Active Directory Sağlık Kontrolü: Periyodik Bakımda Neler Yapılmalı?

Active Directory sorunsuz çalıştığında fark edilmez; sorun çıktığında ise oturum açma, dosya erişimi, e-posta ve uygulamalar birlikte etkilenir. Periyodik bir sağlık kontrolü, küçük tutarsızlıkların büyük kesintilere dönüşmesini önler. Aşağıdaki liste, aylık veya üç aylık bakım rutinine temel olabilir.

1. Etki alanı denetleyicisi tanılaması

dcdiag, etki alanı denetleyicilerinin bağlantı, replikasyon, DNS ve servis durumunu test eder. Tüm denetleyiciler için çalıştırılmalı, başarısız testler ve uyarılar incelenmelidir. Ayrıca Directory Service, DNS Server ve DFS Replication olay günlükleri gözden geçirilmelidir.

2. Replikasyon

Birden fazla denetleyicide yapılan değişikliklerin birbirine ulaşması gerekir. repadmin /replsummary ve repadmin /showrepl çıktılarında hata ve uzun süredir başarısız replikasyon olmamalıdır. Uzun süre replikasyon yapamayan bir denetleyici tutarsız veri sunar ve ciddi düzeltme işlemleri gerektirebilir.

3. DNS

• Denetleyicilerin DNS istemci ayarları birbirini ve kendilerini doğru sırayla göstermeli
• Etki alanı için gerekli SRV kayıtları eksiksiz olmalı
• Eski veya kaldırılmış sunuculara ait kayıtlar temizlenmeli (scavenging planı)
• Dış ad çözümlemesi için yönlendiriciler (forwarder) çalışır durumda olmalı

4. FSMO rolleri

Rollerin hangi denetleyicide olduğu (netdom query fsmo) dokümante edilmeli ve bu denetleyicilerin sağlıklı olduğu doğrulanmalıdır. Kaldırılmış veya erişilemeyen bir sunucuda rol bırakılmamalıdır.

5. SYSVOL ve grup ilkeleri

SYSVOL replikasyonunun DFSR ile yapıldığı ve tüm denetleyicilerde aynı içeriğin bulunduğu kontrol edilmelidir. Eski FRS tabanlı yapılar DFSR’ye taşınmalıdır. Kullanılmayan veya bağlantısı olmayan grup ilkesi nesneleri gözden geçirilmelidir.

6. Zaman senkronizasyonu

Kerberos kimlik doğrulaması saat farkına duyarlıdır. PDC emülatör rolünü taşıyan denetleyici güvenilir bir dış zaman kaynağıyla, diğer denetleyiciler ve istemciler ise etki alanı hiyerarşisi üzerinden senkronize olmalıdır. Sanal denetleyicilerde hipervizör zaman senkronizasyonu ile çakışma olmamalıdır.

7. Hesap hijyeni

• Uzun süredir oturum açmamış kullanıcı ve bilgisayar hesaplarının devre dışı bırakılması
• Ayrılan personelin hesaplarının kapatıldığının kontrolü
• Yüksek yetkili grupların (Domain Admins, Enterprise Admins vb.) üyeliğinin gözden geçirilmesi
• Parolası süresiz servis hesaplarının listelenmesi ve sahiplerinin belirlenmesi

8. Yedek ve kurtarma hazırlığı

En az bir denetleyicinin düzenli sistem durumu (system state) yedeği alınmalı ve yedeklerin denetleyicinin tombstone ömründen daha eski olmaması sağlanmalıdır. Active Directory Geri Dönüşüm Kutusu etkin olmalıdır; yanlışlıkla silinen nesnelerin geri alınmasını kolaylaştırır. Kurtarma adımları yazılı olmalıdır.

Bakım raporu

Her kontrolün sonucu, tarihi ve yapılan düzeltmeler kısa bir raporda toplanmalıdır. Bu rapor hem bir sonraki bakımın başlangıç noktasıdır hem de denetimlerde BT operasyonlarının düzenli yürütüldüğüne dair kanıt oluşturur.

Sık sorulan sorular

Tek etki alanı denetleyicisi yeterli mi?

Önerilmez. Tek denetleyicide oluşan bir arıza kimlik doğrulama, DNS ve grup ilkelerini aynı anda etkiler. En az iki denetleyici ve düzenli sistem durumu yedeği önerilir.

dcdiag hatasız çıkarsa her şey yolunda mıdır?

dcdiag önemli bir göstergedir ama tek başına yeterli değildir. Replikasyon durumu, olay günlükleri, DNS kayıtları, zaman senkronizasyonu ve yedeklerin de kontrol edilmesi gerekir.