Kurumsal Dosya Sunucularında AGDLP (Account-Global-DomainLocal-Permission) İzin Standartı

Bir şirkette dosya sunucusuna (File Server) girdiğinizde, Bütçe klasörünün güvenlik sekmesinde 15 tane personelin kendi kullanıcı adının tek tek yazıldığını ve yanlarında "Özel İzinler" verildiğini görürsünüz. Bu durum birkaç ay içinde kimin nereye erişebileceğinin bilinemediği bir yetki cehennemine dönüşür. Bir personel departman değiştirdiğinde eski izinleri silinmez, şirketten ayrılan personeller klasörlerde asılı kalır. Kurumsal izin yönetiminin evrensel standardı AGDLP Metodolojisidir.

1. AGDLP Kısaltmasının Anatomisi

Microsoft'un önerdiği bu hiyerarşi izin karmaşasını matematiksel bir düzene sokar:

• A (Accounts): Kullanıcı hesapları (Örn: ahmet.ertekin).
• G (Global Groups): Departman veya iş rolü grupları (Örn: G_Muhasebe_Kullanicilari). Kullanıcılar bu gruba üye yapılır.
• DL (Domain Local Groups): İlgili klasöre verilecek izni tanımlayan özel gruplar (Örn: DL_Klasor_Butce_RW veya DL_Klasor_Butce_RO).
• P (Permissions): Klasörün NTFS izinleridir (Read, Modify, Full Control).

Formül:
[Kullanıcı: Ahmet] ──► [Global Grup: G_Muhasebe] ──► [Domain Local: DL_Butce_RW] ──► [Klasör NTFS İzni: Modify]

2. Neden Bu Kadar Grup Açıyoruz? (Güzelliği Nerede?)

Yeni bir personel muhasebe departmanında işe başladığında:

• Dosya sunucusuna girip tek tek 40 klasörün izinlerine o personeli eklemezsiniz!
• Yalnızca Active Directory'den kullanıcıyı G_Muhasebe_Kullanicilari grubuna üye yaparsınız.
• Personel muhasebenin erişmesi gereken tüm klasörlere otomatik olarak doğru yetkiyle anında erişir.
• Personel işten ayrıldığında hesabı kapatıldığı an tüm dosya erişimleri tek tıkla son bulur!

3. Paylaşım (Share) ve NTFS İzinlerinin Dengesi

Klasik kural:

• Paylaşım İzni (Share Permissions): Authenticated Users -> Full Control verilir. Paylaşım seviyesinde kısıtlama yapılmaz.
• Asıl Güvenlik NTFS Seviyesinde Yapılır:
  • DL_Klasor_RW -> NTFS Modify (Değiştirme, Yazma, Silme).
  • DL_Klasor_RO -> NTFS Read & Execute (Yalnızca Okuma).
  • Full Control Asla Verilmez! Normal kullanıcılara asla Full Control verilmez; çünkü Full Control alan kullanıcı klasörün sahipliğini değiştirebilir veya diğer kullanıcıların izinlerini bozabilir!

Karşılaşılan Kritik Hatalar ve Çözüm İpuçları

• İzin Mirasının (Inheritance) Kırılması: Alt klasörlerde sürekli "Disable Inheritance" yapılarak izin mirası kırılırsa sistem yönetilemez hale gelir. İzinler mümkün olduğunca en üst seviyedeki ana klasörlerde tanımlanmalı ve alt klasörlere miras yoluyla akmalıdır.
• Everyone Grubunun Silinmesi: Paylaşım açarken varsayılan Everyone grubu yerine daima Authenticated Users kullanılmalıdır. Aksi halde ağa bağlanan yetkisiz misafir cihazlar da paylaşımları tarayabilir.

Mühendis Notu

AGDLP ilk başta çok fazla grup oluşturmayı gerektirdiği için zahmetli görünebilir. Ancak 500 kullanıcılı bir holding yapısında dosya sunucusunu 10 yıl boyunca tek bir izin karmaşası yaşamadan yönetebilmenin tek yolu bu disiplindir.