Bir şirketin kullanıcı, bilgisayar ve erişim yönetimi büyüdükçe yerel hesaplarla ilerlemek zorlaşır. Active Directory Domain Services, Windows ortamında ortak kimlik altyapısı kurmanın temel bileşenlerinden biridir. Kurulumu başlatmadan önce adlandırma, DNS, yönetici erişimi ve kurtarma düzenini belirlemek gerekir. İlk domain controller, sonraki uygulamaların da güveneceği bir temel oluşturur.
Bu rehber Windows Server 2025 üzerinde yeni bir laboratuvar forest'ı oluşturmayı anlatır. Windows Server 2022 için de ilgili üretici dokümanı geçerlidir; mevcut domaine sürüm yükseltme veya forest birleştirme işlemleri bu senaryo değildir. Örneklerimizde DC01, 10.30.10.10 ve ad.example.com kullanılır. Bunlar eğitim değerleridir; üretimde sahibi olduğunuz alan adının uygun alt alanını ve kendi IP planınızı seçin.
Windows Server sürümü ile domain/forest işlev düzeyini ayrı düşünün. Windows Server 2025 işlev düzeyinde yalnızca Windows Server 2025 domain controller desteklenir; ileride 2022 controller eklemek istiyorsanız tasarımı buna göre seçmelisiniz. İstemci ve üye sunucu sürümleri aynı kısıtın konusu değildir. Ayrıntılar Microsoft işlev düzeyi uyumluluk tablosundadır.
1. İsim ve ağ planını kurulumdan önce tamamlayın
Domain adı, şirketin internet sitesinin adıyla aynı olmak zorunda değildir. Ancak ileride sertifika, uygulama ve kullanıcı oturum adlarıyla ilişkisi düşünülmelidir. Kısa vadeli proje adı veya geçici marka kullanmak, sonradan gereksiz taşıma işi çıkarabilir. Domain yeniden adlandırmasını sıradan bir bakım işlemi olarak planlamayın.
Sunucunun bilgisayar adını DC01 olarak düzenleyin, güncellemelerini tamamlayın ve statik IP yapılandırmasını doğrulayın. Ağ geçidi ile DNS ayarlarını birbirine karıştırmayın. Domain üyeleri AD kayıtlarını çözebilen kurumsal DNS sunucularını kullanmalıdır; istemciye ikinci DNS olarak rastgele bir genel çözümleyici eklemek, aralıklı oturum ve ilke sorunlarına yol açabilir. İlk kurulumda yerel konsol veya bağımsız yönetim erişiminiz bulunsun.
2. Rolü yükleyin, ardından domain controller'a yükseltin
Yönetici PowerShell oturumunda rol kurulumu ve yeni forest oluşturma ayrı adımlardır. Aşağıdaki temel komutların kapsamı Microsoft AD DS kurulum dokümanında açıklanır. Forest oluşturulurken DSRM parolası güvenli biçimde sorulur; parolayı komut satırına açık metin yazmayın.
Install-WindowsFeature AD-Domain-Services -IncludeManagementTools
Install-ADDSForest -DomainName "ad.example.com" -DomainNetbiosName "LAB"İkinci komut yeni forest oluşturur ve normal akışta sunucunun yeniden başlatılmasını gerektirir. Uyarıları okuyun; özellikle DNS delegasyonu değerlendirmesinin ne söylediğini anlayın. Laboratuvar alt alanının üst DNS yapısında bulunmamasıyla gerçek bir ad çözümleme arızası aynı durum değildir. Üretim tasarımını yalnızca sihirbazın varsayılan seçimlerine bırakmayın.
3. Yeniden başladıktan sonra hizmeti doğrulayın
Domain yöneticisiyle giriş yapabilmek önemli bir başlangıçtır, fakat tek başına kabul testi değildir. Yönetim araçlarından domainin ve DNS zone'larının oluştuğunu kontrol edin. İstemcilerin DC'yi bulabilmesi için gerekli servis kayıtlarının yayımlandığını doğrulayın. Aşağıdaki kontroller sonuç üretmelidir; hata varsa yeni kullanıcı oluşturmadan önce nedenini inceleyin.
Get-ADDomain
Get-ADForest
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.example.com
dcdiag /test:dnsDCDiag başvuru dokümanı, tanılama testlerinin kapsamını açıklar. Komut çıktısını tarih ve sunucu adıyla saklamak, sonraki incelemelerde sağlıklı başlangıç durumuyla karşılaştırma yapmanızı sağlar. Hata çıktısını paylaşırken kurum adları ve iç ağ bilgileri için erişim kapsamını gözetin.
4. Kullanıcı ve bilgisayar yapısını küçük başlayarak kurun
İlk gün bütün organizasyonu çok sayıda OU'ya bölmek yerine yönetim ve ilke ihtiyacına göre bir yapı oluşturun. Kullanıcılar, iş istasyonları, sunucular ve servis hesaplarının neden ayrı yönetileceğini açıklayabilmelisiniz. OU, güvenlik grubu ve dosya yetkisi aynı kavram değildir; bir nesnenin bir OU'da bulunması otomatik olarak uygulama erişimi vermez.
Önce bir pilot kullanıcı ve bir test bilgisayarıyla domain katılımını sınayın. Oturum açma, DNS çözümleme ve planlanan temel ilkenin uygulanmasını kontrol edin. Yönetici hesabını gündelik e-posta ve internet kullanımı için değerlendirmeyin. Ayrı yönetim hesabı, tanımlı sorumluluklar ve gereksiz yetkilerin kaldırılması kurulumdan sonraki iş listesine bırakılmamalıdır.
5. Kurtarma ve ikinci controller planını unutmayın
DSRM parolasının nerede ve kimlerin erişimiyle saklanacağını belirleyin. AD'ye uygun yedekleme ve geri yükleme yaklaşımını ürününüzün desteklediği biçimde oluşturun. Sanal makine checkpoint'i, tek başına domain kurtarma planı değildir. Geri yükleme kararı directory tutarlılığını ve ortamın diğer controller'larını etkileyebilir.
İkinci domain controller değerlendirmesinde farklı fiziksel hata alanlarını dikkate alın. Aynı host üzerinde iki VM açmak bazı bileşen arızalarını karşılayabilir, fakat host'un tamamının kaybını çözmez. İkinci sunucunun varlığı yedekleme ihtiyacını da ortadan kaldırmaz. Amaç, kimlik hizmetinin işletme gereksinimine uygun devam edebilmesidir.
Kabul kontrol listesi
- Domain ve NetBIOS adları onaylandı; IP planı kayıt altına alındı.
- DNS servis kayıtları ve domain bilgileri doğrulandı.
- Pilot istemci domaine katıldı ve normal kullanıcıyla oturum açıldı.
- Yönetici hesapları ile günlük kullanıcı hesapları ayrıldı.
- DSRM ve kurtarma erişimleri güvenli biçimde saklandı.
- Yedekleme sorumlusu, izleme ve ikinci controller ihtiyacı belirlendi.
Kurulum tamamlanınca bütün kullanıcıları hemen taşımalı mıyız?
Önce temsilî bir grup üzerinde doğrulama yapmak daha yönetilebilir bir geçiş sağlar. Dosya paylaşımları, uygulama kimlik doğrulaması ve mevcut profil davranışı ayrıca test edilmelidir. Başarılı bir kurulum, bütün bağımlılıkların kendiliğinden uyumlu olduğu anlamına gelmez.
CieloSync ile kimlik altyapısının tasarımını, kurulumunu ve sonrasındaki işletimini birlikte planlayabilirsiniz. Yönetilen IT hizmetlerimizi inceleyin veya mevcut yapınızı paylaşın.