Bu yazı, her hafta derlediğim Microsoft altyapı bülteninin ilk bölümü. Amacım basit: AD DS, GPO, sertifika hizmetleri ve SCCM/ConfigMgr tarafında bu hafta gerçekten aksiyon gerektiren gelişmeleri; teknik etkisi, operasyonel riski ve yapılması gereken kontrollerle birlikte tek yerde toplamak.
Yama sonrası kontrolde benim için en değerli test, kullanıcının ya da cihazın günlük işini baştan sona yapabildiğini doğrulamaktır. Bu hafta iki gelişme, bu yaklaşımın neden gerekli olduğunu çok iyi gösteriyor. Microsoft, Configuration Manager 2603’te bulut üzerinden istemci kaydını engelleyen bir soruna düzeltme yayımladı. NetApp ise Ekim ayı Windows Server yamalarından sonra bazı Active Directory bağlantılarında görülen LDAP hatasının hangi iş akışlarını etkilediğini belgeledi.
1. ConfigMgr 2603’te CMG üzerinden istemci kaydını doğrulayın
Configuration Manager 2603 sürümüne KB39169655 toplu güncellemesi kurulduğunda, Microsoft Entra’ya katılmamış ve Cloud Management Gateway (CMG) üzerinden toplu kayıt yapan cihazlar kendi ConfigMgr istemci kimlik doğrulama belirtecini alamayabiliyor. Management Point bu cihazların kayıt belirtecini doğrulayamadığı için istemci iletişimi kopuyor. Microsoft, Entra kimlik doğrulaması kullanan cihazların etkilenmediğini belirtiyor; Entra’ya katılmamış cihazların diğer CMG senaryolarına etkisi ise "olası" olarak işaretlenmiş, yani doğrulanmış kapsamın dışında.
Microsoft bu sorunu bir işlev düzeltmesi olarak belgeliyor ve bir CVE numarası vermiyor. Düzeltme olan KB40345593 yalnızca KB39169655 kurulu 2603 siteleri için geçerli.
Bu senaryoda ilk bakacağım yer, Management Point üzerindeki CCM_STS.log dosyası olur; burada mpisapiclr derleme uyuşmazlığını ve 0x80131040 hatasını ararım. Sürüm ve ön koşul tutuyorsa, konsoldaki Updates and Servicing bölümünden KB40345593’ü bir bakım penceresinde kurarım. Microsoft’a göre bilgisayarın yeniden başlatılması gerekmiyor; ancak kurulumdan sonra site reset gerekiyor ve mevcut ikincil siteler için Recover Secondary Site işlemi elle uygulanmalı. Son adımda Entra’ya katılmamış bir test cihazını CMG üzerinden kaydeder, belirteci aldığını ve istemci iletişiminin sürdüğünü doğrularım.
2. Ekim yamaları sonrası NetApp LDAP / SMB erişim sorununu kontrol edin
13 Ekim ve sonrasında yayımlanan Windows güvenlik güncellemeleri, etki alanı denetleyicisindeki LDAP uç noktasına sunulan Kerberos biletinin gerçekten LDAP hizmetine ait olmasını doğrulamaya başladı. LDAP istemci oturum güvenliği none olan etkilenen NetApp yapılandırmalarında, denetleyicinin CIFS SPN‘i için alınan bilet LDAP bağlantısında kullanılıyordu. Yamadan sonra DC, LDAP SPN’iyle eşleşmeyen bu bileti reddediyor ve bağlantı Invalid credentials hatasıyla düşüyor.
Sonuç, kullanıcı ve grup sorgularının aksamasından SMB paylaşımına erişimin kesilmesine, hatta yeni SMB biriminin oluşturulamamasına kadar uzanabiliyor. Kritik bir paylaşımda kesinti yaşanıyorsa bu, acil müdahale gerektiren bir durumdur. Kaynaklar burada bir uyumluluk/yapılandırma sorunu belgeliyor; aktif bir istismar bulgusu yok.
Kendi yönetimimdeki ONTAP ortamında ilgili SVM’lerde session-security-for-ad-ldap değerini kontrol ederim. none kullanılıyorsa, üreticinin önerdiği sign ya da seal ayarını önce bir pilot SVM‘de doğrularım. Testime mutlaka bir LDAP sorgusu, grup üyeliğine bağlı bir paylaşım ve uygulamanın gerçekten kullandığı SMB yolunu dahil ederim. Kullanıcı sürücüye GPO ile ulaşıyorsa gpresult /h ile politikanın sonucunu, UNC yolunu doğrudan açarak da dosya erişimini ayrı ayrı ölçerim. Azure NetApp Files kullanıyorsanız, AD bağlantısındaki LDAP signing ayarını ve seçtiğiniz DC’lerin ileri/ters DNS kayıtlarını kontrol edin. Microsoft’un belgelediği geçici LdapSPNVerificationLevel=0 kayıt defteri seçeneği, SPN doğrulamasını (yani bu korumayı) devre dışı bırakır; zorunlu kalırsanız yalnızca etkilenen DC’lerle sınırlayın ve varsayılan 1 değerine dönüşü planlayın.
Hızlı kontrol listesi
- Kritik bir NetApp paylaşımın varsa, yamalı bir DC üzerinden test istemcisiyle UNC erişimini ve grup üyeliğine bağlı yetkilendirmeyi doğrula.
- ConfigMgr 2603 + KB39169655 kullanıyorsan, CMG üzerinden Entra’ya katılmamış cihaz kaydını test et; sorun varsa KB40345593 için site reset ve ikincil site güncellemesi içeren bir bakım penceresi planla.
- Bir sonraki yama pilotuna hazırlık için DC sürümü, build ve kurulu KB’leri kaydet; GPO uygulaması, sertifika kaydı ve ConfigMgr istemci kaydı için karşılaştırabileceğin test sonuçları al.
İlgili Yazılar
Kaynaklar
- Microsoft Learn — ConfigMgr 2603 KB40345593
- Microsoft Support — NetApp SMB erişim sorunu (Ekim 2026)
- NetApp — CONTAP-821088
- Microsoft Learn — Azure NetApp Files SMB SSS
Not: Bu bülten bilgilendirme amaçlıdır; değişiklikleri kendi ortamınızda uygulamadan önce bir test/pilot ortamında doğrulayın.
