DNS'teki Her Değişikliğin Kontrolü Gerçekten Kimde? | BlueCat DNS #13

DNS Governance: DNS Yönetiminde Kontrol, Standart ve Yönetişim

Kurumsal DNS altyapısı büyüdükçe yalnızca teknik olarak yönetilmesi gereken bir sistem olmaktan çıkar.

Farklı lokasyonlar, cloud ortamları, uygulama ekipleri, DevOps süreçleri ve iş birimleri aynı DNS altyapısı üzerinde değişiklik yapmaya başladığında yeni sorular ortaya çıkar:

Kim DNS kaydı oluşturabilir?

Hangi ekip hangi domain veya zone üzerinde değişiklik yapabilir?

Bir kayıt neden oluşturuldu ve sahibi kim?

Yıllardır kullanılmayan kayıtlar neden hâlâ sistemde?

Cloud ortamında oluşturulan DNS kayıtları kurum standartlarına uygun mu?

Ve belki de en önemlisi:

DNS üzerinde yapılan her değişikliğin kontrolü gerçekten kimde?

Modern DNS yönetiminde teknoloji kadar önemli olan bir başka konu vardır:

Yönetişim.

DNS Governance Nedir?

DNS Governance; DNS altyapısında yetki, sorumluluk, standart, politika ve değişiklik süreçlerinin merkezi ve kontrollü biçimde yönetilmesini sağlayan yaklaşımdır.

Amaç bütün DNS işlemlerini tek bir ekibin üzerine toplamak değildir.

Amaç, farklı ekiplerin ihtiyaç duydukları işlemleri yapabilmesini sağlarken kurum genelindeki kontrolü kaybetmemektir.

İyi tasarlanmış bir DNS Governance modeli şu soruların cevaplarını netleştirir:

Kim?

Değişikliği kim yapabilir?

Nerede?

Hangi domain, zone veya network alanında işlem yapabilir?

Ne?

Hangi tür kayıtları oluşturabilir veya değiştirebilir?

Nasıl?

Hangi standart ve politikalar uygulanmalıdır?

Ne zaman?

Değişiklik ne zaman yapıldı?

Neden?

İşlemin arkasındaki talep veya iş gerekçesi nedir?

Bu görünürlük DNS'i yalnızca çalışan bir altyapı olmaktan çıkarır ve yönetilebilir bir kurumsal servis haline getirir.

DNS Büyüdükçe Kontrol Neden Zorlaşıyor?

Küçük bir altyapıda DNS değişiklikleri birkaç kişi tarafından yönetilebilir.

Ancak kurum büyüdükçe tablo değişir.

Network ekipleri DNS yönetir.

Cloud ekipleri kendi ortamlarında kayıt oluşturur.

DevOps ekipleri otomasyon üzerinden değişiklik yapar.

Uygulama ekipleri yeni servisler için DNS talepleri açar.

Farklı lokasyonlardaki BT ekipleri kendi operasyonlarını yürütür.

Satın alınan veya birleşen şirketlerden yeni DNS altyapıları sisteme dahil olur.

Bir süre sonra aynı kurum içerisinde farklı isimlendirme standartları, farklı operasyon yöntemleri ve farklı yetkilendirme modelleri oluşmaya başlayabilir.

Teknik olarak DNS çalışmaya devam eder.

Ancak yönetişim giderek zorlaşır.

Kontrolsüz DNS'in Görünmeyen Maliyeti

DNS ortamındaki yönetişim problemleri her zaman büyük bir kesintiyle kendini göstermez.

Çoğu zaman sessizce büyür.

Sahibi bilinmeyen kayıtlar birikir.

Artık kullanılmayan sistemlerin DNS kayıtları yıllarca kalabilir.

Benzer servisler farklı isimlendirme standartlarıyla oluşturulabilir.

Gereğinden fazla kullanıcı kritik zone'larda değişiklik yetkisine sahip olabilir.

Manuel işlemler nedeniyle kimin, ne zaman, hangi değişikliği yaptığı belirsizleşebilir.

Cloud ortamlarında merkezi politikalardan bağımsız DNS alanları oluşabilir.

Bunların her biri zaman içerisinde operasyonel karmaşıklık, güvenlik riski ve troubleshooting süresinin artmasına neden olur.

DNS kayıtlarının sayısını yönetmek başka, DNS ortamını yönetmek başka bir şeydir.

Role-Based Access Control

DNS Governance'ın temel bileşenlerinden biri Role-Based Access Control (RBAC) yaklaşımıdır.

Her kullanıcının bütün DNS altyapısına erişmesi gerekmez.

Örneğin:

Bir uygulama ekibi yalnızca kendi uygulamasına ait zone içerisinde kayıt oluşturabilir.

Bir cloud ekibi yalnızca belirli cloud network'lerini yönetebilir.

Yerel BT ekipleri yalnızca kendi lokasyonlarına ait DNS ve DHCP kaynaklarında işlem yapabilir.

Merkezi network ekibi ise kurum genelindeki politika ve kritik altyapı üzerinde kontrol sahibi olabilir.

Bu yaklaşım sayesinde ekipler ihtiyaç duydukları operasyonel özgürlüğe sahip olurken kritik DNS altyapısı üzerindeki gereksiz yetkiler sınırlandırılabilir.

Doğru yönetişim, erişimi engellemek değil; doğru yetkiyi doğru kişiye vermektir.

Standartlar Neden Önemli?

DNS ortamında isimlendirme yalnızca teknik bir tercih değildir.

Tutarlı bir isimlendirme modeli; operasyon, otomasyon, güvenlik ve troubleshooting açısından ciddi avantaj sağlar.

Örneğin yeni kaynakların:

• hangi domain altında oluşturulacağı,

• hangi isimlendirme standardını kullanacağı,

• hangi kayıt türlerinin kullanılabileceği,

• hangi TTL değerlerinin uygulanacağı,

• hangi ekip tarafından yönetileceği

önceden tanımlanabilir.

Böylece DNS kayıtları kişisel tercihlere göre değil, kurumsal standartlara göre oluşturulur.

Bu özellikle binlerce hatta milyonlarca DNS kaydının bulunduğu büyük yapılarda kritik hale gelir.

Audit: Kim, Ne Zaman, Neyi Değiştirdi?

DNS üzerinde yapılan küçük bir değişiklik bile kritik uygulamaların erişilebilirliğini etkileyebilir.

Bu nedenle değişiklik geçmişinin izlenebilir olması gerekir.

Kurumsal DNS Governance yaklaşımı sayesinde:

• DNS değişiklikleri kayıt altına alınabilir.

• Değişikliği yapan kullanıcı belirlenebilir.

• İşlemin zamanı görülebilir.

• Önceki ve yeni yapılandırmalar karşılaştırılabilir.

• Yetkisiz veya beklenmeyen değişiklikler araştırılabilir.

• Denetim ve uyumluluk süreçleri desteklenebilir.

Bir problem yaşandığında yalnızca “DNS'te ne oldu?” sorusunu değil,

“Kim, ne zaman ve neden değiştirdi?” sorusunu da cevaplayabilmek gerekir.

Delegation: Merkezi Kontrol, Dağıtık Operasyon

DNS Governance'ın en önemli hedeflerinden biri merkezi kontrol ile operasyonel çeviklik arasında doğru dengeyi kurmaktır.

Bütün DNS taleplerinin merkezi network ekibine gelmesi kontrol sağlayabilir ancak operasyonu yavaşlatabilir.

Bütün ekiplerin sınırsız değişiklik yapabilmesi ise hızlı olabilir ancak kontrolü ortadan kaldırır.

Doğru model ikisinin arasında yer alır:

Merkezi politikalar + kontrollü yetki devri.

Merkezi ekip standartları ve politikaları belirler.

Yetkilendirilmiş ekipler kendi sorumluluk alanlarında operasyonlarını gerçekleştirebilir.

Böylece kurum büyüdükçe DNS ekibinin her değişiklik için darboğaz haline gelmesi önlenirken merkezi yönetişim korunabilir.

BlueCat Yaklaşımı

BlueCat, kurumsal DNS, DHCP ve IPAM altyapısının merkezi görünürlük ve politika tabanlı yönetim altında tutulmasına yardımcı olur.

Yetkilendirme, merkezi yönetim, değişiklik takibi ve otomasyon yetenekleri sayesinde farklı ekiplerin aynı DDI altyapısı üzerinde kontrollü biçimde çalışabilmesi sağlanabilir.

Böylece kurumlar DNS operasyonlarını dağıtırken yönetişimi dağıtmak zorunda kalmaz.

Cloud, on-premise ve hibrit altyapılar büyümeye devam ederken DNS yönetiminin de aynı ölçekte kontrollü biçimde büyümesi mümkün hale gelir.

Çünkü kurumsal DNS'te gerçek kontrol:

Her değişikliği merkezi ekibin yapması değil, her değişikliğin tanımlanmış kurallar içerisinde yapılmasıdır.

Bir sonraki sayımızda Operational Intelligence konusunu ele alacak ve DNS verisinin yalnızca izleme ve analiz amacıyla değil, operasyonel kararları yönlendiren bir bilgi kaynağı olarak nasıl kullanılabileceğini inceleyeceğiz.

Key Takeaway

DNS'i merkezi olarak yönetmek yeterli değildir. Kimlerin, hangi kaynaklarda, hangi kurallar altında değişiklik yapabileceğini de yönetmek gerekir.

BlueCat Monday | Enterprise DNS Series #13

Prepared by Zero Second

Helping organizations build resilient, secure and intelligent DNS infrastructures