Dynamic Access Control (DAC) ile Kullanıcı Bazlı Dosya Erişim Yetkilendirmesi

Dynamic Access Control (DAC), Windows Server ortamlarında dosya erişimini sadece klasör veya dosya izinlerine göre değil, aynı zamanda kullanıcı kimliği, departman bilgisi, cihaz tipi veya güvenlik seviyesi gibi dinamik niteliklere göre belirleyen gelişmiş bir erişim kontrol sistemidir. Bu sistem sayesinde, Active Directory tabanlı ortamlarda daha esnek, merkezi ve güvenli bir dosya erişim modeli oluşturmak mümkündür.

Dynamic Access Control Nedir?

DAC, NTFS tabanlı klasik izin modelini genişletir. Artık erişim kararları sadece ACL (Access Control List) üzerinden değil, kullanıcı ve kaynak öznitelikleri üzerinden verilir. Örneğin “Departmanı Finans olan kullanıcılar, Finans klasöründeki dosyalara erişebilir” gibi kurallar tanımlanabilir.

DAC’in Sağladığı Avantajlar

• Departman, görev, güvenlik seviyesi gibi AD özelliklerine göre erişim kontrolü
• Merkezi politika yönetimi (Central Access Policies)
• Dosya sınıflandırması (File Classification Infrastructure – FCI) entegrasyonu
• Denetim (Auditing) ve erişim raporlaması
• GDPR ve ISO 27001 uyumlu veri erişim güvenliği

DAC Mimarisinin Bileşenleri

1. Kullanıcı Talepleri (User Claims): Active Directory’de kullanıcı hesaplarına ait özellikler (örneğin Department, Country).
2. Kaynak Özellikleri (Resource Properties): Dosyalar veya klasörlere atanan etiketler (örneğin Classification: Confidential).
3. Merkezi Erişim Kuralları (Central Access Rules): Kim hangi özelliğe göre hangi kaynağa erişebilir, tanımlanır.
4. Merkezi Erişim Politikaları (Central Access Policies – CAP): Kuralların gruplandırılmış ve merkezi olarak uygulanabilir versiyonudur.

DAC İçin Gereksinimler

• Windows Server 2012 veya üzeri sürüm
• Active Directory Domain Services (AD DS)
• File Server rolü yüklü bir dosya sunucusu
• Group Policy Management Console (GPMC)

1. Kullanıcı Taleplerini (User Claims) Etkinleştirme

Active Directory üzerinde kullanıcı özniteliklerinin (örneğin “Department”) talep olarak kullanılabilmesi gerekir.

Active Directory Administrative Center (ADAC) → Dynamic Access Control → Claim Types → New → User Claim Type

Örnek: Department alanını seçin → “Value Type: String” → “Suggested Value: Finance, HR, IT” olarak tanımlayın.

2. Kaynak Özelliklerini (Resource Properties) Oluşturma

Dosya veya klasörlere “etiket” gibi atanan kaynak özellikleri DAC’in temelidir.

ADAC → Dynamic Access Control → Resource Properties → New → Resource Property

Örnek: “Confidentiality Level” adında bir özellik oluşturun ve “High, Medium, Low” değerlerini tanımlayın.

3. Dosya Sunucusunda FCI (File Classification Infrastructure) Etkinleştirme

FCI, dosyaları içerik veya konum bazlı sınıflandırmanızı sağlar:

Server Manager → File and Storage Services → File Server Resource Manager (FSRM) → Classification Management

Örneğin, “finans” kelimesi geçen dosyaları otomatik olarak “Confidential” olarak etiketleyebilirsiniz.

4. Merkezi Erişim Kuralları (Central Access Rules) Oluşturma

Erişim kuralı, “hangi kullanıcı hangi kaynak özelliğine göre erişebilir” ifadesini belirler.

ADAC → Dynamic Access Control → Central Access Rules → New

Örnek Kural:
Eğer kullanıcı Department = Finance VE dosya Classification = Confidential ise erişime izin ver.

5. Merkezi Erişim Politikası (Central Access Policy – CAP) Oluşturma

Birden fazla erişim kuralını birleştiren yapıdır:

ADAC → Dynamic Access Control → Central Access Policies → New → Add Central Access Rules

Oluşturulan politikayı Finance CAP olarak adlandırın.

6. CAP Politikasını GPO Üzerinden Uygulama

Politikanın dosya sunucularına uygulanması için Group Policy üzerinden yapılandırma yapılır:

GPMC → Computer Configuration → Policies → Windows Settings → Security Settings → File System → Central Access Policy

Yeni oluşturulan “Finance CAP” politikasını burada seçin ve uygula.

7. Dosya veya Klasörlere Özellik Atama

Artık dosya ve klasörlere kaynak özellikleri atanabilir:

Properties → Classification → Add → Confidentiality Level = High

Böylece DAC politikaları bu etiketlere göre çalışır.

8. Erişim Testi

Finans departmanında olmayan bir kullanıcı dosyaya erişmeye çalıştığında “Access Denied” uyarısı alacaktır. AD üzerindeki “Department” alanı “Finance” olan kullanıcı ise erişim sağlayacaktır.

9. Denetim (Auditing) Etkinleştirme

Erişim girişimlerini ve başarısız denemeleri izlemek için:

GPMC → Advanced Audit Policy Configuration → Object Access → Audit File System

Olay kayıtlarını Event Viewer’da şu konumda görüntüleyebilirsiniz:

Security → Event ID 4663, 4656

Güvenlik ve Uyum Senaryoları

• GDPR, ISO 27001 veya KVKK kapsamında veri erişim kısıtlamaları
• Departman bazlı gizli veri yönetimi
• Kritik belgeler için içerik bazlı erişim kontrolü

Sonuç

Dynamic Access Control (DAC), klasik NTFS izin modeline göre çok daha güçlü, dinamik ve merkezi bir güvenlik yaklaşımı sunar. Kullanıcı ve dosya özelliklerini birleştirerek gerçek zamanlı, politika tabanlı erişim kontrolü sağlar. HostLigo Kurumsal Hosting ve VDS Sunucular üzerinde bu tür Active Directory tabanlı güvenlik çözümlerini kolayca uygulayabilir, veri bütünlüğünü maksimum seviyede koruyabilirsiniz.