04 — File Server
Selamlar, Önceki makalelerde Active Directory altyapımızı oluşturmuş, DC01 ve DC02 sunucularını yapılandırarak domain ortamımızın temelini hazırlamıştık.
Bu makalede ise kullanıcıların ve departmanların ortak dosyalara merkezi bir noktadan erişebilmesi için File Server yapısını kuracağız.
Kurulum sırasında dosya paylaşımı oluşturacak, Active Directory üzerinde daha önce oluşturduğumuz Security Group’ları kullanarak erişim izinlerini yapılandıracak ve File Server Resource Manager (FSRM) ile kota ve dosya türü kısıtlamaları uygulayacağız.
File Server İlk Yapılandırması
Önceki sunucu kurulumlarında olduğu gibi File Server üzerinde de;
- Sunucu adının değiştirilmesi,
- Statik IP adresinin tanımlanması,
- DNS yapılandırmasının yapılması,
- Sunucunun domain’e dahil edilmesi
gibi temel işlemleri gerçekleştiriyoruz.
Bu adımları önceki makalelerde detaylı şekilde ele aldığımız için burada tekrar anlatmayacağım.
Bu makalede doğrudan File Server’a özel yapılandırmalara odaklanacağız.
File Server Rollerinin Kurulması
Server Manager üzerinden Add Roles and Features bölümüne girerek ihtiyacımız olan rolleri ekliyoruz.
Bu senaryoda:
- File Server
- File Server Resource Manager
rollerini kuracağız.
Temel bir dosya paylaşımı oluşturmak için yalnızca File Server rolü yeterlidir.
Ancak bu lab ortamında paylaşılan alanlara kota uygulamak ve belirli dosya türlerinin yüklenmesini engellemek istediğim için File Server Resource Manager (FSRM) rolünü de kuruyorum.
Rol kurulumu tamamlandıktan sonra Server Manager içerisinde File and Storage Services bölümünü kullanabilir hale geliyoruz.
Paylaşım Klasörünün Oluşturulması
Dosya paylaşımımız için sunucu üzerinde SirketData adında bir klasör oluşturuyorum.
Bu lab ortamında klasörü sistem diski üzerinde oluşturuyorum.
Ardından Server Manager üzerinden:
File and Storage Services → Shares
bölümüne geçiyoruz.
Sağ tarafta bulunan Tasks → New Share seçeneği ile yeni bir paylaşım oluşturuyoruz.
SMB Share Oluşturulması
Paylaşım türü olarak SMB Share — Quick seçeneğini kullanıyorum.
Bir sonraki aşamada Custom Path seçeneği üzerinden daha önce oluşturduğumuz SirketData klasörünü seçiyoruz.
Paylaşım ayarlarını tamamladıktan sonra erişim izinlerini yapılandırmamız gerekiyor.
Burada Customize Permissions seçeneğine giriyoruz.
NTFS İzinlerinin Yapılandırılması
Windows üzerinde klasör oluşturulduğunda bazı izinler üst klasörden inheritance, yani kalıtım yoluyla gelir.
Bu lab senaryosunda erişimleri tamamen kendi oluşturduğumuz Active Directory grupları üzerinden yönetmek istediğimiz için gerekli klasörlerde kalıtımı devre dışı bırakacağız.
Remove Dedikten sonra Hata ile karşılaşacaksınız.
Advanced Security Settings bölümüne geçerek:
Disable inheritance
seçeneğini kullanıyoruz.
Bu aşamada mevcut izinleri açık izinlere dönüştürerek koruyabilir veya tamamen kaldırabiliriz.
Ben gerekli olmayan izinleri kaldırarak erişim modelini kendi Security Group’larım üzerinden oluşturacağım.
Add → Select a principal
adımlarını takip ederek Active Directory üzerinde oluşturduğumuz Security Group’u seçiyoruz.
Grubu seçtikten sonra ihtiyacımıza göre NTFS yetkilerini tanımlıyoruz.
Örneğin departman çalışanlarının kendi klasörlerinde dosya oluşturabilmesini, değiştirebilmesini ve silebilmesini istiyorsak Modify yetkisi kullanılabilir.
Salt okunur erişim vermek istediğimiz bir grup için ise Read & Execute yetkisi yeterli olacaktır.
Yapılandırmayı tamamladıktan sonra Apply diyerek izinleri kaydediyoruz.
Sonradan Kullanıcı veya Grup Eklemek
Paylaşım oluşturulduktan sonra da erişim izinlerini değiştirebiliriz.
Bunun için klasöre sağ tıklayıp:
Properties → Security ya da Properties → Sharing
bölümüne geçebiliriz.
Buradan yeni kullanıcı veya Security Group ekleyebilir, mevcut izinleri değiştirebilir veya kaldırabiliriz.
Ancak mümkün olduğunca kullanıcılara doğrudan izin vermek yerine Active Directory Security Group’ları üzerinden yetkilendirme yapmak daha yönetilebilir bir yapı oluşturur.
File server ara yüzünden de yapabilirsiniz.
Kullanıcının Diğer Departmanlara Erişmesini Engelleme
Varsayılan izinler doğru şekilde düzenlenmezse kullanıcılar kendileriyle ilgisi olmayan departman klasörlerine de erişebilir.
Bunu engellemek için ilgili departman klasörünün:
Get Can Bilgiç’s stories in your inbox
Join Medium for free to get updates from this writer.
Properties → Security → Advanced
bölümüne girerek izinleri düzenliyoruz.
Gerekirse inheritance’ı devre dışı bırakıyor ve yalnızca ilgili departmanın Security Group’una gerekli erişim izinlerini tanımlıyoruz.
Örneğin IT klasöründe yalnızca:
IST-IT VE IT-MLTYA
grubuna erişim izni tanımlanabilir.
Bu durumda Muhasebe veya Satis kullanıcılarının IT klasörünün içeriğine erişmesi engellenmiş olur.
Disable inheritance diyoruz ve ilk seçeneği seçiyoruz.
Böylece örneğin Muhasebe departmanındaki bir kullanıcı SirketData paylaşımına bağlandığında yalnızca kendisinin erişebildiği klasörleri görüntüler.
File Server Resource Manager ile Kota Yönetimi
Şimdi File Server üzerinde depolama kullanımını sınırlandırmak için File Server Resource Manager (FSRM) kullanabiliriz.
Server Manager üzerinden:
Tools → File Server Resource Manager
bölümüne giriyoruz.
Kullanıcılara kota eklemek için Configure Quota diyerek,
Her kullanıcıya 10 gb olacak şekilde ayarlayabilirsiniz.
FSRM içerisinde hazır quota template’leri bulunduğu gibi kendi ihtiyacımıza göre özel bir template de oluşturabiliriz.
Custom Quota Template Oluşturma
Tools -> File Server Resource Managere
Quota Management → Quota Templates
bölümüne geçiyoruz.
Boş bir alana sağ tıklayarak:
Create Quota Template
seçeneğini seçiyoruz.
Create Quota Template…
Örneğin maksimum kapasiteyi:
22 GB
olarak belirleyebiliriz.
Burada iki farklı quota tipi bulunuyor:
Hard Quota
Belirlenen depolama sınırının aşılmasına izin vermez.
Örneğin 10 GB hard quota tanımlanan bir klasör 10 GB’a ulaştığında kullanıcı artık bu klasöre yeni veri yazamaz.
Soft Quota
Belirlenen sınır aşılsa bile kullanıcının veri yazmaya devam etmesine izin verir.
Soft quota daha çok izleme, raporlama ve uyarı oluşturma amacıyla kullanılır.
Örneğin 10 GB sınırı aşıldığında yöneticilere bildirim gönderilebilir ancak veri yazma işlemi engellenmez.
Depolama alanını gerçekten sınırlandırmak istediğimiz senaryolarda Hard Quota kullanmak daha uygundur.
Oluşturduğumuz quotayı FSRM paneli üzerinden takip edebiliriz.
Bu şekilde Oluşturulan Quota yı ekleyebilirsiniz
File Screening ile Dosya Türlerini Engelleme
FSRM’nin sunduğu bir diğer önemli özellik File Screening Management’tır.
Bu özellik sayesinde belirli dosya türlerinin File Server üzerinde saklanmasını engelleyebiliriz.
Örneğin şirket politikamız gereği kullanıcıların ortak dosya alanına:
.mp3.mp4.exe.iso
gibi dosyaları yüklemesini istemiyorsak ilgili uzantıları içeren bir File Group oluşturabilir ve paylaşım üzerinde File Screen uygulayabiliriz.
Böylece File Server yalnızca depolama alanı sağlayan bir sunucu olmaktan çıkar; şirket politikalarına göre kontrollü şekilde yönetilen merkezi bir dosya paylaşım sistemine dönüşür.
Burada uygulanacak yasakların şirketin gerçek ihtiyaçlarına göre belirlenmesi önemlidir. Her dosya türünü gereksiz şekilde engellemek yerine güvenlik ve iş gereksinimlerine göre bir politika oluşturulmalıdır.
Sonuç
Bu makalede Windows Server 2022 üzerinde temel File Server altyapımızı oluşturduk.
Dosya paylaşımımızı oluşturduktan sonra Active Directory Security Group’larını kullanarak departman bazlı erişim izinlerini yapılandırdık.
Ayrıca;
- SMB üzerinden merkezi dosya paylaşımı,
- NTFS izinleri,
- Grup tabanlı erişim yönetimi,
- FSRM ile kota yönetimi,
- File Screening ile dosya türü kısıtlamaları
gibi File Server tarafındaki temel yönetim mekanizmalarını ele aldık.
Ancak yaptığımız yapılandırmaların gerçekten doğru çalışıp çalışmadığını yalnızca sunucu tarafından kontrol etmek yeterli olmayacaktır.
Serinin son bölümünde Windows 11 istemcimizi domain ortamına dahil ettikten sonra farklı domain kullanıcılarıyla oturum açarak oluşturduğumuz File Server yapısını istemci tarafından test edeceğiz.
Bu testlerde kullanıcıların yalnızca yetkili oldukları departman klasörlerine erişip erişemediğini, dosya oluşturma ve değiştirme izinlerini, uyguladığımız dosya türü kısıtlamalarını ve paylaşımlara erişimi kontrol edeceğiz.
Ayrıca File Server paylaşımlarını hem manuel olarak istemciye bağlama yöntemini hem de ilerleyen bölümde yapılandıracağımız Group Policy üzerinden merkezi olarak dağıtma yöntemini inceleyeceğiz.
Böylece oluşturduğumuz File Server yapısının yalnızca teorik olarak değil, gerçek bir domain kullanıcısı üzerinden de beklediğimiz şekilde çalıştığını doğrulamış olacağız.
Bir sonraki makalede ise Group Policy tarafına geçerek kullanıcı ve bilgisayar yapılandırmalarını merkezi olarak nasıl yönetebileceğimizi inceleyeceğiz.
Okuduğunuz için teşekkürler. Bir sonraki yazıda görüşmek üzere.
