Windows Server 2025 ile Active Directory Domain Services tarafında özellikle Kerberos, LDAP güvenliği, bilgisayar hesapları ve veritabanı ölçeklenebilirliği bakımından önemli değişiklikler var. Ancak yeni bir Domain Controller kurmak ile mevcut Active Directory ormanının bütün güvenlik davranışlarını değiştirmek aynı işlem değil. Bu makalede özellikle üretim ortamında Windows Server 2022 veya 2019 Domain Controller kullanan ekiplerin Windows Server 2025 geçişini nasıl planlaması gerektiğine odaklanacağım.
Genel ürün özellikleri için daha önce yayımladığım Windows Server 2025 Yenilikleri makalesini inceleyebilirsiniz. Burada yalnızca AD DS güvenliği, uyumluluk ve geçiş adımlarını ele alıyorum. Anlatılan PowerShell örnekleri bir laboratuvar testinin çıktısı değil; Microsoft tarafından belgelenen yönetim komutlarının değerlendirme amaçlı örnekleridir.
1. Windows Server 2025 DC geçişi öncesi ilk karar
Kurumların önemli bir kısmı Windows Server 2019 veya 2022 üzerinde çalışan Domain Controller sunucularını doğrudan yükseltmek mi, yoksa yeni Windows Server 2025 sunucularını domaine katıp DC olarak terfi ettirmek mi gerektiğini soruyor. Microsoft’un önerdiği temel yaklaşım, temiz kurulumlu yeni DC eklemek, replikasyon ve servisleri doğrulamak, ardından eski DC’yi kontrollü devreden çıkarmaktır. Yerinde yükseltme desteklenen bir senaryoda mümkün olsa bile daha dar bir geri dönüş ve arıza müdahalesi alanı sunabilir.
Önemli: Mevcut bir domaine Windows Server 2025 Domain Controller eklemek için domain ve forest functional level en az Windows Server 2016 düzeyinde olmalıdır. Bu gereksinim, tüm mevcut DC’lerin zaten 2025 olması gerektiği anlamına gelmez.
2. Mevcut Active Directory ortamının envanteri
Herhangi bir rol kurulumu veya şema hazırlığından önce orman, domain, FSMO rolleri, Global Catalog ve site topolojisini çıkarmak gerekir. Aşağıdaki komutlar salt okunur sorgulardır; uygun yetki ve ActiveDirectory modülü gerekir.
Import-Module ActiveDirectory
Get-ADForest | Select-Object Name, ForestMode, SchemaMaster, DomainNamingMaster
Get-ADDomain | Select-Object DNSRoot, DomainMode, PDCEmulator, RIDMaster, InfrastructureMaster
Get-ADDomainController -Filter * | Select-Object HostName, Site, OperatingSystem, IsGlobalCatalogÖzellikle tek Global Catalog bulunduran siteleri, eski uygulamaların sabit IP veya sunucu adı üzerinden kullandığı LDAP bağlantılarını, DNS istemci ayarlarını ve DHCP üzerinde yapılandırılmış DNS güncelleme hesaplarını listeleyin.
3. Replikasyon, DNS ve SYSVOL sağlığı
Yeni DC kurmadan önce eski ortamın sağlıklı olduğundan emin olmak gerekir. Var olan replikasyon hatasını yeni DC ile çözmeyi beklemek, sorunu büyütebilir.
dcdiag /e /c /v
repadmin /replsummary
repadmin /showrepl * /csv
netdom query fsmoBu komutların ürettiği veriler DC sayısına bağlı olarak yoğun olabilir. Sonuçlarda DNS çözümlemesi, erişim hataları, zaman senkronizasyonu, DFSR/SYSVOL replikasyonu ve geride kalmış nesne sorunlarını ayrıca inceleyin. Replikasyon durumu, yedekleme geri dönüşünün yerine geçmez.
4. Active Directory yedekleme ve geri dönüş tasarımı
- Her kritik DC için desteklenen sistem durumu (System State) yedeklemesini alın ve geri yükleme prosedürünü doğrulayın.
- Yalnızca sanal makine snapshot’ını Domain Controller geri dönüş planı olarak kabul etmeyin.
- DNS, DHCP, AD CS, NPS, LDAP kullanan cihazlar ve uygulamalar için ayrı bağımlılık listesi oluşturun.
- Şema değişikliği veya functional level yükseltmesi öncesinde test ve değişiklik yönetimi onayı alın.
5. Kerberos: RC4 bağımlılıklarını bulmadan algoritma kapatmayın
Windows Server 2025 ile Kerberos tarafında AES-SHA256 ve AES-SHA384 (RFC 8009) desteği ve eski algoritmaların kullanımını azaltmaya yönelik yenilikler var. Bu gelişmeyi, bütün servis hesaplarının ve NAS cihazlarının otomatik olarak yeni şifreleme tiplerini desteklediği şeklinde yorumlamak doğru değil.
Güvenlik günlüklerindeki 4768 (TGT) ve 4769 (servis bileti) olayları, RC4 kullanımını tespit etmek için temel kaynaklardandır. Olaylardaki Ticket Encryption Type ve hesabın desteklediği şifreleme tipleri birlikte değerlendirilmelidir. Sadece bir olay kaydında RC4 görmek, hangi servisin nasıl düzeltilmesi gerektiğini tek başına açıklamaz.
# Domain Controller uzerinde; yalnizca son 100 olayi listeler.
# Yuksek trafikli DC uzerinde uzun aralikli filtresiz sorgulardan kacinin.
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4768,4769} -MaxEvents 100 |
Select-Object TimeCreated, Id, MachineName, MessageServis hesabı parolaları, SPN eşleşmeleri, msDS-SupportedEncryptionTypes niteliği ve uygulama üreticisinin Kerberos desteği kontrol edilmeden bütün domain için RC4 politikası değiştirilmemeli. Özellikle eski cihazlar, SQL/HTTP hizmet hesapları ve keytab kullanan Linux servisleri pilot test gerektirir.
6. LDAP signing, channel binding ve LDAPS neden farklıdır?
LDAP signing veri bütünlüğünü ve mesajın değiştirilmediğini doğrulamaya yardımcı olur. LDAP channel binding kimlik doğrulamayı TLS kanalına bağlayarak belirli relay saldırılarını azaltır. LDAPS ise LDAP oturumunun TLS ile korunmasını ifade eder. Üçü birbiri yerine geçen ayarlar değildir.
Windows Server 2025 ile kurulan yeni Active Directory dağıtımlarında LDAP signing daha sıkı varsayılanlarla gelir; channel binding varsayılanı “When supported” düzeyindedir. Mevcut bir domaine 2025 DC eklenmesi halinde tüm geçmiş güvenlik politikalarının otomatik değiştiği varsayılmamalıdır. Yeni kurulum ile yükseltilmiş ortamın etkisini ayrı değerlendirin.
LDAP istemci uyumluluğu için hangi olaylar izlenir?
- 2887 / 2889: İmzasız LDAP bağlantılarını değerlendirmek için kullanılabilir; ayrıntılı günlükleme düzeyini ve olay açıklamasını doğrulayın.
- 3039: LDAP channel binding doğrulama hatalarıyla ilişkilidir.
- 3074 / 3075: Uygun işletim sistemi güncellemelerinde ve tanılama düzeyinde channel binding uyumsuzluklarını incelemeye yardımcı olur.
Event Viewer üzerindeki Directory Service günlüğünü kullanın. İstemcinin IP adresini, servis hesabını ve kullanılan LDAP kütüphanesini belirleyin. Önce izleme, sonra uyumluluk düzeltmesi, en sonunda enforce yaklaşımı izlenmeli. Örneğin eski yazıcı veya NAS bağlantısının aniden kesilmesi bir güvenlik projesinin istenen sonucu değildir.
7. TLS 1.3 desteği LDAPS sertifika yönetimini ortadan kaldırmaz
Schannel ve LDAP servisinin uygun olduğu Windows Server 2025 senaryolarında TLS 1.3 kullanılabilir. Ancak sertifika güven zinciri, sunucu adı eşleşmesi, süre sonu, istemci kütüphane desteği ve etkin protokol/suite yapılandırması hâlâ belirleyicidir. TLS 1.3 destekleniyor diye tüm istemcileri bir gecede zorunlu olarak TLS 1.3’e geçirmek doğru değildir.
8. Makine hesabı güvenliği ve otomasyonların uyumu
Windows Server 2025, bilgisayar hesabı oluşturma ve önceden hazırlanan (pre-staged) hesapların varsayılan parolaları üzerinde daha güvenli davranışlar getiriyor. Bilgisayar adıyla aynı zayıf varsayılan parolaya güvenen eski otomasyonlar bu değişiklikten etkilenebilir. Imaging, provisioning ve domain join otomasyonlarınızı test edin; servis hesaplarının izinlerini de en az yetki ilkesiyle sınırlandırın.
9. Active Directory 32 KB sayfa: Sadece DC yükseltmesi değildir
AD DS veritabanının 32 KB sayfa özelliği ölçeklenebilirlik açısından önemli bir yeniliktir. Ancak mevcut DC’ye işletim sistemi yükseltmesi yapmak, eski 8 KB veritabanını otomatik 32 KB biçimine dönüştürmez. Yeni forest kurulumlarında 32 KB uyumlu veritabanı oluşturulabilir; eski DC’lerle birlikte çalışabilmek için 8 KB simülasyon modu kullanılabilir.
32 KB özelliğini etkinleştirmek orman genelinde tasarlanması gereken, geri dönüşü ve kurtarma seçenekleri dikkatle planlanacak bir operasyondur. Yeni DC kurma, functional level yükseltme ve 32 KB özelliğini etkinleştirme işlemlerini tek değişiklik penceresinde birleştirmeyin. Resmî önkoşullar sağlanmadan etkinleştirme komutu çalıştırmayın.
10. Forest ve domain functional level: 2016’dan 2025’e
Windows Server 2019 ve 2022 için en güncel AD functional level Windows Server 2016 seviyesiydi. Windows Server 2025 yeni domain ve forest functional level seçenekleri sunar. Fakat 2025 DC eklemek, bu seviyeleri kendiliğinden yükseltmez.
2025 functional level’a geçmeden önce kapsam dahilindeki bütün DC’lerin Windows Server 2025 olması, AD sağlık testlerinin tamamlanması ve uygulama uyumluluğunun doğrulanması gerekir. Etki alanı denetleyicisi sürümlerinin ve functional level değişikliğinin birbirinden ayrı yönetildiğini unutmayın.
11. Önerilen Windows Server 2025 DC geçiş sırası
- İlk olarak forest/domain seviyesi, FSMO/GC envanteri ve replikasyon sağlığını kontrol edin.
- Yedekleri ve geri yükleme yöntemini doğrulayın; uygulama bağımlılıklarını listeleyin.
- Yeni Windows Server 2025 sunucusunu uyumlu donanım veya sanal makine üzerinde kurup güncelleyin.
- DNS, IP, saat ve site/subnet yapılandırmasını doğruladıktan sonra domaine katın.
- AD DS rolünü kurun ve yeni DC’yi uygun yetkilerle terfi ettirin. Yeni DC terfisinde gerekli adprep işlemleri sihirbaz tarafından yürütülebilir.
- Replikasyonu, SYSVOL/NETLOGON paylaşımlarını, DNS çözümlemesini, Global Catalog erişimini ve uygulama bağlantılarını pilot olarak sınayın.
- Gerekliyse FSMO rollerini kontrollü aktarın; eski DC’nin üzerinde başka servis olup olmadığını denetleyin.
- Eski DC’yi güvenli şekilde demote edin. Sağlık testlerini yineleyin.
- Tüm DC’ler uyumlu duruma geldikten sonra functional level yükseltmesini ayrı değişiklik olarak değerlendirin.
- Kerberos/LDAP sertleştirmesi ve AD 32 KB özelliğini ayrı test ve değişiklik pencerelerine bırakın.
12. PowerShell ile doğrulama ve sağlık komutları
Aşağıdaki sorgular yapılandırma değiştirmez. ActiveDirectory modülü ve ilgili yetkiler gerekir; komutların çıktısını değişiklik öncesi ve sonrası karşılaştırabilirsiniz.
Import-Module ActiveDirectory
Get-ADForest | Format-List Name, ForestMode, SchemaMaster, DomainNamingMaster
Get-ADDomain | Format-List DNSRoot, DomainMode, PDCEmulator, RIDMaster, InfrastructureMaster
Get-ADDomainController -Filter * | Format-Table HostName, OperatingSystem, Site, IsGlobalCatalog -AutoSize
Get-ADReplicationFailure -Target * -Scope ForestAşağıdaki işletim sistemi ve güvenlik denetimleri ilgili sunucuda çalıştırılabilir:
Get-ComputerInfo | Select-Object WindowsProductName, OsVersion, OsBuildNumber
Get-CimInstance Win32_OperatingSystem | Select-Object Caption, Version, BuildNumber
Get-WinEvent -ListLog "Directory Service" | Select-Object LogName, RecordCountGeniş AD ortamlarında her DC üzerinde yönetici yetkisiyle çalıştırılması gereken kontroller, SIEM veya merkezi loglama altyapısı üzerinden planlanabilir. İlgili komutların sorunsuz çalışması tek başına uygulama uyumluluğunun kanıtı değildir.
13. Sık karşılaşılan sorunlar
Yeni DC terfisi başarısız oluyor
Önce domain/forest functional level seviyelerini ve etki alanı adı çözümlemesini kontrol edin. Ardından şema hazırlığı yetkileri, FSMO sunucularına bağlantı ve replikasyon sağlığına bakın. 2025 için Windows Server 2016 altındaki functional level kabul edilmez.
LDAP kullanan cihaz kimlik doğrulayamıyor
Directory Service loglarından signing/channel binding hatasını belirleyin. Cihazın LDAP kitaplığı ve TLS sürümünü araştırın. Sorunu çözmek amacıyla domain genelinde güvenlik kontrollerini kalıcı biçimde kapatmak yerine istemci uyumluluğunu düzeltin.
Kerberos ile çalışan servisler erişilemiyor
RC4 kullanımı, servis hesabı şifreleme tipleri, SPN ve saat farkı incelenmeli. Encryption type değişikliğini tek seferde bütün servislere uygulamayın.
32 KB sayfa boyutuna geçiş planlanıyor
Önce bütün DC’lerin veritabanı biçimini ve orman genelindeki gereksinimleri doğrulayın. Microsoft’un bu özellik için yayımladığı yönergeyi ayrı bir proje planı olarak ele alın.
14. Sonuç
Windows Server 2025, Active Directory açısından hem güvenlik hem de ölçeklenebilirlik yenilikleri getiriyor. Ancak yıllardır çalışan bir domain için en doğru yaklaşım, yeni DC eklemeyi kimlik doğrulama sertleştirmesinden ve 32 KB AD veritabanı dönüşümünden ayırmaktır. İyi hazırlanmış bir envanter, temiz replikasyon sonuçları ve geri dönüşü test edilmiş bir değişiklik planı, yeni özelliklerin kendisinden daha önemli olabilir.
