Active Directory / LDAP Girişi

Yerel ve dizin kullanıcıları aynı giriş ekranını kullanır. YEKE, hesabı tanıdıktan sonra kimlik doğrulamasını yerel olarak veya dizinde yapar. Kullanıcının sağlayıcı seçmesi gerekmez.

YEKE önce servis hesabıyla kullanıcıyı dizinde arar. Ardından kullanıcının girdiği parolayla ayrı bir bind bağlantısı açarak kimliği doğrular. Servis hesabı ve base DN alanları bu arama için gereklidir.

Bu özellik Enterprise lisansın sso kalemiyle açılır ve bu sayfa o kalemin dizin yarısını anlatıyor: dizine bağlanma, kimlik doğrulama ve grup okuma. Keycloak/Entra ID gibi sağlayıcılarla OIDC tabanlı SSO 0.14.0'da geldi ve aynı bayrakla açılır; ikisi aynı anda etkin olabilir.

sunucu ve port          :  ldaps://ad.ornek.com:636
CA sertifikası          :  sirket-ca.pem
servis hesabı (bind DN) :  CN=yeke-oku,OU=Servis Hesaplari,DC=ornek,DC=com
arama tabanı (base DN)  :  OU=Kullanicilar,DC=ornek,DC=com
kullanıcı filtresi      :  (sAMAccountName={login})

Kaydettiğinizde ekrandaki "Bağlantıyı test et" düğmesi servis hesabıyla gerçekten bağlanır. Yanlış bir alan kayıt ekranında görünür, ilk gerçek kullanıcı girişinde değil.

Varsayılan sAMAccountName'dır — kurumların alıştığı kısa ad (örn. ayilmaz). userPrincipalName de seçilebilir (örn. [email protected]). Girişte kullanıcı hangisini yazarsa yazsın, kullanıcı filtresi ikisini de arayabilir — ama YEKE'nin kullanıcı listesinde ve denetim izinde görünen ad her zaman seçtiğiniz özniteliğin değeridir.

Kullanıcı adı değişirse YEKE bunu sonraki girişte günceller. Kayıt objectGUID ile eşlendiği için aynı kullanıcı korunur; eski ve yeni ad denetim izine yazılır. Yeni ad yerel bir hesapla çakışırsa güncelleme hatayla durur.

Rol dizinden türeyebilir

Dizin kaydında isteğe bağlı bir "yönetici grubu" tanımlayabilirsiniz. Tanımlıysa kullanıcının rolü her girişte o gruba üyeliğe göre yeniden hesaplanır: üyeyse admin, değilse member. Tanımlı değilse rol her zamanki gibi YEKE'nin kullanıcı ekranından yönetilir. Bir dizin grubu rolü belirliyorsa o kullanıcının rolü artık elle değiştirilemez — aksi hâlde yazdığınız değişikliği bir sonraki giriş sessizce ezerdi.

Kubernetes kimliği: cluster kuralına açık bir liste eklenir

Yetkilendirme ve RBAC sayfasındaki cluster kuralı + kişisel bağlama modeli aynen geçerlidir; dizin eklendiğinde cluster kimlik kuralına, hangi AD grubunun hangi Kubernetes grubuna (impersonation grubu) akacağını yazan açık bir liste eklenir. Eşleme cluster başınadır — aynı AD grubu farklı cluster'larda farklı Kubernetes gruplarına gidebilir.

AD grubu (DN)                                    Kubernetes grubu
CN=YEKE-Operators,OU=Gruplar,DC=ornek,DC=com  →  yeke:cluster-admins
CN=Odeme-Ekibi,OU=Gruplar,DC=ornek,DC=com     →  odeme-nobet

system:masters hiçbir eşlemede kabul edilmez; yazdığınız anda reddedilir, yetkilendirme sayfasındaki aynı kuralın buradaki karşılığı.

İç içe (nested) grup üyeliği daima okunur

Nested grup üyelikleri de okunur ve eşlemeye dahil edilir. Bu davranış kapatılamaz. Ek grup sorgusu yalnızca giriş sırasında çalışır; her cluster isteğinde tekrarlanmaz.

• Otomatik oluşturma (JIT). Dizinde doğrulanan ama YEKE'de henüz kaydı olmayan kullanıcı, ilk başarılı girişte otomatik olarak oluşturulur. Kimin girebileceğini YEKE'de ayrıca bir listede tutmanız gerekmez — o karar zaten dizinindir; kapsamı daraltmak istiyorsanız kullanıcı filtresine bir grup şartı yazmanız yeterlidir.
• Koltuk tüketir. Otomatik oluşan kullanıcı, elle oluşturulmuş biri gibi bir lisans koltuğu tüketir. Kullanıcı tavanı dolmuşsa yeni bir dizin kullanıcısının ilk girişi açık bir hatayla reddedilir ve YEKE'de satır oluşmaz.
• YEKE'nin kendi freni önceliklidir. Bir kullanıcı YEKE tarafında devre dışı bırakılmışsa, dizindeki parolası hâlâ geçerli olsa bile giriş reddedilir. Bu, dizinin durumundan bağımsız çalışan bir acil fren.

• İki yol aynı anda çalışır. Active Directory / LDAP açıldığında yerel kullanıcı + parola girişi kaldırılmaz; ikisi aynı ekranda, aynı anda yaşar.
• Kurulum sahibi (owner) her zaman yereldir. Owner'lık bir dizin kullanıcısına devredilemez — dizin erişilemez olduğunda, yanlış yapılandırıldığında ya da lisans dondurulduğunda bile yerel yönetici girişi açık kalır.
• Dizin kullanıcısı admin olabilir, owner olamaz. Rol yukarıdaki gruba göre ya da elle admin verilebilir; owner'lık yalnızca yerel bir hesaba aittir.
• Dizine ulaşılamaması yerel girişi etkilemez. Ağ, sertifika ya da kapalı sunucu yüzünden dizine ulaşılamadığında dizin kullanıcılarının girişi başarısız olur, ama yerel yol ayrı bir bağlantı kapasitesi kullandığı için bundan hiç etkilenmez.

• SAML ve SCIM yok. Keycloak/Entra ID gibi sağlayıcılarla OIDC tabanlı SSO 0.14.0'da geldi ve aynı sso kalemine dâhil; SAML ile SCIM ise talebe göre planlanan kuyrukta.
• Tek dizin desteklenir. Birden fazla bağımsız dizine aynı anda bağlanma yoktur. Çok-domain bir Active Directory ormanının cevabı, Global Catalog portuna (3268/3269) bağlanmaktır — tek bağlantıyla ormanın tamamında arama yapar.
• YEKE dizine yazmaz. Parola değiştirme/sıfırlama, hesap açma/kapatma gibi işlemler dizinin kendi tarafında kalır; YEKE'nin servis hesabı yalnızca okur ve öyle kalmalıdır.
• Grup üyeliği girişte okunur, sürekli izlenmez. Dizinde bir kullanıcının grubu değiştiğinde YEKE bunu bir sonraki girişte ya da oturum iptalinde görür, anlık değil.
• Parolasız / masaüstü tek oturum açma yok. Yalnızca kullanıcı adı + parolayla bağlanma (simple bind, TLS içinde) desteklenir; Kerberos/GSSAPI kapsam dışıdır.
• Lisanssız kurulumda bu sayfadaki hiçbir şey çalışmaz. Dizin yapılandırma ekranı ve dizinli giriş, Enterprise sso kalemi olmadan açık bir hatayla reddedilir; yerel giriş bundan hiç etkilenmez.