Active Directory kurulumu: Active Directory nedir, Windows Server 2022 ve 2025'te DNS ön koşuluyla adım adım kurulum ve sık hatalar

Active Directory kurulumu tek bir sihirbazdan ibaret görünür ama kalıcı sonuçları olan birkaç kararı içinde barındırır. Alan adı, DNS yapısı ve işlev düzeyi sonradan zor değişir. Bu yazıda önce Active Directory'nin ne olduğunu kısaca anlatıyoruz. Ardından Windows Server 2022 ve Windows Server 2025 üzerinde ilk etki alanı denetleyicisini hem Sunucu Yöneticisi hem de PowerShell ile kurmayı, kurulum sonrası kontrolleri ve sık karşılaşılan hataların çözümlerini adım adım ele alıyoruz.

Active Directory nedir?

Active Directory, Microsoft'un Windows Server üzerinde çalışan dizin hizmetidir. Bir ağdaki kullanıcıları, bilgisayarları, grupları, yazıcıları ve diğer nesneleri tek bir merkezde tutar. Yöneticiler bu merkez sayesinde kimin hangi kaynağa erişeceğini ve hangi işlemleri yapabileceğini tek yerden belirler.

Kurulumunu yaptığımız rolün tam adı Active Directory Etki Alanı Hizmetleri'dir (AD DS). Bu rolü çalıştıran sunucuya etki alanı denetleyicisi (domain controller, DC) denir. AD DS şu işleri üstlenir:

• Kimlik doğrulama: Kullanıcı etki alanına bağlı bir bilgisayarda oturum açtığında parolasını denetleyici doğrular.
• Yetkilendirme: Dosya paylaşımları, uygulamalar ve sunucular için erişim izinleri gruplar üzerinden verilir.
• Merkezi yapılandırma: Grup İlkesi (GPO) ile parola kuralları, ekran kilidi, sürücü eşleme gibi ayarlar tüm bilgisayarlara dağıtılır.
• Dizin sorgusu: Uygulamalar LDAP üzerinden kullanıcı ve grup bilgilerini sorgular.

Nesneler hiyerarşik bir yapıda tutulur: en üstte orman (forest), onun altında etki alanları (domain), etki alanlarının içinde de kuruluş birimleri (OU) bulunur. Küçük ve orta ölçekli bir işletme için genellikle tek orman ve tek etki alanı yeterlidir.

Ne zaman Active Directory kurmalısınız?

Ofiste beş on kullanıcıyı aşan, ortak dosya sunucusu, uzak masaüstü ya da iş yazılımı kullanan her yapı Active Directory'den fayda görür. Kullanıcı işten ayrıldığında tek bir hesabı devre dışı bırakmak, tüm sunuculardaki erişimini kapatır. Uzak masaüstü ile çalışan ekiplerde de oturum açma, yetki ve ilke yönetimi aynı dizinden yürütülür.

Birden fazla denetleyici kurduğunuzda dizin aralarında çoğaltılır (replikasyon). Denetleyicilerden biri çalışmaz hale gelirse diğeri kimlik doğrulamaya devam eder. Bu yüzden üretim ortamında en az iki etki alanı denetleyicisi planlamak doğru yaklaşımdır.

Kurulum öncesi gereklilikler

Eski rehberlerde sık görülen iki hatayı baştan düzeltelim. Active Directory, Windows 10 veya Windows 11 Pro ya da Enterprise gibi masaüstü sürümlerine kurulmaz; AD DS bir Windows Server rolüdür. Ayrıca kurulum için güvenlik duvarını kapatmanız gerekmez, kapatmanız da önerilmez.

Başlamadan önce şu noktaları kontrol edin:

1. İşletim sistemi: Windows Server 2022 ya da Windows Server 2025 kurulu, güncellemeleri yapılmış bir sunucu.
2. Yetki: Yeni orman kurmak için sunucuda yerel Administrator hesabıyla oturum açmış olmalısınız.
3. Sabit IP: Sunucuya statik bir IP adresi atayın. Denetleyicinin adresi değişirse istemciler onu bulamaz.
4. Bilgisayar adı: Sunucuya kalıcı bir ad verin (örneğin DC01) ve yeniden başlatın. Denetleyici yapıldıktan sonra ad değiştirmek ek iş çıkarır.
5. Disk: Active Directory veritabanı, günlük dosyaları ve SYSVOL klasörü ReFS ile biçimlendirilmiş bir birimde olmamalı. Varsayılan NTFS sistem birimi uygundur.
6. Güvenlik duvarı: Açık kalmalı. Önkoşul denetimi WMI çağrıları yapar; kurallarınız bu çağrıları engelliyorsa denetim başarısız olur.

DNS ön koşulu ve alan adı seçimi

Active Directory, denetleyicileri bulmak için DNS'e dayanır. Kurulumdaki en kalıcı karar kök etki alanı adıdır:

• Tek etiketli ad kullanmayın. sirket gibi noktasız bir ad kabul edilmez; ad sirket.com.tr gibi en az iki etiketten oluşmalıdır.
• İç adı dış DNS adından ayırın. Web siteniz ve e-postanız ornek.com.tr üzerindeyse ormana aynı adı vermeyin. Microsoft bu durumda corp.ornek.com.tr gibi bir alt ad öneriyor. Böylece iç DNS ile internetteki DNS kayıtları çakışmaz.
• Alan adının size ait olmasına dikkat edin. Alt ad kullanacağınız üst alan adını kayıtlı tutmanız, ileride sertifika ve dış erişim işlerini kolaylaştırır.
• NetBIOS adını kısa tutun. Sihirbaz genellikle ilk etiketi önerir (CORP). Kullanıcılar CORP\kullanici biçiminde oturum açabilir.

Ormandaki ilk denetleyicide DNS sunucusu seçeneği varsayılan olarak işaretli gelir; işaretli bırakın. Kurulum bittikten sonra sunucunun ağ bağdaştırıcısında birincil DNS olarak kendi IP adresini göstermesi gerekir. İkinci bir denetleyici kurduğunuzda onu ikincil DNS olarak eklersiniz.

İşlev düzeyi: Windows Server 2022 ile 2025 arasındaki fark

İşlev düzeyi, ormandaki ve etki alanındaki denetleyicilerin hangi özellikleri ortak kullanabileceğini belirler. 2021'de yazılan rehberlerde Windows Server 2016 düzeyi en yüksek seçenek olarak geçiyordu; bu artık yalnız 2019 ve 2022 için doğru.

Windows Server 2025 ile kurulan yeni bir ormanın işlev düzeyi en az Windows Server 2016 olmalı. Var olan bir etki alanına Windows Server 2025 denetleyicisi eklemek için de o etki alanı en az Windows Server 2016 düzeyinde çalışmalı.

Windows Server 2025 düzeyini seçerseniz o ormanda yalnız Windows Server 2025 çalıştıran denetleyiciler kullanabilirsiniz. Ortamda 2022 denetleyicisi de olacaksa Windows Server 2016 düzeyinde kalın; düzeyi sonradan yükseltmek mümkündür, düşürmek ise sorun çıkarır.

Sunucu Yöneticisi ile Active Directory kurulumu

Adımlar Windows Server 2022 ve 2025'te büyük ölçüde aynıdır.

1. AD DS rolünü yükleyin

1. Yerel Administrator ile oturum açın ve Sunucu Yöneticisi'ni (Server Manager) açın.
2. Yönet > Rol ve Özellik Ekle (Add Roles and Features) seçeneğine tıklayın.
3. Rol tabanlı veya özellik tabanlı yükleme'yi seçin, sunucu havuzundan kendi sunucunuzu işaretleyin.
4. Sunucu Rolleri sayfasında Active Directory Etki Alanı Hizmetleri'ni işaretleyin. Açılan pencerede Özellik Ekle ile yönetim araçlarını da ekleyin.
5. Özellikler sayfasında varsayılanları koruyun, özet sayfasını gözden geçirip Yükle'ye tıklayın.

Bu aşama yalnız ikili dosyaları yükler; sunucu henüz etki alanı denetleyicisi değildir.

2. Sunucuyu etki alanı denetleyicisine yükseltin

1. Sunucu Yöneticisi'nde sağ üstteki bayrak simgesine tıklayın ve Bu sunucuyu bir etki alanı denetleyicisine yükselt bağlantısını seçin.
2. Dağıtım Yapılandırması sayfasında Yeni orman ekle'yi seçin ve kök etki alanı adını yazın (örneğin corp.ornek.com.tr).
3. Etki Alanı Denetleyicisi Seçenekleri sayfasında orman ve etki alanı işlev düzeyini yukarıdaki tabloya göre seçin. DNS sunucusu ve Genel Katalog (GC) işaretli kalsın. Ormandaki ilk denetleyicinin genel katalog olması zorunludur ve salt okunur denetleyici (RODC) olamaz.
4. Aynı sayfada Dizin Hizmetleri Geri Yükleme Modu (DSRM) parolasını iki kez girin. DSRM, Active Directory bozulduğunda ya da geri yüklenmesi gerektiğinde kullanılan özel bir önyükleme modudur. Bu parolayı parola kasanıza kaydedin.
5. DNS Seçenekleri sayfasında temsilci (delegation) uyarısı görebilirsiniz. Ayrıntısı aşağıdaki sık hatalar bölümünde.
6. Ek Seçenekler sayfasında NetBIOS adını doğrulayın.
7. Yollar sayfasında veritabanı, günlük ve SYSVOL için varsayılan konumları koruyun; özel bir neden yoksa değiştirmeyin.
8. Seçenekleri Gözden Geçir sayfasında Betiği Görüntüle ile aynı ayarları üreten PowerShell betiğini kaydedebilirsiniz. İkinci kurulumda işinize yarar.
9. Önkoşul Denetimi sonuçlarını okuyun. Hata varsa Önceki ile geri dönüp düzeltin; yalnız uyarı varsa Yükle'ye tıklayın.

Kurulum tamamlanınca sunucu otomatik olarak yeniden başlar. Sonraki oturumu CORP\Administrator olarak açarsınız.

PowerShell ile Active Directory kurulumu

Aynı işlemi PowerShell'deki ADDSDeployment modülüyle yapabilirsiniz. Önce rolü yükleyin:

Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools

Ardından ayarlarınızı hiçbir şeyi değiştirmeden sınayın. Test-ADDSForestInstallation yalnız önkoşul denetimini çalıştırır:

$dsrm = Read-Host -AsSecureString "DSRM parolası"

Test-ADDSForestInstallation `
  -DomainName "corp.ornek.com.tr" `
  -DomainNetbiosName "CORP" `
  -InstallDns `
  -SafeModeAdministratorPassword $dsrm

Sonuç başarılıysa aynı parametrelerle yeni ormanı kurun. Install-ADDSForest DNS sunucusunu varsayılan olarak yükler ve iş bitince sunucuyu yeniden başlatır:

Install-ADDSForest `
  -DomainName "corp.ornek.com.tr" `
  -DomainNetbiosName "CORP" `
  -InstallDns `
  -SafeModeAdministratorPassword $dsrm

İşlev düzeyini açıkça belirlemek isterseniz sihirbazın Betiği Görüntüle çıktısını referans alın; böylece kendi sürümünüzün kabul ettiği değerleri görürsünüz.

Kurulum sonrası kontroller

Yeniden başlatmanın ardından şu kontrolleri yapın:

# Temel servisler çalışıyor mu?
Get-Service ADWS, KDC, Netlogon, DNS | Select-Object Name, Status

# Orman ve etki alanı bilgisi, işlev düzeyleri
Get-ADForest | Select-Object Name, ForestMode
Get-ADDomain | Select-Object DNSRoot, NetBIOSName, DomainMode

# Denetleyiciyi bulan SRV kaydı DNS'te var mı?
Resolve-DnsName -Type SRV "_ldap._tcp.dc._msdcs.corp.ornek.com.tr"

# DNS ve genel sağlık testi
dcdiag /test:dns

Kontrol noktaları:

• Dört servis de Running durumunda olmalı.
• SRV sorgusu denetleyicinizin adını döndürmeli.
• Ağ bağdaştırıcısında birincil DNS sunucunun kendi IP'si olmalı; buraya genel bir DNS adresi yazmayın, dış çözümleme için DNS Yöneticisi'nde iletici (forwarder) tanımlayın.
• Sunucu Yöneticisi'nde Araçlar menüsünde Active Directory Kullanıcıları ve Bilgisayarları, DNS ve Grup İlkesi Yönetimi araçları görünmeli.

Son olarak denetleyicinin yedeğini planlayın. Sistem durumu (system state) yedeği olmayan tek denetleyicili bir ortam, sunucu kaybında tüm hesapların yeniden oluşturulması demektir.

Active Directory nasıl kullanılır?

Kurulumdan sonra ilk iş düzenli bir yapı kurmaktır. Varsayılan Users kapsayıcısına Grup İlkesi bağlanamaz, bu yüzden kendi kuruluş birimlerinizi oluşturun:

New-ADOrganizationalUnit -Name "Sirket" -Path "DC=corp,DC=ornek,DC=com,DC=tr"
New-ADOrganizationalUnit -Name "Kullanicilar" -Path "OU=Sirket,DC=corp,DC=ornek,DC=com,DC=tr"

New-ADUser -Name "Ayse Yilmaz" -SamAccountName "ayilmaz" `
  -UserPrincipalName "ayilmaz@corp.ornek.com.tr" `
  -Path "OU=Kullanicilar,OU=Sirket,DC=corp,DC=ornek,DC=com,DC=tr" `
  -AccountPassword (Read-Host -AsSecureString "İlk parola") `
  -ChangePasswordAtLogon $true -Enabled $true

Bir istemciyi etki alanına katmak için istemcinin DNS'i denetleyiciyi göstermeli. Ardından istemcide yönetici PowerShell ile:

Add-Computer -DomainName "corp.ornek.com.tr" -Credential "CORP\Administrator" -Restart

İzinleri kişilere değil gruplara verin, Grup İlkesi nesnelerini de kuruluş birimlerine bağlayın. Uzak masaüstü sunucusu kuracaksanız kullanıcıları buradaki gruplar üzerinden yetkilendirebilirsiniz; ayrıntılar Windows Server 2025'te uzak masaüstü sunucusu kurulumu yazımızda.

Windows Server 2025'te Active Directory yenilikleri

Yeni kurulumu Windows Server 2025 üzerinde yapıyorsanız şu farkları bilmeniz gerekir:

• LDAP imzalama varsayılan: Tüm yeni kurulumlarda SASL bağlamasından sonraki LDAP istemci trafiği için imzalama ve şifreleme (sealing) zorunlu gelir. İmzasız LDAP kullanan eski uygulama ve cihazları kurulumdan önce test edin.
• TLS 1.3: LDAP over TLS bağlantılarında TLS 1.3 destekleniyor.
• 32k veritabanı sayfası: İsteğe bağlı bir özellik. Çok değerli öznitelikler yaklaşık 3.200 değere kadar tutabiliyor. Geçiş orman genelinde yapılıyor ve tüm denetleyicilerin 32k sayfayı destekleyen bir veritabanına sahip olması gerekiyor. Yerinde yükseltilen denetleyiciler 8k biçimde kalıyor.
• NUMA desteği: AD DS artık tüm işlemci gruplarındaki CPU'ları kullanabiliyor ve 64 çekirdeğin ötesine geçebiliyor; önceki sürümler yalnız grup 0'ı kullanıyordu.

Sık hatalar ve çözümleri

"RPC server unavailable" ile önkoşul denetimi başarısız oluyor. Denetim WMI çağrıları yapar ve güvenlik duvarı kuralları bunları engelleyebilir. Güvenlik duvarını tamamen kapatmak yerine engelleyen özel kuralları bulun ve Windows Yönetim Araçları (WMI) kural grubunun etkin olduğunu doğrulayın. Uyarı: kuralları uzak masaüstü bağlantısı üzerinden değiştiriyorsanız RDP (3389) erişimini kesen bir kural eklemeyin ya da RDP kuralını devre dışı bırakmayın; aksi halde sunucuya erişiminizi kaybedersiniz. Değişiklik öncesi sağlayıcınızın konsol erişiminin çalıştığını kontrol edin.

"Bu DNS sunucusu için temsilci oluşturulamıyor" uyarısı. Bu uyarı, üst bölge (örneğin ornek.com.tr) Microsoft DNS dışında bir sunucuda, örneğin BIND ya da alan adı sağlayıcınızın DNS panelinde barındırıldığında çıkar. Temsilci kayıtları yalnız Microsoft DNS sunucularında otomatik oluşturulabilir. Microsoft'a göre bu nedenle kurulumu ertelemeye gerek yoktur; iç ad yalnız ağ içinde çözülecekse temsilciye ihtiyaç duymayabilirsiniz, gerekirse temsilciyi sonradan üst bölgede elle oluşturursunuz.

Tek etiketli ad reddediliyor. sirket yerine corp.sirket.com.tr gibi en az iki etiketli bir ad kullanın.

İç ad dış ad ile aynı seçilmiş. İnternetteki web siteniz iç ağdan açılmıyorsa sebep genellikle budur. Yeni kurulumlarda alt ad kullanın; var olan ortamda iç DNS bölgesine web sitesi için A kaydı eklemek geçici çözümdür.

İstemci etki alanına katılamıyor. İstemcinin DNS ayarında genel bir DNS adresi varsa etki alanını bulamaz. Birincil DNS olarak denetleyicinin IP'sini girin ve Resolve-DnsName corp.ornek.com.tr ile kontrol edin.

Windows Server 2025 denetleyicisi eklenemiyor. Var olan etki alanının işlev düzeyi Windows Server 2016'nın altındaysa önce düzeyi yükseltin; bunun için eski sürüm denetleyicileri kaldırmanız gerekebilir.

Eski uygulamalar LDAP ile bağlanamıyor. Windows Server 2025'teki varsayılan imzalama zorunluluğu buna yol açabilir. Uygulamayı LDAPS ya da imzalı bağlantı kullanacak şekilde yapılandırın.

Veritabanı yolu ReFS birimde. Veritabanı, günlükler ve SYSVOL'ü NTFS bir birime taşıyın.

Bulut sunucuda Active Directory

Active Directory'yi ofisteki fiziksel bir makine yerine bulut sunucu üzerinde çalıştırabilirsiniz; İstanbul ve Fransa lokasyonları arasından seçim yapabilirsiniz. Bu durumda denetleyiciyi internete doğrudan açmayın: LDAP, Kerberos ve DNS portlarını yalnız iç ağa ya da VPN'e açık tutun, yönetimi kısıtlı bir uzak masaüstü erişimiyle yapın. Ofis ve şubeler VPN üzerinden denetleyiciye bağlanır, uzaktan çalışanlar da aynı hesaplarla oturum açar.

Sık sorulan sorular

Active Directory nedir, kısaca ne işe yarar?

Active Directory, Windows Server üzerinde çalışan bir dizin hizmetidir. Kullanıcı, bilgisayar ve grupları tek merkezde tutar; oturum açmayı doğrular, kaynaklara erişim izinlerini ve Grup İlkesi ayarlarını merkezden yönetmenizi sağlar.

Active Directory Windows 10 veya Windows 11'e kurulur mu?

Hayır. AD DS bir Windows Server rolüdür ve Windows Server 2022 ya da 2025 gibi bir sunucu sürümüne kurulur. Masaüstü sürümlere yalnız yönetim araçlarını (RSAT) ekleyip dizini uzaktan yönetebilirsiniz.

Yeni kurulumda hangi işlev düzeyini seçmeliyim?

Tüm denetleyicileriniz Windows Server 2025 olacaksa Windows Server 2025 düzeyini seçebilirsiniz. Ortamda 2019 ya da 2022 denetleyicisi de bulunacaksa Windows Server 2016 düzeyinde kalın; bu sürümlerin kullanabildiği en güncel düzey budur.

Kurulum için güvenlik duvarını kapatmam gerekiyor mu?

Hayır. Güvenlik duvarı açık kalmalı. Önkoşul denetimi başarısız oluyorsa WMI çağrılarını engelleyen kuralı bulup düzeltin, RDP erişiminizi kesecek değişikliklerden kaçının.

Tek etki alanı denetleyicisi yeterli mi?

Test ortamı için yeterlidir, üretim için önerilmez. Tek denetleyici çalışmaz hale gelirse kimse oturum açamaz. En az iki denetleyici kurun, her ikisini de DNS sunucusu yapın ve düzenli sistem durumu yedeği alın.