Anasayfa » Windows Server 2012 R2 Work Folders–Bölüm 1
Windows Server 2012 R2 Work Folders–Bölüm 1
Yazar Mesut ALADAĞ tarih	 07/09/2014 Yorum Yok	/ 291 görüntüleme
Microsoft’un yeni nesil sunucu işletim sistemi olan Windows Server 2012 R2’nin özelliklerini incelemeye devam ediyoruz. İki bölümden oluşan makalemizde Windows Server 2012 R2’nin en katma-değerli yeniliklerinden biri olan “Work Folder” yeniliğini inceliyoruz. Makalemizin ilk bölümünde genel olarak Work Folder mimarisini, teknoloji trendlerindeki yerini ve ortam gereksinimlerini anlatıp, Work Folder uygulaması için kullanacağımız laboratuvar ortamını hazırlayacağız.
Teknoloji Trendleri ve Work Folder’ın Sağlayacağı Katma-Değer:
Son birkaç yıldır mobil cihazlar çok yüksek seviyede bir kullanım yaygınlığına ulaştı. Ve hayatımızın neredeyse büyük bir oranını mobil cihazlar ve servislerle planlayarak yaşıyoruz. Bu değişim iş dünyasını da doğal olarak etkisi altına almış durumda. Tabi burada dikkat edilmesi gereken en önemli konu mobil ekosisteminizdeki sınırları doğru tanımlamak. Bu konuda Gartner’ın 2014 teknoloji trendlerini incelediğimizde 2018’e kadar mobil dünyadaki gelişmeler ve aygıt çeşitliliğinden dolayı özellikle şirket ortamındaki kaynakların mobil dünyaya erişime açılmasında bugünden ciddi bir strateji ve sınırlar belirlenmezse bir kaos yaşanacağı tahmin ediliyor. Mobil dünyaya açılması düşünülen alanların başında da organizasyonların sahip olduğu bilgi, belgelerin depolandığı ve yönetildiği “dosya sunucuları” önemli bir yer tutuyor. Her gün onlarca döküman üretiyor ve bunları da kendi bilgisayarınızda, şirketinizin kendi lokasyonunda bulunan dosya sunucusunda (on-premise) ya da her ikisinde kontrolsüz ve parça parça depoluyor olabilirsiniz. Hatta bazen işyeri dışında bulunduğunuz durumlarda da bilgi ve belgeler üzerinde çalışacaksanız bu dökümanı USB ile yanınızda taşıma, bulut üreticilerinin dosya depolama platformları üzerine (OneDrive, Dropbox vb.) yükleme gibi seçenekleri de kullanabilirsiniz. Fakat özellikle kurumsal bilgilerin hassasiyeti ve güvenlik politikaları gereği verinin dışarıya çıkarılması çoğu zaman mümkün olmayabilir.
Özellikle çalışanlarımız şirket dışında iken iş ile ilgili dökümanlara, belgelere ya da bilgilere erişim sağlama konusunda genelde şu anda uygulanan çözüm SSL-VPN teknolojisi ile şirkete uzaktan bağlanmalarını sağladıktan sonra kendi bilgisayarlarına uzak masaüstü ile bağlanıp kurum içerisindeki dökümalara, bilgi ve belgelere erişerek çalışmaları şeklindedir.
Windows Server 2012 R2 ile dosya sunucu hizmetlerinde gelen “Work Folders” özelliği sayesinde şirket ortamındaki dosya sunucusunu “güvenilir ve güvenli bir mimaride konum bağımsız erişime” açabilme, üstelik “konum bağımsız şirket ortamındaki merkezi dosya sunucusuna senkronizasyon“ yeteneği ile de kullanıcı cihazı ya da bilgisayarına kaydettiği dökümanın şirketin dosya sunucusuna otomatik senkronizasyonu da sağlanmış olacak ve kullanıcı şirkete geldiğinde herhangi bir işlem yapmadan dosya sunucusunda şirket dışında iken ürettiği belge ve dökümanlara da ulaşabilecektir.
Work Folders yeteneği sayesinde konum ve cihaz bağımsız erişime açılan dosya sunucularımız üzerinde File Server Resource Manager (FSRM) yetenekleri olan disk kota, file screening, dosya sınıflandırma ve Rights Management Service (RMS) ile dökümanların korunması, Encrypting File System (EFS) ile şifrelenmesi, Branch Cache ile önbellekleme özelliklerini de kullanmaya devam etmiş olacaksınız. Yine şirket ortamındaki dosya sunucularını failover clustering mimarisinde kurarak yüksek erişilebilirliği de sağlayabilirsiniz.
Böyle bir teknik altyapıyı hayata geçirmede BT ekiplerine ciddi görevler düşüyor. Zira, kullanıcıların hangi cihazdan bağlandığı, bu cihazların yönetimi, kontrolü, bu cihazlardan yapılan bağlantılarda hassas şirket bilgilerinin korunması ciddi bir planlama, tasarım ve altyapı gerektiriyor. Çünkü kullanıcıların kullandıkları cihazlar her an çalınma, satılma ya da kaybolma gibi riskleri barındırıyor.
Work Folders mimarisinin kurulumu ve hayata geçirilmesi için altyapıda belli gereksinimlerin sağlanması ve yapılandırmaların gerçekleştirilmesi gerekmektedir. Şimdi bunları adım adım belirtelim:
· Dosya sunucusu olacak olan Work Folder Sync paylaşımlarının depolanacağı sunucunun işletim sistemi Windows Server 2012 R2 olmalıdır.
· Kullanıcı dökümanlarının NTFS dosya sistemine sahip volume üzerinde olması gerekir.
· Windows 7 istemciler için password politikalarını etkinleştirecekseniz bu politikaların Group Policy üzerinden password politikalarının etkin olması gerekir.
· Şirket dışından kullanıcıların work folder paylaşımlarına erişebilmeleri için mutlaka SSL sertifikasına sahip olmanız gerekir. Bu sertifikayı şirket içi sertifika sunucusundan üretebileceğiniz gibi, operasyonel olarak size yük getirmemesi ve güvenliği açısından da üçüncü parti güvenilen bir otoriteden work folder erişim host adınıza göre temin etmeniz gerekir.
· Dosya sunucusuna erişim yapılacak HTTPS URL adresinin gateway ya da proxy yayın sunucusu üzerinden yayınlanmış olması gerekir. Windows Server 2012 R2 ile gelen Web Application Proxy rolünü bu amaçla kullanabilirsiniz.
· Work Folder erişimi için dış dünyadan erişilecek DNS A kaydının açılması gerekir. Örneğin bizim örneğimizde fs1.contoso.com gibi. Siz ihtiyaca göre wf.domainadi.uzantisi şeklinde kendinize göre bu kaydı açtırabilirsiniz.
· Kimlik doğrulamasında isteğe bağlı olarak Active Directory Federation Servis bileşeni ile de entegre edilebilir.
Work Folder Desteklenen İstemciler
· Windows 7 (Sadece Enterprise, Ultimate ve Professional versiyonları için desteklenir.)
Windows 7 istemciler domaine üye olma gereksinimi vardır.
Kullanıcı profilinin tutulduğu sistem sürücüsünde Work Folder dökümanlarının depolanabileceği boyutta disk alanının olması gerekir.
Lab 1 : Work Folder Altyapısının Hazırlanması
Work Folders mimarisinin kurulumu ve hayata geçirilmesi için altyapıda belli gereksinimlerin sağlanması ve yapılandırmaların gerçekleştirilmesi gerekmektedir. Bunları sunucu üzerindeki hazırlıklar ve istemci üzerindeki hazırlıklar olarak iki gruba ayırıyoruz.
Work Folders yapılandırmasını yapacağımız dosya sunucusu
Domain ortamına üye Windows 8.1 istemci bilgisayarı
Work Folders çözümünü test edeceğimiz şirket ortamında domaine üye kullandığımız istemci bilgisayarı
Work Folders çözümünü test edeceğimiz şirket dışında (domain üyesi olmayan) kullandığımız istemci bilgisayarı
Ortamda contoso.com isimli Windows 2012 R2 domain yapımız kurulmuştur.
Domain içerisinde FS1 isimli dosya sunucusuna ait bilgileri de yine aşağıda görmektesiniz:
Domain içerisinde üye olan şirket ortamındaki CLIENT1 isimli istemci bilgisayarına ait detayları da aşağıda görmektesiniz:
Öncelikle mevcut dosya sunucumuzun Windows Server 2012 R2 işletim sisteminde olması gerekiyor. İlk adım olarak FS1 isimli dosya sunucumuzun üzerine File Server Rolü altındaki Work Folders alt bileşenini yüklüyoruz. Bu işlem için Server Manager konsolunda Manage menüsünden Add Roles and Features ile kurulum sihirbazını başlatıyoruz.
Installation Type ekranında “Role-based or feature-based installation” seçeneği seçili iken Next ile bir sonraki adıma geçiyoruz.
Select destination server ekranında FS1.contoso.com isimli dosya sunucumuz seçili iken Next ile ilerliyoruz.
Gelen Roles ekranında File and iSCSI Services rolü altındaki Work Folders kutucuğunu aktifleştiriyoruz. Karşımıza gelen ekranda Add Features butonu ile ilgili feature’ların da yüklenmesini aktif hale getiriyoruz.
Select features sayfasında ilave bir kurulum yapmayacağımız için Next ile ilerliyoruz.
Karşımıza Web Server Role (IIS) ekranı gelir. Çünkü Work Folders özelliği ile paylaşımları HTTPS üzerinde yayınlayacağımız için Internet Information Service çekirdek bileşenleri de kurulmuş olması gerekir.
Select Role Services sayfasında ilave bir IIS rol seçeneği seçmiyoruz. Varsayılan olarak IIS Hostable Web Core ve IIS Management Console bileşenleri kurulacaktır.
Next ile sonraki adıma ilerliyoruz.
Confirm installation services ekranında Install ile kurulum sürecini başlatıyoruz.
Kurulum başarıyla tamamlandıktan sonra Close ile kapatıyoruz.
Dosya Sunucusu Üzerine HTTPS Amaçlı Sertifika Yüklenmesi:
FS1 isimli dosya sunucumuz üzerine Work Folders bileşenini yükledikten sonra şimdi de HTTPS üzerinden paylaşımlara erişim için SSL sertifikasının web sitesi üzerine atanmasını gerçekleştireceğiz. Böylece dosya sunucusu ile istemci arasındaki taşınan bilgi ve belgelerin güvenli bir mimaride taşınması sağlanmış olacaktır. Bu amaçla öncelikle FS1 üzerinde Internet Information Service konsolunu açıyoruz. Default Web Site üzerinde Edit Bindings ile protokol ayarlarına geliyoruz:
Şu an için herhangi bir protokol tanımlı olmadığı için Add ile protokol tanımlama ekranını açıyoruz.
Add Site Binding ekranında aşağıdaki gibi HTTPS protokolünü ve sertifika seçimlerini gerçekleştiriyoruz:
Buradaki Wildcard Web Cert isimli web server SSL sertifikasına aynı zamanda Enterprise Root CA rolüne sahip DC isimli domain controller sunucu üzerine önceden oluşturup, FS1 isimli dosya sunucusu üzerine yüklemiştik.
OK ile onayladıktan sonra Bindings listesine HTTPS gelmiş olacaktır:
Close ile bu ekranı kapatarak SSL sertifikası tanımlama adımını tamamlamış oluyoruz. Artık IIS konsolunu da kapatabilirsiniz.
Dosya Sunucusu Üzerinde Paylaşımların Oluşturulması
Dosya sunucusu üzerinde Work Folders bileşeninin kurulumundan sonra da senkronizasyon paylaşımının oluşturulması adımı gelmektedir. Normalde şirket ortamında çalışırken dosya sunucusu üzerindeki paylaşımlara SMB (Server Message Block) protokolünü kullanarak erişebiliyoruz. Bu şekilde erişilen paylaşımlara SMB paylaşımı (SMB share) adını veriyoruz. Öncelikle bir SMB Share oluşturarak başlayalım:
Server Manager konsolunda File and Storage Services altında Shares bölümüne geliyoruz.
SHARES alanındaki “To create a file share, start the New Share Wizard” linkine tıklayarak paylaşım sihizbazını çalıştırıyoruz.
Select the profile for this share ekranında SMB Share Quick seçili iken Next ile ilerliyoruz.
Select the server and path for this share ekranında varsayılan ayarlar seçili iken Next ile ilerliyoruz.
Specify Share Name sayfasında WFSyncShare paylaşım adını Share name metin kutusuna giriyoruz.
Configure Share Settings sayfasında paylaşımla ilgili detaylı ayarları yapılandırabilirsiniz.
Enable access-based enumaration özelliği ile kullanıcının paylaşım klasörü içerisinde kendi yetkisi dışındaki klasörleri görmesi ve erişmesini engelleyebilirsiniz. Allow caching of share seçeneği ile paylaşım içeriğinin çevrim dışı kullanımını aktifleştirerek şirket dışında olduğu zamanlarda da kendi üzerindeki önbellekten belgelere erişimini sağlayabilirsiniz. Yine dosya sunucusu üzerinde Branch Cache özelliği yüklenir ve yapılandırılırsa paylaşım için branch cache özelliğini aktifleştirebilirsiniz. Encrypt data access seçeneği ile paylaşım içeriğinin şifrelenmesini aktifleştirebilirsiniz. Biz yukarıdaki şekilde görülen haliyle yapılandırmamız yapıp, Next ile sonraki adıma devam ediyoruz.
Specify permissions to control access sayfasında paylaşım üzerindeki yetkilerin tanımlanması gerçekleştirilir. Bu aşama bizim geleneksenel olarak klasörler üzerinde Sharing tabından paylaşım izinlerini, Security tabından da NTFS güvenlik izinlerini tanımladığımız arayüzlerin Server Manager konsolundaki karşılığıdır. Customize permission butonuna tıklanınca aşağıdaki “Advanced Security Settings for WFSyncShare” ekranı karşımıza gelir.
Bu ekranda Permissions tabından NTFS security izinleri atanırken, Share tabından da paylaşım izinleri tanımlanabilir. Biz varsayılan yetkilerde herhangi bir değişiklik yapmadan Next ile ilerliyoruz.
Confirm Selections ekranında şu ana kadar yaptığımız ayarların bir özeti gelecektir. Create ile paylaşım oluşturulmasını başlatıyoruz.
Paylaşım oluşturulduktan sonra Close ile ekranı kapatıyoruz. Oluşan paylaşım SHARES altına gelmiş olacaktır:
Windows Server 2012 R2’nin Work Folders yeteneği sayesinde şirket dışında çalışıyorken dosya sunucusu üzerindeki kaynaklara erişimi ise HTTPS güvenli protokolü üzerinden gerçekleştireceğiz. İşte HTTPS üzerinden paylaşımlara erişim için Work Folder Senkronizasyon Paylaşımının da açılması gerekmektedir. Bu işlem için de Server Manager yönetim konsolunu kullanıyoruz. Şimdi de adım adım HTTPS paylaşımını oluşturalım:
Server Manager konsolunda File and Storage Services altında Work Folders bölümüne geliyoruz.
WORK FOLDERS alanında görülen “To create a sync share for Work Folders, start the New Sync Share Wizard” linkine tıklayarak work folder paylaşım oluşturma sihirbazını başlatıyoruz.
Before you begin sayfasını Next ile geçiyoruz.
Select the server and path sayfasında bir önceki adımda oluşturduğumuz SMB paylaşımı gelecektir. Bunu Work Folder erişimi için de paylaşıma açmak için “Select by file share” seçeneği seçili iken ilgili paylaşımın seçili olduğunu kontrol edip Next ile ilerliyoruz.
NOT: “Select by file share” yerine “Enter a local path” seçeneğini seçerseniz SMB paylaşımı olmayan tamamen yeni bir paylaşımı Work Folder üzerinde oluşturmuş olacaksınız. Bu durumda bu paylaşımın SMB paylaşımı olmadığı için şirket ortamından SMB üzerinden paylaşıma erişim olmayacaktır.
“Specify the structure for user folders” sayfasında klasör isimlendirme formatının nasıl olacağını belirliyoruz. Burada user alias ile kullanıcının adı ile klasörlerin oluşturulması olabileceği gibi user alias@domain seçeneği ile de UPN suffix kullanılarak da klasörlerin oluşturulması sağlanabilir.
Yine bu ekranda Work Folders üzerinden senkronize olacak klasörü kullanıcının profil klasörünün tamamı yerine bir alt klasörü de örneğin, Documents tanımlanabilir. Bu durumda kullanıcıların sadece Documents klasörü içerisindeki dökümanlar Work Folder üzerinden otomatik senkronize olacak şekilde yapılandırılmış olacaktır. Biz bu ekranda gelen seçeneklerde herhangi bir değişiklik yapmadan Next ile ilerliyoruz.
“Enter the sync share name” sayfasında klasör için Work Folder paylaşım adını belirliyoruz.
Biz gelen paylaşım adında herhangi bir değişiklik yapmadan Next ile ilerliyoruz.
“Grant sync access to groups” sayfasında Work Folder paylaşımına ait yetkilerin tanımlanmasını gerçekleştiriyoruz. Biz bu aşamada daha önce active directory içerisinde oluşturduğumuz “Sync-Users” isimli grubu Add ile ekliyoruz. Alt kısımda gelen “Disable inherited permissions and grant users exclusive access to their files” kutucuğunu da aktifleştiriyoruz. Böylece Admin yetkisine sahip kullanıcılar bile diğer kullanıcıların klasörleri içerisine girmesi engellenmiş olacak.
Bu yapılandırmalardan sonra Next ile bir sonraki adıma ilerliyoruz.
“Specify device policies” sayfasında mobil aygıtlar için kullanılacak aygıt politikaları etkinleştirilebilir. Özellikle aygıtların çalınması, kaybedilmesi ya da bir çalışanın şirket içerisindeki rolünün değişmesi durumlarında uzaktan cihaz üzerindeki veriler silinebiliyor (wipe yeteneği). Bu yeteneğin devreye alınmasını Windows Intune gibi merkezden bir mobil aygıt yönetim platformuna sahip olmanız gerekir. Encrypt Work Folders seçeneği ile work folder paylaşım içeriğinin EFS ile şifrelenmesi aktifleştirilebilir. Yine “Automatically lock screen, and require a password” seçeneği ile cihazlarda otomatik kilitleme ve tekrar açılması için parola zorunluluğu gibi koruma önlemlerini de etkinleştirebilirsiniz. Şirket dışı kullanımlar için bu tür güvenlik politikalarını kullanıcının insiyatifine bırakmadan buradan zorunlu olarak uygulamanızı tavsiye ederim.
Confirm Selections sayfasında bu aşamaya kadarki yaptığımız yapılandırmaların özetini göreceksiniz. Bu adımda Create butonuna tıklayarak Work Folder paylaşımının oluşturulmasını tamamlıyoruz.
Close ile New Sync Share Wizard ekranını kapatıyoruz. Server Manager konsolunda WORK FOLDERS altında paylaşımın geldiğini göreceksiniz.
Work Folder paylaşımını aşağıdaki olduğu gibi PowerShell komut satırından da oluşturmak mümkün.
New-SyncShare WFSyncShare -path "C:\Shares\WFSyncShare" -User "Contoso\Sync-Users" -RequireEncryption $true -RequirePasswordAutoLock $true -InheritParentFolderPermission
Group Policy Üzerinde İstemciler İçin Work Folder Yapılandırma Ayarları
Bu aşamaya kadar FS1 isimli dosya sunucusu üzerinde SMB ve Work Folder paylaşımlarını oluşturduk. Kullanıcının bağlantı durumunda göre şirket içerisinde olduğu durumlarda SMB paylaşımından şirket dışı çalışırken de Work Folder paylaşımı üzerinden erişim sağlamış olacaktır. Şimdi de istemci bilgisayarlarında Work Folder özelliğini etkinleştirecek yapılandırmayı group policy üzerinden devreye alacağız. Bu yapacağımız konfigürasyon GPO üzerinden kullanıcılara uygulanmış olacak.
Öncelikle DC isimli domain controller sunucumuza bağlanıyoruz ve Group Policy Management konsolunu açıyoruz. Active directory içerisinde Managed-Objects OU’su altında mobil cihaz kullanan kullanıcıların bulunduğu Users OU’suna “User-SyncShare-Settings” isimli bir GPO oluşturup, bu OU’ya bağlıyoruz.
“User-SyncShare-Settings” isimli GPO üzerinde Edit ile ayarları yapılandıracağımız Group Policy Management Editor ekranını açıyoruz.
Group Policy Management Editor içerisinde User Configuration, Policies, Administrative Templates, Windows Components altında Work Folders kabına geliyoruz.
Biz Work Folder konfigürasyonunu kullanıcı-bazlı olarak yapılandırıyoruz. Benzer şekilde Computer Configuration, Policies, Administrative Templates, Windows Components altında Work Folders ayarları ile bilgisayar bazında da bu politikalar uygulanabilir. Bu durumda o bilgisayarlardan logon olan tüm kullanıcılar için Work Folders yeteneği aktif olmuş olacaktır. Biz kullanıcı bazında Work Folder uygulamasını devreye alacağımız için User Configuration altından uyguluyoruz.
Yukarıdaki şekilde sağ kısımda gelen “Specify Work Folders Settings” politikası üzerine çift tıklayarak Work Folder ayarlarına geçiyoruz. Öncelikle Enabled seçeneği ile politikayı etkinleştirip, Work Folders URL metin kutusuna work folder erişimlerinin sağlanacağı dosya sunucusunun web yol tanımını giriyoruz. Bu adresin hem şirket içinden hem de şirket dışından ulaşılabilecek bir adres olması gerekir. Dolayısıyla bizim fs1.contoso.com için dış dünyadaki DNS sunuculardan da erişecek şekilde ilgili DNS kaydının açılması gerekir.
Force automatic setup kutucuğu işaretlenerek istemciler üzerindeki Work Folders yapılandırmasında kullanıcının etkileşimi ya da elle yapılandırma yapmasına gerek kalmadan Work Folder ayarlarının devreye alınmasını sağlayabilirsiniz. Tabii bu ayar domaine üye olan ve bu GPO’yu alacak istemciler için avantaj sağlayacaktır. Domain dışı cihazlardan erişim durumunda Work Folder ayarlarını biz elle kendimiz yapılandıracağız. Makalemizin ilerleyen adımlarında bunu gerçekleştiriyor olacağız.
OK ile ilgili ekranı ve Group Policy Management Editor konsolunu kapatıyoruz.
Microsoft’un yeni nesil sunucu işletim sistemi olan Windows Server 2012 R2’nin özelliklerini incelemeye devam ediyoruz. Windows Server 2012 R2’nin en katma-değerli yeniliklerinden biri olan “Work Folder” yeniliğini incelidiğimiz makalemizin birinci bölümünün sonuna geldik. Makalemizin bu bölümünde genel olarak Work Folder mimarisini, teknoloji trendlerindeki yerini ve ortam gereksinimlerini anlatıp, Work Folder uygulaması için kullanacağımız laboratuvar ortamını hazırladık. İkinci bölümde istemcilerle work folder kullanım, yapılandırma ve güvenlik testlerini inceliyor olacağız.
İkinci bölümde görüşmek üzere esenkalın.