WORKGROUP'tan Domain'e: 1.500 Cihazlık AD Modernizasyon Projesi

Cihazların yüzde 99’u WORKGROUP’taydı: 1.500 uç nokta, hiçbir merkezi yönetimin ulaşamadığı kendi başına adalar halinde çalışıyordu. Diğer projelerden önce bu dağınık yapıyı sertleştirilmiş, tek bir domain çatısı altına aldık.

Sorun

Kurumun Windows Server 2012 üzerinde çalışan bir Active Directory’si vardı, ama sadece muhasebe sunucusu gibi birkaç kritik sunucu domaine bağlıydı; 1.500 uç cihazın neredeyse tamamı WORKGROUP’ta, yani merkezi yönetimin tamamen dışındaydı. Muhasebe sunucusuna etki eden GPO’ların bir kısmının kim tarafından, neden yapıldığı bile bilinmiyordu. Ortamda yedek bir domain controller yoktu; tek DC’nin başına bir şey gelmesi tüm kimlik doğrulamayı durdurabilirdi. Üstüne, Fortigate FSSO ve Azure AD entegrasyonu için kullanılan iki süper yetkili servis hesabının parolası, AD’de herkesin okuyabildiği Description alanına açık şekilde yazılmıştı.

Çözüm

Önce muhasebe sunucusuna etki eden, amacı belirsiz GPO’ları titizlikle tarayıp temizledik. Ardından domain ortamını uçtan uca sertleştirdik: eksik GPO’ları tamamladık, AD Recycle Bin’i etkinleştirdik, LAPS kurarak her cihazın yerel yönetici parolasını birbirinden bağımsız hale getirdik ve iki süper yetkili servis hesabının (Fortigate FSSO, Azure AD) parolalarını değiştirip Description alanındaki açık metni sildik. Tek nokta arızası riskini ortadan kaldırmak için yedek bir domain controller kurduk. Son adımda 1.500 cihazı, kullanıcıları etkileyecek herhangi bir kesinti yaşanmadan domaine aldık. Tüm süreç yaklaşık 1 ay sürdü.

Bu projede belirlediğimiz GPO isimlendirme standardını, kurumun tüm BT bilgisini topladığımız dokümantasyon sunucusu projesinde de kullandık. Sertleştirdiğimiz bu AD ortamı, TeamViewer’ın 1.500 cihaza toplu dağıtıldığı help desk modernizasyon projesinin de altyapısını oluşturdu.

Bu projede uyguladığımız GPO temizliği, LAPS ve servis hesabı sertleştirmesinin teknik detaylarını Active Directory Güvenlik Sertleştirmesi ve GPO Yönetimi rehberlerimizde, tüm Active Directory kurulum ve yönetim konularını ise Active Directory Rehberi’nde bulabilirsiniz.