Pazartesi Sendromu: 'Erişim Engellendi' Hatasının İzinde
Problem
Geçen hafta Finans departmanına yeni başlayan Aslı Hanım'dan bir destek talebi geldi. Şirket dosya sunucusundaki \\SRV-FILE01\Finans_Ortak klasörüne erişmeye çalıştığında "Windows bu klasöre erişemiyor - Erişim engellendi" hatası alıyordu. Garip olan şuydu: Ekip arkadaşları aynı klasöre sorunsuz giriyordu ve Aslı Hanım gerekli olan SEC_Finans_RW Active Directory grubuna dün eklenmişti.
Nereden başladım
Sorunun istemci tarafında mı yoksa sunucu yetkilerinde mi olduğunu anlamak için adım adım ilerledim:
- Kullanıcı bilgisayarında
cmdaçıpwhoami /groupskomutunu çalıştırdım. KullanıcınınSEC_Finans_RWgrubuna üye olduğunu ve Kerberos biletinin güncellendiğini doğruladım. - Sunucuya bağlanıp ilgili klasörün Gelişmiş Güvenlik Sekmesi (NTFS) üzerinden *Etkili Erişim* (Effective Access) aracını çalıştırdım. Sistem, Aslı Hanım'ın Tam Denetim hakkı olduğunu gösteriyordu.
- Doğrudan IP adresi üzerinden (
\\192.168.1.50\Finans_Ortak) erişmeyi denedim ancak sonuç yine olumsuzdu.
Kök neden
Klasörün NTFS izinleri tamamen doğru ayarlanmıştı ama gözden kaçan detay Paylaşım İzinleri (Share Permissions) tarafındaydı. Geçmişte yapılan bir altyapı taşımasında, paylaşım seviyesindeki izin kısıtlanmış ve sadece eski bir güvenlik grubuna yetki verilmişti.
Windows ağ mimarisinde bir dosyaya erişirken NTFS İzinleri ve Paylaşım İzinleri çakışırsa, sistem her zaman *en kısıtlayıcı kuralı* uygular. NTFS tarafında okuma/yazma yetkisi olsa bile, Paylaşım katmanı isteği daha sunucu kapısında engelliyordu.
Çözüm
Çözüm için şu adımları uygulayarak yapıyı en iyi uygulamalara (best practice) uygun hale getirdim:
1. Dosya sunucusunda fsmgmt.msc konsolunu açtım ve Finans_Ortak paylaşımını buldum. 2. Paylaşım İzinleri (Share Permissions) sekmesine geçerek buradaki kısıtlayıcı eski grubu kaldırdım. 3. Paylaşım seviyesinde Domain Users grubuna Değiştir (Change) ve Okuma (Read) izni verdim (Güvenliği paylaşım seviyesinde değil, NTFS seviyesinde yönetmek en sağlıklı yöntemdir). 4. İstemci tarafında klist purge komutu ile Kerberos önbelleğini temizledim ve oturumu kapatıp açtırdım.
Aslı Hanım klasöre anında erişim sağladı ve dosya transferini başlattı.
Ders: Paylaşılan klasörlerde güvenliği her zaman NTFS seviyesinde yönetin; Paylaşım (Share) izinlerini geniş tutarak iki katman arasında çelişki oluşmasını engelleyin.