AD Bridging Nasıl Çalışır
Çoğu kuruluş, kimin orada çalıştığının, hangi gruplara üye olduğunun ve hesabının aktif olup olmadığının yetkili kaynağı olarak zaten Active Directory kullanır. AD bridging bu otoriteyi, AD’nin doğal olarak kapsamadığı sistemlere — başta Linux ve Unix sunucularına — genişletir: kullanıcılar bu makinelere AD kimlikleriyle oturum açar ve neye erişebileceklerine AD grup üyelikleri karar verir. Yerini aldığı model ise yerel hesap modelidir: her sunucuda elle oluşturulmuş ayrı bir kullanıcı; her birinin kendi parolası, kendi yaşam döngüsü vardır ve hiçbirinin dizinle bağlantısı yoktur.
Mekanik olarak bridging, Linux sunucusunu AD etki alanına katmak — çoğunlukla modern dağıtımlarla birlikte gelen yerleşik SSSD yığını üzerinden — ve AD kullanıcılarıyla gruplarını Linux’un beklediği POSIX özniteliklerine eşlemek demektir: UID, GID, ev dizini, oturum kabuğu. Katılım sonrasında sunucu, kullanıcıları Kerberos üzerinden etki alanına karşı doğrular ve erişim politikası dizin diliyle ifade edilebilir: hangi AD grupları hangi sunuculara oturum açabilir ve isteğe bağlı olarak hangi gruplar onlarda sudo yetkisi alır.
Neden Önemli
En güçlü argüman kimlik yaşam döngüsüdür. Linux erişimi yerel hesaplara bağlı olduğunda, işten ayrılan birinin çıkışı, dokunduğu her sunucuda hesabını bulup devre dışı bırakmak anlamına gelir; kimsenin bulamadığı hesap ise çalışmaya devam eder. Bridging ile tek bir yaşam döngüsü vardır: AD ayrılan kişiyi devre dışı bıraktığı gün, Linux erişimi de onunla birlikte, köprülenmiş her sunucuda aynı anda sona erer. İşe başlayanlar ve görev değiştirenler de aynı kurala tabidir; birinin erişimini değiştirmek, sunucu başına bir talep değil, dizinde bir grup üyeliği değişikliğidir.
İkinci argüman denetlenebilirliktir. Yerel hesaplar ve paylaşılan root oturumları, en temel soruyu — kim, hangi sunucuya, hangi kimlikle, ne zaman girdi — yanıtlayamayan bir denetim izi bırakır. Köprülenmiş sunucular oturumları gerçek AD kimlikleri altında kaydeder; böylece yanıt hem vardır hem de kuruluşun geri kalan erişim kayıtlarıyla örtüşür. Dizin zaten var olduğu için bridging, en kötü yapısal sonucu da önler: Linux için ayrıca beslenmesi, mutabakatı yapılması ve denetlenmesi gereken ikinci bir paralel kimlik silosu. AD bridging, birden çok üreticinin sunduğu genel bir sektör terimidir; ama çözdüğü sorun her yerde aynıdır.
Nasıl Uygulanır
Uygulama, katılım yoluyla başlar. Modern Linux dağıtımları gerekli parçaları yerleşik olarak taşır: kimlik ve doğrulama için SSSD, etki alanı güveni için Kerberos. Önce ajansız (agentless-first) yaklaşımlar da her sunucuya özel ajan kurmak yerine bu yığının üzerine inşa edilir. Operasyonel olarak önemli olan, köprünün sağlıklı kalmasıdır: SSSD yapılandırma hataları veya kopan bir etki alanı güveni, doğrulamayı sessizce bozar; bu yüzden filo genelinde SSSD sağlığını izlemek sonradan akla gelen bir ek değil, tasarımın parçası olmalıdır.
Öznitelik eşleme erken ilgiyi hak eder: UID ve GID’ler sunucular arasında tutarlı olmalıdır; aksi hâlde kullanıcılar paylaşılan depolamaya dokunduğunda dosya sahipliği belirsizleşir. Erişim politikası en baştan AD gruplarıyla ifade edilmelidir: sunucu grubu başına oturum açma hakları, rol başına sudo yetkileri. Böylece dizin, erişimin verildiği ve gözden geçirildiği tek yer olarak kalır. Monopam’ın AD bridging’i, Linux sunucularını mevcut AD’nize ajansız olarak katar ve oturumları AD kimliğine göre raporlar.