Ağ Klasöründe 'Erişim Engellendi' Krizini Nasıl Çözdüm?

Problem

Geçen hafta Finans departmanından Selin Hanım yanıma geldi. Yeni dağıttığımız ARM tabanlı Surface cihazına geçtikten sonra, departmanın ortak bütçe klasörüne erişemediğini söyledi. Klasöre çift tıkladığında karşısına çıkan şey soğuk bir ter döktüren 0x80070005 - Erişim Engellendi hatasıydı. Active Directory (AD) panelini açıp baktığımda kullanıcının SEC_FINANS_RW güvenlik grubunda zaten ekli olduğunu gördüm. Yetki var gibi görünüyordu ama sistem geçit vermiyordu.

Nereden başladım

İlk olarak istemci tarafındaki bağlantı kilitlenmelerini ele elemek istedim. Komut satırını (cmd) açıp mevcut ağ oturumlarını sıfırlamak için net use * /delete komutunu koştum. Ardından kullanıcının bilgisayarında aktif güvenlik token'larını kontrol etmek için whoami /groups çıktısını aldım.

İşte ilginç kısım buradaydı: Kullanıcı AD tarafında gruba eklenmiş olmasına rağmen, istemci bilgisayardaki grup listesinde SEC_FINANS_RW grubu görünmüyordu. Domain Controller değişikliği onaylamıştı ama kullanıcının bilgisayarı bundan habersizdi.

Kök neden

Derine indiğimde sorunun iki farklı sebebi olduğunu tespit ettim:

• Kerberos Bilet Önbelleği: Windows, kullanıcı oturum açtığında bir Kerberos TGT (Ticket Granting Ticket) oluşturur. AD'de bir kullanıcıyı gruba eklediğinizde, kullanıcı oturumu kapatıp açmadığı sürece bu yeni grup üyeliği istemcinin biletine yansımaz.
• Çakışan İzin Yapısı: Dosya sunucusunu incelediğimde, Share Permissions (Paylaşım İzinleri) kısmında Everyone grubuna yalnızca Read yetkisi verilmişti. İlgili klasörün NTFS Permissions (Güvenlik) sekmesinde kullanıcıya yazma izni verilse bile, Paylaşım Seviyesindeki kısıtlama NTFS izinlerini eziyordu.

Çözüm

Sorunu adımları izleyerek hızlıca çözüme kavuşturdum:

• İstemci bilgisayarda oturumu kapatıp açmaya gerek kalmadan Kerberos biletlerini sıfırlamak için klist purge komutunu çalıştırdım.
• Kullanıcının bilgisayarını yeniden başlattım ve whoami /groups ile grubun bilet içerisine başarıyla geldiğini doğruladım.
• Dosya sunucusuna geçip ilgili paylaşılan klasörün Share Permissions sekmesini Authenticated Users - Full Control olarak güncelledim.
• Hassas yetkilendirme kontrolünü tamamen NTFS Permissions sekmesine bıraktım ve buradaki SEC_FINANS_RW grubuna Modify yetkisi atadım.

Selin Hanım klasöre tıkladı ve dosyalarına anında erişti.

Ders: Active Directory grubuna yeni eklenen bir kullanıcının yetkilerinin geçerli olması için Kerberos biletinin yenilenmesi gerektiğini ve Paylaşım (Share) izinlerinin NTFS izinlerini kısıtlayabileceğini asla unutmayın.