{"id":372,"title":"AD Forest Trust \u00dczerinde Yetkilendirme ve Group Policy Y\u00f6netimi","content":"
Geçti\u011fimiz yaz\u0131da<\/a> onder.local<\/code> ve monder.local<\/code> Forest yap\u0131lar\u0131 aras\u0131nda iki yönlü (Two-way) Forest Trust kurulumunu tamamlam\u0131\u015ft\u0131k. Ancak sadece güven kurmak yetmez; as\u0131l mesele, bir Forest'taki kullan\u0131c\u0131n\u0131n di\u011ferindeki bir dosyaya nas\u0131l eri\u015fece\u011fi ve merkezi politikalar\u0131n nas\u0131l yönetilece\u011fidir.\n

Bu yaz\u0131da, \"Cross-Forest\" (Forest'lar aras\u0131) yetkilendirme ve Group Policy (GPO) davran\u0131\u015flar\u0131n\u0131 laboratuvar ortam\u0131nda simüle ediyoruz.<\/p>\n

\n

1. Cross-Forest Kaynak Eri\u015fimi (Yetkilendirme)<\/h2>\n

Bir Forest'taki kullan\u0131c\u0131n\u0131n di\u011fer Forest'taki bir payla\u015f\u0131ma eri\u015fmesi için \"AGDLP\" (Account, Global, Domain Local, Permissions)<\/strong> stratejisinin geni\u015fletilmi\u015f halini kullan\u0131r\u0131z.<\/p>\n

Uygulama Ad\u0131mlar\u0131:<\/h3>\n
    \n
  1. \n

    Kaynak Forest (monder.local):<\/strong> Burada bir dosya payla\u015f\u0131m\u0131 (örn: Muhasebe_Belgeleri<\/code>) olu\u015fturdum.<\/p>\n<\/li>\n

  2. \n

    Grup Stratejisi:<\/strong> monder.local<\/code> içerisinde bir Domain Local Group<\/strong> olu\u015fturdum (örn: DL_Muhasebe_Read<\/code>).<\/p>\n<\/li>\n

  3. \n

    Üyelik:<\/strong> Trust sayesinde, onder.local<\/code> içerisindeki bir kullan\u0131c\u0131y\u0131 veya Global Grubu, monder.local<\/code>'deki bu Domain Local grubuna üye olarak ekledim.<\/p>\n<\/li>\n

  4. \n

    Sonuç:<\/strong> onder.local\\irfan<\/code> kullan\u0131c\u0131s\u0131, kendi kimlik bilgileriyle \\\\monder-dc\\Muhasebe_Belgeleri<\/code> klasörüne sorunsuz eri\u015febildi.<\/p>\n<\/li>\n<\/ol>\n

    \n

    2. Group Policy Objects (GPO) ve Forest Trust \u0130li\u015fkisi<\/h2>\n

    S\u0131kça sorulan soru \u015fudur: \"onder.local üzerindeki bir GPO, monder.local üzerindeki bir kullan\u0131c\u0131y\u0131 etkiler mi?\"<\/p>\n

    Kritik Bilgi:<\/strong> Group Policy'ler Forest s\u0131n\u0131r\u0131n\u0131 geçemez. Yani bir GPO objesini do\u011frudan di\u011fer Forest'taki bir OU'ya (Organizational Unit) ba\u011flayamazs\u0131n\u0131z (linkleme yapamazs\u0131n\u0131z).<\/p>\n

    Çözüm Senaryolar\u0131:<\/h3>\n
      \n
    • \n

      Ayr\u0131 Yönetim:<\/strong> Her iki Forest için de GPO'lar kendi Domain Controller'lar\u0131 üzerinde olu\u015fturulmal\u0131d\u0131r.<\/p>\n<\/li>\n

    • \n

      GPO Migration:<\/strong> E\u011fer onder.local<\/code> üzerindeki mükemmel bir güvenlik politikas\u0131n\u0131 monder.local<\/code>'de de kullanmak istiyorsan\u0131z, GPO'yu \"Backup\"<\/strong> al\u0131p di\u011fer tarafa \"Import\"<\/strong> etmeniz gerekir.<\/p>\n<\/li>\n<\/ul>\n

      \n

      3. Loopback Processing ve Forest Trust<\/h2>\n

      E\u011fer bir kullan\u0131c\u0131 onder.local<\/code> domainine üye olup, fiziksel olarak monder.local<\/code> domainine dahil bir bilgisayarda oturum açarsa ne olur?<\/p>\n

      Bu durumda GPO Loopback Processing<\/strong> devreye girer. Bilgisayar\u0131n bulundu\u011fu domaindeki (monder.local<\/code>) \"Computer Policy\" kurallar\u0131 uygulanmaya devam ederken, kullan\u0131c\u0131n\u0131n kendi domainindeki (onder.local<\/code>) \"User Policy\" kurallar\u0131 da çekilir.<\/p>\n

      \n

      4. Laboratuvar Testi: Kimlik Do\u011frulama Kan\u0131t\u0131<\/h2>\n

      Yap\u0131land\u0131rman\u0131n çal\u0131\u015ft\u0131\u011f\u0131n\u0131 kan\u0131tlamak için \u015fu testi gerçekle\u015ftirdim:<\/p>\n

        \n
      1. \n

        monder.local<\/code>'deki bir sunucuya Uzak Masaüstü (RDP) ile ba\u011flanmaya çal\u0131\u015ft\u0131m.<\/p>\n<\/li>\n

      2. \n

        Kullan\u0131c\u0131 ad\u0131 k\u0131sm\u0131na onder\\irfan<\/code> yazd\u0131m.<\/p>\n<\/li>\n

      3. \n

        Trust sayesinde monder<\/code> domainindeki sunucu, onder<\/code> domainindeki Kerberos anahtar\u0131na güvendi ve oturumu açt\u0131.<\/p>\n<\/li>\n<\/ol>\n

        \n

        Not:<\/strong> E\u011fer \"Forest-wide Authentication\" yerine \"Selective Authentication\" seçmi\u015f olsayd\u0131k, bu RDP ba\u011flant\u0131s\u0131 öncesinde bilgisayar nesnesi üzerinde \"Allowed to Authenticate\" izni vermem gerekecekti.<\/p>\n<\/blockquote>\n

        \n

        Sonuç<\/h2>\n

        onder.local<\/code> ve monder.local<\/code> aras\u0131ndaki bu çal\u0131\u015fma, Active Directory'nin sadece bir veritaban\u0131 de\u011fil, devasa bir güven a\u011f\u0131 oldu\u011funu gösteriyor. Cross-forest yetkilendirme sayesinde yönetim kolayla\u015f\u0131rken, GPO s\u0131n\u0131rlar\u0131 sayesinde de yönetimsel ba\u011f\u0131ms\u0131zl\u0131k korunmu\u015f oluyor.<\/p>\n

        \n

         <\/p>\n<\/div>\n

        <\/p>","excerpt":"Bu yaz\u0131da, \"Cross-Forest\" (Forest'lar aras\u0131) yetkilendirme ve Group Policy (GPO) davran\u0131\u015flar\u0131n\u0131 laboratuvar ortam\u0131nda sim\u00fcle ediyoruz.","created_at":"2026-01-05 07:39:55","updated_at":"2026-09-23 17:01:06","category_id":6,"view_count":443,"reading_time":3,"status":"published","editor_choice":0,"is_editor_choice":0,"published_at":"2026-01-05 04:40:02","featured_image":"\/uploads\/images\/2026\/01\/695b414128113_1767588161.jpg","slug":"ad-forest-trust-uzerinde-yetkilendirme-ve-group-policy-yonetimi","category_name":"Sistem","category_slug":"sistem"}