Giriş: Krallığın Anahtarı Kaybolursa

Active Directory (AD), bir kurumun dijital omurgasıdır. Tüm kullanıcılar, bilgisayarlar ve yetkiler buradan yönetilir. Dolayısıyla, Domain Controller (DC) sunucusunun “Administrator” şifresinin unutulması veya kaybedilmesi, basit bir erişim sorunundan öte, tüm operasyonun durma riskini taşır.

Ancak panik yapmayın. Doğru strateji ve soğukkanlılık ile bu “dijital kilit” açılabilir. İşte senaryoya göre izlemeniz gereken kurtarma yolları.

1. Durum Analizi: Hangi Anahtarı Kaybettiniz?

Çözüme başlamadan önce, neyle karşı karşıya olduğunuzu netleştirmelisiniz. DC dünyasında “Administrator” kavramı farklılık gösterir:

• Domain Administrator: Domain yapısının en yetkili hesabıdır. (Genellikle unutulan budur).

• Local Administrator: DİKKAT! Bir sunucu DC’ye yükseltildiğinde (Promote), yerel kullanıcı hesapları (SAM) devre dışı kalır. DC üzerinde standart bir “Local Admin” yoktur.

• DSRM Administrator: Sadece “Directory Services Restore Mode” (Kurtarma Modu) açıldığında kullanılabilen yerel “acil durum” hesabıdır.

2. Senaryo A: Ortamda Birden Fazla DC Var (En Kolay Çözüm)

Eğer yapınızda “Additional Domain Controller” (Yedek DC) varsa şanslısınız. Kriz dakikalar içinde çözülür.

1. Diğer Sunucuya Geçin: Şifresini bildiğiniz diğer Domain Controller sunucusuna veya RSAT yüklü bir yönetim makinesine, yetkili başka bir hesapla giriş yapın.

2. Şifreyi Sıfırlayın: “Active Directory Users and Computers” (ADUC) konsolunu açın.

3. Hesabı Bulun: Şifresini unuttuğunuz “Administrator” hesabını bulun > Sağ Tık > Reset Password.

4. Replikasyon: Değişikliğin diğer DC’lere replike olmasını bekleyin (veya repadmin /syncall ile tetikleyin). Sorunlu sunucuya yeni şifre ile giriş yapabilirsiniz.

3. Senaryo B: Tek DC Var ve Şifre Unutuldu (Kritik Durum)

Eğer ortamda tek bir DC varsa ve Domain Admin şifresi yoksa, “Arka Kapı”yı yani DSRM‘yi kullanma vakti gelmiştir.

Adım Adım DSRM ile Kurtarma:

1. Yeniden Başlatma: Sunucuyu yeniden başlatın.

2. Gelişmiş Başlangıç: Açılış sırasında (Windows sürümüne göre F8 veya Boot Menüsü üzerinden) “Directory Services Restore Mode” seçeneği ile sistemi başlatın.

3. Giriş: Bu modda Active Directory servisleri çalışmaz. Karşınıza gelen ekranda DSRM Şifresi ile giriş yapın (Domain Admin şifresi ile değil).

   • Kullanıcı adı genellikle: .\Administrator

4. Müdahale: Sisteme girdikten sonra, üçüncü parti şifre sıfırlama araçları veya komut satırı yöntemleri ile kilitli hesabı açmayı deneyebilirsiniz.

Not: Eğer DSRM şifresini de bilmiyorsanız, Microsoft tarafından resmi olarak desteklenmeyen “Offline Password Reset” (Utilman.exe vb.) yöntemleri denenebilir ancak bu yöntemler veritabanı bütünlüğü için risk taşır.

4. Önleyici Müdahale: DSRM Şifresini Sıfırlamak

Eğer şu an sisteme erişebiliyorsanız ancak DSRM şifresini hatırlamıyorsanız, gelecekteki bir felaketi önlemek için hemen şu komutları uygulayın:

Komut Satırını (CMD) Yönetici olarak açın ve sırasıyla yazın:

ntdsutil
set dsrm password
reset password on server null
<YENİ ŞİFREYİ GİRİN>
<YENİ ŞİFREYİ TEKRAR GİRİN>
quit
quit

Bu işlem, mevcut Domain Admin şifrenizi değiştirmez, sadece kurtarma modu şifresini günceller.

5. Son Çare: “System State” Geri Yükleme

Hiçbir şifre çalışmıyorsa ve DSRM ile de giriş yapamıyorsanız, elinizdeki yedeklere (Backup) dönmeniz gerekir.

• Yöntem: “System State” yedeğini geri yükleyin.

• Risk Uyarısı (USN Rollback): Eğer ortamda başka DC’ler varsa ve yanlış bir geri yükleme yaparsanız, USN Rollback denilen ve AD veritabanını tutarsız hale getiren ciddi bir sorun yaşayabilirsiniz. Bu işlem öncesinde mutlaka dokümantasyonunuzu kontrol edin.

🛠️ Teknik Özet

🛡️ “Bir Daha Asla” Listesi (Best Practices)

Bu stresi tekrar yaşamamak için şu kuralları altın harflerle yazın:

1. Yedeklilik: Asla tek DC ile çalışmayın. En az iki adet Domain Controller (DC + ADC) bulundurun.

2. Acil Durum Hesabı: Yetkileri kısıtlanmamış, şifresi karmaşık ve fiziksel kasada saklanan yedek bir “Break Glass” (Acil Durum) Domain Admin hesabı oluşturun.

3. DSRM Güvenliği: DSRM şifresini kurulumda “1234” yapıp geçmeyin; güvenli bir yerde saklayın.

4. Düzenli Yedek: Veeam veya Windows Server Backup ile düzenli “System State” yedeği alın.