// REHBER · ACTIVE DIRECTORY

Active Directory'de ayrılan kullanıcı: devre dışı bırakmak yetmez

Şirket içi Active Directory, VPN'den dosya sunucusuna kadar pek çok sistemin kapısıdır. Devre dışı bırakılan ama grup üyelikleri duran hesap, yanlışlıkla yeniden etkinleştirildiğinde bütün eski yetkileriyle geri gelir.

Elle yapılacak olsaydı

1. Devre dışı bırakın: hesabı silmeyin; dosya sahipliği ve denetim izleri için kullanıcı nesnesi kalmalı.
2. Grup üyeliklerini kaldırın: özellikle VPN, uzak masaüstü ve dosya paylaşımı gruplarından.
3. Not düşün: açıklama alanına ayrılış tarihini yazın; aylar sonra hesaba bakan kişi nedenini bilsin.
4. Ayrılanlar OU'suna taşıyın: grup ilkeleri ve raporlar için ayrı tutun.
5. Korunan hesaplara dikkat: Domain Admins gibi ayrıcalıklı grupların üyelerini ayrı bir prosedürle ele alın.
6. Kaydını tutun: hangi adımın ne zaman ve kim tarafından yapıldığını not edin.

ersaccounts ile

• Bağlantı: LDAPS (ya da StartTLS'li LDAP) ile bir hizmet hesabı üzerinden; bu hesaba yalnızca ilgili OU'larda kullanıcı ve grup yönetimi yetkisi verilmesi önerilir. Ajan kurulmaz; etki alanı denetleyicisinin LDAPS portunun ersaccounts'un çıkış adresine açılması yeterlidir.
• İşe giriş: kullanıcı seçtiğiniz OU'da açılır ve varsayılan gruplara eklenir. Geçici şifre hiçbir yere yazılmaz, ilk girişte değiştirilmesi zorunludur; sorumluya şifreyi iletme görevi düşer.
• Ayrılış: kullanıcı devre dışı bırakılır, bütün grup üyelikleri kaldırılır, açıklamasına ayrılış notu düşülür ve ayarlıysa ayrılanlar OU'suna taşınır; silinmez. Çıkarılamayan grup üyeliği varsa sorumluya kontrol görevi düşer.
• Doğrulama: kapatmadan sonra hesap dizinde yeniden okunarak devre dışı olduğu doğrulanır.
• Korunan hesaplar: ayrıcalıklı hesaplar (adminCount=1) ve bağlantının kendi hizmet hesabı otomatik açılmaz ve kapatılmaz; görev olarak sorumluya düşer.
• Dizin kontrolü ve atıl hesap: her sabah dizindeki kullanıcılar envanterle karşılaştırılır; ayrılanın açık hesabı ve sahipsiz hesaplar bulgu olur. Son giriş (lastLogonTimestamp) okunur, uzun süredir kullanılmayan hesaplar bulgu olur.
• Kanıt: her adım denetim kaydına yazılır; ayrılış kapanış belgesinde hangi gruplardan çıkarıldığı da görünür.