Kavram sözlüğü.

Domain kimliği ve nesnelerini tutan dizin hizmeti.

AD DS dizinini ve ilgili domain hizmetlerini barındıran sunucu.

Ortak schema/configuration ve ilişkili domainleri kapsayan AD yapısı.

Hesap ve nesneleri belirli bir yönetim alanında düzenleyen yapı.

Delegasyon ve politika organizasyonunda kullanılan organizational unit.

Dizinde nesne barındıran yapı; her container OU değildir.

Windows yerel güvenlik otoritesi işlevleri.

Kimlik doğrulama paketleri gibi güvenlik bileşenlerini çalıştıran sistem süreci.

Yerel hesap verileriyle ilişkili güvenlik veritabanı.

Active Directory dizin hizmeti ve verileriyle ilgili bileşenler.

Süreç veya thread’in güvenlik bağlamını temsil eden Windows nesnesi.

Kimlik doğrulamayla ilişkili oturum bağlamı; token ile aynı nesne değildir.

Windows üzerinde uygulama verilerini kimlik ve sistem bağlamıyla koruma altyapısı.

Bir nesnenin dizindeki tam adı.

Kullanıcının e-posta biçimine benzeyen oturum adı.

Eski Windows hesap adlandırmasıyla uyumlulukta kullanılan hesap adı.

Windows’un bir kullanıcıyı, grubu veya bilgisayar hesabını tanıdığı kimlik numarasıdır (security identifier). Örneğin WS01\tunahan ile IYELABS\tunahan aynı adı taşısa da ayrı SID’lere sahiptir. Bu tanınan kimliklere security principal denir.

Domain SID’sine eklenen göreli kimlik bileşeni.

Dizin nesnesinin GUID tanımlayıcısı.

Forest genelinde arama için kısmi öznitelik kopyaları da sağlayan rol.

Dizin erişim protokolü; tek başına bir güvenlik garantisi değildir.

Baştan TLS üzerinden kurulan LDAP bağlantısı.

Kimlik doğrulama bağlamını alttaki güvenli kanala bağlama yaklaşımı.

Uygun domain controller’ı bulmaya yardımcı keşif/seçim mekanizması.

Bir hizmetin endpoint bilgisini duyuran DNS kayıt türü.

Üye bilgisayar ile domain arasındaki Netlogon güven ilişkisi.

Uygun yerel bilgiyle DC erişimi olmadan etkileşimli oturum açma.

Accounts → Global groups → Domain Local groups → Permissions modeli.

Bir nesnenin erişim allow/deny girdilerini taşıyan ACL.

İlgili denetim ve güvenlik bilgilerini taşıyan ACL.

ACL içindeki tek erişim veya denetim girdisi.

Nesnenin sahibi; veriye erişimle tanımlayıcı yönetimi ayrılmalıdır.

Korunan nesnelerin izin şablonuyla ilişkili AD nesnesi.

Kerberos bilet hizmetlerini sağlayan güven merkezi.

Domainin TGT korumasında kullanılan anahtarlarla ilişkili hesap.

KDC’den sonraki hizmet biletlerini istemede kullanılan ticket-granting ticket.

Belirli hedef hizmete yönelik Kerberos bileti.

İlgili oturum anahtarının kullanımına ilişkin taze kanıt içeren yapı.

Hizmet instance’ını bir hesap kimliğiyle ilişkilendiren service principal name.

Windows Kerberos bağlamında yetkilendirme verileri taşıyan yapı.

Temsil yetkisinin hedef kaynak tarafında tanımlandığı delegasyon yaklaşımı.

Challenge-response tabanlı Windows doğrulama protokol ailesi.

Uygun doğrulama mekanizmasının seçilmesine yardımcı paket.

Uygun uygulamalarda ek kimlik doğrulama bağlama kontrolleri.

Farklı kullanıcı/global security group kapsamlarına parola politikası tanımlama.

Uygun çoklu host hizmetlerinde otomatik sır yönetimi sunan hesap modeli.

Yerel yönetici parolalarının yönetimi ve yedeklenmesi.

GPO’nun AD dizin nesnesi ve SYSVOL dosya tarafı.

Group Policy dosyaları gibi domain ortak verilerini sağlayan paylaşım.

Kullanıcı politikalarını bilgisayar konumuyla ilişkilendiren işleme yaklaşımı.

Salt okunur domain controller; parola cache kapsamı ayrıca kontrol edilir.

Belirli domain/forest işlemlerini koordine eden özel roller.

Bir otoritenin diğerinin kimliklerini kabul etmesiyle ilgili güven ilişkisi.

Kimlik yaşam döngüsü/migration bağlamında eski SID bilgileri.

Trust üzerinden belirli hedefte doğrulama için ek erişim sınırı.

Sertifika imzalayan certificate authority.

Sertifikanın kullanım amaçlarıyla ilgili extended key usage alanı.

Kerberos başlangıcında açık anahtarlı kimlik doğrulama uzantısı.

AD sertifika doğrulama kabul zincirindeki ilgili güven yayını.

Bulut parola doğrulama verisi eşitleme ve on-prem pass-through yaklaşımları.

Hassas yönetim için kontrollü, sertleştirilmiş iş istasyonu yaklaşımı.

Geniş kapsamlı AD güven/hizmet kaybı için koordineli kurtarma yaklaşımı.

domain dizinine katılmadan yönetilen bilgisayarlar; yerel hesaplar ilgili cihazın SAM deposunda tutulur.

kullanıcı, grup ve bilgisayar nesnelerinin domain kapsamındaki ortak deposu.

AD DS’yi çalıştırır; domain dizini ve doğrulama işlevlerini sunar. Birden fazla DC arasında replication vardır.

üyelik üzerinden kaynak izinlerini yönetmek için kullanılan security principal. Kaynağın ACL’si ayrıca yapılandırılır.

kapsam ve client işleme koşullarına bağlı merkezi policy yönetimi; domain’e katılım tek başına bütün ayarların uygulandığını kanıtlamaz.

LSA, Kerberos SSP ve SSPI; principal adına bağlam edinir, service ticket ister ve hedef servise sunar.

AD DS verisini barındırır ve çoğaltır; Windows KDC domain hesabı veritabanı olarak AD DS’yi kullanır.

servisi ve securable resource’u barındırır; ticket’ı servis bağlamında kabul eder, logon session/token oluşturur ve kaynak ACL’sini değerlendirir.

DC Security kanalında 4769; oturumun oluşturulduğu hedef üye sunucu Security kanalında 4624.

iki olayda sıfır olmayan LogonGuid; dolu olması veya birebir eşleşme evrensel değildir.

distinguished name (DN), relative distinguished name (RDN) ve domain naming context.

organizationalUnit; schemaIDGUID bf967aa5-0de6-11d0-a285-00aa003049e2.

nTSecurityDescriptor içindeki owner, DACL, SACL ve ACE’ler.

trustee SID, rights mask, inheritance flags ve object-specific ACE’de isteğe bağlı object/inherited-object GUID.

OU veya üst container ACL’sine yazılan, alt nesnelere inheritance kurallarıyla taşınabilen ayrıntılı haklar.

\\server\share\path hedef sunucu, paylaşım ve göreli yolu belirtir.

NEGOTIATE bağlantı özelliklerini, SESSION_SETUP kullanıcı güvenlik bağlamını, TREE_CONNECT paylaşım bağlamını, CREATE ise dosya veya dizin açma isteğini taşır.

SESSION_SETUP sırasında Kerberos veya uygun başka bir Windows kimlik doğrulama paketini SMB'ye sunar; Kerberos tek olasılık değildir.

hedef nesne ve istenen erişim maskesi dosya sunucusundaki kaynak kararına girer.

paylaşım üzerinde denetlenen isteğin subject, share, göreli hedef ve erişim alanlarını kaynak hostta kaydeder.

güvenlik otoritesi ilgili bilgisayardır; yerel SID ve atamalar o hostta anlam kazanır.

güvenlik otoritesi AD domain’idir; kaynak ACL’leri ortak domain SID önekini değil, RID bileşenini de içeren tam hesap SID’sini kullanır.

yapılandırılmış hesabı logon eder, bir access token üretir ve bunu servis sürecine bağlar.

yerel bilgisayarda geniş ayrıcalıklı önceden tanımlı kimlik; ağda bilgisayar hesabının credential'larını sunar.

yerelde düşük ayrıcalıklı önceden tanımlı kimlik; ağda bilgisayar hesabının credential'larını sunar.

yerelde düşük ayrıcalıklı önceden tanımlı kimlik; ağda anonim credential sunar.

servis hostunda SCM tarafından başlatılan service logon session'ını gösterir.

yerel güvenlik politikası, logon ve authentication package mimarisini sağlayan güvenlik otoritesi/subsystem işlevleri.

LSA işlevlerini ve authentication/security package bileşenlerini barındıran kritik sistem süreci sınırı.

her Windows sistemindeki yerel kullanıcı ve grup hesaplarının deposu.

domain nesnelerinin dizin hizmeti ve domain controller üzerindeki kalıcı dizin deposu; Ntds.dit üye workstation deposu değildir.

uygulamaların güvenlik paketleriyle çalıştığı sınır; uygulama normal akışta SAM veya Ntds.dit dosyasını doğrudan okumaz.

trusted logon process'in LSA ile kaydını Security kanalında bildirir.

TOKEN_STATISTICS yapısındaki AuthenticationId, TokenId ve TokenType alanlarını döndürür.

process'in primary token'ına erişim ister.

impersonating thread'in token'ına erişim ister.

belirli securable object üzerindeki istenen işlem; DACL ACE'leriyle değerlendirilir.

cihaz politikasındaki logon rights ve privilege atamaları.

yerel sistem görevi veya kaynağı için özel yetenek; token'da bulunması ve gereken durumda enabled olması gerekir.

Admin Approval Mode altında uygun hesap ve policy koşullarında standart ve administrator token ayrımı ile elevation akışı.

token integrity seviyesi ile nesnenin mandatory label'ını DACL'den önce değerlendirir.

kullanıcının bildiği sır; protokole göre verifier veya anahtar türetim girdisi olabilir.

belirli algoritmayla türetilmiş değer; plaintext parolanın bilindiğini tek başına kanıtlamaz.

belirli algoritma ve amaç için secret/public key material; kimlik veya policy kabulünü tek başına kanıtlamaz.

açık realm ve sname ile hedef anahtarla korunan enc-part taşır; ticket tek başına istemcinin session key'e sahip olduğunu kanıtlamaz.

subject/public-key bilgisi, issuer imzası, validity ve extensions taşır; ilgili private key'in elde olduğunu göstermez.

uygulama verisini kullanıcı/makine bağlamına bağlı DPAPI blob olarak korur veya açar.

bir nesne türünün tanımı; objectClassCategory, subClassOf, mustContain/mayContain gibi alanları taşır.

tek bir attribute'un tanımı; lDAPDisplayName, attributeSyntax/oMSyntax, isSingleValued ve schemaIDGUID alanlarını taşır.

bir instance'ın multi-valued attribute'u; structural/abstract superclass zincirini ve varsa dynamic auxiliary class'ları listeler.

instance'ın tek değerli attribute'u; sınıfın veya bir superclass'ının distinguished name'ini tutar ve aramada kullanılır.

sınıfın zorunlu ve isteğe bağlı attribute kümesi.

bir attribute'un değerinin türü (Unicode string, integer, SID, DN vb.) ve karşılaştırma kuralı.

attribute veya sınıfın security descriptor'larda erişim kontrolü için kullanılan sabit kimliği.

nesnenin dizindeki tam konumu; RDN'lerin virgülle bağlanmış dizisidir (RFC 4514).

nesnenin parent içindeki adı. Bu dersteki AD user örneğinde naming attribute cn, RDN ise CN=Büşra’dır. Genel LDAP string syntax’ında bir RDN bir veya daha fazla attribute-value assertion içerebilir.

kullanıcı nesnesinin adlandırma attribute'u; RDN'i buradan oluşur.

prefix@suffix biçimindeki logon adı; forest genelindeki benzersizlik kontrolünün sürüm ve işlem koşulları vardır.

20 karakteri geçmeyen, domain içinde benzersiz down-level logon adı.

alternatif UPN suffix'lerinin tanımlandığı Configuration bölümü girdisi.

security principal'ı tanımlayan binary SID; hesap oluşturulurken atanır, rename/same-domain OU move sırasında sabit kalır, cross-domain move'da yenilenir.

SID yapısının sürümü (pratikte 1).

SID'i veren en üst otorite; NT Authority için 5, World Authority için 1.

subauthority dizisinin RID'e kadarki bölümü; bir domain'i forest içinde ayırır (ör. 21-...).

dizideki son subauthority; hesabı domain içinde ayırır ve asla yeniden kullanılmaz.

her nesneye oluşumda atanan, dünya çapında benzersiz 128-bit kimlik; rename/move'da değişmez.

nesne başka domain'e taşındığında eski objectSid'lerin eklendiği multi-valued attribute.

bir domain'in kullanıcı, bilgisayar ve grup nesnelerini tutan bölüm; yalnız o domain'in DC'leri arasında tam olarak replike olur.

site, subnet, servis ve replikasyon topolojisi nesnelerini tutar; tüm forest'ta ortaktır.

attributeSchema ve classSchema tanımlarını tutar; forest genelinde tek ve ortaktır.

DNS gibi uygulama verileri için seçili DC'lere replike olabilen ayrı bölüm; AD DS'te security principal nesneleri barındıramaz ve GC'ye otomatik replike edilmez.

NC'lerin listesini (namingContexts) ve şema girişini (subschemaSubentry) yayınlayan, hiçbir NC'ye ait olmayan sunucuya özel giriş.

aramanın başlayacağı DN; aramanın kökü buradan belirlenir (RFC 4511 §4.5.1.1).

baseObject(0) yalnız o giriş, singleLevel(1) doğrudan alt nesneler, wholeSubtree(2) tüm alt ağaç (RFC 4511 §4.5.1.2).

nesnelerin eşleşme koşulu; equalityMatch, present, substrings, and/or/not gibi CHOICE alternatifleri (RFC 4511 §4.5.1.7).

eşleşen entry'den istenen alanlar. Boş liste veya '*' tüm user attribute'larını ister; operational attribute'lar ayrıca ismen istenir. Yalnız '1.1' hiçbir attribute istemez; entry'nin DN'i yine dönebilir.

TRUE ise yalnız attribute adları, değerler olmadan döner (RFC 4511 §4.5.1.6).

istemcinin istediği üst sınırlar; sunucu kendi üst sınırını ayrıca dayatabilir (RFC 4511 §4.5.1.4–5).

büyük sonuç kümelerini parça parça almak için kullanılan control; tek istekte dönen nesne sayısını sunucu sınırlar.

BindRequest authentication=simple [0] OCTET STRING credential’ı (çoğunlukla parola) taşır; TLS simple bind’de CBT yoktur (RFC 4511 §4.2; KB4563239).

authentication=sasl [3] SaslCredentials mechanism ve credentials alanlarını taşır; ör. Negotiate, Kerberos, NTLM veya Digest (RFC 4511 §4.2).

636 portunda bağlantı kurarken TLS başlar; 389’da StartTLS ile de bağlantı korunabilir. Doğru doğrulanan TLS, taşıma gizliliği ve bütünlüğü sağlar.

LDAPServerIntegrity=2, ilgili korumasız oturumlarda signing’i zorunlu kılar. TLS signing/integrity sağlar ve bu gereksinimi karşılar; TLS olmayan SASL oturumunda istemci signing veya sealing istemelidir.

Mekanizmaya ve anlaşılan korumaya bağlı olarak TLS olmayan oturumlarda LDAP mesaj bütünlüğü ve gizliliği sağlayabilir.

TLS üzerindeki SASL authentication’da auth bağlamını TLS oturumuna kriptografik olarak bağlar; TLS simple bind için geçerli değildir (KB4563239).

NTDS\Parameters altındaki LDAPServerIntegrity (None=1, Require Signing=2) ve LdapEnforceChannelBinding (Never=0, When Supported=1, Always=2) (KB4520412).

Bir değişiklik isteği göndermek, sonucu bilmekle aynı şey değildir. LDAP operation sınırını, tek Modify’nin atomikliğini ve yanıt kaybolduğunda kalan belirsizliği birlikte incele.

istemcideki uygulamanın DC istemek için çağırdığı Win32 Locator API'si; istek yerel Netlogon service'e RPC ile gider.

DsGetDcName'i uygular, DNS sorgusunu yapar, LDAP UDP ping gönderir ve bulunan DC'yi cache'ler.

_<service>._<protocol>.<DnsDomainName> biçiminde DC yeteneklerini (LDAP, Kerberos, PDC, Global Catalog) ilan eder.

_<service>._<protocol>.<SiteName>._sites... biçimiyle istemcinin kendi site'ındaki DC'leri ayırır.

aday DC'lere gönderilen datagram; DC'nin canlı ve uygun olduğunu doğrular, ilk yanıt veren tercih edilir.

keşfedilen DC'yi saklayarak sonraki isteklerde tutarlı DC kullanımını sağlar; DS_FORCE_REDISCOVERY bunu atlar.

site eşleşmeyen istemcilerin NO_CLIENT_SITE kayıtlarını tutan tanılama günlüğü.

computer): domain'e katılan makineyi temsil eden dizin nesnesi; sAMAccountName sonu '$' ile biter (ör. WS-034$).

quota-managed “Add workstations to domain” user-right yolu için domain düzeyinde varsayılan izin sayısı; varsayılan değer 10.

join sırasında belirlenen, istemcide LSA secret olarak tutulan ve varsayılan ~30 günde bir yenilenen kimlik materyali.

istemci Netlogon service ile bir DC arasında, makine hesabı kimliğine dayanan güvenli iletişim kanalı.

computer account türünü belirten AD attribute biti. Event 4741’deki NewUacValue ise ayrı SAM User Account code alanıdır; örnekte 0x80 workstation trust hesabını gösterir.

makine hesaplarının varsayılan birincil grubu Domain Computers'ı gösterir.

“Add workstations to domain” kullanıcı hakkı; yeni computer account için quota-managed yetki yoludur, quota’dan bağımsız ikinci bir kapı değildir.

hedef OU/container üzerindeki explicit ACL izni; yeni account yaratmak için quota-managed kullanıcı hakkına alternatif bir yoldur. Var olan account’u reuse etmek ayrı izin koşullarına tabidir.

domain üyesinin saatini hiyerarşiye göre hizalayan servis; üyeler varsayılan olarak time client rolündedir.

domain üyesinin, kimlik doğrulayan bir DC'den saat aldığı varsayılan senkron modu.

zaman hiyerarşisinin tepesindeki, varsayılan yetkili saat kaynağı; alt domainlerin PDC'leri ondan senkronlanır.

referans saate hiyerarşik uzaklık göstergesi. Düşük değer genellikle daha yakın bir kaynağı gösterir; gerçek offset veya doğruluk ölçümü değildir. Source, sync durumu ve ölçülen farkla birlikte yorumlanır.

istemci ile DC arasında Kerberos'un tolere ettiği en büyük saat farkı; varsayılan 5 dakika.

istemcinin parolasından türetilen anahtarla şifreleyip gönderdiği zaman damgalı preauth verisi.

istenen zaman ile KDC zamanı farkı izin verilen skew'i aştığında dönen Kerberos hatası; 4771'de Status alanında görünür.

bir portun reachable olması yalnız dinleyen bir servis olduğunu gösterir; kimlik veya yetki içermez.

NEGOTIATE → SESSION_SETUP (kimlik doğrulama) → TREE_CONNECT (IPC$ veya bir share) → CREATE (named pipe ya da dosya) sırası.

IPC$ paylaşımı üzerinden \PIPE\<ad>; RPC bind ve kimlik doğrulama SMB oturumundan sonra gelir.

Endpoint Mapper (TCP 135) dinamik endpoint'i çözer; dinamik port aralığı modern Windows'ta 49152–65535.

UUID 12345678-1234-ABCD-EF00-01234567CFFB, RPC sürüm 1.0; \PIPE\NETLOGON named pipe'ı veya ncacn_ip_tcp üzerinden, makine hesabı secure channel bağlamında.

hedefteki Security kanalında LogonType 3 taşıyan 4624 network logon; bu, uygulama katmanında başarılı kimlik doğrulamayı gösterir, port reachability tek başına üretmez.

yerel, şifreli ve one-way; yalnız offline logon doğrulaması içindir, parolayı geri vermez.

cache sınırı 0–50 entry'dir; 0 caching'i kapatır. Varsayılan Windows Server 2008'de 25, diğer sürümlerde 10'dur; credential türü kullanıcı başına tüketilen entry sayısını etkiler. Parola kullanıcıları örneğinde sınır dolduğunda yeni kullanıcı en eski cache kaydını ezer.

başarılı logon sonrası oluşan SID kümesi; offline logon da token üretir, ancak bu token DC doğrulamasını temsil etmez.

mevcut TGT ve service ticket'lar; DC yokken yeni ticket alınamaz, fakat lifetime içindeki mevcut ticket'lar kullanılabilir.

hedefteki Security kanalında LogonType 11 (CachedInteractive) taşıyan 4624; "DC contacted edilmedi" anlamına gelir. Yeni kaynak erişimi ayrı kanıt üretir.

security group DACL'lerde principal olarak görünür ve izin taşır; distribution group security-enabled değildir ve DACL'e konamaz (yalnız e-posta dağıtımı içindir).

kendi domain’indeki hesapları ve global grupları üye alır. Kendi domain’indeki global gruplara, aynı forest’taki universal gruplara ve uygun trust bağlamındaki Domain Local gruplara üye olabilir. Üyelik kapsamı ile izin verilebilecek kaynakların kapsamı aynı değildir.

kendi domain’indeki diğer Domain Local grupları; kendi veya uygun trust bağlamındaki domain’lerden hesapları, global ve universal grupları üye alabilir. Kaynak izinleri kendi domain’iyle sınırlıdır. Universal grubun kendi üyelik kapsamı yine kendi forest’ıdır; bu, onun trusted domain’deki Domain Local gruba üye olabilmesiyle farklı bir kuraldır.

üyeleri forest içindeki herhangi bir domain'den hesap, global ve diğer universal gruplardır; üyeliği Global Catalog'ta tutulur.

Account → Global group → Domain Local group → Permission. Hesaplar global gruplarda toplanır, global gruplar izin taşıyan domain local gruplara nested edilir, izin yalnız domain local gruba verilir.

token, user SID’ini ve logon bağlamında çözülen doğrudan/dolaylı grup SID’lerini içerir. Bir grup SID’inin token’da bulunması ile access check’e hangi attributes ile katılması da ayrı konudur; bu örnekte ilgili gruplar security-enabled ve etkindir.

Domain Users = domain SID + RID 513; Built-in Users = S-1-5-32-545. Standart domain user logon’larında sık görülürler, her token için garanti değildir. primaryGroupId, token’ın oluşturulduğu host, yerel grup üyelikleri ve logon bağlamı ayrıca incelenir.

bir principal'ın iddia ettiği kimliği kanıtlaması (interactive logon, Kerberos ticket, credential doğrulaması); sonucu bir logon session ve access token'dır.

authentication'ın çıktısı ve authorization'ın girdisi; kullanıcı SID'i ve grup SID'lerini taşır.

sistemin token'daki SID'leri hedef nesnenin DACL'indeki ACE'lerle, istenen access mask için karşılaştırıp erişimi verme/reddetme kararı.

erişim isteğinin hangi hakları (ör. FILE_READ_DATA, FILE_WRITE_DATA) talep ettiğini belirten bit kümesi; access check bu maskeye göre yürütülür.

her nesnenin kendi security descriptor'ı vardır; aynı token bir nesnede yetkiliyken başka nesnede yetkisiz olabilir.

kimlik kanıtı taşır; bir ticket'a sahip olmak kaynak yetkilendirmesini içermez, yalnız authentication tarafını karşılar.

bir securable object'in güvenlik bilgisini taşıyan yapı; owner SID, primary group SID, DACL, SACL ve control bit'lerden oluşur.

nesnenin sahibi; SDDL'de O: ile gösterilir. Primary group SID: SDDL'de G: ile gösterilir (POSIX uyumluluğu için taşınır, Windows erişiminde tali roldedir).

): hangi trustee'lere hangi hakların allow/deny edildiğini belirleyen ACE listesi; erişim kararını üretir.

): hangi erişim denemelerinin audit kaydı ürettiğini belirleyen ACE listesi; erişim vermez, audit üretir.

type (ör. A=access-allowed, D=access-denied, AU=system-audit), flags (inheritance vb.), rights (access mask), object/inherit GUID ve trustee SID.

READ_CONTROL (descriptor'ı okuma, SACL hariç), WRITE_DAC (DACL'i değiştirme), WRITE_OWNER (owner'ı değiştirme); bunlar nesnenin izin yapısını yönetir.

SDDL'de DACL/SACL üzerindeki P (protected), AI (auto-inherited), AR (auto-inherit-required) bayrakları; descriptor'ın inheritance davranışını niteler.

erişim isteğinin talep ettiği haklar kümesi (ör. FILE_READ_DATA + FILE_WRITE_DATA); access check bu maskeye göre yürütülür.

istenen haklardan henüz allow ACE'siyle karşılanmamış olanlar; değerlendirme ilerledikçe azalır, sıfıra inince erişim verilir.

DACL'deki ACE'ler göründükleri sırada incelenir; karar ilk belirleyici eşleşmede (yeterli allow toplandı ya da istenen bir hakka deny geldi) kesinleşir.

tercih edilen sıra — explicit ACE'ler inherited'lardan önce; her grupta access-denied ACE'ler access-allowed'lardan önce.

bir ACE explicit (nesnede doğrudan tanımlı) veya inherited (üst nesneden gelen, ID bayraklı) olabilir; canonical sırada inherited ACE'ler explicit'lerden sonra gelir.

DACL'in hiç bulunmaması (SDDL: NO_ACCESS_CONTROL); herkese full access anlamına gelir.

DACL vardır ama sıfır ACE içerir (SDDL: D:); allow ACE’leri üzerinden istenen hakları vermez. AD DS’te current owner için READ_CONTROL ve WRITE_DAC gibi haklar ayrıca örtük olabilir; SE_TAKE_OWNERSHIP_PRIVILEGE WRITE_OWNER doğurabilir.

control access right bir access-mask bitiyle değil bir GUID ile tanımlanır; ACE, ACCESS_MASK içinde RIGHT_DS_CONTROL_ACCESS (CR) bitini ve ObjectType alanında ilgili GUID'i taşır. ObjectType boşsa ACE tüm control access right'ları kapsar.

alanlar ace_type;ace_flags;rights;object_guid;inherit_object_guid;account_sid (Microsoft ACE strings).

Reset Password), rightsGuid 00299570-246d-11d0-a768-00aa006e0529 (AD Schema).

5136 (dizin nesnesi değiştirildi, uygun SACL gerektirir), 4662 (nesnede işlem yapıldı); Subcategory Audit Directory Service Changes ve Audit Directory Service Access; yalnız domain controller üzerinde.

CN=AdminSDHolder,CN=System,DC=<dc>,DC=<dc>; sahibi domain'in Domain Admins grubudur; Enterprise Admins ile Administrators da değişiklik yapabilir/sahiplenebilir (Appendix C).

PDCE üzerinde varsayılan 60 dakikada bir çalışır; AdminSDHolder DACL'i ile korumalı nesnelerin DACL'ini karşılaştırır, farklıysa korumalı nesneyi AdminSDHolder'a göre geri yazar; inheritance'ı devre dışı bırakır.

HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Parameters altında DWORD; aralık 60–7200 saniye; silinirse 60 dakikaya döner; üretimde düşürülmesi PDCE'de LSASS yükünü artırır.

rootDSE üzerinde RunProtectAdminGroupsTask = 1 LDAP modify (Ldp.exe ile) SDProp'u hemen tetikler, zamanlanmış çalışmayı etkilemez.

SDProp korumaya aldığı nesnelerde 1 olarak ayarlanır; bir nesnenin korunmuş OLDUĞUNU işaretler, üyelikten çıkınca otomatik 0'a dönmez.

AdminSDHolder DACL'i veya adminCount değişimi için 5136 (uygun SACL ile), Audit Directory Service Changes; yalnız domain controller.

SID S-1-5-32-544; üye hostta yerel SAM grubu, DC’de AD’nin CN=Builtin container’ında yer alan directory group’tur. DC’ye yükseltilmiş sistemde üyeleri DC’lere tam erişim ve domain üzerinde unrestricted administrative access elde eder.

SID S-1-5-21-<domain>-512; global group; oluşturulduğu domain’e özeldir, o domain’in Builtin Administrators grubuna ve domain’e katılan makinelerin yerel Administrators grubuna varsayılan olarak eklenir.

SID S-1-5-21-<forest-root>-519; yalnız forest kök domain'inde bulunur; forest'taki her domain'in Administrators grubuna eklenir; kapsamı forest genelidir.

local group için 4732 (üye eklendi) / 4733 (üye çıkarıldı); global group için 4728/4729; universal group için 4756/4757.

Domain Local, Global ve Universal; bir SID'in RID'i ve grup scope'u, üyeliğin hangi domain/forest sınırında geçerli olduğunu belirler.

olağan parola tabanlı AS yolunda kendi long-term key'ini reply key olarak kullanır. Başka pre-authentication mekanizmaları farklı bir reply key seçebilir. Client, krbtgt anahtarını bilmez ve TGT'nin şifreli içeriğini açmaz.

domain'in bir servisidir; iki bileşeni vardır, Authentication Service (AS) TGT verir, Ticket-Granting Service (TGS) service ticket verir. Tek bir process olarak domain controller üzerinde LSA içinde çalışır ve durdurulamaz.

KDC'nin hesabıdır; domain oluşturulurken otomatik yaratılır, silinemez ve adı değiştirilemez; rastgele bir parolası vardır ve bu paroladan TGT'leri mühürleyen anahtar türetilir. krbtgt anahtarı domain-geneli güvenin köküdür.

SPN, service instance'ını oturum açtığı hesaba bağlar. KDC service ticket'ın enc-part'ını bu hesabın anahtarıyla korur. Aynı hesap birden fazla SPN veya service instance'ı için kullanılabilir; her instance'a ayrı bir anahtar düşmesi zorunlu değildir.

iki realm arasında güven kurulduğunda ortak bir trust account ve ondan türeyen bir inter-realm key oluşur; realm'ler arası referral bilet bu anahtarla mühürlenir.

AS-REP ::= [APPLICATION 11] KDC-REP, TGS-REP ::= [APPLICATION 13] KDC-REP.

Ticket ::= [APPLICATION 1] SEQUENCE { tkt-vno, realm, sname, enc-part }.

EncryptedData ::= SEQUENCE { etype [0], kvno [1] OPTIONAL, cipher [2] }.

2 (ticket enc-part, servis anahtarı), 3 (AS-REP enc-part, istemci anahtarı), 8/9 (TGS-REP enc-part, TGS oturum anahtarı veya authenticator subkey).

AP-REQ ::= [APPLICATION 14] SEQUENCE { pvno, msg-type, ap-options, ticket, authenticator }.

4768 (AS), 4769 (TGS), 4771 (pre-auth hatası); yalnız domain controller üzerinde.

PrincipalName ::= SEQUENCE { name-type [0] Int32, name-string [1] SEQUENCE OF KerberosString }.

name-type NT-PRINCIPAL (1) ve NT-SRV-INST (2); sname çoğunlukla NT-SRV-INST tipiyle servis örneğini adlandırır.

ticket enc-part, servis anahtarıyla korunur; bu, sname'in çözüldüğü hesabın anahtarıdır.

KDC_ERR_S_PRINCIPAL_UNKNOWN (7) bilinmeyen SPN, KDC_ERR_PRINCIPAL_NOT_UNIQUE (8) aynı SPN'in birden fazla hesapta bulunması.

<service class>/<host>:<port>/<service name>; ilk iki bileşen zorunlu, port ve service name isteğe bağlıdır (Microsoft, Name Formats for Unique SPNs).

4769 / ServiceName, ServiceSid, TicketEncryptionType alanları; yalnız domain controller üzerinde.

:= SEQUENCE { padata-type [1] Int32, padata-value [2] OCTET STRING }; §5.2.7.2 PA-ENC-TIMESTAMP (padata-type 2), istemcinin anahtarıyla şifrelenmiş PA-ENC-TS-ENC (timestamp).

AS-REP enc-part istemcinin uzun süreli anahtarıyla (reply key) şifrelenir ve içinde session key taşınır; ticket [5] ve enc-part [6] aynı SEQUENCE içinde kardeş alanlardır.

1 (AS-REQ PA-ENC-TIMESTAMP), 3 (AS-REP enc-part, istemci/reply key), 2 (ticket enc-part, servis/krbtgt anahtarı).

KDC_ERR_PREAUTH_REQUIRED (25), KDC_ERR_PREAUTH_FAILED (24), KDC_ERR_ETYPE_NOSUPP (14).

req-body etype listesi istemcinin enctype yeteneklerini bildirir; KDC AS-REP reply encryption için eşleşen bir client long-term/reply key, session key için ise ayrı bir enctype seçer ve bu iki enctype farklı olabilir. §5.2.7.5 PA-ETYPE-INFO2, KDC'nin istemciye long-term/reply key için enctype, salt ve s2kparams bildirdiği padata'dır.

encryption type profilleri; string-to-key ve random-to-key enctype'a özgüdür ve her protokol anahtarı tek bir enctype'a bağlıdır (typed key). RFC 3962: etype 18 AES256-CTS-HMAC-SHA1-96, 17 AES128-CTS-HMAC-SHA1-96; RFC 4757: etype 23 RC4-HMAC.

4771 / PreAuthType (2 = PA-ENC-TIMESTAMP), Status (Failure Code, 0x18 = KDC_ERR_PREAUTH_FAILED); yalnız domain controller üzerinde ve preauth devre dışıysa üretilmez.

AuthorizationData ::= SEQUENCE OF SEQUENCE { ad-type [0] Int32, ad-data [1] OCTET STRING }; §5.2.6.1 AD-IF-RELEVANT (ad-type 1), anlaşılmayan öğeler yok sayılabilir.

PAC, AD-WIN2K-PAC (ad-type 128) olarak kodlanır ve AD-IF-RELEVANT (ad-type 1) içine sarılarak ticket authorization-data'sına yerleştirilir.

UserId, PrimaryGroupId, GroupIds (GROUP_MEMBERSHIP dizisi: RelativeId + Attributes) ve ExtraSids; grup üyeliği burada taşınır.

Server Signature servis anahtarıyla, KDC Signature krbtgt anahtarıyla üretilir; imza doğrulaması PAC bütünlüğünü kontrol eder.

token, kullanıcının SID'i ve grup SID'lerini taşır ve access check bu token ile yapılır.

forwardable / forwarded ticket flag'leri; delege edilen kimlik forwarded bir TGT ile taşınır.

ok-as-delegate ticket flag; KDC, servis hesabı unconstrained delegation'a güvenilir işaretlendiğinde bu flag'i set eder ve istemciye 'bu servise credential delege etmek realm politikasınca uygundur' der.

S4U2self (protocol transition) ve S4U2proxy (constrained delegation) TGS genişletmeleri; ikisi ayrı adımdır.

TRUSTED_FOR_DELEGATION 0x80000 (unconstrained), TRUSTED_TO_AUTH_FOR_DELEGATION 0x1000000 (protocol transition), NOT_DELEGATED 0x100000 (hesap delege edilemez).

klasik constrained delegation'da front-end hesabında duran, izinli hedef SPN listesi.

RBCD'de back-end hesabında duran ve izinli front-end SID'lerini taşıyan security descriptor (String(NT-Sec-Desc), 2.5.5.15).

S4U2proxy ile düzenlenen bilette delegation'ın hangi servis üzerinden yapıldığını gösterir; yalnızca domain controller üzerinde.

Ticket içindeki EncTicketPart ile KDC-REP içindeki EncKDCRepPart ayrı yapılardır; zaman alanları her ikisinde yer alır, ancak farklı anahtarlarla korunur.

endtime mevcut geçerlilik sonudur; renew-till yenilemenin son sınırıdır. Bunlar ayrı alanlardır; renew-till genellikle daha ileridir ama değerlerin mutlaka farklı olması gerekmez.

mevcut bilet sunularak yeni endtime alınır; renew-till sabit kalır.

KRB-ERROR ::= [APPLICATION 30]; error-code [6] Int32 hatanın sayısal kimliğidir, e-text [11] ve e-data [12] ek bilgidir.

KDC_ERR_S_PRINCIPAL_UNKNOWN 7, KDC_ERR_PREAUTH_FAILED 24, KDC_ERR_PREAUTH_REQUIRED 25, KRB_AP_ERR_TKT_EXPIRED 32 (0x20), KRB_AP_ERR_REPEAT 34 (0x22), KRB_AP_ERR_SKEW 37 (0x25), KRB_AP_ERR_MODIFIED 41 (0x29).

KDC işlem kayıtları; bu alanlar yukarıdaki error namespace'in Windows'taki karşılığıdır ve yalnız DC'de üretilir.

kullanıcının parolasından türeyen NT hash'e (NTOWFv2 için anahtar) sahiptir. Type 2 içindeki server challenge'ı alır, kendi client challenge'ını üretir ve NTProofStr'i hesaplayarak Type 3 içinde gönderir. Parolanın kendisi hiçbir mesajda gitmez.

domain hesabının yanıtını kendi yerel hesap verisiyle doğrulayamaz; doğrulama isteğini Netlogon üzerinden DC’ye iletir. Yerel hesap seçilmişse hedef bilgisayar hesabın otoritesidir ve kendi hesap verisini kullanır. SMB veya HTTP gibi üst protokol NTLM mesajlarını taşır.

domain hesabının doğrulama otoritesidir. Writable DC’ler kimlik materyalini replike eder. RODC, Password Replication Policy kapsamında cache edilmiş hesap için yerelde doğrulama yapabilir; materyal cache’te değilse writable DC’ye yönlendirir. Buradaki görsel RODC yönlendirmesini emüle etmez.

sunucu ile DC arasındaki pass-through doğrulama yolu. Sunucu, NTLM kimlik bilgisini MS-APDS'in tanımladığı biçimde Netlogon (MS-NRPC) üzerinden DC'ye taşır; bu kanal sunucunun bilgisayar hesabıyla kurulur.

NTLM credential validation’da kullanılan authentication package. 4776’nın görünmesi ilgili Audit Credential Validation kapsamına bağlıdır; kaydın yokluğu tek başına işlemin yapılmadığını göstermez.

MD4(UTF-16LE(parola)). Tuzlanmamıştır ve yalnız paroladan türer; aynı parola her hesapta aynı NT hash'i verir. Parola değişmedikçe sabittir; domain hesabında DC tarafındaki dizinde, yerel hesapta SAM'de tutulur. Credential-equivalent'tir: ele geçirilirse parolayı bilmeden kimlik kanıtı olarak kullanılabilir (pass-the-hash).

HMAC_MD5(NT hash, UNICODE(Uppercase(User) + UserDom)). NTLMv2'de asıl anahtar budur; NT hash'ten ve kullanıcı+domain adından türer. 'Salt' burada rastgele değil, kullanıcı adı ve domain adıdır.

response'a gömülen yapı; RespType 0x01, zaman damgası (FILETIME), 8 baytlık client challenge ve TargetInfo AV_PAIR'lerini içerir. Response'un neden her seferinde değiştiğini bu değişkenler açıklar.

HMAC_MD5(NTOWFv2, NTProofStr). Oturum anahtarı türetiminin temelidir; kabloda açık gitmez ve response'tan doğrudan okunamaz.

mechTypes, initiator’ın tercih sırasıyla sunduğu OID listesidir. Acceptor sunulan ve kabul ettiği bir mechanism’i seçebilir veya listeyi reddedebilir; her zaman ilk ortak öğeyi seçmek zorunda değildir.

mechListMIC, seçilen mechanism ile korunan bir MIC'tir ve mechTypes listesinin ortadaki bir taraf tarafından değiştirilmediğini (downgrade) tespit etmeye yarar.

uygulama SSPI üzerinden Negotiate paketini seçebilir; paket Kerberos'u, kullanılabildiğinde ve çağıran uygulama hedefi tanımlamak için SPN, UPN veya NetBIOS account name gibi yeterli bilgi sağladığında tercih eder. Seçilen paket 4624 AuthenticationPackageName alanında görünür.

LogonType 3 (Network) ağ oturumudur; LogonProcessName 'NtLmSsp' NTLM SSP tarafından işlenen bir oturumu, AuthenticationPackageName ise fiilen kullanılan paketi (Kerberos / NTLM / Negotiate) ayırt eder.

LmPackageName alanı NTLM oturumlarında kullanılan alt sürümü ('NTLM V1' / 'NTLM V2' / 'LM') gösterir; Kerberos oturumlarında '-' olur. KeyLength anahtar uzunluğunu (ör. 128) taşır; Kerberos oturumlarında 0'dır.

'Network security: Restrict NTLM' politika ailesi giden/gelen NTLM trafiğini Allow / Audit / Deny olarak yönetebilir; Deny, NTLM'e düşmeyi başarısız kılabilir, yani fallback her ortamda garanti değildir.

NTLMSSP_NEGOTIATE_SIGN mesaj bütünlüğünü (imza), NTLMSSP_NEGOTIATE_SEAL mesaj gizliliğini (şifreleme) ister; ikisi ayrı bayraklardır. NTLMSSP_NEGOTIATE_KEY_EXCH ile AUTHENTICATE mesajı bir EncryptedRandomSessionKey taşır; dışa aktarılan oturum anahtarı KeyExchangeKey ile RC4 şifrelenir.

MsvAvChannelBindings (0x000A) alanı, dış güvenli kanalın (ör. TLS) gss_channel_bindings_struct değerinin bir MD5 hash'idir; istemci bunu AUTHENTICATE içindeki hedef bilgisine koyarak iç NTLM kimlik doğrulamasını dış kanala bağlar (EPA'nın channel binding bileşeni).

MsvAvTargetName (0x0009) hedef servisin SPN'ini (service binding) taşır; MsvAvFlags (0x0006) içindeki 0x00000002 biti bir MIC'in mevcut olduğunu belirtir. AUTHENTICATE mesajında bir MIC mevcut ve doğrulanıyorsa, bu MIC NEGOTIATE + CHALLENGE + AUTHENTICATE üçlüsünü oturum anahtarıyla HMAC-MD5 üzerinden korur ve bayrakların (ör. signing'in kaldırılması) sonradan değiştirilmesini engeller; MIC her oturumda mevcut/zorunlu olmayabilir.

NTDS\Parameters altında LDAPServerIntegrity signing zorunluluğunu belirler (1 = zorunlu değil, 2 = signing gerekir); LdapEnforceChannelBinding TLS üzerindeki channel binding zorlamasını belirler (0 = hiçbir zaman, 1 = destekleyen istemcilerde, 2 = her zaman).

3039, LDAP-over-SSL/TLS bir istemcinin LDAP channel binding token doğrulamasında başarısız olduğunu (When Supported veya Always politikası altında; asgari loglama seviyesi 2) raporlar. Politika Never iken 3040 son 24 saatteki korumasız LDAPS bind sayısını, 3041 ise 24 saatlik posture uyarısını (channel binding zorlaması önerilir) raporlar (asgari loglama seviyesi 0).

SMB2 oturumunda SMB2_NEGOTIATE_SIGNING_REQUIRED sunucunun imzalamayı zorunlu kıldığını belirtir; imzalama zorunluysa SMB üzerinden relay edilen bir oturum geçerli imza üretemez. Bu, LDAP dışındaki paralel bir bütünlük katmanıdır.

ACCOUNTDISABLE = 0x0002 değişikliği almış DC’nin bu hesap için yeni çevrimiçi domain authentication isteğini reddetmesini sağlar. Cached desktop logon ve daha önce açılmış oturumlar ayrı yollardır. AD DS'de etkin lockout görünümü, lockoutTime ve hesaplanan msDS-User-Account-Control-Computed niteliğindeki ADS_UF_LOCKOUT (0x0010) üzerinden okunur; bu biti kalıcı userAccountControl değeri sanma.

başarısız parola denemeleri yapılandırılmış Account lockout threshold değerine ulaştığında lockout uygulanır; Account lockout duration ve Reset account lockout counter after davranışı belirler.

domain logon etkinliğini yaklaşık izleyen replicated nitelik; yalnızca değer yapılandırılmış msDS-LogonTimeSyncInterval'dan eskiyse güncellenir. Yaygın varsayılan davranış yaklaşık 9–14 günlük güncelleme eşiği oluşturur; değer tam son etkinliği kanıtlamaz. badPwdCount ve lastLogon ise non-replicated, DC başına tutulur.

silinen nesne isDeleted=TRUE ile Deleted Objects içine alınır. AD Recycle Bin silme öncesinde etkinse silinmiş nitelikler deleted-object lifetime boyunca restore edilebilir; sonraki recycled/tombstone ve kalıcı temizleme aşamaları tombstoneLifetime ile yapılandırmaya bağlıdır. Tek bir evrensel 180 günlük varsayım kullanma.

mevcut parola ve kullanıcının kendi nesnesinde User-Change-Password hakkı birlikte gerekir. 4723 change girişimini kaydeder; domain hesabında yanlış eski parola hatasını her zaman bu event’in Failure sonucu olarak arama.

User-Force-Change-Password (Reset Password) control access right, Rights-GUID 00299570-246d-11d0-a768-00aa006e0529 gerekir; başka hesap için reset girişimi 4724 ile denetlenir, netice ayrıca okunur.

domain başına tek; minimum length, password history, min/max age, complexity ve Account Lockout Policy alt bölümünü içerir (Group Policy ile taşınır).

belirli kullanıcı/global grup için domain politikasını ezer; msDS-PasswordSettingsPrecedence, msDS-PSOAppliesTo, msDS-Lockout* alanlarını taşır.

önce kullanıcıya doğrudan uygulanan PSO’lar değerlendirilir; yoksa uygun grup PSO’ları ele alınır. Seçilen kümede sayısal msDS-PasswordSettingsPrecedence değeri en düşük olan (önceliği en yüksek) PSO kazanır. Eşitlikte objectGUID tie-break uygulanır; PSO’lar birleştirilmez.

objectClass=computer; sAMAccountName '<host>$' ile biter; her domain üyesinin bir hesabı ve parolası vardır.

WORKSTATION_TRUST_ACCOUNT 0x1000 (workstation/member server), SERVER_TRUST_ACCOUNT 0x2000 (domain controller) — hesabın türünü ayırır.

üyenin sakladığı yerel sır ile AD'deki hesabın parolası aynı olmalıdır; Netlogon secure channel bu eşleşmeye dayanır.

MS-NRPC RPC arabirimi (\PIPE\NETLOGON named pipe, ncacn_ip_tcp dinamik endpoint, Netlogon SSP) üzerinden üye ile DC arasında kurulur.

varsayılan 30 gün, izin verilen aralık 1-999; değişimi üye başlatır, DC zorlamaz.

kimliği doğrulanmış bir kullanıcının oluşturabileceği hesap sayısı, varsayılan 10.

bilet/authenticator doğrulamasının saat koşuludur; varsayılan tolerans 5 dakikadır. Netlogon secure channel credential doğrulamasıyla aynı kontrol değildir.

4741 (hesap oluşturuldu) ve 4742 (hesap değişti) yalnız DC'lerde, Audit Computer Account Management alt kategorisinde üretilir.

sıradan bir domain kullanıcı hesabı; parolasını yönetici bilir ve elle döndürür; SPN'i yönetici yönetir.

Windows Server 2008 R2 ile geldi; otomatik parola yönetimi ve basitleştirilmiş SPN yönetimi sağlar, ama tek bir host'a bağlıdır.

Windows Server 2012 ile geldi; aynı kimliği bir server farm'daki birden çok host paylaşır; parolayı DC hesaplar.

gMSA nesnesinde constructed (hesaplanan) bir attribute; statik saklanmaz, talep anında yetkili çağırana MSDS-MANAGEDPASSWORD_BLOB olarak döner.

Version, Reserved, Length; CurrentPasswordOffset, PreviousPasswordOffset, QueryPasswordIntervalOffset, UnchangedPasswordIntervalOffset; current/optional previous WCHAR ve iki farklı interval alanı.

gMSA parolasının kaç günde bir değişeceğini belirler; PowerShell'de varsayılan 30 gündür ve oluşturma anında belirlenir.

<port> ve /<service name> gerektikçe eklenen optional parçalardır. Örneğin cifs/files.example.test için bu iki ek alan gerekmez. SPN forest içinde benzersiz olmalıdır.

Unicode string; şifreleme kapalıyken açık metin parolayı JSON olarak taşır ({"n":hesap, "t":UTC güncelleme zamanı hex, "p":parola}); SearchFlags 904 (fCONFIDENTIAL dahil).

byte string; şifreli parola blob'u; SearchFlags 904; AttributeSecurityGuid ms-LAPS-Encrypted-Password-Attributes (f3531ec6-6330-4f8e-8d39-7a671fbac605).

64-bit integer, parolanın UTC son kullanma zamanı; SearchFlags 0 — gizli (confidential) değildir.

geçmiş ve DC'ler için DSRM parolası; yalnız şifreleme açıkken; SearchFlags 904.

extended right / property set; Rights GUID f3531ec6-6330-4f8e-8d39-7a671fbac605; valid accesses 48 (RIGHT_DS_READ_PROPERTY | RIGHT_DS_WRITE_PROPERTY). RP/WP property-set kapsamı, confidential attribute’un ek RIGHT_DS_CONTROL_ACCESS koşulunu kaldırmaz.

parola computer object'te saklanır; erişim ACL'lerle (ve isteğe bağlı AES-256/CNG DPAPI şifrelemesiyle) korunur.

olaylar Applications and Services > Microsoft > Windows > LAPS > Operational altında; Security kanalında değil.

saatte bir çalışır, hard-coded ve yapılandırılamaz; legacy Microsoft LAPS'in aksine bir GPO CSE değildir.

GPO, AD’deki GPC metadata’sı ile SYSVOL’daki GPT dosyalarının aynı policy GUID altında birleşmesidir; iki replication yolunu ve client okumasını birlikte düşünmeden “GPO uygulandı” denemez.

LSDOU yalnız başlangıç sırasını verir; security/WMI filtering, inheritance ve loopback hangi client ve user bağlamında effective policy oluşacağını daraltır veya yeniden çerçeveler.

Active Directory'de CN={GPO-GUID},CN=Policies,CN=System,DC=outreason,DC=example altında bulunan directory nesnesidir; GPO metadata ve extension listeleri burada tutulur.

SYSVOL içindeki Policies\{GPO-GUID} dizinidir; policy dosyaları ve GPT.INI bu dosya sistemi yüzeyindedir.

Site, domain veya OU (SOM) nesnesinin özniteliğidir; bir GPO'yu hedefe bağlayan ilişki burada tutulur, GPC üzerinde değildir.

Windows bileşeninin policy-aware ayarını yönetir; sonuç, ilgili bileşenin policy semantics'ine bağlıdır.

client-side extension tarafından işlenen yapılandırma öğeleridir; policy enforcement ile aynı geri alma/uygulama semantiğine sahip varsayılamaz.

computer startup/shutdown veya user logon/logoff gibi belirli processing aşamalarında yapılandırılan komut/komut dosyası yüzeyidir.

Task Scheduler için bir tanım/configuration öğesidir; GPO'da tanım bulunması, görevin her endpoint'te başarıyla kaydolduğu ya da çalıştığı kanıtı değildir.

Bir GPO'nun hedefte görünmemesi, listede görünmesi veya ayarının beklenen sonucu vermemesi aynı arıza değildir. Bu ders, önce kapsamı, sonra GPC/GPT sürüm ve erişim kanıtını, en son client-side extension işlemesini ayırır. Resultant policy raporu sonuç listesidir; yenileme denemesi, dağıtımın ve her ayarın başarıyla uygulandığının tek başına kanıtı değildir.

Writable DC, Global Catalog (GC) ve Read-Only Domain Controller (RODC) tek bir rol seçeneğinin üç adı değildir. Writable/read-only, bir DC'nin dizin değişikliğini kabul etme modelidir; GC, forest çapında partial replica ve arama rolüdür; RODC Password Replication Policy (PRP) ise hangi hesap sırlarının o RODC'de önbelleğe alınabileceğini ayrı olarak sınırlar. Bu ders bu üç ekseni ve bağlantı yokken oluşan sonucu ayırır.

schema, configuration, domain ve application partition'ları kendi replication kapsamlarına sahiptir.

writable DC'ler arasında attribute-level değişiklikleri taşıyan multi-master akıştır.

silme bilgisini diğer DC'lere ulaştıran, sınırlı süre tutulan directory durumudur.

silinmiş durumun yaşam pencerelerini belirleyen forest ayarlarıdır.

destination DC, son başarılı replication aralığı tombstone lifetime’ı aşan adı verilmiş source partner’dan inbound replication’ı durdurmuştur. Olay bütün partner’lar veya outbound yollar için bir durma kararı değildir.

originating değişiklikte artar; replication tek başına yeni version üretmez.

son originating değişikliğin zamanı; varış zamanı değildir.

son değişikliği üreten database instance’ı; kullanıcı kimliği değildir.

forest schema değişikliklerini koordine eden forest-wide tek roldür.

domain ve application partition ekleme/kaldırma işlemlerini koordine eden forest-wide roldür.

her domain içinde DC'lere RID pool ayırır.

password-change önceliği, account lockout koordinasyonu ve domain time hierarchy için özel sorumluluk taşır.

domainler arası object reference güncellemelerinden sorumludur; bu görevin gerekip gerekmediği GC yerleşimine ve Recycle Bin özelliğine bağlıdır.

ilgili directory nesnesinde rol sahibi DC'nin NTDS Settings DN'ini tutar.

domain principal'ları, policy tabanı ve domain-local yönetim kapsamıdır.

ortak schema, configuration partition ve forest-wide trust/control plane sınırıdır.

forest root domain'de bulunan forest-wide ayrıcalık gruplarıdır.

forest içindeki nesnelerin partial attribute set'ini taşır; ayrı domainleri discovery düzleminde bağlar.

aynı domain içinde yönetim kapsamı verir fakat domain/forest güvenlik sınırı oluşturmaz.

ayrı schema/configuration ve ayrı privileged control plane sağlar; trust eklenirse erişim yolu ayrıca tasarlanır.

trust partner ve ilişki özelliklerini directory'de temsil eder.

trusted domain primary domain'e güvenir; isimlendirme perspektifi TDO'nun bulunduğu domain'e göre okunur.

primary domain trusted domain'e güvenir.

inbound ve outbound bitlerinin birleşimi, bidirectional trust.

trust path'in tanımlı domain/forest hiyerarşisinde genişleyebilmesine izin verir.

belirli iki domain arasında, non-transitive ilişki; forest trust iki forest root arasında transitive kapsam sağlar.

local KDC'nin hedef domain/realm KDC'sine geçiş için verdiği krbtgt/FOREIGN-REALM ticket'ıdır.

KDC'nin cross-domain referral ve trust key işlemlerinde kullandığı directory durumudur.

kullanıcının authorization verisine ek SID'ler taşıyabilir.

trust türü ve attributes'a göre izin verilmeyen SID sınıflarını PAC'tan çıkaran sınır kontrolüdür.

forest/domain-wide authentication yerine hedef object üzerinde Allowed-to-Authenticate control access right gerektirir.

68b1d179-0d15-4d4f-ab71-46152e79a7bc.

authentication kapıları geçildikten sonra nesneye gerçek read/write/execute yetkisini belirler.

certificate request içinde taşınır ve sertifikada SubjectPublicKeyInfo alanında bulunur; dağıtılabilir.

issuing CA’i tanımlar; path construction issuer/subject ilişkileri ve diğer certificate bilgileriyle destekleyici sertifikaları bulur.

birden çok CA certificate adayı olduğunda issuer/key ilişkilerini ayırt etmeye yardım eder.

Enterprise CA, AD'de yayımlanan certificate template'lere göre imza verir. Subject/SAN kaynağı, EKU, template enrollment hakları, onay koşulları ve ilgili CA’de yayınlanma birlikte incelenmelidir; issued certificate’in authentication’da hangi principal’a map edileceği ayrıca hedef protocol/verifier policy’sine bağlıdır.

Configuration naming context altındaki Public Key Services alanında duran, kendi security descriptor'ına sahip bir directory nesnesidir; izinleri dosya izni gibi değil, AD ACL semantiğiyle okunur.

CN Certificate-Enrollment, Display-Name Enroll, Rights-GUID 0e10c968-78fb-11d2-90d4-00c04f79dc55 olan ve PKI-Certificate-Template sınıfına uygulanan control access right'tır.

rightsGuid a05b8cc2-17bc-4802-a710-e7c15ab866a2 olan ikinci control access right'tır; Enroll ile aynı şey değildir ve ayrı ACE ile verilir.

talebi karşılayan hizmet ve CA'ya ait security descriptor. Buradaki Request Certificates izni, AD'deki template nesnesinin Read/Enroll/AutoEnroll izinlerinden ayrıdır; template Enroll GUID'i CA düzeyindeki bu iznin karşılığı değildir.

no-strong-mapping için modern 39, eski 41; SID uyuşmazlığı için modern 41, eski 49. Eski ID kapsamı Windows Server 2008 R2 SP1 / 2008 SP2’dir.

sertifikanın kimlik iddiasını taşıyabilmesini sağlayan, sertifikadan ayrı korunan sırdır. Sertifika paylaşılabilir veridir; anahtara erişim ve dışa aktarma yüzeyi ayrıca denetlenmelidir.

sertifikanın notBefore ve notAfter alanlarıyla sınırlanan geçerlilik aralığıdır.

yaklaşan süre sonunda yeni bir sertifikanın alınmasıdır; anahtarın yeniden üretilip üretilmediği ayrı bir karardır.

CA'nın yayımladığı, iptal edilmiş sertifikaların listesini ve bir sonraki güncelleme zamanını taşıyan imzalı yapıdır.

CRL entry extension'ıdır (OID 2.5.29.21) ve revocation reason'ı, örneğin keyCompromise (1), belirtir. Tek başına compromise zamanını belirtmez.

sertifika iptal durumunu çevrimiçi sorgulayan request/response protokolüdür. CRL'den farklı bir dağıtım biçimi değil, güncel durumu sorgulama yoludur; yanıt freshness alanlarıyla değerlendirilir.

CRL entry içinde private key'in ele geçirildiğinin bilindiği veya şüphe edildiği ya da sertifikanın başka biçimde geçersizleştiği tarihi taşıyabilen ayrı bir extension'dır (OID 2.5.29.24); revocationDate'den daha erken olabilir.

kuruluşun işlettiği directory service. Nesneler forest ve domain naming context'lerinde tutulur; istemciler LDAP, Kerberos ve NTLM ile konuşur, Group Policy ile yapılandırılır. Şema, replication ve DC'lerin işletimi kuruluşa aittir.

tenant sınırında çalışan cloud identity provider. Uygulamalara token verir, Conditional Access gibi cloud kontrolleri burada değerlendirilir. AD DS'nin LDAP/Kerberos/Group Policy yüzeyinin cloud kopyası değildir.

benzersiz bir namespace ile oluşturulan managed domain. Microsoft, seçilen Azure region'ında bir replica set olarak iki Windows Server domain controller dağıtır ve bunları yönetir; müşterinin DC kurması, yapılandırması, patch'lemesi veya izlemesi gerekmez. Entra ID, bu managed domain'e senkronize edilen kimliklerin kaynağıdır.

Entra Connect ile yapılandırılabilen on-premises federation service. Federated sign-in'de Entra ID parola doğrulamasını AD FS gibi güvenilen authentication system'e devreder; AD FS farm, WAP sunucuları ve sertifikalar kuruluşun sorumluluğundadır.

Entra ID, senkronize edilen parola türevi veriyle doğrulama yapar. Connect Sync ve Cloud Sync PHS destekler. Aşağıdaki ayrıntılı türetim zinciri ve iki dakikalık döngü Connect Sync için belgelenmiştir; Cloud Sync’in iç uygulaması hakkında aynı ayrıntıları varsayma.

agent, unicodePwd değerini MS-DRSR replication protokolüyle bir DC'den ister; DC, MD4 hash'ini RPC session key'in MD5 hash'i ve bir salt ile şifreleyip gönderir; agent 16 baytlık hash'i 64 bayta genişletir, 10 baytlık per-user salt ekler ve 1.000 iterasyonlu PBKDF2/HMAC-SHA256 ile 32 baytlık sonucu üretir. Sonuca per-user salt ve iterasyon sayısı eklenerek TLS üzerinden Entra ID'ye iletilir.

Entra ID'ye yapılan sign-in sırasında parola doğrudan on-premises Active Directory'ye karşı doğrulanır. Doğrulamayı on-premises sunuculara kurulan hafif bir agent yapar; agent yalnız outbound bağlantı açar ve Entra ID ile iletişimini certificate-based authentication ile kurar.

Entra ID doğrulama sürecini ayrı ve güvenilen bir authentication system'e, tipik olarak on-premises AD FS'e devreder. Federation service SAML assertion üretir; Entra ID bu assertion'ı doğrular ve kendi token'ını üretir. Federation, Entra ID'nin doğal olarak desteklemediği üçüncü taraf MFA gibi gereksinimler için seçilebilir.

on-premises kurulan ve senkronizasyon orkestrasyonunu on-premises yürüten çözümdür. Password hash synchronization bu bileşenin bir uzantısıdır ve ADDS Connector account, hash'leri okuyabilmek için Replicate Directory Changes ve Replicate Directory Changes All izinlerine sahiptir. Cloud Sync de PHS etkinleştirebilir;12.02’deki ayrıntılı Connect Sync türetim zinciri Cloud Sync’in iç uygulaması hakkında bir iddia değildir.

provisioning agent on-premises AD DS ile konuşur; provisioning service yapılandırma, zamanlama ve orkestrasyonu cloud tarafında yürütür. Agent, Service Bus bağlantısını outbound başlatır. Mimari belgedeki iki dakikalık scheduler tanımı, bir nesnenin Entra ID’de iki dakikada görüneceği garantisi değildir.

agent Azure Service Bus üzerinden kalıcı bir outbound bağlantı tutar, cloud servisinden gelen SCIM isteklerini alır, Active Directory'yi sorgular, yapılandırılan scoping ve attribute mapping kurallarına göre veriyi filtreleyip dönüştürür; cloud servisi sonucu işler ve watermark takibiyle artımlı güncellemeleri yönetir.

cloud'daki parola değişikliği veya sıfırlamasının gerçek zamanlı olarak on-premises dizine yazılmasıdır ve hem Entra Connect hem de Cloud Sync ile yapılandırılabilir. İşlem senkrondur; parola on-premises AD DS politikasına (geçmiş, karmaşıklık, yaş, password filter) göre denetlenir ve kullanıcı sonucu anında görür.

cihaz Entra ID'ye kaydedilir, ancak Windows'a oturum açmak için organizasyon hesabı gerekmez. BYOD ve mobil senaryolarında yaygındır; sahiplik kullanıcıda kalabilir ve kullanıcı cihaza yerel hesapla oturum açar. Registration tek başına MDM enrollment anlamına gelmez; cihaz yönetimi ve app protection ayrı kontrollerdir.

cihaz Entra ID'ye join edilir; kurumsal kullanıcı Windows'a Entra hesabıyla oturum açar. Yerel hesap veya uygun cached sign-in yolları ayrıca vardır; join türü her oturumun çevrimiçi doğrulandığını göstermez. Bu cihazlar çoğunlukla kuruma aittir; MDM ve co-management ayrı yönetim yapılandırmalarıdır.

cihaza özgü bir credential ile biometric ya da PIN gesture birlikte kullanılır. Provisioning sırasında kullanıcı iki adımlı doğrulamadan geçer, sonra gesture belirlenir; PIN cihazdan çıkmaz ve yerleşik brute force koruması vardır.

Cloud uygulamasına girebildin, ama AD dosya paylaşımı açılmıyor. Windows Hello credential’ı, PRT, partial TGT, AD TGT ve service ticket aynı kanıt değildir. Üç trust modelini aynı erişim hedefinde karşılaştır.

principal'ın güvenlik grubu üyeliği veya nested group yolu.

belirli object/property/control-access right için DACL ACE'i.

bir principal'ın yönetilebilir hedefte gözlemlenmiş, zaman sınırlı oturumu.

hedefte bir yönetim işlemi yapabilmek için gereken ayrı authorization boundary.

token'daki SID'ler, istenen erişim ve object DACL'i birlikte değerlendirilir.

directory snapshot, oturum telemetrisi ve ACL'in aynı zamandaki gerçeği temsil etmeyebilir.

password, key, ticket veya certificate gibi doğrulama materyali.

token/ACL/delegation üzerinden bir işlem veya object üzerinde etkili olabilme.

security authority'ler arası kimlik ve authorization bilgisini kabul etme sınırı.

principal'ın iddiasının doğrulanması.

doğrulanmış principal için istenen erişime karar verilmesi.

olayı gözleyen sistemin sınırlı kaydı; mekanizmanın tamamı değildir.

SPN'e bağlı service account için TGS ciphertext alma ve offline key guessing riski.

authentication exchange'in hedef hizmet tarafından kabul edilme koşullarına bağlı iletimi.

directory replication service protokolü üzerinden replication-benzeri veri isteği.

directory replication için ayrı control access right'lar; ikincisi secret domain data replikasyonunu kapsar. İddianın kapsamına göre doğru right'lar ve endpoint access birlikte doğrulanır.

KDC service-ticket operation gözlemi.

SACL varsa directory object operation gözlemi; Properties GUID bağlamı gerekir.

finding'in uygulanması için gerçekten gerekli teknik veya yönetsel durum.

hangi object, principal, boundary ve zaman penceresinin etkilendiği.

iddiayı doğrudan destekleyen, kaynak ve toplama zamanı belirtilmiş veri.

mekanizmayı kapatan deny, scope, control veya iş gereksinimi.

risk varsayımını azaltan, owner ve doğrulama kriteri olan değişiklik.

kanıtın mekanizma, uygulanabilirlik ve etkideki eksiklerini görünür tutan seviye.

lower plane kimlikleri control plane'i yönetemez, control-plane kimlikleri de lower-plane productivity yüzeylerinde kullanılmaz.

Güvenilir yönetim yolu üç sınırı birlikte uygular: yüksek etkili rol için ayrı admin hesabı, bu hesabın yalnız hardened PAW üzerinde kullanılması ve oturumun hedef/başlangıç bağlamının izlenmesi. PAW tek başına sihirli bir cihaz değildir; productivity hesabı, web/e-posta yüzeyi veya lower-plane oturumu aynı yola karıştığında güven zinciri bozulur.

DC VM'sine konsol, snapshot ve disk erişimi sağlayan ayrı yönetim alanı; guest içindeki AD ACL'leri bu düzlemi tek başına sınırlandırmaz.

backup server, repository ve restore operator rolleri; backup kopyasına erişim, AD içindeki normal file permission'dan farklı bir recovery yetkisidir.

Enterprise CA, certificate template ve enrollment agent zinciri; yanlış template/özel anahtar koruması, paroladan bağımsız kimlik materyali üretebilir.

RMM/monitoring/patch agent hesabı ve servis kanalı; agent'ın çalıştığı host ile yönettiği hedef arasındaki yetki ayrı izlenmelidir.

TLS kullanılmayan SASL signing/sealing, TLS ile korunan simple bind ve TLS + SASL channel binding ayrı koşullarla değerlendirilir.

challenge-response ve relay yüzeyi; audit/deny geçişi bağımlılık envanterinden sonra yapılır.

signing mesaj bütünlüğünü sağlar; SMB 3 encryption şifreli bağlantıda gizlilik ve bütünlük sağlar ve bu yolda ayrı signing korumasının yerini alabilir. Signing tek başına gizlilik sağlamaz; davranış protocol/version ve yapılandırmaya bağlıdır.

SPN/DNS/zaman ve ticket akışı doğru hedef kimliği için gereklidir; fallback davranışı ayrı izlenmelidir.

Active Directory'de tanımlı bir global security group. Üyelik, üyenin oturum açtığı Windows cihazında istemci tarafı kısıtlamalar; domain functional level Windows Server 2012 R2 veya daha yeni olduğunda ise domain controller tarafında ek kısıtlamalar doğurur.

desteklenen Windows üzerinde NTOWF, uzun ömürlü Kerberos key ve offline logon verifier önbelleklenmez; CredSSP/WDigest plaintext credential caching engellenir. DC tarafındaki protokol kısıtlamalarının DFL koşulu ayrıdır.

üyeler NTLM ile kimlik doğrulayamaz, Kerberos ön kimlik doğrulamasında DES veya RC4 kullanamaz, delegation (constrained ve unconstrained) ile devredilemez ve başlangıç TGT ömrü yenilenemez biçimde kısaltılır.

Windows platform kontrolü. Virtualization-based security kullanarak LSA sırlarını yalıtılmış bir süreçte tutar; hedefi NTLM parola hash'i, Kerberos TGT ve domain kimlik bilgilerinin işletim sisteminden çıkarılmasını engellemektir.

Active Directory veritabanının kendisi, yerel hesaplar ve Microsoft hesapları, üçüncü taraf authentication package'lar ve cihaza fiziksel erişim veya tuş kaydı gibi saldırı sınıfları.

Microsoft Entra ID tarafında sign-in sırasında ikinci bir doğrulama faktörü isteyen kontrol. Token verme kararını etkiler; domain içi Kerberos bilet alışverişine veya NTLM oturumuna ek faktör enjekte etmez.

Advanced Audit Policy Configuration, denetimi dokuz ana kategori altında ayrıntılı alt kategorilere böler. Olay aileleri bu alt kategorilere bağlıdır; kategori düzeyinde düşünmek hangi olayın açıldığını belirsiz bırakır.

'Audit: Force audit policy subcategory settings to override audit policy category settings' ayarı etkin olduğunda alt kategori ayarları eski kategori tabanlı ayarların yerine geçer. Bu ayar beklenmedik biçimde kapalıysa, uygulanmış sanılan ayrıntılı politika etkisiz kalabilir.

Nesne erişimi denetimi iki koşulludur. Alt kategori etkin olsa bile, nesnenin system access control list'inde ilgili principal ve erişim türü için bir audit ACE yoksa olay üretilmez.

Kerberos kimlik doğrulama hizmeti ve servis bileti olayları yalnız domain controller'larda üretilir; bu olaylar istemcide aranmaz.

Audit Directory Service Changes yalnız domain controller'larda geçerlidir ve ilgili nesne ya da container üzerinde uygun SACL gerektirir; kapsamı modify, create, undelete, move ve delete işlemleridir.

4719 sistem audit policy değişikliğini; 4907 ise file/registry gibi AD dışı bir nesnenin SACL değişikliğini gösterir ve AD nesneleri için üretilmez. AD DS nesne değişiklikleri, Audit Directory Service Changes ve o attribute için SACL’de ilgili attribute için uygun Write Property audit ACE kapsamdaysa 5136 ile görülebilir. Bu kayıtlar uygulanmış policy'yi veya tüm nesnelerdeki SACL kapsamını tek başına kanıtlamaz.

Bir oturum açma olayında üretilen ve aynı makinedeki sonraki olaylarda tekrar görünen oturum tanımlayıcısı. Oturum kapanışı ve ayrıcalık kullanımı gibi kayıtlar bu alan üzerinden aynı oturuma bağlanır.

Değer yalnız onu üreten bilgisayarda ve yeniden başlatmalar arasında benzersizdir. Farklı makinelerdeki eşit değerler aynı oturumu göstermez.

Kerberos ile oluşan oturumlarda üretilen ve domain controller'daki Kerberos bilet olaylarıyla eşleştirilebilen bir tanımlayıcı. Kerberos dışı oturumlarda anlamlı bir değer taşımayabilir.

TGT ve servis bileti talepleri yalnız domain controller'larda kaydedilir; bu kayıtlarda istemci tarafındaki oturum kimliği bulunmaz, bağ farklı alanlar üzerinden kurulur.

Bir dizin nesnesi değiştiğinde üretilen olay, değişikliği yapan oturumun bilgilerini ve değiştirilen özniteliği taşır; operasyon korelasyon kimliği aynı işlemden doğan kayıtları gruplar.

Bir hesabın başka bir hesabın kimlik bilgisiyle işlem başlatması ayrı bir olay ailesiyle kaydedilir ve zincirin kopma noktalarından biridir.

istemcinin domain ve site için uygun DC service record'larını çözmesi.

domain üyelerinin AD DS hiyerarşisindeki güvenilir kaynaktan örnek alması ve local clock'u disipline etmesi.

belirli naming context için inbound/outbound değişim ilişkisinin karşı ucu.

gözlenen directory state'in hangi DC, naming context ve zaman anına ait olduğu.

dcdiag testinin enterprise, site veya tek server hedefi ve test ettiği işlev.

discovery, authentication-time, transport veya directory convergence katmanlarından hangisinin kanıtla daraltıldığı.

directory, registry, GPO veya servis ayarında yazılı değer.

scope, precedence, inheritance ve yerel koşullar değerlendirildikten sonra hedefte geçerli olan ayar.

belirli principal ve hedef için, belirli bir zaman aralığında gözlenen işlem.

audit policy, SACL, collector, retention ve sorgu kapsamının görmeye izin verdiği işlemler.

kaydın hangi sistemden, ne zaman ve hangi yöntemle toplandığı.

doğrudan kanıtı, korelasyonu ve eksik bilgiyi ayırarak varılan sonucun ne kadar güçlü olduğunu belirtmek.

etkilenen identity, DC, domain, forest, admin tier, time window ve bağımlı servis kümesi.

credential, ticket, key, privileged account ve yönetim workstation'ının güvenilir sayılma koşulu.

yayılımı veya yetkisiz erişimi azaltırken evidence ve kritik bağımlılıkları koruyan sınır.

recovered veya incelenen sistemin güvenilmeyen network/identity yollarından kontrollü ayrılması.

identity control plane, name resolution, time, replication ve business authentication bağımlılıklarının sırası.

scope/evidence değiştiğinde containment veya recovery planını yeniden değerlendiren açık eşik.

belirli deleted object ve korunmuş attribute/link state'inin geri getirilmesi.

tek server'ın system state, SYSVOL ve replication üyeliğinin desteklenen yöntemle yeniden kurulması.

restored AD DS state'in daha güncel değişiklikleri replication partner'lardan alacağı DC recovery yaklaşımı.

forest-wide failure sonrasında her domain için identity service'in trusted backup ve izolasyonla yeniden oluşturulması.

hangi data'nın diğer replica'lara üstün gelmesinin amaçlandığı; object, SYSVOL veya daha geniş recovery adımıyla karıştırılmaz.

directory object, SYSVOL, DNS, GC, FSMO, replication ve business authentication'ın ayrı doğrulanması.

üreten taraf, zaman, identity ve kapsam birlikte kaydedilir.

belirtiyi açıklayabilir; doğru kabul edilmeden ayırıcı kanıt gerekir.

belirli owner’ın durumunu değiştirir; diğer context’leri kendiliğinden yenilemez.

güvenilir identity durumu, yeni kaynak davranışı ve meşru iş akışı ayrı ölçülür.