GPO Password Policy – AD Parola Ayarları

GPO Password Policy: Uygulama ve Account Lockout Ayarları

Active Directory ortamında güvenlik politikalarının bel kemiğini parolalar oluşturur. Kullanıcı hesaplarının yetkisiz erişimlere karşı korunabilmesi için parola politikalarının doğru şekilde yapılandırılması şarttır. Bu yazıda, GPO Password Policy üzerinden parola politikalarının nasıl ayarlanacağını ve ek olarak Account Lockout Policy gibi kritik ayarların nasıl yapılandırılacağını adım adım ele alacağız.

Group Policy’nin Oluşturulması ve Varsayılan Politikalar

Başlamak için Start > Windows Administrative Tools > Group Policy Management yolunu takip ediyoruz. Burada tüm GPO’ları Group Policy Objects altında görebilirsiniz.

Active Directory kurulumu sonrasında varsayılan olarak iki adet GPO otomatik gelir:

• Default Domain Controller Policy: Sadece Domain Controllers OU altında bulunan DC’leri etkiler. İçerisinde domain controller’lara özgü ayarlar vardır.
• Default Domain Policy: Domain’in en tepesine bağlıdır ve tüm kullanıcıları ve bilgisayarları etkiler. Genel güvenlik ayarlarının uygulandığı ana GPO’dur.

Domain hesaplarının varsayılan parola politikası domain düzeyinde uygulanır. Mevcut Default Domain Policy düzenlenebilir; ancak kurumsal değişiklik yönetimine uygun olarak domain köküne bağlı, önceliği doğru yapılandırılmış ayrı bir GPO da kullanılabilir. OU düzeyindeki klasik parola politikası GPO’ları domain kullanıcılarına farklı parola kuralları uygulamak için uygun yöntem değildir.

Password Policy Ayarları

Default Domain Policy üzerinde şu adımları izliyoruz:

Computer Configuration > Policies > Windows Settings > Security Settings > Account Policies > Password Policy

Burada Microsoft’un varsayılan parola ayarları karşımıza çıkar. Kısaca:

• Enforce Password History: Eski parolaların yeniden kullanılmasını engeller.
• Maximum Password Age: Bir parolanın en fazla kaç gün kullanılabileceğini belirler.
• Minimum Password Age: Parola değiştirildikten sonra en az kaç gün kullanılacağını belirtir.
• Minimum Password Length: Parolanın minimum uzunluğunu tanımlar.
• Password must meet complexity requirements: Harf, rakam, büyük/küçük harf ve özel karakter gibi karmaşıklık kurallarını zorunlu kılar.
• Store Passwords Using Reversible Encryption: Parolaları geriye dönüştürülebilir şekilde saklar. Güvenlik açısından zayıf bir yöntem olduğu için disable edilmelidir.

Varsayılan ayarlar temel bir koruma sağlar ancak günümüz güvenlik tehditleri karşısında yetersiz kalır. Parola uzunluğu, geçmişi, yaş sınırı ve karmaşıklık değerleri kurumun güncel güvenlik standardına göre belirlenmelidir. 8–10 karakterlik kısa parolaları veya 60–90 günde zorunlu parola değişimini tüm ortamlar için genel Microsoft önerisi olarak değerlendirmeyin. MFA, sızdırılmış parola denetimi ve ayrıcalıklı hesap koruması da birlikte planlanmalıdır.
Ayrıca, Minimum Password Age ayarının “0” olması kullanıcıya aynı gün içinde defalarca şifre değiştirme imkanı verir. Bu durum bazı güvenlik riskleri doğurabilir. En ideali, kullanıcıların bir günde sadece bir kez şifre değiştirmesine izin verilmesidir.

Account Lockout Policy

Parola politikaları kadar önemli bir diğer konu da hesap kilitleme politikalarıdır. Bu sayede brute force ataklarının önüne geçilebilir.

Yine aynı GPO ekranında Account Lockout Policy başlığı altında şu ayarları bulabilirsiniz:

• Account Lockout Threshold: Kullanıcının kaç kez hatalı giriş yaptıktan sonra kilitleneceğini belirler. Eşik değeri, kullanıcı etkisi ve parola denemesi saldırılarına karşı kurumun risk değerlendirmesiyle belirlenmelidir
• Account Lockout Duration: Hesap kilitlendiğinde kaç dakika sonra otomatik açılacağını belirler. Süre kurumun güvenlik ve erişilebilirlik gereksinimlerine göre seçilmelidir.
• Reset Account Lockout Counter After: Hatalı giriş sayacının ne kadar süre sonra sıfırlanacağını belirler. Bu değeri kilitleme süresi ve hesap kilitleme eşiğiyle birlikte değerlendirin.

Hesap kilitleme politikası çevrim içi parola denemelerini sınırlandırabilir; ancak yanlış ayarlar hesapların kasıtlı olarak kilitlenmesi yoluyla hizmet kesintisine de neden olabilir. Dolayısıyla brute force saldırıları ciddi bir tehdit haline gelir.

Kerberos Policy

Kerberos ayarları için Microsoft’un varsayılan değerlerini korumak genellikle yeterlidir.

Politikanın Uygulanması

Yapılan değişiklikler 90–120 dakika içerisinde otomatik uygulanır. Eğer anında uygulanmasını istiyorsanız:

• Sunucu veya istemcide gpupdate /force komutunu çalıştırabilirsiniz.
• gpresult /r ile hangi politikaların uygulandığını görebilirsiniz.
• gpresult /H c:gpreport.html komutuyla HTML formatında detaylı bir rapor oluşturabilirsiniz.

Ayrıca gpedit.msc üzerinden bilgisayara uygulanmış olan local policy ayarlarını da kontrol edebilirsiniz.

Doğru yapılandırılmış GPO Password Policy ve hesap kilitleme politikaları, Active Directory güvenliğinin temel taşlarından biridir. Özellikle kritik verilerin bulunduğu ortamlarda bu ayarların gözden geçirilmesi ve kurumsal standartlara uygun hale getirilmesi büyük önem taşır.

Daha detaylı bilgi için:

• Microsoft Docs – Password Policy
• Microsoft Docs – Account Lockout Policy

İlgili Rehber: Domain Parola Politikası

Parola uzunluğu, geçmişi, kapsamı ve doğrulama yöntemlerinin ayrıntılı açıklaması için GPO ile Parola Politikası Nasıl Belirlenir? rehberine geçebilirsiniz. Bu yazı özellikle GPMC üzerinden uygulama ve Account Lockout Policy ayarlarına odaklanır.