Klasör Var, Yetki Var Ama Erişim Yok: Kerberos ve NTFS İkilemi

Problem

Geçen Salı sabahı çayımın ilk yudumunu alırken Finans departmanından Ayşe Hanım’ın çağrısıyla irkildim. \\FS01\Finans_Ortak ağ sürücüsüne girmeye çalıştığında sürekli "Erişim Engellendi" (Access Denied) hatası alıyordu. Ekip arkadaşları aynı klasöre sorunsuz erişirken, Ayşe Hanım'ın bilgisayarında durum kilitlenmişti. İşin kafa karıştırıcı yanı, Active Directory (AD) üzerinde gerekli tüm yetki gruplarına eklendiğini sistemde doğrulamış olmamızdı.

Nereden başladım

Sorunu teşhis etmek için adım adım şu yöntemleri izledim:

• Kullanıcının bilgisayarında ağ bağlantısını ve ping FS01 komutuyla sunucu erişilebilirliğini doğruladım. İletişimde sorun yoktu.
• Kullanıcının mevcut güvenlik jetonunu (token) kontrol etmek için komut satırından whoami /groups çıktısını aldım. Garip bir şekilde, AD ekibinin yarım saat önce eklediği GR_FINANS_RW grubu bu listede görünmüyordu.
• Dosya sunucusu tarafına geçip icacls komutu ve Windows Explorer'ın Effective Access (Etkili Erişim) sekmesini kullanarak hedef klasörün NTFS ve Paylaşım (Share) yetkilerini karşılaştırdım.

Kök neden

İki farklı sorunun üst üste gelmesiyle karşı karşıyaydık. İlk olarak, kullanıcı AD grubuna eklendikten sonra oturumu kapatıp açmadığı için Windows'un Kerberos güvenlik bileti güncellenmemişti ve sistem kullanıcının yeni grupta olduğunu bilmiyordu. İkincisi, ilgili klasörün üst dizininden devralınan ve geçmişten kalan çakışan bir Explicit Deny (Açıkça Engelleme) NTFS kuralı mevcuttu. Bu kural, grubun tüm erişim izinlerini eziyordu.

Çözüm

Problemi kalıcı olarak çözmek için şu adımları uyguladım: 1. Kullanıcı bilgisayarında klist purge komutunu çalıştırarak eski Kerberos biletlerini temizledim. Ardından oturumu kapatıp tekrar açtırdım. whoami /groups ile yeni grubun jetona işlendiğini teyit ettim. 2. Dosya sunucusundaki ilgili klasörün Gelişmiş Güvenlik Ayarları menüsüne girdim. 3. Geçmişten kalan ve miras alınan (inherited) hatalı Deny kuralını kaldırdım. 4. NTFS sekmesinde GR_FINANS_RW grubuna Modify yetkisi verdim. Paylaşım (Share) izinlerinin ise Everyone: Full Control olarak kaldığından ve kısıtlamanın NTFS katmanında yapıldığından emin oldum.

Ayşe Hanım klasöre anında erişti ve günlük akışına geri döndü.

Ders: Kullanıcıyı gruba eklemek yetmez; Kerberos biletinin tazelendiğinden ve NTFS tarafında çakışan 'Deny' kurallarının bulunmadığından emin olmalısınız.