Microsoft “Active Directory Tier Model Documentation” Üzerine İnceleme

Merhaba, bildiğiniz gibi uzun yıllardır “En Güvenli Active Directory Ortamı” arayışım devam ediyor. Bu kapsamda Microsoft’un yeni yayınladığı “Active Directory Tier Model Documentation” dokümanını inceledim ve deneyimlerimi paylaşmak istedim.

Microsoft bu likten ulaşabileceğiniz “https://microsoft.github.io/ActiveDirectoryTierModel/” tier tasarımını otomatize eden bir github reposu yayınladı ve içerisinde tier tasarımınıdan hesapların oluşturulmasına admx lerin yüklenmesinden acl lere kadar bir çok işi yapan scriptler topluğunu bize paylaştı.

Bende bunu incelemeye karar verdim. İlk başta büyük heyecan duymuştım ancak beklediğimi bulamadım ve hüsran ilk sonuçlandı. Şimdi gelin bunun gereçeklerini beraber inceleyelim.

Aslında düşünce güzel, scriptleri çalıştırıyorsunuz ve herşeyi olması gibi oluşturup size güvenli AD ortamını sunuyor?

Dokümantasyonda ister tek bir komut ile tüm yapıyı deploy edebiliyorsunuz

Ön gereksinimler

Özellikle son madde bence makalenin önemli noktalarından biri. Microsoft açıkça:English (en-US) only diyor. Yani sadece scripti çalıştırdığın sunucunun Windows dili İngilizce olması yeterli değil. Active Directory ortamının da İngilizce olması gerekiyor.

Gerekli PowerShell modülleri

• ActiveDirectory > 1.0.1.0 veya üzeri
• GroupPolicy > 1.0 veya üzeri
• Pester > yalnızca 5.x sürümleri destekleniyor; Pester 6.x henüz desteklenmiyor.

Özellikle Pester için Microsoft’un doğrudan PowerShell Gallery kullanılmasını istemesi dikkat çekici:

Install-Module-NamePester `-MinimumVersion5.0.0 `-MaximumVersion5.99.99 `-Force `-SkipPublisherCheck

Burada MaximumVersion 5.99.99 kullanılması önemli; çünkü Pester 6.x kuruluysa TierModel desteklenmiyor.

TierModel’in kurulumu da ayrı bir aşama

Microsoft’un önerdiği yöntem:

Unblock-File-Path"$env:USERPROFILE\Downloads\TierModel.zip"

ardından:

Expand-Archive `-Path"$env:USERPROFILE\Downloads\TierModel.zip" `-DestinationPath"C:\" `-Force

Burada da küçük ama önemli bir güvenlik detayı var:

GitHub’dan indirilen ZIP dosyasının Unblock-File ile engelinin kaldırılması gerekiyor. Windows, internetten indirilen dosyalara Mark-of-the-Web (MOTW) işareti koyabildiği için scriptlerin çalışmasını engelleyebiliyor.

Toplu Deployment

Deployment üç aşamadan oluşuyor: “Test et, Dağıt, Kontrol et”

.\Deploy-TierModel.ps1 -FullDeployment -PreferredDc DC01.contoso.com – Bu sadece hangi işlemleri yacağını gösteriyor.

.\Deploy-TierModel.ps1 -FullDeployment -PreferredDc DC01.contoso.com -ConfirmApply – Bu dağıtıyor.

.\Audit-TierModel.ps1 -FullDeployment -PreferredDc DC01.contoso.com – Bu kontrol ediyor

Dağıtık Deployment

İsterseniz ayrı ayrı dağıtım yapabiliyorsunuz önce OU lar sonra Gruplar gibi.

Bunun gibi bir çok şey oluşturulabiliyor gmsa hesaplar laps poltikaları, securtiy baseline daha bir çoğu

Değerlendirme

Prod ortama uygulamak riskli ve karmaşık

İlk olarak prod bir ortama direk bu scriptleri uygulamayı hem karmaşayı arttıracağını düşünüyorum çünkü direk olarak AD user kök dizine oluşturmaya başlıyor.

GPO’lar linkleniyor

GPO’lar otomatik oluşturuyor ve bazıları DC OU dahil linkleniyor. Bu da hoşuma gitmedi çünkü kontrolsüz bir duruma neden olabilir.

ADMX file importlarındaki hatalar

ADMX file import işlemlerinde hash uyumsuzluklarından kaynaklı import hataları oluşuyor. Kullandığım os server 2025 yeni olduğu için olabilir gibi bir kaç şey var ama yine hoşuma gitmedi budurum.

Sonuç olarak Tier ve diğer AD sıkılaştırma çalışmaları dikket edilmesi gereken hassas çalışmalar bu şekilde kontrolsuz bir dağıtım çok aklıma yatmadı ben yine manuel kontrollü bir dağıtımı tavsiye ediyorum. Faydalı olması dileğiyle.