Dizin hizmeti nedir? Nasıl çalışır?
Dizin hizmeti, kullanıcıların ve uç birimlerin yetkilendirilme politikaları ve erişim izinlerine de dahil bilgileri depolamak ve düzenlemek amacıyla gerektiğinde çok noktadan yedekli olarak çalışabilen bir servistir. Bulunduğu veya yetkilendirildiği ağdaki tüm kullanıcıları, bilgisayarları ve diğer nesneleri mantıksal ve hiyerarşik gruplamalara göre dizin hizmeti düzenler. Bu bilgileri kurumsal ağının bir parçası olan kullanıcıları, bilgisayarları ve kaynakları doğrulamak ve/veya yetkilendirmek için kullanır.
Dizin hizmeti, kullanıcılar, bilgisayarlar, yazıcılar gibi varlıkların bilgilerini aynı telefon rehberinde olduğu gibi kayıt olarak saklayan bir veritabanına sahiptir.
Bu “rehber” ağa bağlı fiziksel varlıkların isim, konum ve birim gibi kayıtlarını öz niteliklerine göre sınıflandırır. Sınıflandırılan varlıklar önce Yapısal Birim (Organizational Unit) ve sonra Etki Alanına (Domain) bağlanır. Ayrıca Etki Alanı da belli etki alanlarının gruplandırılmasından oluşan bir Etki Alanı Ağacına (Domain Tree) bağlı olabilir. Birden fazla etki alanı ağacı ise birleşerek Ormanı (Forest) oluşturur.
Sonuç olarak Etki Alanı yukarıda söz edilen nesnelerin mantıksal gruplamasıdır ve bu nesneler için yönetimsel sınırların belirlenmesini sağlar. Bir etki alanındaki nesnelerin aynı fiziksel ağda bulunma zorunluluğu yoktur. Bir kullanıcının eğer etki alanına erişimi ve yeterli yetkisi varsa, o etki alanındaki herhangi bir yerden ve herhangi bir bilgisayar hesabından oturum açabilir ve organizasyonun kaynaklarına erişebilir. Dizin kullanıcısı, organizasyonun bir parçası olan, etki alanı içerisinde kendisine ait özel kimliğe sahip (SID) olarak yetki ve izinler dahilinde ortak dosyaları, bilgisayarları, yazıcıları ve yazılımları kullanabilen kişidir. Dizin bilgisayarı ise özgün bilgisayar hesabına sahip olan ve etki alanına girişi sağlayan bilgisayardır.
Etki alanı nedir? Etki alanı denetleyicisi ne iş yapar?
Etki Alanı, dizin hizmetinin yönetimsel birimlerini de barındıran en temel bileşenidir. Yaygın İngilizce kullanımı Domain olan etki alanı, Etki Alanı Denetleyicisi (Domain Controller) tarafından yönetilir. Aslında Etki Alanı Denetleyicisi etki alanının bir tür otoritesi gibidir. Etki alanı içindeki tüm kimlik doğrulamaları, yetkilendirmeler, eklemeler, silmeler, düzenlemeler ve değişikliklerden etki alanı denetleyicisi sorumludur
Etki alanı denetleyicisi, dizin veri tabanının bir kopyasını (replika) içerisinde bulundurur. Etki alanında yapılan değişiklikler etki alanı denetleyicisi üzerinden gerçekleştirilir. Bir denetleyici tarafından gerçekleştirilen değişiklik etki alanındaki tüm etki alanı denetleyicileri tarafından kopyalanır. Böylece tüm etki alanı (örneğin tek bir etki alanına sahip bir üniversitenin tüm kampüsleri) bütün değişikliklerden haberdar olur.
Etki alanı denetleyicisi bütün dizin bilgilerinin kayıtlarına sahiptir. Böylece etki alanı denetleyicileri giriş yapma, kimlik doğrulama ve dizinde arama gibi işlemleri yürütebilirler. Aynı etki alanında bir veya daha fazla etki alanı denetleyicisi barındırabilir. Örneğin; farklı konumlarda kampüsleri bulunan bir üniversitenin, her kampüs için bir veya birden fazla etki alanı denetleyicisi olabilir. Birden fazla etki alanı denetleyicisi kullanmanın en önemli avantajı denetleyicilerinden herhangi birinde bir sorun yaşandığı zaman diğerinin devreye girerek kesintisiz çalışmayı sürdürmesi açısından hata toleransını arttırmasıdır. Ayrıca yükü dağıtmak, çok bilgisayarlı ve çok kullanıcılı kurumlardaki verimlilik için çok önemlidir. Etki alanı denetleyicisinin yedeği yoksa, sorun yaşandığında sistem devre dışı kalabilir.
Etki alanı denetleyicileri veritabanındaki değişikliklerden haberdar olmak için sürekli kendilerini eşitler. Örneğin, bir öğrenci parolasını değiştirdiği zaman, farklı bir kampüse gidip kütüphaneden giriş yapmak istediğinde, oradaki etki alanı denetleyicisinin bu değişiklikten haberdar olması gerekir ki kullanıcı yeni parolasıyla giriş yapabilsin. Bu işleme “Replication” yani veri çoğaltma denir.
Dizin hizmetiyle neler yapılabilir?
Dizin hizmeti sayesinde çeşitli yönetimsel kısıtlamalar oluşturulabilir, yani hangi kullanıcının hangi varlığa ne kadar erişimi olacağı belirlenebilir. Aynı zamanda kullanıcıların (şirket çalışanları veya üniversite öğrencileri gibi) çalışma ortamları (örneğin giriş yaptıkları bilgisayarlarda kullanabilecekleri yazılımlar gibi) şekillendirilebilir ve belli standartlara uyacak hale getirilebilir. Ayrıca bu gibi şekillendirmeler gruplar üzerinden (Group Policy) yapılabilir. Örneğin bir üniversitedeki öğretim üyelerinin olduğu bir grup ile öğrencilerin olduğu bir grubun (kendi kullanıcı adı ve parolaları ile sisteme bağlandıklarında) farklı yetkilere sahip olmaları ve farklı yazılımlara ve dosyalara yani farklı varlıklara erişebilmeleri sağlanabilir.
Dizin hizmeti güvenliği neden önemlidir?
Etki alanı denetleyicisinin kontrolünü yetkisiz olarak ele geçiren kişi tüm etki alanının kontrolünü de ele geçirmiş olur. Böylece tüm kimlik doğrulama ve yetkilendirme süreçlerini ele geçirir, güvenlik politikalarını tahrip edebilir. Bu nedenle dizin hizmetinin güvenliği çok önemlidir.
Kullanıcı gözünden neye benzer?
Üniversitede okuyan bir öğrenci, kütüphaneye gidip dizine kayıtlı bir bilgisayardan kullanıcı adı ve parolası ile giriş yapmak istediğinde etki alanı denetleyicisi ile bağlantı kurulur. Dizin hizmetinin veritabanında bulunan öğrenci kimlik bilgileriyle ilgili bu kullanıcı adı ve parolası doğrulanır. Bu doğrulama gerçekleştiğinde öğrenci, bilgisayara giriş yapmış yani işletim sistemi tarafından erişim isteği için kabul edilmiş olur. Öğrenci, açılan bilgisayarda işletim sisteminin masaüstü ile karşılaşmaktadır. Burada göreceği uyarılar, kullanabileceği yazılımlar ve yapabileceklerine ilişkin yetkileri önceden belirlenmiştir. Örneğin; eğer yetkisi varsa kelime işlemci kullanabilir veya tarayıcı üzerinden kütüphanenin veritabanına erişebilir. Dizin içerisinde farklı gruplar için farklı erişim politikaları oluşturulabilir. Öğrencilerin erişimi için oluşturulan politikalar, diğer çalışanlar ya da öğretim üyeleri için hazırlanmış olanlardan farklı olabilir. Hatta farklı bölümlerdeki öğrencilere farklı erişim politikaları da oluşturulabilir.
Farklı dizin hizmeti seçenekleri nelerdir?
Yaygın olan kullanılan dizin hizmetleri arasında Microsoft Active Directory, Apache Directory, OpenLDAP, Samba, NetIQ eDirectory, Red Hat Directory Services, IBM Security Directory Server sayılabilir. Bu dizin hizmeti sağlayan bu yazılımların her birinin farklı bir özellikleri olmakla birlikte çoğunluğu Lightweight Directory Access Protocol (LDAP) adı verilen protokol ile uyumlu çalışmaktadır.
Günümüzde marka bağımlılığından kurtulmak için en etkili yol özgür ve açık kaynak kodlu yazılımlara yönelmektir.
Marka bağımlılığı orta-uzun vadede uyum sorunlarını beraberinde getirerek kullanıcıları seçeneksizliğe sürüklemekte ve yüksek toplam sahip olma maliyetlerinin ödenmesini zorunlu bırakmaktadır.
Ayrıca ek bileşenlerin seçiminde de uyum sorunları etkili olmaktadır. Örneğin Microsoft Active Directory’nin en belirgin eksiklerinden biri farklı istemcileri bir arada yönetememesidir. Örneğin; kurumunuzda hem Windows, hem Linux, hem OsX® işletim sistemini kullanıyorsanız, Microsoft Active Directory bunlardan yalnızca Windows işletim sistemi yüklü olanlardaki değişiklikleri göz önünde bulundurur. Doğal olarak bunun nedeni üretici firmasının verdiği ticari bir karardır.
Açık kaynak kodlu yazılımlar sürekli olarak geliştirilebilen ve gereksinimlere özel tasarlanabilen yazılımlar olarak sahipli dizin hizmetlerine seçenekler sunmaktadır. Alternatifler arasında en bilineni OpenLDAP® olmakla birlikte sınırlı özellikleri ve deneyimli teknik yönetici gereksinimi nedeni kısıtlı sayıda işletme tarafından kullanılmaktadır. Genellikle bu işletmelerin Microsoft bağımlılığı olmayan küçük ve orta ölçekli işletmeler olduğu dikkate değerdir.
SambaBox nedir? Avantajları nelerdir?
SambaBox®, açık kaynak kodlu bir yazılım olan Samba4© üzerine Profelis tarafından geliştirilmiş bir dizin hizmetidir. En önemli avantajları arasında kurumların toplam sahip olma maliyetini düşürmesi ve farklı işletim sistemine sahip istemcileri aynı anda yönetebilmesidir. Kolay entegrasyonu ve bir dizin sunucusunda olması gereken tüm özellikleri barındırması ile Microsoft Active Directory’e rakip niteliğinde olan SambaBox web tabanlı yönetim arayüzü ile de dikkat çekmektedir.
Ayrıca SambaBox, işletmelerde yaygın olan Windows, Linux ve OsX gibi farklı işletim sistemleri kullanan kullanıcıların kimlik denetimini yapabilmekte ve işletmelerin tek bir işletim sistemine bağımlılığını da ortadan kaldırmaktadır.
Muadillerine göre toplam sahip olma maliyeti oldukça düşük olan SambaBox, Yerli Malı Belgesine de sahip bir yazılımdır. SambaBox ile ilgili daha fazla bilgi için sambabox.io sitesini ziyaret edebilirsiniz.
Toplam sahip olma maliyeti nedir?
Kullanılan bir yazılımın Toplam Sahip Olma Maliyeti, yalnız satınalma sırasında ödenen lisans bedeli ile değil, o yazılımın kullanıldığı süre boyunca güncellemeleri, bakımı ile o yazılımdan beklenen performansın sürekliliğini sağlamak üzere gerekli olan donanım yatırımları ve yazılımı kullanacak veya yönetecek olanların eğitimi için ödenen bedellerdir. Dolayısıyla yazılım alımlarında ilk başta ödenen lisans maliyeti dışındaki kullanım süresi içinde çıkaracağı masraflar da toplam sahip olma maliyeti içinde değerlendirilmelidir.
