Active Directory

3.3.1. Active Directory Nedir?

Windows 2000 Server ile gelen özelliklerin basında "Active Directory" gelir. Active Directory, ağ kaynaklarını yönetmek için geliştirilmiş bir sistemdir. Windows 2000 Server'in kuruluşunun ardından Active Directory kurularak kullanıcılar, gruplar, bilgisayarlar ve kaynakların yönetimi sağlanır. Active Directory kuruluşu ile birlikte başlıca üç ana program da bilgisayara yüklenir. Daha sonra bu programlar aracılığıyla Active Directory nesneleri yaratılır ve yönetilir.

Active Directory ile yüklenen programlar:

• Active Directory Users and Computers

• Active Directory Sites and Services

• Active Directory Domain and Trusts

Directory (dizin, fihrist), nesneler hakkında bilgileri içeren bir bilgi kaynağıdır. Buradan yola çıkarak, dosya sistemi içinde de bir directory (fihrist ya da dizin) oluşturularak dosyalar ve klasörler hakkındaki bil­giler saklanır. Dağıtılmış bilgisayar sistemlerinde ve Internet gibi yaygın bilgisayar ağlarında ya­zıcı, faks, uygulamalar, veri kaynakları ve kullanıcılar (users) ve gruplar gibi birçok ilgili nesne (object) vardır. Kullanıcılar bu nesneleri bulmak ve kullanmak isterler. Bununla birlikte sistem yöneticileri de bu nesneleri yönetmek isterler, Active Directory iki gereksinimi de karşıla­mak için geliştirilmiş bir sistemdir.

Şekil : Active Directory

Active Directory, Windows 2000 Server ağı içinde bir servistir. Bu servis ağ kaynakları (kullanıcılar, aygıtlar, izinler vb.) hakkında bilgi saklar. Windows 2000 Active Directory servisi, sis­tem konfigürasyonu, kullanıcı ve grup bilgileri ve uygulamalar hakkında bilgi saklar. Bunun dışında Windows 2000, Group Policy düzenlemeleriyle birlikte sistem yöneticisi kullanıcıların masaüstlerini (dağıtım masaüstü yönetimi), ağ servislerini ve uygulamaları merkezi olarak bir noktadan yönetir.

3.3.1.1. Directory Servisine Neden Gereksinim Duyulur?

Directory servisi gelişmiş bilgisayar sistemlerinin en önemli bileşenlerinden birisidir. Kullanıcı­lar ve sistem yöneticileri ilgilendikleri nesnenin (object) tam adını bilmezler. Ancak nesnelerin bir ya da daha fazla özelliğini bilebilirler ve directory'den adı geçen nesnenin özelliklerine ben­zer özelliklere sahip diğer nesnelerin bir listesini almak için bir sorgu yaratabilirler.

Directory Servisi'nin yapabilecekleri:

• İzinsiz girişlere karşı bilgileri korumak için sistem yönetici tarafından nesnelere erişim izinlerinin tanımlanmasını sağlamak.

• Directory veritabanını ağa dahil bilgisayarlara dağıtır.

• Directory bilgilerini daha fazla kullanıcı tarafından ulaşılabilir hale getirir. Bununla bir­likte çökmelere karşı önlem almak amacıyla bir kopyasını çıkarır (replikasyon).

• Çok büyük sayılarda nesnenin saklanabilmesi için directory birçok parçaya bölünür.

Directory servisi özellikle kurumsal anlamda çok sayıda kullanıcı, grup ve kaynağın yönetilmesinde işe yarar. Çünkü hiyerarşiktir. Merkezi olarak yönetilebilir. Her büyüklükteki do­nanımda ve organizasyonda çalışacak şekilde tasarlanmıştır. (Birkaç yüz nesneli bir sunucudan milyonlarca nesneli binlerce sunucuya kadar.). Ayrıca yönetim birimlerinin delegasyonu gibi yeni kavramlara sahiptir. Active Directory'de delegasyon, büyük miktardaki bilgilerin yönetimi, yö­netici ve kullanıcılara zaman tasarrufu sağlanması gibi birçok yeni özelliğe sahiptir.

3.3.1.2. Active Directory'nin Özellikleri

Active Directory aşağıdaki özellikleri ile temel directory servislerinin işlevlerim geliştirmiştir:

·          Ölçeklenebilirlik.

·          Genişletilebilirlik.

·          Internet-standartlarında adlandırma.

·          Tek bir noktadan erişim.

·          Hata toleransı.

·          Güvenlik kontrolü.

·          Birlikte çalışma

Ölçeklenebilirlik özelliği ile Active Directory az sayıda nesne içerebileceği gibi milyonlarca nesne de içerebilir. Genişletilebilirlik özelliği ise Active Directory'nin sahip olduğu şema üzerinde değişiklik yapılabilmesi anlamına gelmektedir, Internet standartlarında adlandırma, ad çö­zümleme ve sorgu (query) protokolleri ise Internet ile bağlantı yapmayı sağlar.

Tek bir noktadan erişim özelliği ise sistem yöneticisinin (Administrator) bir yerden yapacağı logon işlemi ile bütün ağı yönetmesi anlamına gelir. Hata toleransı ise beklenmedik olaylara karşı Active Directory bilgilerinin çoğaltılması işlemlerini içerir.

Güvenlik kontrolü özelliği kullanıcıların erişim kontrollerinin dağıtılabilmesi anlamına gelir. Birlikte çalışma ise Active Directory'nin diğer işletim sistemleriyle bütünleşmesi anlamına gelir. LDAP, X.500 standartları gibi.

3.3.1.3. Active Directory Destekli Teknolojiler

Active Directory'nin amacı standart ya da tek tip bir sistem yönetimi (ağ yönetimi) sağlamaktır. Böylece sistem yöneticileri sistemi daha kolay yönetecek ve kullanıcılar da daha kolay bir şe­kilde sistemden yararlanacaktır. Active Directory'nin amaçlarından birisi de diğer directory sis­temleriyle iletişim kurmaktır. Aşağıdaki tabloda Active Directory'nin desteklediği teknolojileri görebilirsiniz.

Protokol Desteği (Protocol Support)

Desteklenen protokoller şunlardır:

• LDAP: Active Directory çekirdek protokolü "Lightweight Directory Access Protocol (LDAP)". LDAP versiyon 2 ve 3 desteklenir.

• MAPI-RPC: Active Directory, MAPI arayüzlerini destekleyen uzak prosedür çağrı (remote procedure call-RPC) arayüzlerini destekler.

• X.500: Active Directory bilgi modeli x.500 bilgi modelinden türetilmiştir. X.500, Active Directory'nin tanımlayamadığı birçok protokolü tanımlar.

Bu protokoller:

• DAP -Directory Access Protocol

• DSP -Directory System Protocol

• DISP -Directory Information Shadowing Protocol

• DOP -Directory Operational Binding Management Protocol

Uygulama Programlama Arayüzleri (Appiication Programming interfaces)

Desteklenen API'ler:

• ADSI: Active Directory Servis Arayüzleri (Active Directory Service Interfaces-ADSI):

Active Directory için basit, güçlü ve nesne-temelli bir arayüz sağlar. Geliştiriciler Java, Visual Basic gibi programlama sistemi kullanarak Active Directory'yi yönetebilirler.

• LDAP API: LDAP C API, RFC 1823 içinde tanımlanır ve daha düşük düzey arayüz C programcıları tarafından kullanılabilir.

• MAPI: Active Directory art alan uyumu için MAPI'yi destekler. Yeni uygulamalar ADSI ya da LDAP C API'yi kullanmalıdırlar.

3.3.1.4. Active Directory'de Adlandırma

Active Directory nesnelerini adlandırmak (naming) ve adlarını çözmek (resolving object names) için çeşitli standartlara sahiptir. Bu standartlar şunları içerir:

• DNS (Domain Name System)

• LDAP (Lightweight Directory Access Protocol)

DNS, endüstri standardı kullanılan bir adlandırma ve adların çözülmesi teknolojisidir. DNS sayesinde istemci (client) bilgisayarlar Active Directory hizmetlerine kolayca erişebilirler. Aynı şekilde LDAP da DNS, endüstri standardı kullanılan bir directory erişim protokolüdür. Active Directory bilgilerine erişim sağlar. Active Directory içinde bir kullanıcının ya da bir kaynağın adının kullanımında standart kurallar vardır. X.500 ve LDAP standardı olarak bu adlandırma sisteminin temelleri şunlardır:

Distinguished Name

Active Directory içindeki her bir nesne kendisini ayırt edecek bir ada sahiptir. Bu ada “distinguished name” denir. Distinguished adlar nesnenin bulunduğu domain'i tanımlar. Tipik bir distinguished adı şu şekilde oluşur:

DC=com, DC=sirket, CN=Users, CN=Kadir Tuztaş

Burada sirket.com domaini içinde Kadir Tuztaş için bir distinguished ad tanımlanmıştır. DC, Domain Component (Domain Bileşeni), CN ise Common Name için bir kısaltmadır.

Relative Distinguished Name

Relative Distinguished name bir distinguished adın bir parçasıdır. Ömeğimizde user nesnesi-nin "relative distinguished" adı Kadir Tuztaş'dır. Bir üst nesnenin relative distinguished adı ise Users'dır

Principal Name

User Principal Name (Kullanıcının Ana Adı) kullanıcını logon adı ve domain adından oluşur. Örneğin sirket.com domaini içindeki Kadir Tuztaş'ın adı kadir@sirket.com olabilir. User principal name network'e logon etmek için kullanılır.

Globally Unique identifier

Wındows 2000 yaratılan her bir nesneye 128-bitlik bir GUID (Globally Unique Identifier) atar. GUID, tek bir tane olduğu garanti edilen 128-bit'lik numaradır. Nesneler oluşturulduğunda atanmış bir GUlD'e sahip olurlar. Nesne yer değiştirmiş de olsa adı da değiştirilse GUID hiç­bir zaman değiştirilemez. Uygulamalar nesnenin GUlD'ini saklayabilir ve o anki domain bilgisi ne olursa olsun nesneye erişim kesinleşir.