{"id":393,"title":"Active Directory'de \"User Must Change Password at Next Logon\" Se\u00e7ene\u011fini De\u011fi\u015ftirememe Sorunu ve AdminSDHolder Etkisi","content":"

Active Directory Users and Computers (ADUC) konsolunda bir kullan\u0131c\u0131 hesab\u0131n\u0131n özelliklerini düzenlemeye çal\u0131\u015f\u0131rken, \"User must change password at next logon\"<\/strong> seçene\u011finin i\u015faretini kald\u0131ramama veya de\u011fi\u015ftirememe durumu ile kar\u015f\u0131la\u015fabilirsiniz. Bu sorun genellikle yetki eksikli\u011finden kaynaklan\u0131r, ancak arka planda çok daha karma\u015f\u0131k bir güvenlik mekanizmas\u0131 çal\u0131\u015f\u0131yor olabilir.<\/p>\n

Bu yaz\u0131da, böyle bir sorunla kar\u015f\u0131la\u015ft\u0131\u011f\u0131m\u0131zda nas\u0131l te\u015fhis edece\u011fimizi ve çözece\u011fimizi ad\u0131m ad\u0131m inceleyece\u011fiz.<\/p>\n

\u0130lk Te\u015fhis: PowerShell ile Deneme<\/h2>\n

GUI üzerinden de\u011fi\u015fiklik yapamad\u0131\u011f\u0131n\u0131zda, PowerShell kullanarak sorunu daha detayl\u0131 te\u015fhis edebilirsiniz:<\/p>\n

Set-ADUser -Identity \"jdoe\" -ChangePasswordAtLogon $false\n<\/code><\/pre>\n
Bu komutu çal\u0131\u015ft\u0131rd\u0131\u011f\u0131n\u0131zda \u015fu hatay\u0131 al\u0131yorsan\u0131z, sorun yetki eksikli\u011fidir:<\/p>\n
Set-ADUser : Insufficient access rights to perform the operation\nAt line:1 char:1\n+ Set-ADUser -Identity \"jdoe\" -ChangePasswordAtLogon $false\n+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~\n    + CategoryInfo          : NotSpecified: (jdoe:ADUser) [Set-ADUser], ADException\n    + FullyQualifiedErrorId : ActiveDirectoryServer:8344,Microsoft.ActiveDirectory.Management.Commands.SetADUser\n<\/code><\/pre>\n
Derin Te\u015fhis: AdminCount Kontrolü<\/h2>\n
\"Insufficient access rights\" hatas\u0131 ald\u0131\u011f\u0131n\u0131zda, kullan\u0131c\u0131n\u0131n özel bir koruma alt\u0131nda olup olmad\u0131\u011f\u0131n\u0131 kontrol etmelisiniz. Bunun için a\u015fa\u011f\u0131daki komutu kullan\u0131n:<\/p>\n
Get-ADUser -Identity \"jdoe\" -Properties ProtectedFromAccidentalDeletion, adminCount\n<\/code><\/pre>\n
Örnek ç\u0131kt\u0131:<\/p>\n
adminCount                      : 1\nDistinguishedName               : CN=John Doe,OU=IT,OU=Headquarters,DC=company,DC=local\nEnabled                         : True\nGivenName                       : John\nName                            : John Doe\nObjectClass                     : user\nObjectGUID                      : c70338ac-0a5e-4f12-8852-d56596ccdb57\nProtectedFromAccidentalDeletion : False\nSamAccountName                  : jdoe\nSID                             : S-1-5-21-938383202-2505302177-1015948312-13583\nSurname                         : Doe\nUserPrincipalName               : jdoe@company.local\n<\/code><\/pre>\n
Kritik Nokta: adminCount = 1<\/h3>\n
E\u011fer adminCount : 1<\/code> de\u011ferini görüyorsan\u0131z, i\u015fte sorunun as\u0131l kayna\u011f\u0131 budur!<\/strong><\/p>\n
AdminSDHolder Nedir?<\/h2>\n
AdminSDHolder<\/strong>, Active Directory'de ayr\u0131cal\u0131kl\u0131 (privileged) kullan\u0131c\u0131lar\u0131 ve gruplar\u0131 korumak için tasarlanm\u0131\u015f otomatik bir güvenlik mekanizmas\u0131d\u0131r.<\/p>\n
Nas\u0131l Çal\u0131\u015f\u0131r?<\/h3>\n
    \n
  1. Korunan Gruplar<\/strong>: Domain Admins, Enterprise Admins, Schema Admins, Backup Operators gibi kritik gruplar<\/li>\n
  2. SDProp (Security Descriptor Propagator)<\/strong>: Her 60 dakikada bir çal\u0131\u015fan bir i\u015flem<\/li>\n
  3. \u0130zin S\u0131f\u0131rlama<\/strong>: Bu gruplar\u0131n üyelerinin izinlerini AdminSDHolder nesnesindeki \u015fablona göre s\u0131f\u0131rlar<\/li>\n
  4. adminCount Bayra\u011f\u0131<\/strong>: Bir kullan\u0131c\u0131 bu gruplara eklendi\u011finde adminCount = 1<\/code> olarak i\u015faretlenir<\/li>\n<\/ol>\n
    Sorun Neden Olu\u015fuyor?<\/h3>\n
    AdminSDHolder mekanizmas\u0131, korumal\u0131 kullan\u0131c\u0131lar\u0131n izinlerini k\u0131s\u0131tlar ve sadece Domain Admin gibi en yüksek yetkili hesaplar\u0131n<\/strong> bu kullan\u0131c\u0131lar üzerinde de\u011fi\u015fiklik yapmas\u0131na izin verir. Bu, güvenlik için tasarlanm\u0131\u015f bir özelliktir, ancak bazen istenmeyen sonuçlar do\u011furabilir.<\/p>\n
    Sorunun Çözümü<\/h2>\n
    Çözüm 1: Domain Admin Hesab\u0131yla \u0130\u015flem Yap\u0131n<\/h3>\n
    En basit ve en güvenli çözüm, tam yetkili bir Domain Admin hesab\u0131<\/strong> kullanmakt\u0131r:<\/p>\n
    # Domain Admin hesab\u0131yla oturum aç\u0131n ve tekrar deneyin\nSet-ADUser -Identity \"jdoe\" -ChangePasswordAtLogon $false\n<\/code><\/pre>\n
    Çözüm 2: Kullan\u0131c\u0131n\u0131n Grup Üyeliklerini Kontrol Edin<\/h3>\n
    Kullan\u0131c\u0131n\u0131n hangi ayr\u0131cal\u0131kl\u0131 gruplarda oldu\u011funu kontrol edin:<\/p>\n
    Get-ADUser -Identity \"jdoe\" -Properties MemberOf | Select-Object -ExpandProperty MemberOf\n<\/code><\/pre>\n
    E\u011fer kullan\u0131c\u0131 art\u0131k kritik gruplardan birinde de\u011filse (örne\u011fin daha önce Domain Admins'te iken ç\u0131kar\u0131lm\u0131\u015fsa) ancak adminCount<\/code> hala 1 ise, manuel düzeltme yapabilirsiniz.<\/p>\n
    Çözüm 3: adminCount De\u011ferini S\u0131f\u0131rlay\u0131n (D\u0130KKATL\u0130!)<\/h3>\n
    \u26a0\ufe0f UYARI<\/strong>: Bu i\u015flemi yapmadan önce mutlaka kullan\u0131c\u0131n\u0131n gerçekten ayr\u0131cal\u0131kl\u0131 bir grupta olup olmad\u0131\u011f\u0131n\u0131 kontrol edin!<\/p>\n
    # adminCount de\u011ferini temizle\nSet-ADUser -Identity \"jdoe\" -Clear adminCount\n\n# Varsay\u0131lan DACL'i geri yükle\ndsacls \"CN=John Doe,OU=IT,OU=Headquarters,DC=company,DC=local\" \/resetDefaultDACL\n<\/code><\/pre>\n
    Bu i\u015flemlerden sonra tekrar deneyin:<\/p>\n
    Set-ADUser -Identity \"jdoe\" -ChangePasswordAtLogon $false\n<\/code><\/pre>\n
    Çözüm 4: Kimlik Do\u011frulama ile PowerShell Kullan\u0131m\u0131<\/h3>\n
    E\u011fer farkl\u0131 kimlik bilgileri kullanman\u0131z gerekiyorsa:<\/p>\n
    $cred = Get-Credential\nSet-ADUser -Identity \"jdoe\" -ChangePasswordAtLogon $false -Credential $cred\n<\/code><\/pre>\n
    Yetki Kontrolü Nas\u0131l Yap\u0131l\u0131r?<\/h2>\n
    Mevcut oturumunuzun yetkilerini kontrol etmek için:<\/p>\n
    # Hangi hesapla oturum açt\u0131\u011f\u0131n\u0131z\u0131 göster\nwhoami\n\n# Domain Admins grubunda olup olmad\u0131\u011f\u0131n\u0131z\u0131 kontrol et\nwhoami \/groups | findstr \"Domain Admins\"\n\n# Tüm grup üyeliklerinizi listele\nwhoami \/groups\n<\/code><\/pre>\n
    En \u0130yi Uygulama Önerileri<\/h2>\n
    1. Least Privilege Prensibi<\/strong><\/h3>\n
    Normal kullan\u0131c\u0131lar\u0131 gereksiz yere ayr\u0131cal\u0131kl\u0131 gruplara eklemeyin. Geçici yetki gerekiyorsa, i\u015flem bitti\u011finde gruptan ç\u0131kar\u0131n.<\/p>\n
    2. adminCount Temizli\u011fi<\/strong><\/h3>\n
    Ayr\u0131cal\u0131kl\u0131 gruplardan ç\u0131kar\u0131lan kullan\u0131c\u0131lar\u0131n adminCount<\/code> de\u011ferlerini periyodik olarak kontrol edin ve temizleyin:<\/p>\n
    # adminCount = 1 olan ancak ayr\u0131cal\u0131kl\u0131 grupta olmayan kullan\u0131c\u0131lar\u0131 bul\n$protectedGroups = @(\n    \"Domain Admins\",\n    \"Enterprise Admins\",\n    \"Schema Admins\",\n    \"Administrators\",\n    \"Account Operators\",\n    \"Server Operators\",\n    \"Print Operators\",\n    \"Backup Operators\",\n    \"Replicator\"\n)\n\n$users = Get-ADUser -Filter {adminCount -eq 1} -Properties adminCount, MemberOf\n\nforeach ($user in $users) {\n    $isProtected = $false\n    foreach ($group in $user.MemberOf) {\n        $groupName = (Get-ADGroup $group).Name\n        if ($protectedGroups -contains $groupName) {\n            $isProtected = $true\n            break\n        }\n    }\n    \n    if (-not $isProtected) {\n        Write-Host \"Kullan\u0131c\u0131 art\u0131k korunmuyor: $($user.SamAccountName)\" -ForegroundColor Yellow\n        # \u0130sterseniz burada adminCount'u temizleyebilirsiniz\n        # Set-ADUser -Identity $user -Clear adminCount\n    }\n}\n<\/code><\/pre>\n
    3. Delegated Permissions Kullan\u0131m\u0131<\/strong><\/h3>\n
    Her durumda Domain Admin yetkisi kullanmak yerine, belirli OU'lar için delegate edilmi\u015f yetkiler kullan\u0131n:<\/p>\n
      \n
    • Active Directory Users and Computers'da ilgili OU'ya sa\u011f t\u0131klay\u0131n<\/li>\n
    • Delegate Control<\/strong> seçene\u011fini seçin<\/li>\n
    • Gerekli izinleri ilgili IT personeline verin<\/li>\n<\/ul>\n
      4. Audit ve Dokümantasyon<\/strong><\/h3>\n
        \n
      • Ayr\u0131cal\u0131kl\u0131 grup de\u011fi\u015fikliklerini audit edin<\/li>\n
      • adminCount de\u011fi\u015fikliklerini logla<\/li>\n
      • Düzenli olarak ayr\u0131cal\u0131kl\u0131 grup üyeliklerini gözden geçirin<\/li>\n<\/ul>\n
        Özet ve Kontrol Listesi<\/h2>\n
        Bir kullan\u0131c\u0131 hesab\u0131nda \"User must change password at next logon\" seçene\u011fini de\u011fi\u015ftiremiyorsan\u0131z:<\/p>\n
          \n
        • [ ] PowerShell ile Set-ADUser<\/code> komutunu deneyin<\/li>\n
        • [ ] Hata mesaj\u0131n\u0131 kontrol edin (Insufficient access rights?)<\/li>\n
        • [ ] adminCount<\/code> de\u011ferini kontrol edin (Get-ADUser -Identity \"kullanici\" -Properties adminCount<\/code>)<\/li>\n
        • [ ] adminCount = 1<\/code> ise, kullan\u0131c\u0131n\u0131n grup üyeliklerini kontrol edin<\/li>\n
        • [ ] Domain Admin hesab\u0131yla i\u015flemi deneyin<\/li>\n
        • [ ] Kullan\u0131c\u0131 ayr\u0131cal\u0131kl\u0131 grupta de\u011filse adminCount<\/code> de\u011ferini temizleyin<\/li>\n
        • [ ] DACL'i s\u0131f\u0131rlay\u0131n (dsacls ... \/resetDefaultDACL<\/code>)<\/li>\n
        • [ ] De\u011fi\u015fikli\u011fi tekrar deneyin<\/li>\n<\/ul>\n
           <\/h2>\n
          Active Directory'deki AdminSDHolder mekanizmas\u0131, kritik hesaplar\u0131 korumak için tasarlanm\u0131\u015f güçlü bir güvenlik özelli\u011fidir. Ancak, yanl\u0131\u015f yap\u0131land\u0131rma veya geçmi\u015f grup üyelikleri nedeniyle bazen beklenmeyen sorunlara yol açabilir. adminCount = 1<\/code> de\u011ferini gördü\u011fünüzde, kullan\u0131c\u0131n\u0131n neden korundu\u011funu anlamak ve uygun çözümü uygulamak önemlidir.<\/p>\n
          Bu sorunu çözerken her zaman güvenlik ve least privilege prensiplerine sad\u0131k kal\u0131n. Gerekmedikçe kullan\u0131c\u0131lar\u0131 ayr\u0131cal\u0131kl\u0131 gruplardan ç\u0131kar\u0131n ve periyodik olarak adminCount<\/code> de\u011ferlerini temizleyin.<\/p>\n
          \n
          Faydal\u0131 Kaynaklar:<\/strong><\/p>\n
            \n
          • Microsoft Docs: AdminSDHolder ve Protected Groups<\/li>\n
          • Active Directory Security Best Practices<\/li>\n
          • PowerShell Active Directory Module Documentation<\/li>\n<\/ul>\n
            Yazar Notu:<\/strong> Bu yaz\u0131da ele al\u0131nan senaryolar gerçek production ortamlar\u0131ndan al\u0131nm\u0131\u015ft\u0131r. Üretim ortam\u0131nda de\u011fi\u015fiklik yapmadan önce mutlaka test ortam\u0131nda deneyin ve gerekli backup'lar\u0131 al\u0131n.<\/p>","excerpt":"Active Directory Users and Computers (ADUC) konsolunda bir kullan\u0131c\u0131 hesab\u0131n\u0131n \u00f6zelliklerini d\u00fczenlemeye \u00e7al\u0131\u015f\u0131rken,\u00a0\"User must change password at next logon\" se\u00e7ene\u011finin i\u015faretini kald\u0131ramama veya de\u011fi\u015ftirememe durumu ile kar\u015f\u0131la\u015fabilirsiniz","created_at":"2026-02-04 22:25:30","updated_at":"2026-09-07 15:20:40","category_id":6,"view_count":583,"reading_time":7,"status":"published","editor_choice":0,"is_editor_choice":0,"published_at":"2026-02-04 19:25:30","featured_image":"\/uploads\/images\/2026\/02\/69839d2774f62_1770233127.jpg","slug":"active-directory-de-user-must-change-password-at-next-logon-secenegini-degistirememe-sorunu-ve-adminsdholder-etkisi","category_name":"Sistem","category_slug":"sistem","category_color":"#3b82f6"}