Active Directory Protected Users: Güvenlik mi Uyumluluk Sorunu mu?

Active Directory'nin Protected Users grubu üyelerine uyguladığı korumalar esnek değildir. Bir hesabı gruba eklediğinde, o hesap artık NTLM, Digest ve CredSSP ile varsayılan kimlik bilgisi delegasyonu yapamaz. Ayrıca Kerberos daha yeni şifreleme yöntemleriyle sınırlanır. Kimlik bilgileri cihazlarda önbelleğe alınmaz. Teorik olarak bu, kimlik hırsızlığına karşı güçlü bir savunma. Pratikte ise bir uyumluluk kararıdır.

Sorun şu: Bu kısıtlamalar hesap bazında kapatılamaz. Yönetici bir kez Protected Users'a eklediğinde, o hesabın kısıtlamalarından kurtulmanın yolu yoktur. Eski Kerberos şifrelemesi veya NTLM gerektiren hizmetler (bazı uygulamalar, yazıcı sürücüleri, eski API'ler) aniden çalışmaz hale gelir.

Bu yüzden pilot test kritiktir. Önce hangi hizmetlerin ve uygulamaların Protected Users üyeleriyle uyumlu olmadığını belirle. Üretim ortamında bir hesabı gruba eklemeden önce test ortamında benzer iş yükünü çalıştır. Özellikle yüksek ayrıcalıklı hesaplar (domain admin, service account) için bu süreci atlamak, acil rollback senaryosuna dönüşebilir.

En güvenli yaklaşım: Başta sadece en kritik, az bağımlılığı olan hesapları gruba ekle. Sonra yavaş yavaş genişlet. Bağımlılıkları tam olarak bilmeden toplu ekleme yapma. Bir hizmet kesintisi, güvenlik iyileştirmesinin tüm faydalarını silip sürdürebilir.

Detaylı rehber için dev.to'daki orijinal analizi oku.