DEV Community: ERSİN ÇÖL

Fine Grained Password Policies - FGPP

ERSİN ÇÖL — Tue, 03 Nov 2026 14:53:09 +0000

Giriş
Ön Koşullar
FGP Oluşturmak
Policy'nin Uygulandığını Teyit Etmek

Giriş

Tek bir domain ortamında birden fazla password policy oluşturulmasını sağlar. Bir domain ortamındaki farklı kullanıcılar ve gruplar için birbirinden farklı şifre ve hesap kilitlenme kuralları oluşturabilirsin.

FGP policy sadece kullanıcı nesnelerine ve global security gruplarına uygulanabilir.

Varsayılan olarak Domain Admins grubunda olan kullanıcılar FGP belirleyebilir ancak diğer kullanıcılara yetki devri yapılabilir.

Ön Koşullar

Domain function level değeri Windows Server 2012 veya üstü olmalıdır.
Domain Admins grubuna üye olunmalıdır.
Active Directory Administrative Center veya Active Directory Powershell modülü kurulu olmalıdır.

FGP Oluşturmak

Active Directory Administrative Center uygulamasını Server Manager üzerinden aç.
Sol tarafta navigasyon çubuğunda şu yola ilerle: Domain Name > System > Password Settings Container
Sağ tarafta Tasks çubuğunda new > password settings seçeneğine tıkla.
Alanları doldurarak password ayarlarını oluştur. Precedence değeri düşük olan yüksek önceliklidir. Bu sebeple daha genel policy'lerine daha yüksek değer vermelisin.
Directly Applies To bölümünde password policy'nin uygulanacağı kullanıcı veya grubu seç.

Policy'nin Uygulandığını Teyit Etmek

Get-ADUserResultantPasswordPolicy -Identity kullanici_adi komutunu Powershell üzerinde çalıştır.

Okuduğunuz için teşekkürler, faydalı olması dileğiyle 😊

gpresult

ERSİN ÇÖL — Wed, 28 Oct 2026 14:01:04 +0000

İçindekiler

gpresult Nedir?
gpresult Komutu Nasıl Çalıştırılır?
gpresult Komutu Kullanım Örnekleri
gpresult /z Örnek Çalışma
gpresult Çıktısını Html, XML veya Txt Olarak Rapolarmak
Group Policy Results Wizard

gpresult Nedir?

gpresult komutu bir built-in windows tanılama aracıdır. Kullanıcı ve bilgisayar için uygulanan Group Policy ayarlarını görüntülememizi sağlar. Sistem Yöneticileri olarak Group Policy nesnelerinin doğru uygulanıp uygulanmadığını kontrol etmemizi, policy çakışmalarında sorun gidermemizi ve güvenlik ayarlarını denetlememizi sağlar.

gpresult Komutu Nasıl Çalıştırılır?

CMD uygulamasını yönetici olarak çalıştır.
gpresult /r /user:lab\c.ronaldo komutu ile mevcut kullanıcı için uygulanan bilgisayar ve kullanıcı ayarlarını görüntüleyebilirsin 🧐

gpresult Komutu Kullanım Örnekleri ℹ️

Sadece bilgisayar ayarlarını kontrol etmek

/scope computer parametresi ile sadece Computer Configuration altındaki ayarları görüntüleyebiliriz. Bu ayarlar oturumdaki kullanıcıdan bağımsızdır.

gpresult /r - /v - /z parametrelerinin kullanımı 😏

Her bir parametre farklı seviyelerde detaylı çıktı üretir.

gpresult /r
- En sık kullanılan parametredir.
- Bilgisayar nesnesinin OU path değerini, bilgisayar nesnesinin domain name değerini, bilgisayar nesnesine uygulanan group policy ayarlarını görüntüleyebiliriz. Kullanıcının üye olduğu security gruplarını, User Configuration altında uygulanan kullanıcı group policy'lerini, reddedilen group policy'leri de görüntüleyebiliriz.
gpresult /v
- /r parametresine ek ayrıntılı çıktı üretir.
- Yapılandırılmış değerleri de görüntülememizi sağlar.
gpresult /z
- Benzer ayarlar birden fazla GPO nesnesi tarafından uygulandığında Windows bu ayarları LSDOU sırasına göre uygular ve her seviyedeki ayar bir öncekini overwrite eder.
- Dolayısıyla alt OU'da bağlanan bir gpo nesnesindeki ayar, domain seviyesindeki bir gpo nesnesindeki ayarı geçersiz kılar. Eğer gpo nesneleri aynı OU seviyesinde ise kazananı bağlantı sırası belirler.
- gpresult /r komutu ile uygulanan gpo nesnelerini görebiliriz ancak enforce eden gpo ayarını göremeyiz. Bu gibi durumlarda Sistem Yöneticisi olarak bize /z parametresi sorun gidermemizde yardımcı olur.

gpresult /z Örnek Çalışma 🤯

Örneğin kurum genelinde usb veya harici disk gibi tak/çıkar bellekleri engellemek istiyoruz ancak IT departmanının bilgisayarlarında engellenmesin. IT departmanındaki gpo nesnesinin enforce ettiğini görelim.

Kurum genelindeki workstation'lar için usb engelleyecek gpo nesnesi oluşturalım.
Oluşturmuş olduğumuz gpo nesnesine sağ tıklayarak "edit" ile düzenleyelim.
Computer Configuration > Policies > Administrative Templates > System > Removable Storage Access yoluna ilerleyelim.
All Removable Storage classes: Deny all access ayarını etkinleştirelim.
Oluşturmuş olduğumuz gpo nesnesini kurumdaki workstation'ları kapsayan OU'ya bağlayalım.
Şimdi ise IT departmanında tak/çıkar belleklerin engellenmesini istemediğimiz için bu ayarı uygulayacak yeni bir gpo nesnesi oluşturalım.
Oluşturmuş olduğumuz policy'de aynı ayarı yapılandıralım.
Oluşturmuş olduğumuz gpo nesnesini IT OU'suna bağlayalım.
gpupdate /force komutunu hem domain controller hem de IT OU'su altındaki bilgisayarda çalıştıralım.
Şimdiii sıra geldi test etmeye...
IT departmanında bulunan bir bilgisayardan gpresult /z komutunu çalıştırarak inceleme yapalım.
Beklentimiz görselde gözüktüğü üzere alt OU olan IT kapsayıcısının içindeki bilgisayarların conflict olan ayarı overwrite etmesi.
gpresult /z komutunu IT OU'sunda bulunan bilgisayar üzerinde çalıştıralım.
Gördüğünüz üzere hem Disable Usb Access isimli hem de Enable Usb Access for IT isimli gpo nesnesindeki ayarlan uygulanmıştır. Enable Usb Access for IT isimli gpo nesnesi listenin en üstünde yer aldığı için diğer gpo nesnesindeki kuralı ezer.
Teyit edelim...
IT OU'sunda bulunan bilgisayarda kayıt defterini görüntüleyelim.
Dediğim gibi troubleshooting süreçlerimizde gpresult /z komutu kullanışlıdır.

gpresult Çıktısını Html, XML veya Txt Olarak Rapolarmak 🤝

gpresult /h komutu ile RSoP verisini html formatında dosya olarak kaydedebilirsin ve sonrasında herhangi bir tarayıcıda bu dosyayı açarak yapılandırma ayarlarını görüntüleyebilirsin.
- gpresult /h C:\Users\[kullanici_adi]\Documents\gporeport.html
gpresult /x parametresi ile RSoP verisini xml formatında dosya olarak kaydedebilirsin.
- gpresult /x C:\Users\e.col\Documents\gporeport.xml
Konsol çıktısını .txt formatında dosyaya yazmak için ">" operatörünü kullanabilirsin.
- gpresult /v > C:\Users\e.col\Documents\gporeport.txt

Domain Controller Üzerinde Hedef Bilgisayar için Uygulanan GPO'ları Görüntülemek

Group Policy Results Wizard built-in özelliğini kullanarak Domain Controller üzerinde domain ortamındaki bir kullanıcı ve/veya bilgisayar nesneesi için rapor üretebiliriz ✌️

Group Policy Results Wizard'ı aç ve "next" butonu ile ilerle.
Ayarları görüntülemek istediğimiz hedef bilgisayar nesnesini seçelim.
Bilgisayardaki bir kullanıcıyı seçelim.
Evet raporumuz başarıyla oluşturuldu 🥳🥳🥳

Group Policy Results Wizard üzerinde görseldeki gibi bir hata alırsanız Windows Management Instrumentation (WMI-Out) seçeneğini Windows Firewall gelen ve giden kurallarında etkinleştirmeniz gerekecektir. ⚠️⚠️⚠️

Eveetttt, gpresult komutu ile ilgili Sistem Yöneticileri için kullanışlı olduğunu düşündüğüm örnek uygulamaları sizinle paylaştım 😊😊😊

Okuduğunuz için teşekkürler, faydalı olması dileğiyle 😊

Group Policy ile Microsoft Defender Antivirus Devre Dışı Bırakmak

ERSİN ÇÖL — Wed, 28 Oct 2026 07:07:24 +0000

Giriş

Microsoft Windows Defender; Windows 10, Windows 11 ve Windows Server işletim sistemi için built-in antivirüs çözümüdür.

Bazı durumlarda workstation'arda Windows Defender'ı toplu olarak devre dışı bırakmamız gerekebilir. Örneğin third-party bir antivirüs çözümü kullanıyor olabiliriz, izole bir test ortamı oluşturuyor olabiliriz, kasa satış uygulaması gibi iş uygulamaları false positive olarak bloklanıyor olabilir.

Bir Organizational Unit'e Group Policy nesnesi uygulayarak Windows Defender'ı devre dışı bırakabiliriz.

Microsoft Defender Antivirus ve Windows Defender Firewall farklı iki bileşendir. Bu yazımda malware tarama ve real-time koruma aracı olan Microsoft Defender Antivirus'ü ele alacağım.

Ön Koşullar

Hedef OU'da GPO oluşturmak ve bağlamak için gereken yönetici yetkisine sahip olmalısın.
- Group Policy oluşturmak için minimum gereksinim Group Policy Creator Owners grubuna member olmaktır.
Group Policy Management Console aracı yüklenmiş olmalıdır.
Tamper Protection hedef makinelerde devre dışı bırakılmalıdır.
- https://www.ninjaone.com/blog/tamper-protection-for-windows-10/#how-to-disable-tamper-protection web sitesindeki yazıyı inceleyerek tamper protection'u devre dışı bırakabilirsiniz 🧐
- Büyük ölçekli altyapılarda Intune gibi ürünler ile devre dışı bırakılabilir. Eğer Intune kullanılmıyorsa startup script ile devre dışı bırakılabilir. Sonraki yazılarımda bu konuya da değineceğim 😉

GPMC Kullanarak Microsoft Defender Antivirus Nasıl Devre Dışı Bırakılır?

Group Policy Objects container'ı altında yeni bir group policy nesnesi oluştur.
Microsoft Defender Antivirus'ü devre dışı bırak.
1. Oluşturmuş olduğun GPO nesnesine sağ tıkla ve düzenle.
2. Computer Configuration > Policies > Administrative Templates > Windows Components > Microsoft Defender Antivirus bölümüne ilerle.
3. Turn off Microsoft Defender Antivirus ayarını etkinleştir.
Gerçek zamanlı korumayı devre dışı bırak.
1. Computer Configuration > Policies > Administrative Templates > Windows Components > Microsoft Defender Antivirus > Real-time Protection bölümüne ilerle.
2. Turn off real-time protection ayarını etkinleştir.
GPO'yu uygula.
1. Uygulamak istediğin OU'ya sağ tıkla ve ardından Link an Existing GPO seçeneğine tıkla.
3. Oluşturmuş olduğun GPO'yu seç.
5. Hedef OU'ya sağ tıkla ve ardından Group Policy Update seçeneğine tıkla. (Group Policy Update özelliği OU bazında çalışır, Domain geneline linklenmiş bir group policy nesnesi için domain controller'da komut satırı üzerinde "gpupdate /force" komutunu çalıştırabilirsin.)
8. Bazı Microsoft Defender kuralları etkili olabilmek için restart isteyebilir, mümkünse hedef cihazları yeniden başlat.
Sonucu doğrula.
1. Hedef istemci üzerinde "gpresult /r /scope computer" komutunu çalıştırarak "Disable Microsoft Defender Antivirus" isimli gpo nesnesinin uygulandığını görebilirsin.
3. services.msc üzerinden de ilgili windows servisinin durdurulduğunu görüntüleyebilirsin.

Yeniden başlatmalar veya Windows Update'ler sonrasında bazı ayarlar etkinleşebilir bunu engellemek için aynı gpo nesnesine aşağıdaki registry değerlerini ekleyebiliriz.

Mevcut GPO'yu düzenle.
Computer Configuration > Preferences > Windows Settings > Registry bölümüne ilerle.
Boş alana sağ tıkla ve ardından new > registry item seçeneğine tıkla.
Aşağıdaki görsellerdeki gibi registry value değerlerini değiştir.
"gpupdate /force" komutunu hem domain controller hem de istemcide çalıştırdıktan sonra teyit edebilirsin. İstemcide Registry Editor uygulaması üzerinden kontrol edebilirsin.

İstemci bilgisayarlarda Windows Security ayarlarını görüntüleyerek teyit edebilirsin.

Oluşturmuş olduğumuz GPO başarıyla çalışmaktadır. 😎😎😎

Okuduğunuz için teşekkürler, faydalı olması dileğiyle 😊