Hesab idarəsi və Active Directory: istifadəçilər, qruplar, parol sıfırlama və kilid açma

“Parolumu unutmuşam”, “Hesabım kilidlənib”, “Yeni işçi gəlir, hesab açın”, “Bu qovluğa giriş lazımdır” — bu müraciətlər HelpDesk-də hər gün gəlir. Hesab (account) — kompüterə və ya şirkət sistemlərinə giriş üçün istifadəçi adı və paroldan ibarət “açar”dır. Hesablarla düzgün işləmək həm istifadəçinin işini davam etdirir, həm də şirkəti qoruyur: səhvən verilmiş bir parol və ya artıq icazə ciddi təhlükəsizlik problemi yarada bilər.

Bu dərsdə əvvəl tək kompüterdəki hesablarla (lokal hesablar), sonra şirkət şəbəkəsində hesabları mərkəzdən idarə edən Active Directory ilə tanış olacaqsınız.

Windows-da iki əsas hesab növü var: Standard User (standart istifadəçi) və Administrator (idarəçi).

Gündəlik iş üçün standart hesab, quraşdırma və ayarlar üçün ayrıca administrator hesabı istifadə edin: səhvən və ya zərərli proqramla edilən dəyişikliklər belə məhdudlaşır. Standart hesabla siz e-poçt yazır, sənəd hazırlayır, internetə girirsiniz. Proqram quraşdırmaq və ya sistem ayarını dəyişmək lazım olanda Windows UAC (User Account Control — istifadəçi hesabı nəzarəti) pəncərəsi ilə admin parolunu istəyir. Əgər istifadəçi təsadüfən zərərli fayl açsa, həmin proqram da standart hesabın məhdud hüquqları ilə işləyir və sistemə daha az ziyan vura bilir.

Admin hesabında da UAC pəncərəsi çıxır, amma sadəcə Yes basmaq kifayətdir. Bu rahatdır, eyni zamanda risklidir: diqqətsiz bir klik zərərli proqrama tam icazə verə bilər.

Settings → Accounts → Other users bölməsində yeni istifadəçi əlavə edib növünü seçə bilərsiniz: Add account ilə hesab yaradılır, sonra hesabın üstünə basıb Change account type ilə Administrator və ya Standard User seçilir. Windows 10-da və köhnə Windows 11 versiyalarında bu bölmənin adı Family & other users ola bilər.

Windows Pro və Enterprise versiyalarında lusrmgr.msc (Local Users and Groups — yerli istifadəçilər və qruplar) ilə yerli istifadəçi və qrupları daha ətraflı idarə etmək olur: hesabı söndürmək, qrup üzvlüyünü görmək, təsvir yazmaq. Windows Home versiyasında bu alət yoxdur — açmağa çalışanda xəta mesajı çıxır.

Hər əməkdaşın öz hesabı olsun; bir hesabı bir neçə nəfər bölüşməsin. Ortaq hesabda kimin nə etdiyini bilmək mümkün olmur, parol dəyişəndə hamıya yenidən demək lazım gəlir, işdən çıxan əməkdaş isə parolu bildiyi üçün girişi saxlayır.

HelpDesk-də istifadəçinin hansı hesabla daxil olduğunu bilmək vacibdir, çünki parol harada dəyişir, sualının cavabı buna bağlıdır:

• Lokal hesab — yalnız həmin kompüterdə mövcuddur. Parolu da yalnız o kompüterdə dəyişir.
• Microsoft hesabı — e-poçt ünvanı ilə girişdir (ev kompüterlərində çox olur). Parol Microsoft-un saytında sıfırlanır.
• Domain hesabı (iş hesabı) — şirkətin mərkəzi sistemində, adətən Active Directory-də saxlanır. İstifadəçi şirkətin istənilən kompüterinə eyni adla və parolla girə bilər. Parolu HelpDesk və ya istifadəçinin özü (şirkətin portalı ilə) dəyişir.

Komanda sətrində whoami yazanda nəticə kompüteradı\istifadəçi formatındadırsa, bu, adətən lokal hesabdır; ŞİRKƏT\istifadəçi formatında isə domain hesabıdır.

Active Directory (AD) — Microsoft-un şirkət şəbəkəsində istifadəçiləri, kompüterləri və icazələri bir mərkəzdən idarə etmək üçün xidmətidir. Onu şirkətin “telefon kitabçası və açar şkafı” kimi təsəvvür edin: kim kimdir, hansı şöbədədir, hansı qapını (qovluğu, proqramı) aça bilər — hamısı bir yerdə yazılıb.

AD olmadan 50 kompüterli ofisdə hər kompüterdə hər işçi üçün ayrıca hesab açmaq lazım gələrdi. AD ilə işçinin bir hesabı olur və o, icazəsi olan bütün kompüterlərə və resurslara həmin hesabla girir.

AD-ni idarə etmək üçün əsas qrafik alət Active Directory Users and Computers-dir, qısa adı dsa.msc. O, Domain Controller-də və ya RSAT (Remote Server Administration Tools — serveri uzaqdan idarə etmə alətləri) quraşdırılmış iş kompüterində olur. HelpDesk əməkdaşına adətən AD-də məhdud hüquq verilir: məsələn, yalnız müəyyən OU-dakı istifadəçilərin parolunu sıfırlamaq və kilidini açmaq.

Group Policy (GPO) haqqında bilməli olduğunuz əsas fikir: bəzi ayarları istifadəçinin kompüterində dəyişə bilməyəcəksiniz, çünki onlar mərkəzdən təyin olunub. Settings-də “Some settings are managed by your organization” yazısı məhz bunu bildirir. gpresult /r əmri həmin kompüterə hansı siyasətlərin tətbiq olunduğunu göstərir (yalnız oxuyur).

Ən az imtiyaz prinsipi (least privilege): hər kəs yalnız öz işi üçün lazım olan qədər hüquq alır — artıq yox. Mühasib maliyyə qovluğunu görməlidir, amma HR-in şəxsi işlər qovluğunu yox. HelpDesk əməkdaşı parolu sıfırlaya bilər, amma Domain Admins (domenin tam idarəçiləri) qrupunda olmamalıdır.

Praktikada icazələr qruplara verilir, ayrı-ayrı istifadəçilərə yox:

1. Qovluğa icazə qrupa verilir, məsələn “Maliyyə-Oxu” qrupuna yalnız oxuma hüququ.
2. Yeni mühasib gələndə onu sadəcə bu qrupa əlavə edirsiniz.
3. İşçi şöbəni dəyişəndə və ya işdən çıxanda onu qrupdan çıxarırsınız — bütün icazələr bir anda düzəlir.

İcazə sorğusu gələndə HelpDesk-in qaydası: qovluğun sahibindən və ya istifadəçinin rəhbərindən təsdiq alın, təsdiqi tiketə əlavə edin, istifadəçini lazımi qrupa əlavə edin (və ya hüququnuz yoxdursa, L2-yə ötürün). Qrupa əlavə ediləndən sonra istifadəçi hesabdan çıxıb yenidən daxil olmalıdır, çünki qrup üzvlüyü girişdə yenilənir.

Hesab adətən bir neçə dəfə səhv parol yazıldıqdan sonra avtomatik kilidlənir (sayı şirkətin parol siyasətində təyin olunur). Kilid açmaq parolu dəyişmir — istifadəçi köhnə parolu xatırlayırsa, kilidi açmaq kifayətdir. Parol unudulubsa, sıfırlama lazımdır.

Təhlükəsiz prosedur belədir:

1. Tiket açın — kim, nə vaxt, hansı hesab, hansı kanalla müraciət etdi.
2. Şəxsiyyəti təsdiqləyin — şirkətin qəbul etdiyi üsulla: işçi siyahısındakı rəsmi nömrəyə geri zəng, əməkdaş nömrəsi, rəhbərin təsdiqi, şəxsən gəlibsə vəsiqə. Zəng edən nömrə, səs və ya “mən direktoram” sözü təsdiq deyil.
3. dsa.msc-də istifadəçini tapın: domenin adının üstündə sağ klik → Find və ya axtarış.
4. Yalnız kilid varsa: istifadəçi → Properties → Account tabı → Unlock account işarəsi → OK.
5. Parol unudulubsa: istifadəçinin üstündə sağ klik → Reset Password. Müvəqqəti parol yazın, User must change password at next logon (növbəti girişdə parolu dəyiş) işarəsini qoyun; hesab kilidlidirsə, eyni pəncərədə Unlock the user's account işarəsini də qoyun.
6. Müvəqqəti parolu təhlükəsiz kanalla verin: telefonla birbaşa istifadəçiyə və ya şəxsən. Parolu tiketə, ortaq çata və ya kilidli hesabın öz e-poçtuna yazmayın.
7. İstifadəçi daxil olub yeni parol qoyduğunu təsdiqləsin. Tiketin bağlanış qeydi: səbəb (unudulmuş parol / kilid) + nə edildi + istifadəçinin təsdiqi.

Kilid təkrar-təkrar qayıdırsa, sadəcə kilidi açmaq kifayət deyil. Çox vaxt köhnə parolu saxlayan bir cihaz və ya proqram arxa fonda girməyə çalışır: telefondakı iş e-poçtu, planşet, xəritələnmiş şəbəkə diski, Credential Manager-də saxlanmış köhnə parol. İstifadəçi ilə birlikdə bu yerləri yoxlayın. Mənbə tapılmırsa və ya kilid gecə saatlarında, istifadəçi işləməyəndə də baş verirsə, bunu L2 və təhlükəsizlik komandasına ötürün — bu, kənardan parol təxmin etmə cəhdi ola bilər.

Eyni işləri PowerShell ilə də etmək olur. Bu əmrlər yalnız AD modulu (RSAT) quraşdırılmış kompüterdə və AD-də müvafiq hüququnuz olduqda işləyir. Burada onları tanımaq üçün veririk — real işdə yalnız sizə icazə verilən hesablar üzərində işlədin.

• Get-ADUser -Identity aliyev.r -Properties LockedOut, LastLogonDate — istifadəçi haqqında məlumat: kilidlidirmi, son dəfə nə vaxt daxil olub (yalnız oxuyur).
• Unlock-ADAccount -Identity aliyev.r — hesabın kilidini açır.
• Set-ADAccountPassword -Identity aliyev.r -Reset — parolu sıfırlayır; yeni parolu əmr özü soruşur.
• Set-ADUser -Identity aliyev.r -ChangePasswordAtLogon $true — “növbəti girişdə parolu dəyiş” işarəsini qoyur.

Get- ilə başlayan əmrlər yalnız məlumat göstərir, Set- və Unlock- isə dəyişiklik edir. Bu fərq L07-də öyrəndiyiniz qayda ilə eynidir.

AD-ni real görmək üçün evdə pulsuz lab qurmaq olar. VirtualBox — Oracle-ın pulsuz virtuallaşdırma proqramıdır: bir kompüterin içində “virtual kompüter” (VM — virtual maşın) işə salır. Windows Pro və ya Enterprise-də daxili pulsuz alternativ Hyper-V-dir. Windows Server 2025 Evaluation (qiymətləndirmə versiyası) Microsoft Evaluation Center-dən qeydiyyat formu doldurulduqdan sonra pulsuz yüklənir və 180 gün işləyir.

Dürüst olaq: lab kompüterdən güc tələb edir.

Digər tələblər: server üçün Desktop Experience (qrafik interfeys) versiyası rəsmi olaraq minimum 2 GB RAM, tövsiyə 4 GB tələb edir; disk minimum 32 GB-dır, amma praktikada VM-ə 50–60 GB ayırın. Prosessorda virtuallaşdırma (Intel VT-x və ya AMD-V) BIOS-da aktiv olmalıdır. Klient VM üçün Windows 11 Enterprise Evaluation (90 gün) və ya mövcud lisenziya istifadə olunur.

Labın ümumi planı (ətraflı addımlar ad-lab-beledci.pdf-dədir):

1. VirtualBox-u quraşdırın və Evaluation Center-dən Windows Server 2025 ISO faylını yükləyin.
2. Yeni VM yaradın: 4 GB RAM, 50–60 GB disk; Windows Server-i Desktop Experience seçimi ilə quraşdırın.
3. Serverə aydın ad verin (məsələn DC01) və sabit IP ünvanı təyin edin.
4. Server Manager → Add roles and features → Active Directory Domain Services rolunu əlavə edin.
5. Serveri Domain Controller-ə çevirin (Promote this server to a domain controller) və yeni domen yaradın, məsələn helpdesk.test (.test adı test üçün ayrılıb, real internetdə istifadə olunmur).
6. dsa.msc-də OU-lar (Maliyyə, Satış), 3–4 test istifadəçisi və bir qrup yaradın.
7. Məşq edin: test istifadəçisi ilə səhv parol yazıb kilidləyin, kilidi açın, parolu “növbəti girişdə dəyiş” işarəsi ilə sıfırlayın.

8 sual. Cavabı seçin və yoxlayın — hər sualdan sonra qısa izah görəcəksiniz. Səhv etsəniz, narahat olmayın: izahı oxuyub yenidən cəhd edin.