İstemci Bilgisayarların Domain Controller Bulma Süreci
Client makinede, locator; local Netlogon hizmetine RPC (Remote Procedure Call) olarak başlatılır. Locator, DSGetDcName API çağrısını Netlogon hizmeti tarafından gerçekleştirir.
Bu süreçte client makine, bir domain controller seçmek için gereken bilgiyi toplar ve ardından DsGetDcName çağrısını kullanarak bu bilgileri Netlogon hizmetine iletir.
Client makinedeki Netlogon hizmeti, belirtilen domain için bir domain controller aramak amacıyla toplanan bilgileri iki yoldan biriyle kullanır:
DNS Adı Kullanımı:
- Netlogon, IP/DNS uyumlu locator'ı kullanarak DNS’i sorgular.
- DsGetDcName, domain srv kayıtlarını belirten uygun dizeye ekledikten sonra SRV ve A kayıtlarını DNS’ten okumak için DnsQuery çağrısını kullanır.
- Windows tabanlı bir domain'de oturum açan bir workstation, SRV kayıtları için DNS’i sorgular:
_service._protocol.DnsDomainName. - Active Directory sunucuları, TCP üzerinden LDAP hizmeti sunar. Böylece client’lar DNS’i sorgulayarak bir LDAP sunucusu bulur:
_ldap._tcp.DnsDomainName.
NetBIOS Adı Kullanımı:
- Netlogon, Microsoft Windows NT 4.0-compatible Locator'ı kullanarak domain controller bulma işlemini gerçekleştirir.
- Windows NT 4.0 ve önceki sürümlerde Discovery, birincil veya güvenilir bir domain'de kimlik doğrulaması için domain controller bulma işlemidir.
- Netlogon hizmeti, adı kaydeden makineye bir datagram gönderir. DNS domain adları için datagram, bir LDAP UDP araması için kullanılır.
- Kullanılabilir her domain controller, şu anda çalışır durumda olduğunu belirtmek için datagrama yanıt verir ve bilgileri DsGetDcName’e döndürür.
- Netlogon hizmeti, domain controller bilgilerini önbelleğe alır. Bu önbelleğe alma işlemi, sonraki discovery sürecinin tekrarlanmasına gerek kalmamasını sağlar.
Domain Controller Seçimi:
Bir client oturum açtığında veya ağa katıldığında bir domain controller bulabilmelidir. Client, tercihen kendi alt ağındaki domain controller’ı bulmak için DNS’e bir DNS lookup sorgusu gönderir: _LDAP._TCP.dc._msdcs.domainname.
Client, domain controller’ı bulduktan sonra AD’ye erişim için LDAP kullanarak iletişim kurar. Bu görüşmenin parçası olarak, domain controller, client makinenin IP subnet’ine bağlı olarak client’in hangi site’de olduğunu belirler.
Client bir domain controller bulduktan sonra, domain controller girişi önbelleğe alınır. Domain controller en uygun site’de değilse, client 15 dakika sonra önbelleği temizler ve önbellek girişini atar. Ardından, client ile aynı site’de en uygun domain controller’ı bulmaya çalışır.
Kimlik Doğrulama ve Oturum Açma:
Client, domain controller’a bir iletişim yolu oluşturduktan sonra, oturum açma ve kimlik doğrulama kimlik bilgilerini oluşturabilir. Gerekirse Windows tabanlı bilgisayarlar için güvenli bir kanal kurabilir. Client daha sonra normal sorgular yapmaya ve dizine karşı bilgi aramaya hazırdır.
Client, oturum açmak için domain controller’a bir LDAP bağlantısı kurar. Oturum açma işlemi, Security Accounts Manager’i kullanır. İletişim yolu, LDAP arabirimini kullanır ve client’in kimliği bir domain controller tarafından doğrulanır. Böylece client hesabı doğrulanır ve Security Accounts Manager aracılığıyla dizin hizmeti aracısına, ardından veritabanı katmanına ve son olarak Extensible Storage Engine (ESE) veritabanına geçirilir.