Dynamic Access Control (DAC) ile Kullanıcı Bazlı Dosya Erişim Yetkilendirmesi

Dynamic Access Control (DAC), klasik NTFS izinlerinden daha gelişmiş, Active Directory tabanlı etiketleme (claims-based authorization) sistemidir. DAC, kullanıcı ve cihaz özelliklerini değerlendirerek erişim kararlarını dinamik olarak verir. Bu yapı, özellikle kurumsal veri güvenliği, uyumluluk (compliance) ve hassas veri yönetiminde önemli rol oynar.

Dynamic Access Control Nedir?

Geleneksel dosya erişim modeli, dosya/folder bazlı ACL (Access Control List) izinlerine dayanır. DAC ise buna ek olarak:

• Kullanıcı özellikleri (user claims) — departman, görev, güvenlik seviyesi, ülke vb.
• Cihaz özellikleri (device claims) — domain üyeliği, işletim sistemi türü vb.
• Kaynak etiketleri (resource properties) — dosya türü, veri hassasiyeti, proje adı vb.

bilgilerini birleştirir ve Policy Decision Point (PDP) mekanizmasıyla erişim iznini anlık olarak belirler.

DAC Bileşenleri

• Claims: Active Directory özniteliklerinden türetilen kullanıcı veya cihaz nitelikleri.
• Resource Properties: Dosyalar üzerinde etiket olarak atanabilen özellikler (örneğin: “Confidential”, “Finance”).
• Central Access Rule (CAR): Belirli koşullara göre erişim kuralları.
• Central Access Policy (CAP): Birden fazla kuralın birleşimi, GPO üzerinden dosya sunucularına uygulanır.

Ön Koşullar

• Windows Server 2016/2019/2022 (AD DS ve File Server rolü).
• Domain Functional Level en az 2012.
• File Classification Infrastructure (FCI) etkin.
• Kullanıcı/cihaz öznitelikleri AD’de tanımlanmış (örnek: Department, Country).

Adım 1 – Active Directory Üzerinde Claim Tipi Tanımlama

Active Directory Administrative Center (ADAC) → Dynamic Access Control → Claim Types
→ New → User Claim Type → Name: Department → Attribute: department

Benzer şekilde “Country”, “SecurityLevel” gibi claim tipleri oluşturabilirsiniz.

Adım 2 – Resource Property (Kaynak Özelliği) Tanımlama

ADAC → Dynamic Access Control → Resource Properties → New → Name: “DataClassification”
→ Possible Values: “Public”, “Confidential”, “TopSecret”

Daha sonra bu özellikleri “Resource Property Lists” altında “Global Resource Property List” içine ekleyin ve domain’e yayımlayın.

Adım 3 – Dosya veya Klasör Etiketleme

File Server üzerinde hedef klasörün özelliklerini açın:

1. Properties → Classification → Resource Properties → DataClassification: Confidential.
2. PowerShell ile de yapılabilir:

Set-FileClassification -Path "D:\Finance" -Property "DataClassification" -Value "Confidential"

Adım 4 – Central Access Rule (CAR) Oluşturma

ADAC → Dynamic Access Control → Central Access Rules → New
Name: “Finance Confidential Rule”
Target Resource: DataClassification = Confidential
Condition: User.Department = “Finance”
Access: Allow Read/Write

Bu kural, yalnızca “Finance” departmanındaki kullanıcıların “Confidential” etiketli kaynaklara erişmesine izin verir.

Adım 5 – Central Access Policy (CAP) Oluşturma

Birden fazla kuralı birleştirin:

ADAC → Dynamic Access Control → Central Access Policies → New
Name: “FinancePolicy”
Rules: Finance Confidential Rule

Adım 6 – GPO Üzerinden Dosya Sunucularına Uygulama

Group Policy Management → GPO → Computer Configuration
→ Windows Settings → Security Settings → File System → Central Access Policy → FinancePolicy

Politika etkin olduğunda dosya sunucusundaki etiketli kaynaklara DAC kuralları uygulanacaktır.

Adım 7 – Erişim Testi

• Finance departmanı kullanıcısı → erişim başarılı.
• Diğer departman → erişim reddedilir (Event ID 4663 – Access Denied).
• Event Viewer: Security → Audit Failure → Dynamic Access Control Decision

Ek Özellik: Device Claims

DAC sadece kullanıcı değil cihaz özniteliklerini de kullanabilir. Örneğin:

Condition: User.Department = "Finance" AND Device.OperatingSystem = "Windows 11"

Bu sayede sadece kurumsal cihazlardan erişim sağlanır.

Raporlama ve Audit

• Advanced Audit Policy: “Object Access → Central Policy Staging” etkinleştirin.
• Event ID 4818: Politika eşleşmesi ama izin verilmedi (staging mode testleri).
• Event ID 4656: Erişim talebi detaylarını gösterir.

PowerShell Komutları

# DAC destekli file server kontrolü
Get-WindowsFeature FS-Resource-Manager

# Aktif policy’leri listeleme
Get-CentralAccessPolicy

# Dosya üzerindeki Resource Property’leri görüntüleme
Get-FileClassification -Path "D:\Finance"

En İyi Uygulamalar

• DAC’ı klasik NTFS izinleriyle birlikte kullanın; birini devre dışı bırakmayın.
• Central Policy değişikliklerini önce “Staging Mode”da test edin.
• Veri etiketlemeyi FSRM + Classification Rules ile otomatikleştirin.
• DAC kararlarını SIEM (ör. Microsoft Sentinel) ile entegre edin.
• Policy versiyonlamasını PowerShell veya Intune Configuration Profile üzerinden yönetin.

Sonuç

Dynamic Access Control, kullanıcı ve cihaz bazlı güvenlik ilkeleriyle dosya erişimini dinamik hale getirir. DAC, hassas verilerin yalnızca uygun kimlik ve cihazlarla erişilebilir olmasını sağlar. HostLigo altyapısındaki Windows VDS çözümleriyle bu yapıyı güvenli, izlenebilir ve merkezi olarak yönetebilirsiniz.