Forest Functional Level (FFL) ve Domain Functional Level (DFL) Kavramı

Bu makalemde sizelere danışmanlık verdiğim ortamlarda sıklıkla Domain Controller kurulum işlemlerinde planlamasının ve kurulumunun yanlış yapıldığını gördüğüm Functional Level kavramından, ne olduğundan ve nasıl kullanılması gerektiğinden bahsediyor olacağım. Makalem, konunun anlaşılması için birkaç değişik senaryodan oluşacak olup, bu içerikte bahsedilmemiş farklı senaryolar için de ışık tutması ve bir fikir vermesi amaçlanmaktadır. Bu makalenin asıl amacı; Domain ortamını ilk kez kurarken, Windows Server işletim sistemi seviyenize göre fonksiyonellik seviyelerinin ne olacağı ve nasıl planlanması gerektiği ve mevcut Domain ortamlarında fonksiyonellik seviyelerinin, ortama dahil edeceğiniz en yeni işletim sistemine sahip olan Domain Controller'lara göre, yönetimini nasıl yapacağınızdır.

Active Directory (AD) yönetiminde karşılaşılan önemli kavramlardan biri olan Forest Functional Level (FFL) ve Domain Functional Level (DFL), AD'nin çeşitli işlevlerini ve yeteneklerini belirleyen kritik seviyelerdir. Bu seviyeler, Active Directory ortamındaki sunucuların işletim sistemi sürümlerine ve sağladıkları özelliklere göre değişiklik gösterir. Microsoft, piyasaya sürüldüğü her yeni nesil Server işletim sistemine ek fonksiyonellik; yani daha güçlü, daha kullanışlı özellikler eklemektedir. Microsoft, aynı zamanda yeni nesil işletim sistemlerininin geriye dönük uyumlu çalışmasını da istemektedir. Bu fonksiyonellik seviyeleri, o yapı üzerinde hangi gelişmiş özelliklerin yer alıcağını belirlemektedir. Ör. Farklı kullanıcı ve gruplar için Password Policy ayarları yapabilmenize olanak sağlayan Fine Grained Password Policy, Windows Server 2008 ile birlikte kullanıma sunuldu. Eğer ortamınızda bu işletim sistemi versiyonundan daha eski bir Domain Controller bulunuyorsa, bu özelliği kullanmanız mümkün değildir.

Başka bir örnekte ise Active Directory'de silinen nesnelerin geri kurtarılması (Restore Deleted Objects) işlemine olanak sağlayan Recycle Bin, Windows Server 2008R2 ile birlikte kullanıma sunuldu. Eğer ortamınızda bu işletim sistemi versiyonundan daha eski bir Domain Contoller bulunuyorsa, bu özelliği kullanmanız mümkün değildir.

Functinal Level'lar, piyasaya sürülen yeni versiyon Windows Server'ların ek özelliklerini kullanabileceğiniz anlamına geldiği gibi, aynı zamanda da ortamınızda kullanabileceğiniz Domain Controller'ların hangi versiyonda olabileğini belirleyen unsurlardır. Burada seviyeyi belirleyen etken, en eski işletim sistemine sahip olan Domain Controller'dır. Örneğin, Domain ortamınızı Windows Server 2012 R2 Windows Server işletim sistemli bir Primary Domain Controller ile kurduğunuzu ve fonksiyonellik seviyelerinin de yine bu işletim sistemi seviyesinin en yüksek seviyesi olan Windows Server 2012 R2 olduğunu varsayarsak, Forest ortamınızda Windows Server 2012 R2'nin getirdiği fonksiyonellik özelliklerinden faydanlabilirsiniz. Ancak bunun üstü seviyelerde kurduğunuz Windows Server işletim sistemli Additional Domain Controller'lar da Domain ortamınızı kurduğunuz ilk Windows Server işletim sistemli Primary Domain Controller'ın Fonksiyonellik seviyelerine sahip olacaktır. Bu nedenle, Ör. Ortamınıza Windows Server 2016 işletim sistemi versiyounlu bir Additional Domain Controller kurduğunuzu ve Domain Controller Migration operasyonu gerçekleştirdiğinizi düşünürsek; geçişin tamamlanmasının ardından, Windows Server 2016'ın getirdiği fonksiyonellik özelliklerinden faydanlabilmek için Functional Level Raise etme işlemleri yapılandırılmalıdır.

Öncelikle, Forest Functional Level ve Domain Functional Level kavramlarının ne anlama geldiğine bakalım:

Forest Functional Level (FFL)
Forest Functional Level, bir Active Directory ormanındaki tüm etki alanlarının kullanabileceği en yüksek işlevsellik düzeyini belirler. Bu seviye, ormandaki tüm etki alanlarının en düşük Domain Functional Level seviyesine bağlıdır. Örneğin, bir ormanda Windows Server 2016 FFL kullanmak istiyorsanız, tüm etki alanlarının en az Windows Server 2016 DFL seviyesinde olması gerekir. Forest Functional Level, Active Directory replikasyonu, Global Catalog, ve Forest Trust gibi orman genelindeki özellikleri etkiler.

Domain Functional Level (DFL)
Domain Functional Level, bir Active Directory etki alanındaki işlevsellik düzeyini belirler. Bu seviye, etki alanında kullanılan en düşük işletim sistemi sürümüne bağlıdır. DFL, etki alanı içindeki kullanıcı ve grup hesaplarının, güvenlik politikalarının ve diğer etki alanı tabanlı özelliklerin nasıl yönetileceğini belirler. Örneğin, Windows Server 2012 DFL seviyesinde olan bir etki alanı, bu seviyeye özgü özellikleri destekler ve kullanabilir.

Bu seviyeler, Active Directory'nin çeşitli özelliklerinin etkinleştirilmesini veya devre dışı bırakılmasını sağlar. Örneğin, daha yüksek bir FFL veya DFL seçmek, daha yeni özelliklerin kullanılmasına olanak tanır, ancak bu, tüm Domain Controller'ların (DC) bu seviyeyi destekleyen işletim sistemi sürümlerine yükseltilmesini gerektirir.

Peki, Forest Functional Level ve Domain Functional Level'ların yükseltilmesinin getirdiği faydalar nelerdir?

1- Yeni Özellikler ve İyileştirmeler: Her yeni Functional Level, Active Directory'ye yeni özellikler ve iyileştirmeler getirir. Örneğin, Windows Server 2016 DFL, Windows Server 2008 DFL'ye göre daha gelişmiş güvenlik ve yönetim özelliklerine sahiptir.

2- Gelişmiş Güvenlik: Yeni Functional Level'lar, genellikle daha güçlü güvenlik protokolleri ve politikaları içerir. Bu, özellikle büyük ve karmaşık ağ yapılarında güvenlik risklerini azaltmaya yardımcı olur.

3- Performans Artışları: Yeni seviyeler, genellikle daha iyi performans ve verimlilik sağlar. Bu, özellikle büyük organizasyonlarda Active Directory'nin daha hızlı ve daha etkili çalışmasına olanak tanır.

4- Uyumluluk ve Destek: Yeni Functional Level'lar, genellikle en son yazılım ve donanım uyumluluğunu garanti eder. Bu, yeni teknolojilere geçişte sorunsuz bir entegrasyon sağlar.

Özetle, Forest Functional Level ve Domain Functional Level, Active Directory yönetiminde kritik öneme sahip seviyelerdir. Bu seviyelerin doğru bir şekilde belirlenmesi ve yönetilmesi, Active Directory'nin işlevselliğini, güvenliğini ve performansını doğrudan etkiler. Bu nedenle bu kavramların iyi anlaması ve uygun şekilde yönetmesi, büyük önem taşır.

Domain ortamını hangi Windows Server işletim seviyesi ile kurarsanız, DFL ve FFL seviyeleri de varsayılan olarak o Windows Server işletim seviyesinde gelecektir. Functional Level seviye değiştirme işlemleri, Forest Functional Level seviyesine bağlıdır. Forest Functional Level seviyesi aşağı yönde değiştikçe, Domain Functional Level seviyesi de eş zamanlı olarak aşağı yönde değiştirebilir durumda olacaktır.









Bu noktada Domain Functional Level (DFL), Parent Domain'deki Additional Domain Controller'ın hangi Windows Server işletim seviyesi ile kurulabileceğini belirlerken Forest Functional Level (FFL), tüm Child Domain'lerdeki Additional Domain Controller'ın hangi Windows Server işletim seviyesi ile kurulabileceğini belirler.
Child Domain'lerde kurulacak olan Domain'lerin Functional Level seviyeleri de, Forest Functional Level (FFL) seviyesine göre belirlenmekte olup; Forest Functional Level (FFL), sadece Child Domain'leri ilgilendiren bir fonksiyonellik seviyesidir.

Örnek Senaryo-1

Bu örnek senaryoda 1 Parent Domain, 2 tane de Child Domain yapımız bulunuyor. Domain yapısı, Windows Server 2016 işletim sistemi kuruluştur.

● Parent Domain: firatboyan.com
• Forest Functional Level- Windows Server 2016
• Domain Functional Level- Windows Server 2016

1- Parent Domain'de Windows Server 2016 işletim sistemi seviyesinde Additional Domain Controller kurulabilir.
2- Parent Domain'de Windows Server 2019 işletim sistemi seviyesinde Additional Domain Controller kurulabilir.
3- Parent Domain'de Windows Server 2012 R2 işletim sistemi seviyesinde Additional Domain Controller Kurulamaz!

Parent Domain'de Domain Functional Level (DFL) seviyesi baz alınarak Additional Domain Controller kurulumu yapılabilmektedir. Domain'deki DFL, Windows Server 2016 seviyesi olduğu için Additional Domain Controller kurulumlarımda beklenen, DFL seviyesinde belirtilen işletim sistemi versiyonu ile ya aynı seviyede ya da daha üst seviyede olmasıdır. Bu nedenle de Domain ortamına DFL'de belirtilen seviyenin altındaki bir Windows Server işletim sistemi versiyonu ile Additional Domain Controller kurulumu yapılamaz.





● Child Domain-1: istanbul.firatboyan.com
1- Child Domain'de Windows Server 2016 işletim sistemi ile Domain yapısı kurulabilir.
2- Child Domain'de Windows Server 2019 işletim sistemi ile Domain yapısı kurulabilir.
3- Child Domain'de Windows Server 2012 R2 işletim sistemi ile Domain yapısı Kurulamaz!

● Child Domain-2: ankara.firatboyan.com
1- Child Domain'de Windows Server 2016 işletim sistemi ile Domain yapısı kurulabilir.
2- Child Domain'de Windows Server 2019 işletim sistemi ile Domain yapısı kurulabilir.
3- Child Domain'de Windows Server 2012 R2 işletim sistemi ile Domain yapısı Kurulamaz!

Bilgi!: Child Domain, dolayısı ile de Primary Domain Controller kurulumu yapılacak ortamdaki Windows Server işletim sisteminin versiyon seviyesini belirleyen unsur, Parent Domain'deki Forest Functional Level (FFL) seviyesidir. FFL her zaman Child Domain ortamlarının  hazırlanması için kurulacak olan Domain Controller'ların işletim sistemi seviyesini belirlemekte olup, yine DFL'de olduğu gibi, FFL'de de belirtilen Windows Server işletim sistemi seviyesi ile ya aynı seviyede ya da daha üst seviyelerde olmak durumundadır. FFL'de belirtilen seviyenin altındaki Windows Server işletim sistemleri ile Domain Controller kurulumu yapılamamaktadır.

NOT 1: Forest ortamına dahil edilen Windows Server 2019'ın getirdiği fonksiyonellik özelliklerinden faydanlabilmek için FSMO Rolleri Windows Server 2019 işletim sistemli Additional Domain Controller'a transfer edilerek, Primary Domain Controller yapılmalı ve ardından da versiyon olarak düşük seviyedeki Windows Server işletim sistemli Domain Controller'lar Demote edilerek, Windows Server 2019 işletim sistemli Domain Controller'da Functional Level Raise etme işlemleri yapılandırılmalıdır.

Bilgi!: Şunu da bilmenizde fayda var ki, Windows Server 2019 Functinal Level Seviyeleri, Windows Server 2016 ile aynıdır. Yani Microsoft tarafından Windows Server 2019 ile birlikte yeni bir Functional Level seviyesi tanımlanmadı. Burada Windows Server 2019'tan bahsediyor olmam, tamamen bir örnektir.

NOT 2: Functional Level, hangi Windows Server işletim seviyesinde ise, o işletim sistemi seviyesi dahil, tüm üst versiyonlarla Domain Controller kurulumu yapılabilir.

Örnek Senaryo-2

Bu örnek senaryoda 1 Parent Domain, 2 tane de Child Domain yapımız bulunuyor.

● Parent Domain: firatboyan.com
• Forest Functional Level- Windows Server 2012 R2
• Domain Functional Level- Windows Server 2012 R2

1- Parent Domain'de Windows Server 2016 işletim sistemi seviyesinde Additional Domain Controller kurulabilir.
2- Parent Domain'de Windows Server 2019 işletim sistemi seviyesinde Additional Domain Controller kurulabilir.
3- Parent Domain'de Windows Server 2012 R2 işletim sistemi seviyesinde Additional Domain Controller kurulabilir.





● Child Domain-1: istanbul.firatboyan.com
1- Child Domain'de Windows Server 2016 işletim sistemi ile Domain yapısı kurulabilir.
2- Child Domain'de Windows Server 2019 işletim sistemi ile Domain yapısı kurulabilir.
3- Child Domain'de Windows Server 2012 R2 işletim sistemi ile Domain yapısı kurulabilir.

● Child Domain-2: ankara.firatboyan.com
1- Child Domain'de Windows Server 2016 işletim sistemi ile Domain yapısı kurulabilir.
2- Child Domain'de Windows Server 2019 işletim sistemi ile Domain yapısı kurulabilir.
3- Child Domain'de Windows Server 2012 R2 işletim sistemi ile Domain yapısı kurulabilir.


 

Örnek Senaryo-3

Bu örnek senaryoda 1 Parent Domain, 2 tane de Child Domain yapımız bulunuyor.

● Parent Domain: firatboyan.com
• Forest Functional Level- Windows Server 2012 R2
• Domain Functional Level- Windows Server 2016

1- Parent Domain'de Windows Server 2016 işletim sistemi seviyesinde Additional Domain Controller kurulabilir.
2- Parent Domain'de Windows Server 2019 işletim sistemi seviyesinde Additional Domain Controller kurulabilir.
3- Parent Domain'de Windows Server 2012 R2 işletim sistemi seviyesinde Additional Domain Controller Kurulamaz!





● Child Domain-1: istanbul.firatboyan.com
1- Child Domain'de Windows Server 2016 işletim sistemi ile Domain yapısı kurulabilir.
2- Child Domain'de Windows Server 2019 işletim sistemi ile Domain yapısı kurulabilir.
3- Child Domain'de Windows Server 2012 R2 işletim sistemi ile Domain yapısı kurulabilir.

● Child Domain-2: ankara.firatboyan.com
1- Child Domain'de Windows Server 2016 işletim sistemi ile Domain yapısı kurulabilir.
2- Child Domain'de Windows Server 2019 işletim sistemi ile Domain yapısı kurulabilir.
3- Child Domain'de Windows Server 2012 R2 işletim sistemi ile Domain yapısı kurulabilir.



Faydalı olması dileğiyle...