Active Directory Yönetimi: ManageEngine ADManager Plus ile Otomasyon ve Delegasyon

Active Directory'yi güvenli tutmanın ilk şartı, onu düzenli yönetmektir: hesaplar, gruplar, izinler ve yaşam döngüsü.

Active Directory, çoğu kurumda kimliğin tek doğruluk kaynağıdır: kim hangi sisteme girebilir, hangi klasörü açabilir, hangi grupta yer alır — hepsi AD'de tanımlıdır. Buna rağmen AD yönetimi birçok BT ekibinde hâlâ el emeğiyle yürür: yeni personel için tek tek hesap açılır, ayrılan çalışanın hesabı "sonra kapatılmak üzere" bekler, grup üyelikleri yıllar içinde kimsenin hatırlamadığı bir yığına dönüşür. Sonuç, hem operasyonel yük hem de büyüyen bir güvenlik borcudur: sahipsiz hesaplar ve gereğinden geniş yetkiler, saldırganların en sevdiği hammaddedir.

Kısaca: Active Directory yönetimi; kullanıcı hesaplarının, grupların ve izinlerin oluşturulmasından devre dışı bırakılmasına kadar tüm yaşam döngüsünün denetimli ve tutarlı biçimde yürütülmesidir. ManageEngine ADManager Plus bu süreci web tabanlı tek konsoldan sağlar: şablonlarla toplu kullanıcı işlemleri, yardım masasına güvenli yetki devri, onay akışlı otomasyon ve 200'ün üzerinde hazır raporla AD, Microsoft 365 ve Exchange yönetimini birleştirir.

Yerleşik Araçlar Nerede Yetersiz Kalır?

Windows'un yerleşik yönetim araçları (Active Directory Users and Computers, PowerShell) tekil işlemler için yeterlidir; sorun ölçek ve süreçtir. Elli kişilik bir işe alım dalgasında her hesabı elle açmak saatler alır ve her elle işlem bir tutarsızlık riskidir: eksik grup üyeliği, yanlış OU, unutulmuş ev dizini. PowerShell betikleri bu işi hızlandırır, ancak betik yazma becerisi ekipteki bir-iki kişiye bağımlılık yaratır, betiklerde onay mekanizması ve işlem kaydı yoktur.

Daha kritik eksik, yetki devridir: yerleşik araçlarla bir yardım masası personeline "yalnızca parola sıfırlama ve hesap kilidi açma" yetkisi vermek, AD'nin delegasyon sihirbazında hataya açık ve izlenmesi zor bir iştir. Pratikte çoğu kurum bu zorluğu, yardım masasına gereğinden geniş yetkiler vererek "çözer" — ta ki bir denetim ya da olay bunun bedelini gösterene kadar.

ADManager Plus Nedir?

ManageEngine ADManager Plus; Active Directory, Microsoft 365, Exchange ve Google Workspace ortamlarının yönetimini ve raporlamasını tek web konsolunda toplayan bir kimlik yönetimi çözümüdür. Amacı, AD yönetimini betik bilgisine bağımlı olmaktan çıkarıp şablonlara, rollere ve onay akışlarına dayalı, kayıt altında bir sürece dönüştürmektir. Konsol üzerinden yapılan her işlem kim-ne-ne zaman bilgisiyle loglanır; bu da hem iç denetime hem KVKK ve ISO 27001 gibi çerçevelere doğal kanıt üretir.

Şablonlarla Toplu Kullanıcı İşlemleri

ADManager Plus'ta kullanıcı oluşturma, kurum standartlarını içeren şablonlara dayanır: adlandırma kuralı, OU yerleşimi, grup üyelikleri, ev dizini, posta kutusu ve Microsoft 365 lisansı tek şablonda tanımlanır. İK'dan gelen CSV listesi içe aktarıldığında yüzlerce hesap, aynı standartla dakikalar içinde açılır — Exchange posta kutusu ve M365 lisans ataması dahil.

Aynı yaklaşım değişiklik ve ayrılış için de geçerlidir: departman değiştiren kullanıcının grup üyelikleri şablonla güncellenir; ayrılan kullanıcı için hesap devre dışı bırakma, grup üyeliklerinden çıkarma, lisans geri alma ve posta kutusu yetkilendirme adımları tek akışta yürür. İşe giriş-ayrılış otomasyonunun ServiceDesk Plus entegrasyonuyla nasıl uçtan uca bağlandığını kullanıcı yaşam döngüsü yazımızda ayrıntılı anlatmıştık.

Yardım Masasına Güvenli Yetki Devri

ADManager Plus'ın delegasyon modeli, AD'deki gerçek izinleri dağıtmak yerine konsol üzerinde rol tanımlar: örneğin "şube destek personeli yalnızca kendi OU'sundaki kullanıcılar için parola sıfırlayabilir ve hesap kilidi açabilir" gibi. Personel AD'de hiçbir ayrıcalıklı gruba girmeden, konsolun kendisine tanıdığı dar kapsamda çalışır. İstenirse işlemler onay akışına bağlanır: talep yardım masasından gelir, BT yöneticisi tek tıkla onaylar, işlem otomatik uygulanır ve tamamı kayda geçer. Bu model, en az ayrıcalık ilkesinin AD yönetimindeki pratik karşılığıdır.

Otomasyon: Sahipsiz Hesaplarla Mücadele

AD ortamlarındaki kronik risklerden biri, ayrılan çalışanlardan ve unutulan servis hesaplarından kalan aktif hesaplardır. ADManager Plus, belirli süredir oturum açmamış hesapları düzenli tespit edip kademeli bir otomasyona bağlayabilir: önce raporla, sonra devre dışı bırak, belirlenen süre sonunda taşı ya da sil — her adım istenirse onaya bağlı. Bu tür hesapların saldırılarda nasıl kullanıldığını Active Directory zafiyetleri yazımızda ele almıştık; otomasyon, o yazıda tarif edilen saldırı yüzeyini sistematik olarak daraltır.

Raporlama: 200'den Fazla Hazır Rapor

"Doksan gündür oturum açmayan kullanıcılar", "parolası süresiz geçerli hesaplar", "Domain Admins üyeleri", "belirli klasöre erişimi olanlar" — bu sorular denetimlerde ve güvenlik gözden geçirmelerinde tekrar tekrar sorulur. ADManager Plus bu ve benzeri ihtiyaçlar için 200'den fazla hazır rapor sunar; raporlar zamanlanıp otomatik gönderilebilir ve rapor sonuçları üzerinden doğrudan toplu işlem yapılabilir: pasif kullanıcı raporunu al, seçilenleri tek adımda devre dışı bırak. Raporun eyleme bu kadar yakın olması, denetim bulgularının haftalarca açık kalması sorununu da ortadan kaldırır.

ADManager Plus ile ADAudit Plus'ın Farkı ve Birlikteliği

İki ürün sık karıştırılır: ADManager Plus AD'yi yönetir (hesap açma, değiştirme, yetki devri, otomasyon); ADAudit Plus ise AD'de olan biteni denetler (kim neyi ne zaman değiştirdi, anomali var mı). Olgun bir AD güvenlik kurgusunda ikisi birbirini tamamlar: ADManager değişikliği kurallı yapar, ADAudit her değişikliği bağımsız olarak kayda geçirir. Parola sıfırlama yükünü kullanıcının kendisine devretmek isteyen kurumlar için ailenin üçüncü halkası olan ADSelfService Plus da bu tabloya eklenir.

Sektörel Uygulama Senaryosu: Dönem Başı İşe Alım Dalgası

Perakende sektöründe faaliyet gösteren bir kurum, her sezon açılışında onlarca mağaza personelini aynı hafta işe alır. Eski süreçte İK'nın gönderdiği liste BT ekibinde günlerce sıra bekler; hesaplar farklı kişilerce açıldığı için adlandırma ve grup üyelikleri tutarsızlaşır, bazı personel ilk gün sistemlere giremez. ADManager Plus sonrası akış değişir: İK listesi CSV olarak içe aktarılır, mağaza personeli şablonu OU, gruplar, posta kutusu ve M365 lisansını otomatik uygular; hesaplar dakikalar içinde ve tek standartla hazırdır. Sezon sonunda ayrılanlar için aynı listeyle toplu devre dışı bırakma çalıştırılır — sahipsiz hesap kalmaz, tüm işlemler denetim için kayıtlıdır.

Sıkça Sorulan Sorular

ADManager Plus ile ADAudit Plus arasındaki fark nedir?

ADManager Plus yönetim ürünüdür: kullanıcı ve grup işlemleri, delegasyon, otomasyon ve raporlama sağlar. ADAudit Plus denetim ürünüdür: AD'deki değişiklikleri ve oturum açma etkinliklerini gerçek zamanlı izler. Biri değişikliği yapar, diğeri değişikliği izler; birlikte kullanıldıklarında yönetim ve denetim ayrışması sağlanır.

PowerShell varken neden ayrı bir araç gerekli?

PowerShell güçlüdür ancak betikler kişiye bağımlıdır, onay mekanizması ve merkezi işlem kaydı içermez, yardım masasına güvenli devredilemez. ADManager Plus aynı işleri şablon ve rol tabanlı, loglu ve onay akışlı bir çerçeveye taşır; betik bilgisi olmayan ekip üyeleri de standartlara uygun işlem yapabilir.

ADManager Plus hangi ortamları yönetir?

Şirket içi Active Directory'nin yanında Microsoft 365 (Entra ID), Exchange (on-premises ve Online) ve Google Workspace kullanıcı yönetimini destekler. Hibrit ortamlarda hesap açma, lisans atama ve posta kutusu işlemleri tek akışta yürütülür.

Yetki devri güvenli midir?

Evet — model, AD izinlerini dağıtmak yerine konsol üzerinde dar kapsamlı roller tanımlar. Yardım masası personeli AD'de ayrıcalıklı gruba alınmaz; yalnızca kendisine tanımlanan OU ve işlem kümesinde çalışır, her işlemi kayda geçer ve istenirse onaya bağlanır.

Sonuç: Düzenli AD, Güvenli AD'nin Ön Koşuludur

Active Directory güvenliği yalnızca saldırı tespitiyle kurulmaz; hesapların, grupların ve yetkilerin baştan düzenli yönetilmesiyle başlar. Elle yürüyen AD operasyonu hem BT ekibinin zamanını tüketir hem de her elle işlemde yeni bir tutarsızlık riski üretir. Şablon, delegasyon, otomasyon ve raporlamadan oluşan dörtlü, bu döngüyü tersine çevirir.

Technodus olarak ManageEngine ADManager Plus'ın kurulumu, şablon ve delegasyon tasarımı ile ADAudit Plus ve ADSelfService Plus ile bütünleşik AD kurgusu konusunda destek veriyoruz. Ortamınıza uygun yapıyı birlikte planlamak için bizimle iletişime geçebilirsiniz.