AD ile Kimlik Yönetimi Eğitimi

Eğitim Hakkında

Windows Server ortamında kimlik, kimlik doğrulama ve güven ilişkilerini yöneten BT uzmanları için

Bu eğitim, Windows Server üzerindeki Active Directory ortamında kimliğin yönetimini merkeze alır. Kullanıcı, grup ve hizmet hesabı yaşam döngüsünden başlayarak AGDLP grup stratejisi, yönetilen hizmet hesapları (gMSA) ve delegasyon işlenir. Kerberos kimlik doğrulama akışı (AS-REQ, TGS, SPN), NTLM geriye dönüklüğü, constrained/resource-based delegation ve Kerberos armoring konularında uygulama yapılır. Domain ve forest trust türleri, selective authentication, SID filtering ve name suffix routing kurulur. Son olarak AD Certificate Services ile sertifika şablonları, auto-enrollment ve otomatik dağıtım senaryoları gerçek lab üzerinde yapılandırılır.

Süre ve Format

3 Gün. Her gün dört modül; kavramsal anlatımın ardından çok domain'li lab ortamında kimlik doğrulama ve güven senaryoları uygulanır.

Seviye

Orta Seviye — Active Directory üzerinde kimlik nesnelerinin yönetiminden Kerberos kimlik doğrulamasına, trust ilişkilerinden AD CS sertifika altyapısına uzanan kimlik yönetimi becerileri.

Öğrenme Metodu

Kimlik akışları, iki forest'tan oluşan bir lab ortamında Kerberos izleme (klist), trust kurulumu ve AD CS sertifika dağıtımıyla uygulamalı işlenir.

Neden Bu Eğitim?

🔑Kimlik Doğrulama

Kerberos ve NTLM akışlarını derinlemesine anlayarak oturum açma sorunlarını kökeninden çözersiniz.

🤝Güven İlişkileri

Forest ve external trust'ları doğru kurarak birden çok kurum/domain arasında güvenli erişim sağlarsınız.

📜Sertifika Altyapısı

AD CS ile otomatik sertifika dağıtımı kurarak kimlik tabanlı şifreleme ve doğrulamayı ölçeklendirirsiniz.

Anahtar Konular

Active Directory kimlikKerberos kimlik doğrulamaNTLMAGDLP grup stratejisigMSAforest trustAD CS sertifikaconstrained delegationWindows Server kimlik yönetimiSID filtering

“Kimliği kontrol eden, erişimi de kontrol eder; güveni doğru kuran rahat uyur.”

Ön Koşullar

Eğitimden verim almak için faydalı olacak bilgi ve ortam gereksinimleri

1

AD DS Temeli

Domain, OU ve temel kullanıcı/grup yönetimine aşinalık beklenir.

2

Ağ ve DNS

DNS çözümleme ve SRV kayıtları hakkında temel bilgi faydalıdır.

3

Güvenlik Kavramları

Kimlik doğrulama ve yetkilendirme farkına dair temel anlayış süreci kolaylaştırır.

4

Lab Ortamı

İki domain controller'ı aynı anda çalıştırabilecek bir sanallaştırma ortamı gerekir.

Eğitim İçeriği

Programın gün gün akışı aşağıdadır. Bir güne tıklayarak o günün modüllerini ve içeriklerini görebilirsiniz.

Günün hedefiKatılımcı kimlik nesnelerini yaşam döngüsü boyunca yönetir, AGDLP grup stratejisini ve yönetilen hizmet hesaplarını uygular.

Modül 1

Kullanıcı Hesabı Yaşam Döngüsü

New-ADUser ile hesap oluşturma ve öznitelik doldurma
userPrincipalName ve sAMAccountName planlaması
userAccountControl bayrakları (disabled, locked, password never expires)
Hesap süresi, oturum açma saatleri ve iş istasyonu kısıtlaması
Toplu işlem: Import-Csv ile onlarca hesabı tek seferde oluşturma
Devre dışı hesapların tespiti ve yaşam sonu temizliği

Modül 2

Grup Stratejisi (AGDLP)

Güvenlik grubu ve dağıtım grubu ayrımı
Domain Local, Global ve Universal grup kapsamları
AGDLP: hesapları global, izinleri domain local gruba atama modeli
Universal grup üyeliğinin Global Catalog'a etkisi
Nested group ve token bloat (Kerberos token şişmesi) riski
Add-ADGroupMember ile üyelik otomasyonu ve raporlama

Modül 3

Hizmet Hesapları

Standart hizmet hesabı riskleri ve parola yönetimi sorunu
Managed Service Account (MSA) ve grup yönetimli gMSA farkı
KdsRootKey oluşturma ve Add-KdsRootKey ile aktivasyon
New-ADServiceAccount ve Install-ADServiceAccount adımları
SPN kaydının setspn ile yönetimi ve çakışma tespiti
gMSA'nın 30 günlük otomatik parola döngüsü

Modül 4

Delegasyon ve Yetki Yönetimi

Delegation of Control Wizard ile görev bazlı yetki devri
ACL/ACE yapısı ve dsacls ile izin inceleme
Yetki devrinde en az ayrıcalık ilkesi
Helpdesk için parola sıfırlama yetkisinin sınırlandırılması
AdminSDHolder ve korumalı grupların yetki sıfırlaması
Tiered yönetim modeliyle ayrıcalıklı hesapların izolasyonu

Günün hedefiKatılımcı Kerberos bilet akışını izleyebilir, delegasyon türlerini yapılandırabilir ve kimlik doğrulama sorunlarını teşhis edebilir.

Modül 1

Kerberos Akışı

KDC bileşenleri: Authentication Service ve Ticket Granting Service
AS-REQ/AS-REP ile TGT alınması
TGS-REQ/TGS-REP ile hizmet biletinin alınması
PAC (Privilege Attribute Certificate) ve grup üyeliği taşınması
SPN'in doğru kayıtlı olmasının bilet alımındaki rolü
klist ve klist purge ile bilet önbelleğinin incelenmesi

Modül 2

NTLM ve Geriye Dönüklük

NTLM challenge-response akışı ve zayıf yönleri
NTLMv1 devre dışı bırakma ve NTLMv2 zorlaması
LmCompatibilityLevel politikası ile seviye belirleme
Pass-the-hash saldırı yüzeyi ve savunma yaklaşımları
NTLM denetim günlükleriyle kalan kullanımın tespiti
Kerberos'a geçişte SPN ve DNS bağımlılıkları

Modül 3

Kerberos Delegasyon Türleri

Unconstrained delegation ve neden kaçınılması gerektiği
Constrained delegation (S4U2Proxy) yapılandırması
Protocol transition (S4U2Self) senaryosu
Resource-Based Constrained Delegation (RBCD) ve msDS-AllowedToActOnBehalfOfOtherIdentity
Delegasyonun 'Account is sensitive and cannot be delegated' ile engellenmesi
Çok katmanlı uygulamada çift atlama (double hop) sorunu

Modül 4

Kimlik Doğrulama Sorun Giderme

Clock skew ve saat senkronizasyonunun KRB_AP_ERR_SKEW hatasına etkisi
Çift SPN kaydının yarattığı KRB_AP_ERR_MODIFIED hatası
Event Viewer Security günlüğünde oturum açma başarısızlık kodları
Account lockout kaynağının LockoutStatus ile bulunması
Kerberos armoring (FAST) ve Claims yapılandırması
Auditpol ile kimlik doğrulama denetim politikasının ayarlanması

Günün hedefiKatılımcı forest ve external trust kurar, selective authentication uygular ve AD CS ile otomatik sertifika dağıtımı yapar.

Modül 1

Trust Türleri ve Kurulum

Parent-child ve tree-root trust'ların otomatik oluşması
External trust ile tek domain arası güven
Forest trust ile iki forest arası geçişli güven
Shortcut trust ile uzun kerberos referral yolunun kısaltılması
Realm trust ile Kerberos v5 uyumlu MIT ortamına güven
netdom trust ile komut satırından güven kurma ve doğrulama

Modül 2

Güvenli Trust Yapılandırması

Selective authentication ile hedef kaynak bazlı erişim
SID filtering ve SID history istismarının engellenmesi
Name suffix routing ile UPN yönlendirme
Trust üzerinden grup üyeliği ve foreign security principal
Trust yönü (one-way/two-way) ve kaynak/hesap domain ayrımı
Trust doğrulama ve parola sıfırlama bakımı

Modül 3

AD Certificate Services Kurulumu

Enterprise Root CA ve Subordinate CA mimarisi
CA rolü kurulumu ve CAPolicy.inf ile temel kısıtlar
CRL ve AIA yayın noktalarının (CDP) yapılandırması
Çevrimdışı kök CA ile iki katmanlı PKI tasarımı
Sertifika iptali: CRL ve OCSP responder yapılandırması
certutil ve PKIView ile PKI sağlık denetimi

Modül 4

Sertifika Şablonları ve Dağıtım

V2/V3 sertifika şablonlarının kopyalanması ve özelleştirilmesi
Subject name: AD'den otomatik üretim veya talep bazlı
Auto-enrollment için şablon izinleri (Enroll/Autoenroll)
Group Policy ile autoenrollment politikasının dağıtımı
Bilgisayar ve kullanıcı sertifikalarının otomatik yenilenmesi
Smart card logon ve 802.1X için EKU planlaması

Eğitim Kazanımları

Program sonunda katılımcılar:

✅

Hesap Yönetimi

Kullanıcı, grup ve hizmet hesaplarını yaşam döngüsü boyunca güvenle yönetebilirsiniz.

✅

AGDLP Stratejisi

AGDLP grup stratejisini uygulayarak izinleri ölçeklenebilir biçimde tasarlayabilirsiniz.

✅

gMSA Kullanımı

Grup yönetimli hizmet hesaplarını kurup parola yönetimini otomatikleştirebilirsiniz.

✅

Kerberos Analizi

Kerberos bilet akışını izleyebilir ve kimlik doğrulama hatalarını teşhis edebilirsiniz.

✅

Güvenli Delegasyon

Constrained ve resource-based delegation'ı güvenli biçimde yapılandırabilirsiniz.

✅

Trust Kurulumu

Forest ve external trust'ları SID filtering ve selective authentication ile güvenli kurabilirsiniz.

✅

PKI Tasarımı

AD CS ile iki katmanlı PKI kurup CRL/OCSP ile iptal altyapısını yönetebilirsiniz.

✅

Otomatik Dağıtım

Sertifika şablonları ve autoenrollment ile ölçekli sertifika dağıtımı yapabilirsiniz.

Kimler İçin Uygundur?

Active Directory kimlik ve erişim altyapısından sorumlu sistem yöneticileri
güvenlik odaklı BT uzmanları
çok domain/forest ortamlarını yöneten ekipler için uygundur

Sıkça Sorulan Sorular

Bu eğitim kimler için uygundur?

Active Directory kimlik ve erişim altyapısından sorumlu sistem yöneticileri ve güvenlik odaklı BT uzmanları için uygundur.

Kerberos konusu ne kadar derin işleniyor?

AS/TGS bilet akışı, SPN, PAC ve delegasyon türleri klist ile uygulamalı olarak detaylı işlenir.

AD CS sertifika hizmetleri dahil mi?

Evet; iki katmanlı PKI, sertifika şablonları ve Group Policy ile autoenrollment uygulamalı kurulur.

Ön koşul olarak ne gerekir?

Temel AD DS, DNS ve kimlik doğrulama/yetkilendirme kavramlarına aşinalık faydalıdır.

Eğitim sonunda sertifika veriliyor mu?

Eğitim sonunda Digital Vizyon Akademi Katılım ve Başarı Sertifikası verilir.

Sertifikalandırma

Bu eğitim Digital Vizyon Akademi Başarı Sertifikası ile tamamlanır.

Eğitim başında “Ön Test”, bitiminde “Son Test” uygulanarak gelişim ölçümlenir. Değerlendirme formunu dolduran katılımcılar sertifikalarını alır. Sertifikanızın geçerliliğini Sertifika Sorgulama sayfasından doğrulayabilirsiniz.

Örnek Sertifika

MANAGING IDENTITY WITH ACTIVE DIRECTORY IN WINDOWS SERVER EĞİTİMİ

Eğitim Hakkında

Neden Bu Eğitim?

Anahtar Konular

Ön Koşullar

Eğitim İçeriği

Kullanıcı Hesabı Yaşam Döngüsü

Grup Stratejisi (AGDLP)

Hizmet Hesapları

Delegasyon ve Yetki Yönetimi

Kerberos Akışı

NTLM ve Geriye Dönüklük

Kerberos Delegasyon Türleri

Kimlik Doğrulama Sorun Giderme

Trust Türleri ve Kurulum

Güvenli Trust Yapılandırması

AD Certificate Services Kurulumu

Sertifika Şablonları ve Dağıtım

Eğitim Kazanımları

Kimler İçin Uygundur?

Sıkça Sorulan Sorular

Sertifikalandırma

Eğitim Bilgileri

Bu Eğitimle Birlikte Tercih Edilenler

Managing Windows Environments with Group Policy (M50255) Eğitimi

Managing Windows Environments with Group Policy Eğitimi

Master Class: Active Directory Deep Dive – Installation, Configuration and Operation (SADDD-L0) Eğitimi

Mastering Microsoft 365 core services and identity administration Eğitimi

MD-102: Implementing App Policies Using Intune & Group Policy Eğitimi