Active Directory Etki Alanı Hizmetleri (AD DS) ve ilgili hizmetleri, Windows işletim sistemlerini çalıştıran kurumsal ağların temelini oluşturur. AD DS veritabanı , kullanıcı hesapları, bilgisayar hesapları ve gruplar gibi tüm etki alanı nesnelerinin merkezi deposudur.
Microsoft Active Directory ortamında Domain User olarak isimlendirdiğimiz ve bizim genellikle “standart” kullanıcı olarak bildiğimiz hesaplar varsayılan olarak bilgisayarları en fazla 10 kere domain ortamına ekleyebilirler. Eğer sistem yöneticisi olarak yetkili hesapların dışında örneğin kullanıcı destek (Helpdesk) personelinin de bu sınıra takılmasını istemiyorsanız aşağıdaki adımları izleyerek Domain Admins gibi kritik gruplara üye olmayan domain user kullanıcı hesapları için sınırsız domain’ e makine alma yetkisi verebilirsiniz. Bu işlemi Delegation methotu ve Group Policy methotu ile yapabilirsiniz.
Öncelikle Bu işlemi Delagation Methot’u ile yapılmıştır.
*Active Directory Users And Computer Panelinde Djoin adında OU ve djoin adında user oluşturuldu. Siz dilerseniz istediğiniz ou ve user oluşturabilirsiniz.
(Resim – 1 )
*Computers Objesine Sağ Click Delegate Control diyoruz.
(Resim – 2)
*Next diyoruz.
(Resim – 3)
*Karşımıza gelen User or Group ekleme ekranına Add diyoruz. Açılan ekrana oluşturduğumuz user ve ya group ekliyoruz. Ekleme işleminden sonra Next diyoruz.
(Resm – 4)
*Task Delegate ekranı geliyor. Burada Create a custom task to delegate seçip Next diyoruz.
(Resim – 5)
*Active Directory Object Type ekranında Only the following objects in the folder seçiyoruz. Daha sonra Computer objects tikini işaretliyoruz. Sonrasında Create selected ve Delete selected işaretledikten sonra Next diyoruz.
(Resim – 6)
*Karşımıza Permissions ekranı gelmektedir. Burada Delegeye vereceğimiz izinler görülmektedir. General ve Property-specific ögelerini işaretliyoruz. Daha sonra Permissions bölümünde şu izinleri işaretliyoruz;
**Reset Password
**Read and write account restrictions
** Read and write DNS host name attributes**Validated write to DNS host name
** Validated write to service principal name**Write servicePrincipalName
(Resim – 7)
*Finish dedikten sonra işlemi tamamlıyoruz.
(Resim – 8)
*GROUP POLICY Methotu üzerinden aşağıdaki adımları gerçekleştiriyoruz.
*Group Policy Management konsolunu açıyoruz. Default Domain Policy sağ tık edit diyoruz. İsterseniz siz yeni policy oluşturabilirsiniz. Ben lab ortamımda olduğum için Default policy kullandım.
(Resim – 9 )
*Daha Sonra Computer Configuration \ Windows Settings \ Security Settings \ Local Policies \User Rights Assignment ekranına geliyoruz. Tıkladığımız açılan ekranda Add workstations to Domain kuralını buluyoruz.
(Resim – 10)
*Karşımıza gelen ekran öncelikle Define these policy settings işaretliyoruz. Ardından Add User or Group tıklıyoruz. Buradan oluşturduğumuz user ekliyoruz. Apply ve Ok dedikten sonra işlemi tamamlıyoruz.
(Resim – 11)