTES
Author: Techaptic
Warning: This script must be run on the primary Domain Controller (PDC Emulator)
after the AD promotion process is fully complete and the server has restarted.
#>
Write-Host "Techaptic - Windows Server 2025 AD Post-Install Optimization Initiated..." -ForegroundColor Cyan
Write-Host "------------------------------------------------------------------" -ForegroundColor Cyan
# 1. Enable Active Directory Recycle Bin
Write-Host "Processing: Active Directory Recycle Bin... " -NoNewline
try {
$Domain = (Get-ADDomain).Forest
$RecycleBinEnabled = Get-ADOptionalFeature -Filter {Name -like "Recycle Bin Feature"}
if ($RecycleBinEnabled.EnabledScopes.Count -eq 0) {
Enable-ADOptionalFeature 'Recycle Bin Feature' -Scope ForestOrConfigurationSet -Target $Domain -Confirm:$false -ErrorAction Stop
Write-Host "[SUCCESS] (Enabled)" -ForegroundColor Green
} else {
Write-Host "[SKIPPED] (Already Enabled)" -ForegroundColor Yellow
}
} catch {
Write-Host "[ERROR] ($($_.Exception.Message))" -ForegroundColor Red
}
# 2. Configure DNS Client Settings (Primary: Own IP, Secondary: Loopback)
# Güvenilir Adaptör Seçimi: Default Gateway'i olan (ağa bağlı) aktif kartı bulur.
Write-Host "Processing: DNS Client Configuration... " -NoNewline
try {
$NetworkAdapter = Get-NetAdapter | Where-Object { $_.Status -eq "Up" } | Select-Object -First 1
$IPInfo = Get-NetIPConfiguration -InterfaceAlias $NetworkAdapter.InterfaceAlias | Where-Object { $_.IPv4DefaultGateway -ne $null }
if ($IPInfo) {
$IpAddress = $IPInfo.IPv4Address.IPAddress
Set-DnsClientServerAddress -InterfaceIndex $NetworkAdapter.ifIndex -ServerAddresses $IpAddress, "127.0.0.1" -ErrorAction Stop
Write-Host "[SUCCESS] (Set to $IpAddress and 127.0.0.1)" -ForegroundColor Green
} else {
Write-Host "[ERROR] (Valid Network Adapter with a Gateway not found)" -ForegroundColor Red
}
} catch {
Write-Host "[ERROR] ($($_.Exception.Message))" -ForegroundColor Red
}
# 3. Configure NTP (Time Synchronization for PDC Emulator)
Write-Host "Processing: PDC Emulator NTP Synchronization... " -NoNewline
try {
Stop-Service w32time -ErrorAction SilentlyContinue
w32tm /config /syncfromflags:manual /manualpeerlist:"0.pool.ntp.org 1.pool.ntp.org 2.pool.ntp.org 3.pool.ntp.org" /reliable:yes /update | Out-Null
Start-Service w32time -ErrorAction Stop
w32tm /resync /rediscover | Out-Null
Write-Host "[SUCCESS] (Configured to pool.ntp.org)" -ForegroundColor Green
} catch {
Write-Host "[ERROR] ($($_.Exception.Message))" -ForegroundColor Red
}
Write-Host "------------------------------------------------------------------" -ForegroundColor Cyan
Write-Host "Process Completed. Your Domain Controller is now optimized." -ForegroundColor GreenMini Sınav
Tam Transkript
GİRİŞ
Merhabalar, Techaptic kanalına hoş geldiniz.
Bir Windows Server’a Active Directory Domain Services rolünü eklemek oldukça kolaydır ve yalnızca birkaç dakika sürer. Ancak o sunucuyu yıllarca minimum sorunla çalışacak, güvenli, ölçeklenebilir ve kurtarılabilir bir Domain Controller mimarisine dönüştürmek çok daha kapsamlı bir planlama gerektirir.
Bu videoda kurulum sihirbazını hızlıca geçip bütün varsayılan ayarları kabul etmek yerine, Active Directory ortamını en başından kurumsal standartlara göre tasarlayacağız.
Sunucu adlandırması, statik IP yapılandırması, Domain Controller DNS istemci ayarları, DNS cross-mapping, DNS island riskinin azaltılması, IPv6 kullanımı, NTDS veri tabanı ve transaction log disklerinin ayrılması, Active Directory domain adı seçimi, forest ve domain functional level ayarları, Directory Services Restore Mode, reverse DNS, secure dynamic update, Active Directory Recycle Bin, zaman senkronizasyonu, Windows Server 2025 ile gelen 32 KB Active Directory veri tabanı sayfa mimarisi, DNS sağlık kontrolleri, FSMO rollerinin doğrulanması, yedekleme ve Domain Controller yedekliliği gibi önemli konuları ele alacağız.
Hazırsanız başlayalım.
𝗗𝗢𝗠𝗔𝗜𝗡 𝗖𝗢𝗡𝗧𝗥𝗢𝗟𝗟𝗘𝗥 𝗗𝗢𝗡𝗔𝗡𝗜𝗠 𝗬𝗔𝗣𝗜𝗦𝗜𝗡𝗜 𝗜̇𝗡𝗖𝗘𝗟𝗘𝗠𝗘
Yapılandırmaya başlamadan önce Windows Server 2025 sanal makinesine verdiğimiz donanım kaynaklarını hızlıca inceleyelim.
Bu laboratuvar ortamında sunucuya dört işlemci çekirdeği verdik.
Üç ayrı disk oluşturduk. Bir disk Windows işletim sistemi için kullanılacak. Diğer iki disk ise Active Directory veri tabanı ve transaction log dosyaları için ayrıldı.
Bellek olarak 4 GB RAM tanımladık.
Ağ adaptörü tarafında 1 Gbps bağlantı bu gösterim için yeterlidir.
Bu değerler küçük bir laboratuvar ortamı için uygun olabilir. Ancak üretim ortamındaki bir Domain Controller için evrensel donanım önerisi olarak değerlendirilmemelidir.
Gerekli CPU, RAM, disk ve ağ kaynakları; kullanıcı, bilgisayar, grup ve Group Policy Object sayısına, authentication yoğunluğuna, DNS sorgularına, site sayısına, replication trafiğine, güvenlik yazılımlarına, izleme araçlarına, yedekleme işlemlerine ve sunucuda çalışacak diğer servislere göre değişir.
Üretim ortamında Microsoft’un güncel kapasite planlama önerilerini inceleyin ve sistemi devreye aldıktan sonra gerçek kaynak kullanımını izleyin.
𝗦𝗨𝗡𝗨𝗖𝗨𝗬𝗔 𝗔𝗡𝗟𝗔𝗠𝗟𝗜 𝗕𝗜̇𝗥 𝗔𝗗 𝗩𝗘𝗥𝗠𝗘
İlk yapılandırmamız Windows Server bilgisayar adıdır.
Domain Controller, Active Directory Domain Services kurulmadan önce anlamlı ve kalıcı bir bilgisayar adına sahip olmalıdır.
Domain Controller olduktan sonra sunucunun adını değiştirmek desteklenen senaryolarda mümkün olsa da gereksiz karmaşıklık oluşturur. Bu nedenle doğru adı promotion işleminden önce belirlemek en sağlıklı yaklaşımdır.
Start menüsüne sağ tıklayıp System bölümünü açıyoruz.
Rename this PC seçeneğine tıklıyoruz.
Kurumun sunucu adlandırma standardına uygun bir isim giriyoruz.
Örneğin DC01, HQ-DC01, IST-DC01 veya SRV-DC-01 gibi bir adlandırma kullanılabilir.
Çok uzun, geçici, kişiye bağlı veya sunucunun rolünü anlaşılmaz hâle getiren isimlerden kaçının.
Yeni bilgisayar adını girdikten sonra Next diyoruz.
Windows, değişikliğin uygulanabilmesi için yeniden başlatma ister.
Sunucuyu yeniden başlatıyoruz ve tekrar oturum açıyoruz.
Bilgisayar adını doğrulamak için Command Prompt açıp hostname komutunu çalıştırabiliriz.
𝗗𝗢𝗠𝗔𝗜𝗡 𝗖𝗢𝗡𝗧𝗥𝗢𝗟𝗟𝗘𝗥’𝗔 𝗦𝗧𝗔𝗧𝗜̇𝗞 𝗜𝗣 𝗔𝗗𝗥𝗘𝗦𝗜̇ 𝗩𝗘𝗥𝗠𝗘
İkinci yapılandırmamız statik IP adresidir.
Domain Controller ve DNS Server olarak çalışacak bir sunucunun sabit IP adresine sahip olması gerekir.
IP adresinin beklenmedik biçimde değişmesi DNS kayıtlarında, istemci iletişiminde, authentication işlemlerinde, replication trafiğinde, monitoring sistemlerinde ve güvenlik duvarı kurallarında problemlere neden olabilir.
Start menüsünü açıp Control Panel yazıyoruz.
Network and Sharing Center bölümüne geliyoruz.
Sol taraftan Change adapter settings seçeneğine tıklıyoruz.
Aktif network adapter’a çift tıklayıp Properties bölümünü açıyoruz.
Internet Protocol Version 4, yani TCP/IPv4 seçeneğine çift tıklıyoruz.
Use the following IP address seçeneğini işaretliyoruz.
Domain Controller için ayrılan statik IP adresini, subnet mask değerini ve default gateway bilgisini giriyoruz.
Bu örnekte Domain Controller IP adresi olarak 172.16.10.10 kullanacağız.
Siz kendi network tasarımınıza uygun adresleri kullanmalısınız.
Seçilen IP adresinin DHCP scope dışında tutulduğundan veya başka bir cihaza dağıtılmayacağından emin olun.
𝗜̇𝗟𝗞 𝗗𝗢𝗠𝗔𝗜𝗡 𝗖𝗢𝗡𝗧𝗥𝗢𝗟𝗟𝗘𝗥 𝗜̇𝗖̧𝗜̇𝗡 𝗗𝗡𝗦 𝗔𝗬𝗔𝗥𝗟𝗔𝗥𝗜
DNS yapılandırması Active Directory kurulumunun en önemli bölümlerinden biridir.
Active Directory; Domain Controller, Kerberos, LDAP, Global Catalog ve diğer domain servislerini bulmak için DNS kayıtlarına bağımlıdır.
Yeni bir forest içindeki ilk Domain Controller’ı kurarken henüz başka bir Active Directory DNS sunucusu bulunmaz.
Bu nedenle ilk yapılandırmada Preferred DNS Server alanına sunucunun kendi statik IP adresini, yani 172.16.10.10 değerini girebiliriz.
Alternate DNS Server alanında loopback adresi olan 127.0.0.1 kullanılabilir.
Bu yapılandırma yalnızca sunucunun yeni forest içindeki ilk ve tek Active Directory DNS sunucusu olduğu başlangıç senaryosu için uygundur.
Domain Controller’ın DNS istemci ayarlarında public DNS adreslerini Preferred DNS Server olarak kullanmayın.
Domain Controller, Active Directory’ye ait SRV ve diğer internal DNS kayıtlarını public DNS üzerinde bulamaz.
İnternet isim çözümlemesi gerekiyorsa internal DNS Server üzerinde forwarder veya root hints yapılandırılmalıdır.
𝗧𝗘𝗞 𝗗𝗢𝗠𝗔𝗜𝗡 𝗖𝗢𝗡𝗧𝗥𝗢𝗟𝗟𝗘𝗥 𝗡𝗘𝗗𝗘𝗡 𝗬𝗘𝗧𝗘𝗥𝗟𝗜̇ 𝗗𝗘𝗚̆𝗜̇𝗟𝗗𝗜̇𝗥?
Üretim ortamındaki Active Directory yapısı tek bir Domain Controller’a bağımlı olmamalıdır.
Tek Domain Controller önemli bir erişilebilirlik ve kurtarma riski oluşturur.
Sunucu arızalanırsa, işletim sistemi bozulursa, network bağlantısı kesilirse veya bakım için kapatılırsa kullanıcılar oturum açamayabilir ve domain cihazları gerekli Active Directory servislerine ulaşamayabilir.
Üretim ortamında mümkün olan en kısa sürede en az bir Additional Domain Controller kurulmalıdır.
Mimari özel olarak farklı tasarlanmadıysa her iki Domain Controller üzerinde de DNS Server rolünün bulunması tavsiye edilir.
Additional Domain Controller; authentication yedekliliği, DNS erişilebilirliği, replication partner’ı, bakım esnekliği ve sunucu arızalarında daha hızlı kurtarma imkânı sağlar.
Birden fazla fiziksel lokasyon veya Active Directory Site bulunan ortamlarda kullanıcı sayısı, WAN bağlantısı, güvenlik ve iş sürekliliği gereksinimlerine göre ek Domain Controller’lar kurulabilir.
𝗗𝗡𝗦 𝗖𝗥𝗢𝗦𝗦-𝗠𝗔𝗣𝗣𝗜𝗡𝗚 𝗬𝗔𝗣𝗜𝗦𝗜
İkinci Domain Controller kurulduktan ve DNS replication sağlıklı biçimde tamamlandıktan sonra DNS istemci ayarlarını yeniden değerlendirmeliyiz.
Bir örnek üzerinden ilerleyelim.
İlk Domain Controller’ın adı DC1 ve IP adresi 172.16.10.10 olsun.
Additional Domain Controller’ın adı DC2 ve IP adresi 172.16.10.20 olsun.
Her Domain Controller’ı yalnızca kendi DNS servisine yönlendirmek yerine DNS istemci ayarlarını çapraz biçimde yapılandırabiliriz.
DC1 üzerinde Preferred DNS Server olarak DC2’nin IP adresi olan 172.16.10.20 kullanılabilir.
DC1’in Alternate DNS Server alanında kendi IP adresi veya loopback adresi bulunabilir.
DC2 üzerinde Preferred DNS Server olarak DC1’in IP adresi olan 172.16.10.10 kullanılabilir.
DC2’nin Alternate DNS Server alanında kendi IP adresi veya loopback adresi bulunabilir.
Bu tasarımda her Domain Controller önce sağlıklı replication partner’ına DNS sorgusu gönderir ve kendi DNS servisini alternatif olarak kullanır.
Bu yapı genellikle DNS cross-mapping olarak adlandırılır.
𝗗𝗡𝗦 𝗜𝗦𝗟𝗔𝗡𝗗 𝗥𝗜̇𝗦𝗞𝗜̇𝗡𝗜̇ 𝗔𝗭𝗔𝗟𝗧𝗠𝗔
DNS ayarlarını neden çapraz yapılandırıyoruz?
Domain Controller açılışı sırasında Active Directory Domain Services ve DNS Server servisleri, Active Directory-integrated zone içinde saklanan kayıtlara ihtiyaç duyabilir.
Domain Controller yalnızca kendisini DNS Server olarak kullanıyorsa ve kendi DNS veya Active Directory servisleri henüz tam olarak başlamadıysa isim çözümleme ve servis başlangıcında gecikmeler oluşabilir.
Tarihsel olarak bazı yapılandırmalar Domain Controller’ın gerekli DNS kayıtlarını veya diğer Domain Controller’ları bulamamasına neden olan DNS island senaryolarına katkıda bulunabiliyordu.
Başka bir sağlıklı Domain Controller’ı Preferred DNS Server olarak kullanmak, açılış sırasında yalnızca yerel DNS servisine bağımlılığı azaltır.
DC1 için DC2’yi Preferred DNS Server olarak, DC1’i ise Alternate DNS Server olarak kullanabiliriz.
DC2 için DC1’i Preferred DNS Server olarak, DC2’yi ise Alternate DNS Server olarak kullanabiliriz.
Kesin sıralama Microsoft’un güncel önerilerine, site tasarımına ve operasyonel ihtiyaçlara göre değişebilir.
Ancak bütün Domain Controller’lar yalnızca Active Directory kayıtlarını çözebilen internal DNS Server adreslerini kullanmalıdır.
Domain istemcilerine de DHCP veya statik ayarlar üzerinden internal DNS adresleri verilmelidir.
𝗜𝗣𝗩𝟲 𝗣𝗥𝗢𝗧𝗢𝗞𝗢𝗟𝗨𝗡𝗨 𝗞𝗔𝗣𝗔𝗧𝗠𝗔𝗠𝗔
Network adapter ayarlarını kaydetmeden önce IPv6 hakkında önemli bir noktayı belirtmek istiyorum.
Bazı problemlerin çözümü olarak IPv6’nın tamamen kapatılması sıkça öneriliyor.
Ancak Windows ve Active Directory bileşenleri IPv6’yı destekler ve bazı iç iletişim mekanizmaları bu protokolün kullanılabilir olmasını bekleyebilir.
IPv6’yı rastgele devre dışı bırakmak RPC iletişimi, loopback trafiği, isim çözümleme ve bazı Active Directory işlemlerinde beklenmeyen sorunlara neden olabilir.
Ortamınızda doğrulanmış, belgelenmiş ve üretici tarafından desteklenen özel bir gereksinim yoksa network adapter üzerindeki IPv6 seçeneğini açık bırakmanızı tavsiye ederim.
Şimdi IPv4 ve DNS ayarlarını kaydedebiliriz.
𝗔𝗖𝗧𝗜̇𝗩𝗘 𝗗𝗜̇𝗥𝗘𝗖𝗧𝗢𝗥𝗬 𝗗𝗜̇𝗦𝗞 𝗔𝗬𝗥𝗜𝗠𝗜𝗡𝗜 𝗣𝗟𝗔𝗡𝗟𝗔𝗠𝗔
Bir sonraki adım Active Directory disk yapısıdır.
Bu sunucuda üç disk oluşturduk.
İlk disk Windows işletim sistemi için kullanılıyor.
Diğer iki disk Active Directory NTDS veri tabanı ve transaction log dosyaları için ayrıldı.
Active Directory veri tabanı dosyasının adı ntds.dit’tir.
Bu veri tabanı kullanıcı, bilgisayar, grup, organizational unit, güvenlik bilgileri ve diğer Active Directory objelerini ve özniteliklerini içerir.
Transaction log dosyaları veri tabanına yapılan değişiklikleri kaydeder ve tutarlılık ile recovery işlemlerinde kullanılır.
NTDS veri tabanı ile transaction log dosyalarının I/O davranışları farklıdır.
Veri tabanı tarafında random read ve write işlemleri gerçekleşebilir.
Transaction log dosyaları ise daha çok sıralı ve yazma ağırlıklı çalışır.
Bu bileşenleri farklı disklerde tutmak kapasite takibini, izlemeyi, yönetimi ve alttaki storage gerçekten ayrılmışsa performansı iyileştirebilir.
Yalnızca aynı fiziksel disk üzerinde farklı drive letter oluşturmak gerçek performans veya hata izolasyonu sağlamaz.
Fiziksel diskler, sanal disklerin bulunduğu datastore, RAID yapısı, SAN tasarımı, gecikme, yedeklilik ve hata alanları da önemlidir.
𝗡𝗧𝗗𝗦 𝗩𝗘 𝗟𝗢𝗚 𝗗𝗜̇𝗦𝗞𝗟𝗘𝗥𝗜̇𝗡𝗜̇ 𝗢𝗟𝗨𝗦̧𝗧𝗨𝗥𝗠𝗔
Start menüsüne sağ tıklayıp Computer Management konsolunu açıyoruz.
Disk Management bölümüne geliyoruz.
Yeni diskleri Online duruma getiriyoruz.
Gerekirse diskleri GPT partition style ile initialize ediyoruz.
İlk ek diskimiz 30 GB kapasiteye sahip.
Diske sağ tıklayıp New Simple Volume seçeneğini açıyoruz.
Sihirbazda bütün disk alanını kullanarak devam ediyoruz.
Drive letter olarak N seçiyoruz.
Volume Label alanına NTDS yazıyoruz.
NTFS ile quick format işlemini tamamlıyoruz.
N sürücüsü Active Directory veri tabanı için kullanılacaktır.
İkinci ek diskimiz 20 GB kapasiteye sahip.
Diski Online duruma getirip initialize ediyoruz.
New Simple Volume oluşturarak drive letter olarak L seçiyoruz.
Volume Label alanına NTDS-LOGS veya LOGS yazıyoruz.
NTFS ile format işlemini tamamlıyoruz.
L sürücüsü Active Directory transaction log dosyaları için kullanılacaktır.
This PC ekranını açarak N ve L sürücülerinin oluştuğunu doğrulayabiliriz.
𝗔𝗖𝗧𝗜̇𝗩𝗘 𝗗𝗜̇𝗥𝗘𝗖𝗧𝗢𝗥𝗬 𝗗𝗢𝗠𝗔𝗜𝗡 𝗦𝗘𝗥𝗩𝗜𝗖𝗘𝗦 𝗥𝗢𝗟𝗨̈𝗡𝗨̈ 𝗞𝗨𝗥𝗠𝗔
Şimdi Active Directory Domain Services rolünün kurulumuna geçebiliriz.
Server Manager’ı açıyoruz.
Sağ üst tarafta Manage menüsüne tıklıyoruz.
Add Roles and Features seçeneğini açıyoruz.
Karşılama ekranında Next diyoruz.
Role-based or feature-based installation seçeneğini işaretli bırakıp Next diyoruz.
Server Pool içinde yerel Windows Server seçili durumda.
Next diyerek devam ediyoruz.
Server Roles sayfasında Active Directory Domain Services seçeneğini işaretliyoruz.
Gerekli yönetim araçları ve yardımcı bileşenler için Add Features diyoruz.
İlk Domain Controller aynı zamanda internal DNS servisini de sağlayacağı için DNS Server rolünü seçiyoruz.
Tekrar Add Features diyerek gerekli bileşenleri ekliyoruz.
Features sayfasında bu gösterim için ek özellik seçmemize gerek yoktur.
Next diyerek Active Directory Domain Services ve DNS Server bilgilendirme ekranlarını geçiyoruz.
Install düğmesine tıklıyoruz.
Windows gerekli rol dosyalarını ve yönetim araçlarını kuruyor.
𝗦𝗨𝗡𝗨𝗖𝗨𝗬𝗨 𝗗𝗢𝗠𝗔𝗜𝗡 𝗖𝗢𝗡𝗧𝗥𝗢𝗟𝗟𝗘𝗥’A 𝗣𝗥𝗢𝗠𝗢𝗧𝗘 𝗘𝗧𝗠𝗘
Rol dosyalarının kurulması sunucuyu henüz Domain Controller yapmaz.
Kurulum tamamlandığında Server Manager üzerindeki sarı notification simgesine tıklıyoruz.
Promote this server to a Domain Controller bağlantısını açıyoruz.
Active Directory Domain Services Configuration Wizard başlıyor.
Üç farklı deployment seçeneği bulunur.
Mevcut bir domaine Additional Domain Controller ekleyebiliriz.
Mevcut bir forest içine yeni domain ekleyebiliriz.
Ya da yeni bir forest oluşturabiliriz.
Bu ortamda daha önce oluşturulmuş Active Directory forest bulunmadığı ve bu sunucu ilk Domain Controller olacağı için Add a new forest seçeneğini işaretliyoruz.
𝗗𝗢𝗚̆𝗥𝗨 𝗔𝗖𝗧𝗜̇𝗩𝗘 𝗗𝗜̇𝗥𝗘𝗖𝗧𝗢𝗥𝗬 𝗗𝗢𝗠𝗔𝗜𝗡 𝗔𝗗𝗜𝗡𝗜 𝗦𝗘𝗖̧𝗠𝗘
Root Domain Name alanına yeni Active Directory domain adını girmeliyiz.
Bu gösterimde ad.techaptic.com kullanacağız.
Active Directory domain adı, kurulum sonrasında değiştirilmesi en zor kararlardan biridir.
Bu nedenle domain adı belirlenirken public DNS sahipliği, sertifikalar, Microsoft 365 ve Microsoft Entra ID entegrasyonu, kullanıcı oturum açma adları, uygulama uyumluluğu ve gelecekteki ihtiyaçlar değerlendirilmelidir.
Eski Active Directory kurulumlarında .local gibi public olarak kaydedilemeyen uzantılar sıkça kullanılıyordu.
Bu tür isimler public Certificate Authority tarafından doğrulanamaz ve sertifika, cloud, hybrid identity ve isim çözümleme tasarımlarında ek sorunlara neden olabilir.
Daha sağlıklı yaklaşım, kurumun sahip olduğu public DNS domaininin bir alt domainini Active Directory için kullanmaktır.
Techaptic, techaptic.com namespace’ini kontrol ettiği için internal Active Directory domain adı olarak ad.techaptic.com kullanılabilir.
Önekin mutlaka ad olması gerekmez.
corp.example.com, internal.example.com veya directory.example.com gibi farklı alt domainler de tercih edilebilir.
Önemli olan parent DNS domaininin kurum tarafından kontrol edilmesi ve namespace’in kurulumdan önce planlanmasıdır.
𝗦𝗣𝗟𝗜𝗧-𝗕𝗥𝗔𝗜𝗡 𝗗𝗡𝗦 𝗬𝗔𝗣𝗜𝗦𝗜𝗡𝗜 𝗔𝗡𝗟𝗔𝗠𝗔
Neden doğrudan techaptic.com yerine ad.techaptic.com kullanıyoruz?
Internal Active Directory domaini public web sitesiyle aynı isimde oluşturulursa internal DNS, techaptic.com namespace’inin tamamı için authoritative hâle gelir.
Bu yapı split-brain DNS olarak adlandırılır.
Split-brain DNS planlı ve doğru yönetildiğinde çalışabilir.
Ancak internal kullanıcıların erişmesi gereken bütün public DNS kayıtlarının internal zone üzerinde de oluşturulması gerekir.
Örneğin internal zone techaptic.com ise internal DNS Server, www.techaptic.com adresi için de kendisini authoritative kabul eder.
Internal zone üzerinde www kaydı yoksa kullanıcılar public web sitesine erişemeyebilir.
ad.techaptic.com kullanmak Active Directory namespace’ini public root zone’dan ayırır ve internal DNS üzerinde kopyalanması gereken public kayıt sayısını azaltır.
Ayrıca cloud ve hybrid identity entegrasyonları için daha temiz bir başlangıç sağlar.
Root Domain Name alanına ad.techaptic.com yazıp Next diyoruz.
𝗙𝗢𝗥𝗘𝗦𝗧 𝗩𝗘 𝗗𝗢𝗠𝗔𝗜𝗡 𝗙𝗨𝗡𝗖𝗧𝗜𝗢𝗡𝗔𝗟 𝗟𝗘𝗩𝗘𝗟
Domain Controller Options sayfasında forest ve domain functional level değerlerini seçiyoruz.
Yeni bir ortamda bütün Domain Controller’lar ve kullanılacak uygulamalar tarafından desteklenen en yeni functional level tercih edilebilir.
Bu ortam yeni bir Windows Server 2025 forest olduğu ve Windows Server 2025 Active Directory özelliklerinden faydalanmak istediğimiz için Windows Server 2025 forest ve domain functional level seçeneklerini kullanacağız.
Functional level yükseltmeden önce bütün Domain Controller’ların, uygulamaların, kimlik ürünlerinin, backup yazılımlarının ve yönetim araçlarının ilgili seviyeyi desteklediği doğrulanmalıdır.
İlk Domain Controller aynı zamanda DNS Server ve Global Catalog olarak yapılandırılmalıdır.
Read Only Domain Controller seçeneği kapalı kalmalıdır.
Bu sunucu forest içindeki ilk writable Domain Controller olacaktır.
𝗗𝗜𝗥𝗘𝗖𝗧𝗢𝗥𝗬 𝗦𝗘𝗥𝗩𝗜𝗖𝗘𝗦 𝗥𝗘𝗦𝗧𝗢𝗥𝗘 𝗠𝗢𝗗𝗘 𝗣𝗔𝗥𝗢𝗟𝗔𝗦𝗜
Directory Services Restore Mode, yani DSRM için güçlü bir parola belirliyoruz.
DSRM; offline Active Directory bakım işlemleri, authoritative veya non-authoritative restore, veri tabanı onarımı ve bazı gelişmiş troubleshooting senaryolarında kullanılan özel recovery modudur.
Normal domain kullanıcılarının parolasından bağımsızdır.
DSRM parolasını güçlü, benzersiz ve tahmin edilmesi zor biçimde belirleyin.
Parolayı kurumun onaylı password vault sisteminde saklayın.
Normal domain authentication çalışmadığında kritik recovery operasyonlarında bu parolaya ihtiyaç duyulabilir.
Parolayı tekrar girerek doğruluyor ve Next diyoruz.
𝗗𝗡𝗦 𝗗𝗘𝗟𝗘𝗚𝗔𝗧𝗜𝗢𝗡 𝗨𝗬𝗔𝗥𝗜𝗦𝗜
Sihirbaz, DNS delegation oluşturulamadığına dair bir uyarı gösterebilir.
Parent DNS zone erişilebilir bir Windows DNS Server üzerinde bulunmuyorsa veya daha önce delegation hazırlanmadıysa bu uyarı beklenebilir.
Yeni forest oluşturduğumuz ve internal ad.techaptic.com zone’u promotion sırasında oluşturulacağı için bu uyarı kurulumu engellemez.
Daha büyük ve delegated DNS mimarilerinde parent zone yöneticisinin uygun delegation kaydını önceden oluşturması gerekebilir.
Uyarıyı ortamınıza göre değerlendirip Next diyoruz.
𝗡𝗘𝗧𝗕𝗜𝗢𝗦 𝗗𝗢𝗠𝗔𝗜𝗡 𝗔𝗗𝗜
Sihirbaz otomatik olarak bir NetBIOS domain adı önerir.
NetBIOS adı eski uygulamalar ve DOMAIN\username biçimindeki oturum açma formatı için uyumluluk sağlar.
ad.techaptic.com için sistem AD gibi kısa bir isim önerebilir.
Önerilen ad bu gösterim için uygundur.
Seçilen NetBIOS adının mevcut veya trusted başka bir domainle çakışmadığından emin olun.
Next diyerek devam ediyoruz.
𝗡𝗧𝗗𝗦 𝗩𝗘 𝗟𝗢𝗚 𝗗𝗢𝗦𝗬𝗔𝗟𝗔𝗥𝗜𝗡𝗜 𝗔𝗬𝗥𝗜 𝗗𝗜̇𝗦𝗞𝗟𝗘𝗥𝗘 𝗬𝗘𝗥𝗟𝗘𝗦̧𝗧𝗜̇𝗥𝗠𝗘
Paths sayfasında Active Directory veri tabanı, transaction log ve SYSVOL klasörlerinin konumlarını belirliyoruz.
Varsayılan durumda bütün bileşenler C sürücüsüne yerleştirilir.
Bu yapı küçük ortamlarda çalışabilir.
Ancak daha düzenli bir tasarım oluşturmak için NTDS veri tabanı ile log dosyalarını hazırladığımız ayrı disklere taşıyacağız.
N sürücüsünde N:\NTDS\Data klasörünü oluşturuyoruz.
L sürücüsünde L:\NTDS\Logs klasörünü oluşturuyoruz.
Sihirbaza geri dönüyoruz.
Database folder alanına N:\NTDS\Data yolunu giriyoruz.
Log files folder alanına L:\NTDS\Logs yolunu giriyoruz.
NTDS veri tabanı random read ve write işlemleri yapabilir.
Transaction log dosyaları daha sıralı ve yazma ağırlıklı çalışır.
Alttaki storage gerçekten ayrılmışsa bu iki bileşeni farklı disklerde tutmak I/O çakışmasını azaltabilir.
Ayrıca kapasite takibi ve recovery işlemlerini daha düzenli hâle getirir.
𝗦𝗬𝗦𝗩𝗢𝗟 𝗞𝗟𝗔𝗦𝗢̈𝗥𝗨̈
SYSVOL klasörü Group Policy template dosyalarını, logon script’lerini ve Domain Controller’lar arasında replicate edilen diğer dosyaları içerir.
SYSVOL genellikle NTDS veri tabanı ve transaction log dosyaları kadar yoğun I/O üretmez.
Bu ortamda SYSVOL klasörünü varsayılan sistem diski üzerinde bırakacağız.
Üretim ortamındaki son karar storage dayanıklılığı, monitoring, backup, antivirus exclusions ve recovery prosedürleri dikkate alınarak verilmelidir.
Next diyerek devam ediyoruz.
𝗔𝗖𝗧𝗜̇𝗩𝗘 𝗗𝗜̇𝗥𝗘𝗖𝗧𝗢𝗥𝗬 𝗞𝗨𝗥𝗨𝗟𝗨𝗠 𝗢̈𝗭𝗘𝗧𝗜̇
Sihirbaz seçtiğimiz yapılandırmanın özetini gösteriyor.
Root domain adını, forest ve domain functional level değerlerini, DNS Server ve Global Catalog ayarlarını, DSRM yapılandırmasını, NetBIOS adını ve klasör yollarını kontrol ediyoruz.
İstersek bu yapılandırmayı PowerShell script olarak export edebiliriz.
Bu özellik dokümantasyon ve otomatik deployment senaryolarında yararlı olabilir.
Next diyerek prerequisite kontrollerini başlatıyoruz.
Bütün kontrollerin tamamlanmasını bekliyoruz.
Bu ortamda prerequisite kontrolleri başarılı biçimde tamamlandı.
DNS delegation uyarısı yeni forest senaryomuz için beklenen bir uyarıdır.
Install düğmesine tıklıyoruz.
Windows Active Directory Domain Services’i yapılandırıyor, forest ve domaini oluşturuyor, DNS zone’larını hazırlıyor, NTDS veri tabanını oluşturuyor, SYSVOL’u başlatıyor ve sunucuyu Domain Controller’a promote ediyor.
İşlem tamamlandıktan sonra sunucu otomatik olarak yeniden başlatılır.
𝗣𝗥𝗢𝗠𝗢𝗧𝗜𝗢𝗡 𝗦𝗢𝗡𝗥𝗔𝗦𝗜 𝗢𝗧𝗨𝗥𝗨𝗠 𝗔𝗖̧𝗠𝗔
Sunucu yeniden başladıktan sonra yeni domain administrator bağlamıyla oturum açıyoruz.
Oturum açma ekranında domain adı görüntülenebilir veya domain hesabı formatı kullanılabilir.
Active Directory Domain Services, DNS, Netlogon, Kerberos ve diğer bileşenler başladığı için Server Manager’ın yüklenmesi kısa bir süre alabilir.
Server Manager üzerinde Active Directory Domain Services ve DNS Server rollerinin bulunduğunu doğruluyoruz.
Sunucu artık yeni forest içindeki ilk Domain Controller’dır.
Ancak üretim kullanımı öncesinde tamamlamamız gereken bazı post-installation ayarları bulunuyor.
𝗥𝗘𝗩𝗘𝗥𝗦𝗘 𝗗𝗡𝗦 𝗟𝗢𝗢𝗞𝗨𝗣 𝗭𝗢𝗡𝗘 𝗢𝗟𝗨𝗦̧𝗧𝗨𝗥𝗠𝗔
Bir sonraki yapılandırma reverse DNS lookup zone’dur.
Forward lookup zone, hostname bilgisini IP adresine dönüştürür.
Reverse lookup zone ise IP adresini PTR kaydı üzerinden hostname bilgisine dönüştürür.
Reverse lookup zone birçok kurumsal ortamda tavsiye edilir.
Firewall ve güvenlik loglarının daha okunabilir olması, network troubleshooting, monitoring sistemleri, bazı uygulama kontrolleri ve mail sunucusu doğrulamaları için yararlı olabilir.
Start menüsünü açıp DNS yazıyoruz.
DNS Manager’ı çalıştırıyoruz.
Sunucuyu genişletip Reverse Lookup Zones bölümüne sağ tıklıyoruz.
New Zone seçeneğine tıklıyoruz.
Next diyoruz.
Zone Type olarak Primary Zone seçiyoruz.
Zone’u Active Directory içinde saklama seçeneğini etkin bırakıyoruz.
Replication scope olarak bu domain içindeki bütün DNS Server’lara replicate edilmesini sağlayan seçeneği kullanabiliriz.
IPv4 Reverse Lookup Zone seçeneğini işaretleyip Next diyoruz.
𝗥𝗘𝗩𝗘𝗥𝗦𝗘 𝗗𝗡𝗦 𝗡𝗘𝗧𝗪𝗢𝗥𝗞 𝗜𝗗
Network ID alanına subnet bilgisini giriyoruz.
Örneğimizde network 172.16.10.0/24 olduğu için ilk üç octet olan 172.16.10 değerini yazıyoruz.
Sihirbaz reverse zone’u 10.16.172.in-addr.arpa biçiminde oluşturur.
IPv4 reverse DNS tarafındaki bu ters sıralama normaldir.
Next diyerek devam ediyoruz.
Allow only secure dynamic updates seçeneğini işaretliyoruz.
Secure dynamic update, domain tarafından doğrulanan cihazların DNS kayıtlarını güncellemesine izin verir ve yetkisiz sistemlerin Active Directory-integrated zone üzerinde kayıt değiştirmesini engellemeye yardımcı olur.
Next ve Finish diyerek zone oluşturma işlemini tamamlıyoruz.
Yeni A kaydı oluştururken Create associated pointer, or PTR, record seçeneğini işaretleyebiliriz.
Böylece ilgili hostname için reverse DNS kaydı da otomatik olarak oluşturulur.
𝗣𝗢𝗪𝗘𝗥𝗦𝗛𝗘𝗟𝗟 𝗜̇𝗟𝗘 𝗣𝗢𝗦𝗧-𝗜𝗡𝗦𝗧𝗔𝗟𝗟𝗔𝗧𝗜𝗢𝗡 𝗔𝗬𝗔𝗥𝗟𝗔𝗥𝗜
Bir sonraki aşamada birkaç önemli post-installation ayarını PowerShell script ile uygulayacağız.
Bu scripti Techaptic web sitesinden indirebilirsiniz.
Script bu laboratuvarda üç ana görev gerçekleştirir.
İlk olarak Active Directory Recycle Bin özelliğini etkinleştirir.
İkinci olarak ilk ve tek Domain Controller için planladığımız DNS istemci ayarlarını uygular.
Üçüncü olarak forest root PDC Emulator sunucusunu güvenilir external NTP kaynaklarıyla senkronize edecek biçimde yapılandırır.
Scripti başka bir ortamda çalıştırmadan önce bütün komutları incelemelisiniz.
Domain adı, server name, IP adresi, DNS mimarisi ve NTP kaynakları kendi ortamınıza göre uyarlanmalıdır.
𝗔𝗖𝗧𝗜̇𝗩𝗘 𝗗𝗜̇𝗥𝗘𝗖𝗧𝗢𝗥𝗬 𝗥𝗘𝗖𝗬𝗖𝗟𝗘 𝗕𝗜𝗡’𝗜 𝗘𝗧𝗞𝗜̇𝗡𝗟𝗘𝗦̧𝗧𝗜̇𝗥𝗠𝗘
Scriptin ilk görevi Active Directory Recycle Bin özelliğini etkinleştirmektir.
Recycle Bin etkin değilken yanlışlıkla silinen bir Active Directory objesini geri getirmek için authoritative restore, system state backup veya daha karmaşık recovery yöntemleri gerekebilir.
Recycle Bin etkinleştirildiğinde silinen kullanıcı, grup, bilgisayar ve organizational unit objeleri belirli bir süre boyunca önemli attribute bilgileriyle birlikte saklanabilir.
Bu sayede birçok objeyi veri tabanını tamamen restore etmeden geri getirebiliriz.
Silinen objelerin ne kadar süre tutulacağı forest yapılandırmasına bağlıdır.
Örneğin 180 günlük bir deleted-object lifetime kullanılabilir.
Recycle Bin özelliğini forest yaşam döngüsünün erken döneminde etkinleştirmek yararlı olabilir.
Bu işlem forest genelinde uygulanır ve geri alınamaz.
Etkinleştirildikten sonra Recycle Bin özelliği kapatılamaz.
Bu nedenle functional level ve bütün Domain Controller sürümlerinin özelliği desteklediği doğrulanmalıdır.
𝗗𝗡𝗦 𝗜̇𝗦𝗧𝗘𝗠𝗖𝗜̇ 𝗔𝗬𝗔𝗥𝗟𝗔𝗥𝗜𝗡𝗜 𝗗𝗨̈𝗭𝗘𝗟𝗧𝗠𝗘
Scriptin ikinci görevi DNS istemci ayarlarını laboratuvar tasarımımıza göre uygulamaktır.
Promotion işleminden önce Preferred DNS Server olarak sunucunun statik IP adresini, Alternate DNS Server olarak 127.0.0.1 adresini kullanmıştık.
Promotion sonrasında Windows DNS istemci sıralamasını değiştirebilir.
Control Panel, Network and Sharing Center, Change adapter settings ve TCP/IPv4 bölümünden mevcut durumu inceleyebiliriz.
Bu ortamda sistem loopback adresini Preferred DNS Server olarak ayarlamış ve planladığımız sıralamayı değiştirmiş olabilir.
Tek Domain Controller bulunan laboratuvar için script, DNS istemci ayarlarını planladığımız self-referencing değerlere geri getirir.
Bu özel ayarı birden fazla Domain Controller bulunan üretim ortamında doğrudan kullanmayın.
Additional Domain Controller kurulduktan sonra daha önce açıkladığımız DNS cross-mapping tasarımına geçilmelidir.
Her Domain Controller’ın Preferred DNS Server adresi başka bir sağlıklı Active Directory DNS Server’ı, Alternate DNS Server adresi ise yerel sunucuyu gösterebilir.
𝗔𝗖𝗧𝗜̇𝗩𝗘 𝗗𝗜̇𝗥𝗘𝗖𝗧𝗢𝗥𝗬 𝗭𝗔𝗠𝗔𝗡 𝗦𝗘𝗡𝗞𝗥𝗢𝗡𝗜̇𝗭𝗔𝗦𝗬𝗢𝗡𝗨
Scriptin üçüncü görevi Windows Time Service ve NTP yapılandırmasıdır.
Doğru zaman bilgisi Active Directory için kritik öneme sahiptir.
Kerberos authentication, sistem saatlerinin senkronize olmasına bağlıdır.
Domain cihazıyla authentication sağlayan Domain Controller arasında izin verilen değerden daha fazla zaman farkı oluşursa kullanıcı oturumları ve Kerberos ticket işlemleri başarısız olabilir.
Varsayılan Active Directory hiyerarşisinde domain üyeleri Domain Controller’lardan zaman alır.
Domain Controller’lar domain time hierarchy üzerinden senkronize olur.
Forest root domain içindeki PDC Emulator, forest için authoritative time source görevini üstlenir ve güvenilir external NTP kaynağıyla senkronize edilmelidir.
Yalnızca uygun PDC Emulator external NTP Server’lara yönlendirilmelidir.
Diğer domain üyeleri normalde Active Directory zaman hiyerarşisini takip etmelidir.
𝗘𝗫𝗧𝗘𝗥𝗡𝗔𝗟 𝗡𝗧𝗣 𝗞𝗔𝗬𝗡𝗔𝗚̆𝗜𝗡𝗜 𝗬𝗔𝗣𝗜𝗟𝗔𝗡𝗗𝗜𝗥𝗠𝗔
Bu laboratuvarda forest root PDC Emulator için pool.ntp.org gibi external NTP kaynakları kullanılacaktır.
Üretim ortamında kurum tarafından onaylanmış NTP kaynaklarını kullanın.
Bunlar internal NTP appliance, GPS tabanlı zaman kaynağı, firewall veya router üzerindeki NTP servisi, ulusal zaman servisi veya güvenilir external NTP sağlayıcısı olabilir.
Sanal Domain Controller kullanıyorsanız hypervisor time synchronization ayarlarını da kontrol etmelisiniz.
VMware Tools veya başka hypervisor guest tool’ları host zamanını Domain Controller’a zorla uyguluyorsa Active Directory zaman hiyerarşisiyle çakışma oluşabilir.
Host time synchronization ayarını Microsoft ve hypervisor üreticisinin güncel önerilerine göre yapılandırın.
Active Directory time hierarchy tutarlı kalmalıdır.
𝗣𝗢𝗪𝗘𝗥𝗦𝗛𝗘𝗟𝗟 𝗦𝗖𝗥𝗜̇𝗣𝗧𝗜̇𝗡𝗜̇ 𝗖̧𝗔𝗟𝗜𝗦̧𝗧𝗜𝗥𝗠𝗔
C sürücüsünde Temp isimli bir klasör oluşturuyoruz.
Yeni bir text document oluşturuyoruz.
Dosyaya AD-Optimization.ps1 gibi anlamlı bir isim veriyoruz.
Windows’un dosya uzantılarını gösterdiğinden emin olun.
Aksi hâlde dosya AD-Optimization.ps1.txt olarak kaydedilebilir.
Dosyayı açıp incelediğimiz PowerShell komutlarını yapıştırıyoruz.
Kaydedip kapatıyoruz.
PowerShell’i Run as administrator seçeneğiyle açıyoruz.
Scriptin bulunduğu dizine geçiyoruz.
Scripti çalıştırıyoruz.
Bu ortamda üç yapılandırma da başarılı biçimde tamamlandı.
Çıktıda Active Directory Recycle Bin, DNS istemci ayarları ve time configuration işlemlerinin uygulandığını görebiliriz.
𝗗𝗡𝗦 𝗜̇𝗦𝗧𝗘𝗠𝗖𝗜̇ 𝗔𝗬𝗔𝗥𝗟𝗔𝗥𝗜𝗡𝗜 𝗗𝗢𝗚̆𝗥𝗨𝗟𝗔𝗠𝗔
Script, Domain Controller DNS istemci ayarlarının 172.16.10.10 adresini kullandığını bildiriyor.
Network adapter üzerindeki TCP/IPv4 ayarlarını tekrar açıyoruz.
Preferred ve Alternate DNS değerlerinin tek Domain Controller laboratuvarı için planladığımız yapılandırmayla eşleştiğini doğruluyoruz.
Ayarların doğru biçimde uygulandığını görebiliriz.
İkinci Domain Controller kurulduktan sonra bu değerleri cross-mapping tasarımına göre güncellemeliyiz.
PowerShell script farklı ortamlarda da kullanılabilir.
Ancak çalıştırılmadan önce bütün değerler mutlaka kontrol edilmeli ve ortama göre uyarlanmalıdır.
𝗪𝗜𝗡𝗗𝗢𝗪𝗦 𝗦𝗘𝗥𝗩𝗘𝗥 𝟮𝟬𝟮𝟱 𝟯𝟮 𝗞𝗕 𝗔𝗖𝗧𝗜̇𝗩𝗘 𝗗𝗜̇𝗥𝗘𝗖𝗧𝗢𝗥𝗬 𝗩𝗘𝗥𝗜̇ 𝗧𝗔𝗕𝗔𝗡𝗜 𝗦𝗔𝗬𝗙𝗔 𝗠𝗜̇𝗠𝗔𝗥𝗜̇𝗦𝗜̇
Bir sonraki yapılandırma Windows Server 2025 ile gelen optional 32 KB Active Directory veri tabanı sayfa mimarisidir.
Active Directory veri tabanı uzun yıllar 8 KB page size kullanmıştır.
Windows Server 2025 gerekli forest koşulları ve optional feature etkinleştirildiğinde 32 KB database page desteği sunar.
Daha büyük sayfa mimarisi, büyük Active Directory objeleri ve yüksek ölçekli directory yapıları için ek kapasite ve genişletilmiş object özellikleri sağlayabilir.
Ancak bu özellik yalnızca yeni olduğu için etkinleştirilmemelidir.
İşlem öncesinde forest functional level, bütün Domain Controller sürümleri, replication tasarımı, backup yazılımı, recovery prosedürleri, uygulama uyumluluğu ve kimlik yönetimi ürünleri değerlendirilmelidir.
𝗧𝗛𝗘 𝟯𝟮 𝗞𝗕 𝗠𝗜̇𝗠𝗔𝗥𝗜̇𝗦𝗜̇𝗡𝗜̇𝗡 𝗥𝗜̇𝗦𝗞𝗟𝗘𝗥𝗜̇
32 KB database page özelliğine geçiş önemli bir forest-level değişikliktir.
Microsoft’un güncel dokümantasyonu açık biçimde geri dönüş yöntemi belirtmediği sürece bu işlemi one-way ve geri alınamaz bir değişiklik olarak değerlendirin.
Özellik etkinleştirildikten ve Active Directory yeni mimariyi kullanmaya başladıktan sonra eski 8 KB yapıdaki yedeklerin restore senaryoları değişebilir.
Backup ve recovery ürünlerinin Windows Server 2025 Active Directory veri tabanı formatını desteklemesi gerekir.
Özelliği etkinleştirmeden önce desteklenen system state backup’ları alın.
Backup’ların başarılı biçimde geri yüklenebildiğini test edin.
Mevcut forest health durumunu belgeleyin.
Replication sağlığını doğrulayın.
Mümkünse recovery prosedürünü izole bir test ortamında deneyin.
Infrastructure, identity, security ve backup ekiplerinin değişikliği onaylamasını sağlayın.
Bu gösterimde ortamın gerekli koşulları karşıladığını varsayarak hazırlanan komutu çalıştırıyoruz.
Sistem onay istediğinde Y tuşuna basarak işlemi tamamlıyoruz.
Komut, güncel Microsoft dokümantasyonundan veya gözden geçirilmiş Techaptic scriptinden alınmalıdır.
Komutu ezbere yazarak üretim ortamında çalıştırmayın.
𝗔𝗖𝗧𝗜̇𝗩𝗘 𝗗𝗜̇𝗥𝗘𝗖𝗧𝗢𝗥𝗬 𝗗𝗡𝗦 𝗦𝗔𝗚̆𝗟𝗜𝗚̆𝗜𝗡𝗜 𝗧𝗘𝗦𝗧 𝗘𝗧𝗠𝗘
Yapılandırmaları tamamladıktan sonra Active Directory ve DNS servislerinin sağlıklı olduğunu kontrol etmeliyiz.
PowerShell veya Command Prompt’u administrator olarak açıyoruz.
DNS’e özel Domain Controller testini çalıştırmak için dcdiag /test:dns komutunu kullanıyoruz.
Bu test DNS registration, name resolution, delegation, dynamic update, SRV kayıtları ve diğer DNS koşullarını kontrol eder.
Bu ortamda ad.techaptic.com domaini primary DNS testlerini başarıyla geçiyor.
İzole bir laboratuvar ortamında external root server’lara veya root hints hedeflerine erişilemediği için bazı warning veya failure kayıtları görülebilir.
Bu kayıtları otomatik olarak göz ardı etmemeliyiz.
Her sonucu inceleyip mevcut network tasarımında beklenen bir durum mu, yoksa gerçek DNS problemi mi olduğunu değerlendirmeliyiz.
Üretim ortamında çözülmemiş ciddi DNS hataları giderilmeden Domain Controller hazır kabul edilmemelidir.
𝗙𝗦𝗠𝗢 𝗥𝗢𝗟𝗟𝗘𝗥𝗜̇𝗡𝗜̇ 𝗗𝗢𝗚̆𝗥𝗨𝗟𝗔𝗠𝗔
İkinci kontrol Flexible Single Master Operations, yani FSMO rolleridir.
netdom query fsmo komutunu çalıştırıyoruz.
Active Directory’de beş FSMO rolü bulunur.
Schema Master, Active Directory schema değişikliklerini yönetir.
Domain Naming Master, forest namespace değişikliklerini yönetir.
PDC Emulator; time hierarchy, acil parola güncellemeleri ve bazı legacy uyumluluk görevlerinde önemli role sahiptir.
RID Master, Domain Controller’lara Relative ID havuzları dağıtır.
Infrastructure Master, domainler arası bazı obje referanslarının güncel tutulmasına yardımcı olur.
Yeni forest içindeki ilk ve tek Domain Controller başlangıçta beş FSMO rolünün tamamına sahip olur.
Komut çıktısında bütün rollerin SRV-DC-01 üzerinde bulunduğunu görebiliriz.
Bu, tek Domain Controller bulunan yeni forest için beklenen durumdur.
Additional Domain Controller’lar kurulduktan sonra roller erişilebilirlik, bakım ve site tasarımına göre kontrollü biçimde transfer edilebilir.
Eski role holder kalıcı biçimde kaybedilmedikçe FSMO rollerini seize etmeyin.
Normal bakım ve geçişlerde transfer işlemi kullanılmalıdır.
𝗚𝗘𝗡𝗘𝗟 𝗔𝗖𝗧𝗜̇𝗩𝗘 𝗗𝗜̇𝗥𝗘𝗖𝗧𝗢𝗥𝗬 𝗦𝗔𝗚̆𝗟𝗜𝗞 𝗞𝗢𝗡𝗧𝗥𝗢𝗟𝗟𝗘𝗥𝗜̇
DNS ve FSMO kontrolleri önemlidir.
Ancak üretim doğrulaması bunlarla sınırlı kalmamalıdır.
Tam dcdiag çıktısını inceleyin.
SYSVOL ve NETLOGON paylaşımlarının oluştuğunu doğrulayın.
DNS üzerindeki Active Directory SRV kayıtlarını kontrol edin.
Event Viewer içindeki Directory Service, DNS Server, DFS Replication, System ve Security loglarını inceleyin.
Windows Time Service’in planlanan kaynaktan senkronize olduğunu doğrulayın.
Additional Domain Controller kurulduktan sonra repadmin gibi araçlarla inbound ve outbound replication sağlığını kontrol edin.
Ciddi warning ve error kayıtlarını çözmeden Active Directory ortamını kritik üretim iş yükleri için kullanmayın.
𝗔𝗗𝗗𝗜𝗧𝗜𝗢𝗡𝗔𝗟 𝗗𝗢𝗠𝗔𝗜𝗡 𝗖𝗢𝗡𝗧𝗥𝗢𝗟𝗟𝗘𝗥 𝗞𝗨𝗥𝗠𝗔
İlk Domain Controller sağlıklı biçimde çalışıyor olsa da tek Domain Controller üretim mimarisi için yeterli değildir.
Mümkün olan en kısa sürede Additional Domain Controller kurun.
İkinci Domain Controller’ı mümkünse farklı fiziksel host, hypervisor failure domain, power source, storage failure domain veya fiziksel site üzerine yerleştirin.
Yeni sunucuya Active Directory Domain Services ve DNS Server rollerini kurun.
Sunucuyu mevcut domaine Additional Domain Controller olarak promote edin.
Active Directory, SYSVOL ve DNS replication işlemlerini doğrulayın.
Replication sağlıklı olduktan sonra Domain Controller DNS istemci ayarlarını cross-mapping yapısına göre güncelleyin.
Domain istemcilerine de iki internal DNS Server adresini dağıtın.
Yedekliliğin çalıştığını varsaymak yerine test edin.
Kontrollü bakım sırasında bir Domain Controller kapalıyken authentication ve DNS hizmetlerinin çalışmaya devam ettiğini doğrulayın.
𝗔𝗖𝗧𝗜̇𝗩𝗘 𝗗𝗜̇𝗥𝗘𝗖𝗧𝗢𝗥𝗬 𝗬𝗘𝗗𝗘𝗞𝗟𝗘𝗠𝗘
Active Directory desteklenen bir yedekleme stratejisiyle korunmalıdır.
Active Directory-aware backup ürünü kullanın.
Gerekli ortamlarda birden fazla Domain Controller’ın düzenli system state backup’ını alın.
Yedekleri Domain Controller dışında ve aynı storage failure domaininden bağımsız bir konumda saklayın.
Active Directory yedekleri çok hassas directory bilgileri içerdiği için şifrelenmeli ve sıkı biçimde korunmalıdır.
Backup job’larını izleyin.
Restore testleri gerçekleştirin.
Başarıyla geri yüklenmemiş bir yedeği tamamen doğrulanmış kabul etmeyin.
DSRM parolasını, backup konumlarını, retention süresini, recovery sırasını, authoritative restore prosedürünü ve forest recovery planını belgeleyin.
𝗩𝗜̇𝗥𝗧𝗨𝗔𝗟 𝗗𝗢𝗠𝗔𝗜𝗡 𝗖𝗢𝗡𝗧𝗥𝗢𝗟𝗟𝗘𝗥 𝗦𝗡𝗔𝗣𝗦𝗛𝗢𝗧 𝗥𝗜̇𝗦𝗞𝗟𝗘𝗥𝗜̇
Sanal Domain Controller’lar için en önemli kurallardan biri ordinary hypervisor snapshot’larını temel backup ve recovery yöntemi olarak kullanmamaktır.
Eski bir snapshot’a dikkatsizce geri dönmeyin.
Desteklenmeyen veya hatalı rollback işlemleri eski Active Directory verilerini yeniden ortaya çıkarabilir, replication sorunlarına, lingering object’lere, USN ile ilgili problemlere ve tutarsız forest durumuna neden olabilir.
Modern Windows Server ve hypervisor platformları bazı sanallaştırma güvenlik mekanizmaları sunar.
Ancak bu korumalar her snapshot işlemini güvenli hâle getirmez.
Desteklenen Active Directory-aware backup ve restore prosedürlerini kullanın.
Bir Domain Controller snapshot veya checkpoint restore işleminden önce operasyonun Microsoft, hypervisor üreticisi ve backup ürünü tarafından desteklendiğini doğrulayın.
Rutin kurtarma işlemlerinde test edilmiş system state veya full-server backup kullanmak daha doğru olacaktır.
𝗗𝗢𝗠𝗔𝗜𝗡 𝗖𝗢𝗡𝗧𝗥𝗢𝗟𝗟𝗘𝗥’I 𝗗𝗘𝗠𝗢𝗧𝗘 𝗘𝗧𝗠𝗘𝗗𝗘𝗡 𝗢̈𝗡𝗖𝗘
Bir Domain Controller’ı ortamdan kaldırmanız gerekiyorsa sunucuyu doğrudan kapatıp silmeyin.
Öncelikle Active Directory replication sağlığını doğrulayın.
Sunucu üzerinde FSMO rolleri bulunuyorsa bu rolleri sağlıklı Additional Domain Controller’lara transfer edin.
DNS, Global Catalog ve diğer servis bağımlılıklarını kontrol edin.
Domain Controller’ı desteklenen yöntemle demote edin.
DNS kayıtlarının, metadata bilgilerinin ve Active Directory Sites and Services objelerinin doğru biçimde temizlendiğini doğrulayın.
Sunucu kalıcı olarak kaybedilmişse metadata cleanup ve FSMO role seizure gibi farklı recovery işlemleri gerekebilir.
Bu işlemleri de sonraki videolarda ayrıca ele alacağız.
𝗦𝗢𝗡𝗨𝗖̧
Windows Server 2025 Active Directory Domain Services kurulumunu ve temel en iyi uygulama yapılandırmalarını tamamladık.
Sunucuya anlamlı bir bilgisayar adı ve statik IP adresi verdik.
İlk Domain Controller için DNS istemci ayarlarını yapılandırdık.
Additional Domain Controller kurulduktan sonra uygulanacak DNS cross-mapping tasarımını açıkladık.
DNS island riskini ve IPv6’nın rastgele kapatılmaması gerektiğini ele aldık.
NTDS veri tabanı ile transaction log dosyaları için ayrı diskler hazırladık.
Active Directory Domain Services ve DNS Server rollerini kurduk.
Public olarak kontrol edilen domainin alt domaini olan ad.techaptic.com ile yeni forest oluşturduk.
Split-brain DNS tasarımının oluşturabileceği ek yönetim yükünü açıkladık.
Windows Server 2025 forest ve domain functional level değerlerini seçtik.
Güçlü Directory Services Restore Mode parolası belirledik.
NetBIOS adını kontrol ettik.
NTDS veri tabanı ile log dizinlerini ayrı disklerde yapılandırdık.
SYSVOL klasörünü varsayılan konumunda bıraktık.
IPv4 reverse lookup zone oluşturduk ve secure dynamic updates seçeneğini etkinleştirdik.
Active Directory Recycle Bin özelliğini açtık.
Tek Domain Controller laboratuvarı için DNS istemci ayarlarını düzelttik.
Forest root PDC Emulator için güvenilir external NTP kaynağı yapılandırmasını ele aldık.
Windows Server 2025 ile gelen optional 32 KB Active Directory veri tabanı sayfa mimarisini ve bu değişikliğin uyumluluk, backup ve recovery risklerini açıkladık.
dcdiag /test:dns komutuyla DNS sağlığını kontrol ettik.
netdom query fsmo komutuyla beş FSMO rolünün sahibini doğruladık.
Tek Domain Controller’ın üretim ortamı için yeterli olmadığını ve Additional Domain Controller kurulması gerektiğini vurguladık.
System state backup, restore testleri, snapshot riskleri ve Domain Controller demotion sürecinin öneminden bahsettik.
Sunucumuz artık yeni forest içindeki ilk Domain Controller olarak çalışıyor.
Ancak ortamın tamamen dayanıklı kabul edilebilmesi için Additional Domain Controller, düzenli monitoring, güvenlik sertleştirmesi, test edilmiş backup ve forest recovery planı tamamlanmalıdır.
Umarım bu video sizin için yararlı olmuştur.
Zaman ayırdığınız için teşekkür ederim.
Bir sonraki videoda görüşmek üzere.
Hoşça kalın.
Değerlendirme
'ta yorum yapın ya da tartışın