Active Directory Kimlik Kaynağı Ekleme (WinRM/Kerberos)

Adım adım

1. 1

   AD'de bir servis hesabı oluşturun

   Domain admin yetkisi vermeden, yalnız okuma amaçlı bir servis hesabı açın (örn. svc-logspot). Hesabı DC üzerinde Event Log Readers ve Remote Management Users gruplarına ekleyin — Security olay günlüğünü WinRM üzerinden okuması için bu ikisi yeterlidir. Parolanın süresiz veya takibi yapılan bir rotasyonla yönetildiğinden emin olun.

2. 2

   DC'de WinRM'i etkinleştirin

   Domain Controller'da yönetici PowerShell'de Enable-PSRemoting -Force çalıştırın. Varsayılan port HTTP için 5985, HTTPS için 5986'dır; LogSpot appliance'tan DC'ye bu porta erişime güvenlik duvarında izin verin. Mümkünse HTTPS (5986) ve sertifika doğrulamasını tercih edin.

3. 3

   Kimlik kaynağını DC'nin FQDN'i ile ekleyin

   Panelde kimlik kaynağı ekleme ekranını açın ve sunucu alanına DC'nin tam alan adını (FQDN) girin — örn. dc01.firma.local. IP adresi girmeyin: Kerberos, sunucuyu HTTP/<fqdn> biçimindeki SPN ile doğrular ve IP ile bu doğrulama yapılamaz; IP girerseniz bağlantı açık bir hata mesajıyla reddedilir.

4. 4

   Realm'i kontrol edin

   Kerberos realm'i normalde FQDN'den otomatik türetilir (dc01.firma.local → FIRMA.LOCAL). Alan adınız standart dışıysa realm alanını elle, tamamı büyük harf olacak şekilde girin. Realm boş kalır ve türetilemezse bağlantı Kerberos için realm gerekli hatasıyla durur.

5. 5

   Kimlik doğrulama yöntemini seçin

   Varsayılan ve önerilen yöntem Kerberos'tur. NTLM yalnız NTLM'in açık olduğu ortamlarda çalışır; sertleştirilmiş (NTLM kapatılmış) Active Directory ortamlarında mutlaka Kerberos kullanın. Servis hesabının kullanıcı adı ve parolasını girin — parola LogSpot'ta saklanır ama hiçbir API yanıtında geri dönmez.

6. 6

   DNS çözümlemesini doğrulayın

   Appliance, DC'nin FQDN'ini çözebilmelidir. LogSpot ağ ayarlarında DNS sunucusu olarak AD DNS'inizi tanımlayın; yalnız A kaydı çözümü yeterlidir, SRV kayıtlarına ihtiyaç yoktur. FQDN çözülmüyorsa Kerberos bileti alınamaz ve bağlantı kurulamaz.

7. 7

   Bağlantıyı test edin

   Kaynak kartındaki Bağlantıyı test et düğmesine basın. Başarılı testte DC <ad> — son 60 dk N oturum olayı okundu (yetki tamam) mesajını görürsünüz; bu, hem bağlantının hem okuma yetkisinin çalıştığını kanıtlar. Hata alırsanız mesaj sorunu (FQDN, realm, kimlik ya da yetki) açıkça söyler.

8. 8

   Kişi atfının aktığını doğrulayın

   Kaynak aktifleştikten sonra LogSpot, DC'den oturum açma (4624) olaylarını düzenli aralıklarla çeker ve IP adreslerini kullanıcı adlarıyla eşler. Birkaç dakika içinde log kayıtlarında kullanıcı adlarının görünmeye başladığını kontrol edin; makine hesapları ve sistem oturumları otomatik süzülür.

9. 9

   NAT/gateway adreslerini hariç tutun

   Kaynak ayarındaki Hariç IP/CIDR alanına, ardında birden çok kişinin bulunduğu adresleri girin: router/gateway LAN arayüzleri, VPN havuzları, proxy ve terminal sunucular (virgülle ayrık, örn. 192.168.1.1, 10.8.0.0/24). Bu adresler için kimlik kaydı üretilmez — paylaşımlı bir adresten geçen tüm trafiğin tek bir çalışana yazılması böylece önlenir. LogSpot ayrıca aynı dönemde çok sayıda farklı kullanıcı gördüğü IP'leri adli sorguda kendiliğinden 'güvenilir değil' olarak işaretler.