Windows Server 2016'da PowerShell İle Fine Grained Password Policy (FGPP) Oluşturma

Fine Grained Password Policy (FGPP) özelliği, Windows Server 2008 ile tanıtılmıştır ve bu nedenle bu özelliği kullanabilmek için Active Directory ortamınızın en az Windows Server 2008 Forest Functional Level (FFL) seviyesinde olması gerekmektedir. Windows Server 2016'da FGPP kullanabilmek için de aynı gereksinim geçerlidir; yani Forest Functional Level'in Windows Server 2008 veya daha üst bir seviyede olması zorunludur.

Fine Grained Password Policy (FGPP), Windows Server 2008 ile birlikte tanıtılan ve Windows Server 2016'da da mevcut olan bir özelliktir. Bu özellik, Active Directory (AD) ortamlarında farklı kullanıcı grupları için farklı parola ve hesap kilitleme politikaları oluşturmanızı sağlar. FGPP, özellikle büyük ve karmaşık AD yapılarında, farklı güvenlik ihtiyaçlarına sahip kullanıcı gruplarının yönetimini kolaylaştırır. FGPP özelliği, Windows Server 2008 ile birlikte gelen bir özellik olup, bu nedenle Forest Functional Level'in (FFL) en az Windows Server 2008 seviyesinde olması gerekmektedir. Windows Server 2016'da FGPP kullanabilmek için Active Directory Forest Functional Level'in Windows Server 2008 veya daha üst bir seviyede olması zorunludur.

FGPP kullanmanın çeşitli avantajları vardır. Özelleştirilmiş güvenlik sağlar; farklı kullanıcı grupları için farklı parola politikaları uygulayarak güvenliği artırabilirsiniz. Esneklik sunar; tek bir Active Directory ortamında birden fazla parola politikası tanımlayabilirsiniz. Merkezi yönetim imkanı verir; tüm parola politikalarını merkezi bir yerden yönetebilir ve uygulayabilirsiniz. FGPP'nin çeşitli özellikleri vardır ve bu özelliklerin her biri, kullanıcıların parola ve hesap yönetimini daha etkili ve güvenli hale getirmeye yöneliktir.

Örneğin, msDS-PasswordReversibleEncryptionEnabled özelliği, parolaların geri çevrilebilir şekilde şifrelenip şifrelenmeyeceğini belirlerken, msDS-PasswordHistoryLength kullanıcıların eski parolalarını kaç kez kullanamayacağını belirler. msDS-PasswordComplexityEnabled, parola karmaşıklık gereksinimlerini etkinleştirir ve msDS-MinimumPasswordLength, parolanın en az kaç karakter uzunluğunda olması gerektiğini belirler. msDS-MinimumPasswordAge, bir parolanın değiştirilmeden önce ne kadar süreyle kullanılabileceğini belirlerken, msDS-MaximumPasswordAge bir parolanın ne kadar süreyle geçerli olacağını belirler. msDS-LockoutThreshold, hesabın kaç başarısız giriş denemesinden sonra kilitleneceğini belirlerken, msDS-LockoutObservationWindow, hesabın kilitlenme sayısının sıfırlanacağı zaman penceresini belirler. Son olarak, msDS-LockoutDuration hesabın kilitli kalacağı süreyi belirler.

Fine Grained Password Policy (FGPP), AD ortamlarında parola politikalarının daha esnek ve özelleştirilebilir olmasını sağlayan güçlü bir özelliktir. Windows Server 2016'da bu özelliği kullanabilmek için AD Forest Functional Level'in en az Windows Server 2008 seviyesinde olması gerekmektedir. FGPP, farklı kullanıcı grupları için farklı güvenlik gereksinimlerini karşılamada büyük bir avantaj sağlar ve AD yönetimini daha esnek hale getirir. FGPP'nin detaylı özellikleri ve kullanım alanları, AD yönetimini daha güvenli ve esnek hale getirmek isteyen sistem yöneticileri için vazgeçilmezdir.

Windows Server 2008'de FGPP yönetimi için genellikle ADSI Edit ve PowerShell gibi araçlar kullanılırken, Windows Server 2012 ile birlikte Active Directory Administrative Center (ADAC) tanıtılmıştır. ADAC, FGPP yönetimini daha kullanıcı dostu hale getiren grafiksel bir arayüz sunar. Bu sayede, FGPP politikalarını oluşturmak, düzenlemek ve uygulamak daha kolay hale gelmiştir. ADAC ile FGPP yönetimi, AD yöneticilerine sezgisel bir kullanıcı arayüzü üzerinden FGPP politikalarını yapılandırma ve yönetme imkanı tanır, böylece karmaşık komut satırı işlemleri yerine görsel araçlarla daha hızlı ve etkin yönetim sağlanır.

Fine Grained Password Policy (FGPP) Oluşturma

1- Sol Taraftaki firatboyan (local) > System > Password Settings Container içini görüntülediğimde, Container için boş ve herhangi bir Password Policy Oluşturulmağını görüyorum.



2- Windows PowerShell'i çalıştırıyorum.



3- Açılan Windows PowerShell ekranında, aşağıdaki ilgili PowerShell komutunu yazıyorum;

4- PowerShell komutu başarılı bir şekilde çalıştı. Active Directory Administrative Center (ADAC) üzerinden oluşturduğum Fine Grained Password Policy (FGPP)'ye göz attığımda, yine başarılı bir şekilde oluştuğunu görebiliyorum.



5- Oluşturduğum Fine Grained Password Policy (FGPP) detaylarını da görüntülediğimde, PowerShell parametrelerinde tanımladığım değerlerin de oluştuğunu görüyorum.



Bilgi girişi yaptığınız alanların hangi amaçlarla kullanıldıklarını da kısaca açıklayayım;

● Name: Policy ismi.
• PowerShell Paramretre Karşılığı: New-ADFineGrainedPasswordPolicy:TestFGPP_POL01

● Precedence: Policy öncelik değerini belirliyoruz. Bunun amacı, bir User veya Global Security Group üzerinde birden fazla PSO tanımlı ise, öncelik sırasına bakar ve en yüksek öncelik seviyesi hangi PSO'da ise o geçerlidir.
• PowerShell Parametre Karşılığı: -Precedence:"1"

● Minimum Password Lenght: Belirlenecek password'ün minimum karakter sayısı. (boş password kullanılacaksa “0” verebilirsiniz)
• PowerShell Parametre Karşılığı: -MinPasswordLenght:"7"

● Number of password remembered: En son kaç şifrenin tekrardan kullanılmasını engellediğimiz alandır.
• PoweShell Paramertre Karşılığı: -PasswordHistoryCount:"3"

● Password must meet complexity requirements: Password'ün Complex olup olmayacağını belirlediğimiz alandır.
• PowerShell Parametre Karşılığı: -ComplexityEnabled:$true

● Store password using reversible encryption: Belirlenen Password'ün veritabanında düz metin moduna benzer bir şifreleme ile şifreleyerek tutulmasını sağlar. (etkinleştirilmesini önermem)

● User cannot change the password within (days): Password'ün değiştirilebilmesi için geçmesi gereken minimum sürenin (gün bazlı) belirlendiği alandır.
• PowerShell Parametre Karşılığı: -MinPasswordAge:"1.00:00:00"

● User must change the password after (days): Password'ün maksimum kullanım süresinin (gün bazlı) belirlendiği alandır.
• PowerShell Parametre Karşılığı: -MaxPasswordAge:"90.00:00:00"

● Number of failed logon attemps allowed: Password'ün kaç kez yanlış girilirse kullanıcı hesabının kilitleneceğini belirleme. ("0" ile Password, sınırsız sayıda yanlış girilebilir.)
• PowerShell Parametre Karşılığı: -LockoutThreshold:"3"

● Reset failed logon attemps count after (mins.): Kilitlenen account’un kaç dakika sonra tekrardan açacağınının belirlendiği alandır. (bu süre sonunda yanlış girişlerin sayısının tutulduğu sayaç sıfırlanır)
• PowerShell Parametre Karşılığı: -LockoutObservationWindow:"00:10:00"

● Account will be locked out:

1- For a duration of (mins): Kilitlenen bir hesabın kilidinin belirtilen süre (dakika bazlı) sonunda açılması sağlanmış olacaktır.
• PowerShell Parametre Karşılığı: -LockoutDuration:"00:10:00"

2- Until an administrator manually unlocks the account: Kilitlenen bir hesabın kilidi, sistem yöneticisi açana kadar kilitli kalması sağlanmış olur.
• PowerShell Parametre Karşılığı: -LockoutObservationWindow:"00:10:00"

6- Oluşturduğum Fine Grained Password Policy (FGPP)'ye bir Active Directory Kullanıcı grubu atayarak, Policy'nin grup içindeki kullanıcılara atanmasını sağlamak için, aşağıdaki PowerShell komutunu yazıyorum.

PowerShell İle Fine Grained Password Policy (FGPP) Oluşturma işlemini tamamlamış olduk.

Faydalı olması dileğiyle...