GPO ile Parola Politikası Nasıl Belirlenir?

Active Directory ortamında parola politikasını merkezi olarak yönetmek, kimlik güvenliğinin temel parçalarından biridir. Bu rehberde domain kullanıcılarına uygulanacak parola kurallarının Group Policy üzerinden nasıl yapılandırılacağını, nasıl doğrulanacağını ve yaygın hatalarda hangi noktaların kontrol edilmesi gerektiğini ele alıyorum.

Amaç ve Kapsam

Amaç; minimum parola uzunluğu, parola geçmişi, karmaşıklık ve parola yaşı gibi domain parola kurallarını merkezi bir politika altında yönetmektir. Domain hesapları için parola politikası tasarlanırken GPO’nun bağlantı noktası ve etki alanındaki politika önceliği özellikle dikkate alınmalıdır.

Ön Koşullar

• Active Directory Domain Services ortamı
• Group Policy Management Console (GPMC)
• GPO oluşturma ve düzenleme yetkisi
• Değişiklik öncesinde mevcut parola politikasının kayıt altına alınması
• Üretim ortamında uygulamadan önce kontrollü test planı

Parola Politikası Nereden Yapılandırılır?

GPMC üzerinden domain düzeyinde uygulanacak ilgili GPO’yu düzenleyin ve aşağıdaki yolu izleyin:

Computer Configuration
  > Policies
    > Windows Settings
      > Security Settings
        > Account Policies
          > Password Policy

Domain hesaplarına uygulanacak temel parola politikasının domain düzeyindeki GPO tasarımı içinde değerlendirilmesi gerekir. Yalnızca belirli bir OU’ya farklı parola kuralları uygulamak isteniyorsa klasik OU bağlantılı Password Policy yaklaşımı yerine Fine-Grained Password Policies gibi uygun Active Directory mekanizmaları değerlendirilmelidir.

Temel Parola Politikası Ayarları

Enforce password history

Kullanıcının daha önce kullandığı parolaların yeniden kullanılmasını sınırlar. Değer, kurumun kimlik güvenliği standardına göre belirlenmelidir.

Minimum password length

Kabul edilecek minimum parola uzunluğunu belirler. Sabit ve her ortam için geçerli tek bir sayı vermek yerine kurumun güncel güvenlik standardı, MFA kullanımı ve diğer kimlik kontrolleri birlikte değerlendirilmelidir.

Password must meet complexity requirements

Windows parola karmaşıklığı gereksinimlerini etkinleştirir. Bu ayar tek başına güçlü bir kimlik güvenliği stratejisinin yerine geçmez; parola uzunluğu, hesap kilitleme politikası, MFA ve ayrıcalıklı hesap kontrolleriyle birlikte ele alınmalıdır.

Maximum ve minimum password age

Parolanın ne kadar süre kullanılabileceğini ve değişiklikler arasında bulunması gereken minimum süreyi yönetir. Zorunlu periyodik parola değişimini otomatik olarak “daha güvenli” kabul etmek yerine kurum politikası ve güncel güvenlik yaklaşımı esas alınmalıdır.

Politikanın Uygulandığını Doğrulama

İstemci üzerinde Group Policy yenilemesi gerektiğinde aşağıdaki komut kullanılabilir:

gpupdate /force

Ancak yalnızca gpupdate çalıştırmak doğrulama değildir. Sonuçta hangi politikaların uygulandığını kontrol etmek için:

gpresult /h C:Tempgpresult.html

Domain parola politikasını komut satırından hızlıca incelemek için aşağıdaki komut da kullanılabilir:

net accounts /domain

GPMC üzerindeki Group Policy Results veya RSOP araçları da politika çakışmalarını analiz etmek için kullanılabilir.

Troubleshooting

Yeni parola kuralları beklediğim gibi uygulanmıyor

• GPO’nun doğru domain seviyesinde bağlı olduğunu kontrol edin.
• Link Enabled ve GPO Status durumlarını doğrulayın.
• Security Filtering ve WMI Filter varsa kapsamı inceleyin.
• Domain Controller replikasyon durumunu kontrol edin.
• gpresult ve Group Policy Results ile gerçekten uygulanan politikayı doğrulayın.

Belirli kullanıcı grupları için farklı parola politikası gerekiyor

Bu ihtiyaç için ayrı OU’lara klasik parola GPO’su bağlamak doğru çözüm olmayabilir. Active Directory Fine-Grained Password Policies, farklı kullanıcı veya global security group kapsamlarına farklı parola ve hesap kilitleme ayarları uygulamak için değerlendirilmelidir.

Güvenlik ve Best Practice

• Parola politikasını tek başına güvenlik kontrolü olarak görmeyin.
• Ayrıcalıklı hesaplar için daha sıkı kimlik ve erişim kontrolleri uygulayın.
• Mümkün olan servislerde MFA kullanın.
• Windows LAPS ile yerel yönetici parolalarını merkezi ve benzersiz yönetin.
• Politika değişikliklerini önce kontrollü ortamda test edin ve kullanıcı etkisini değerlendirin.
• Hesap kilitleme politikasını parola politikasıyla birlikte tasarlayın.

Sonuç

GPO ile parola politikası, Active Directory kimlik güvenliğinin temel katmanlarından biridir. Sağlıklı bir yapılandırmada amaç yalnızca karmaşık parola zorlamak değil; politika kapsamını doğru belirlemek, uygulamayı doğrulamak ve parola kontrollerini MFA, LAPS ve ayrıcalıklı erişim yönetimiyle birlikte ele almaktır.

İlgili Rehberler

• Active Directory LAPS Kurulumu – Windows LAPS Rehberi
• GPO ile Bilgisayar Kilitleme
• PowerShell ile GPO Yönetimi