Windows Server Kullanıcı Ekleme ve RDP Yetkisi Verme

Yeni bir çalışana sunucu erişimi vermenin doğru yolu ortak yönetici parolasını paylaşmak değil, ona ait bir hesap açmaktır: Windows Server kullanıcı ekleme, sunucuda yerel bir hesap oluşturup ona yalnızca ihtiyaç duyduğu grupların üyeliğini vermek demektir. Uzaktan bağlanacak kişiler için bu grup çoğunlukla Remote Desktop Users olur.

Kişiye özel hesaplar, kimin ne zaman bağlandığını güvenlik günlüğünden izlemenizi ve ayrılan bir çalışanın erişimini tek komutla kapatmanızı sağlar. Adımlar LIONFIN RDP sunucu paketlerinde, Windows kurulu VDS sunucularda ve kendi donanımınızdaki Windows Server 2022 ya da 2025 kurulumlarında aynıdır.

Hangi gruba eklemelisiniz? Yerel gruplar ve yetkileri

Bir kullanıcının sunucuda neler yapabileceğini üye olduğu yerel gruplar belirler; uzak masaüstü için kritik olan üç grup vardır. Türkçe Windows’ta grup adları da Türkçedir, ancak her grubun dilden bağımsız, sabit bir güvenlik tanımlayıcısı (SID) bulunur:

Administrators üyeleri, Remote Desktop Users grubuna ayrıca eklenmeden de uzak masaüstüyle bağlanabilir. Günlük işini sunucuda yapacak bir çalışan için doğru kombinasyon Users ve Remote Desktop Users üyeliğidir.

PowerShell ile Windows Server kullanıcı ekleme nasıl yapılır?

PowerShell yöntemi hızlıdır ve parolayı ekranda ya da komut geçmişinde bırakmaz. Sunucuda yerleşik Windows PowerShell’i yönetici olarak açıp şu komutları çalıştırın:

# Parolayı gizli olarak sorar
$parola = Read-Host -AsSecureString 'Parola'

# Hesabı oluşturur
New-LocalUser -Name 'ayse' -Password $parola -FullName 'Ayşe Yılmaz' -Description 'Muhasebe'

# Uzak masaüstü yetkisi verir (İngilizce sistem)
Add-LocalGroupMember -Group 'Remote Desktop Users' -Member 'ayse'

# Türkçe sistemde aynı işlem
Add-LocalGroupMember -Group 'Uzak Masaüstü Kullanıcıları' -Member 'ayse'

# Dilden bağımsız yöntem: grubu SID ile belirtir
Add-LocalGroupMember -SID 'S-1-5-32-555' -Member 'ayse'

# Sonucu kontrol eder
Get-LocalGroupMember -SID 'S-1-5-32-555'

Üç Add-LocalGroupMember satırından yalnızca birini çalıştırmanız yeterlidir; grup adından emin değilseniz SID kullanan satır her dilde çalışır. Parolanın süresi hiç dolmayacaksa New-LocalUser komutuna -PasswordNeverExpires eklenebilir, ancak bunu yalnızca hizmet hesapları gibi gerçekten gerekli durumlarda yapın.

net user ve net localgroup ile hızlı yöntem

Komut İstemi’ni (CMD) tercih ediyorsanız aynı işlem iki satırdır. Parola yerine yıldız yazdığınızda komut parolayı gizli olarak sorar:

net user ayse * /add /fullname:"Ayşe Yılmaz"
net localgroup "Remote Desktop Users" ayse /add

Türkçe Windows’ta ikinci satırda grup adı "Uzak Masaüstü Kullanıcıları" olarak yazılır. Bu komutları bir .bat dosyasına koyarsanız dosyanın karakter kodlaması yüzünden Türkçe harfler bozulabilir; böyle bir durumda PowerShell’deki SID yöntemini kullanın.

İşinize yarayacak diğer komutlar:

• net user ayse: hesabın grup üyeliklerini, parola ve son oturum bilgilerini gösterir.
• net user ayse /active:no: hesabı silmeden devre dışı bırakır.
• net localgroup "Remote Desktop Users": grubun güncel üyelerini listeler.

Grafik arayüzle: Yerel Kullanıcılar ve Gruplar (lusrmgr.msc)

Komut kullanmadan da kullanıcı ekleyebilirsiniz; ekran Sunucu Yöneticisi’nde Araçlar → Bilgisayar Yönetimi → Yerel Kullanıcılar ve Gruplar altında bulunur ya da doğrudan lusrmgr.msc komutuyla açılır.

1. Win + R → lusrmgr.msc yazıp Enter’a basın.
2. Kullanıcılar klasörüne sağ tıklayıp Yeni Kullanıcı seçin; kullanıcı adı, tam ad ve parolayı girin.
3. Uzak masaüstüyle bağlanacak bir hesapta parolanın ilk oturumda değiştirilmesini zorunlu kılan kutuyu (User must change password at next logon) boş bırakın; Ağ Düzeyinde Kimlik Doğrulama açıkken bu zorunluluk bağlantının reddedilmesine yol açabilir.
4. Oluştur’a tıklayın, ardından Gruplar klasöründe Remote Desktop Users (Uzak Masaüstü Kullanıcıları) grubunu açın.
5. Ekle’ye tıklayıp kullanıcı adını yazın, adı doğruladıktan sonra Tamam ile kaydedin.

Kısa yol olarak SystemPropertiesRemote komutuyla açılan Uzak sekmesindeki Select Users düğmesi de kişiyi doğrudan aynı gruba ekler.

Etki alanı denetleyicisinde (Active Directory) kullanıcı ekleme

Sunucu bir etki alanı denetleyicisiyse (domain controller) yerel kullanıcı ve grup yoktur; lusrmgr.msc bu sunucularda kullanılamaz. Hesaplar Active Directory Users and Computers (dsa.msc) konsolunda ya da PowerShell’in Active Directory modülüyle oluşturulur:

New-ADUser -Name 'Ayşe Yılmaz' -SamAccountName 'ayse' -AccountPassword (Read-Host -AsSecureString 'Parola') -Enabled $true

Etki alanına üye bir sunucuda ise yerel Remote Desktop Users grubuna etki alanı hesabını ALANADI\ayse biçiminde eklersiniz. Tek tek kişiler yerine etki alanındaki bir grubu eklemek daha düzenlidir; yeni bir çalışanı o gruba aldığınızda sunucuya dokunmadan uzak masaüstü yetkisi de verilmiş olur:

Add-LocalGroupMember -SID 'S-1-5-32-555' -Member 'ALANADI\Muhasebe'

Etki alanı denetleyicisinde uzak masaüstüyle oturum açma hakkı varsayılan olarak yalnızca yöneticilere tanınır; sıradan kullanıcılara bu hakkı açmak yerine uygulamaları ayrı bir üye sunucuda çalıştırın.

En az yetki ve parola ilkesi: hesapları güvenli tutma

Her çalışana işini yapmaya yetecek kadar yetki verin; herkesi Administrators grubuna eklemek, ele geçirilen tek bir parolanın bütün sunucuyu teslim etmesi demektir. Hesapları güvenli tutmak için:

• Kişiye özel hesap: Ortak hesap kullanılmadığında kimin bağlandığı güvenlik günlüğünde görünür; uzak masaüstü girişleri Olay Görüntüleyicisi’nde 4624 numaralı ve oturum türü 10 olan kayıtlarla izlenir.
• Parola ilkesi: net accounts mevcut ayarları gösterir; en kısa parola uzunluğunu net accounts /minpwlen:12 ile yükseltebilir, karmaşıklık kuralının açık olduğunu secpol.msc → Hesap İlkeleri → Parola İlkesi altında kontrol edebilirsiniz.
• Süreli hesaplar: Stajyer ya da danışman hesaplarına bitiş tarihi koyun: Set-LocalUser -Name 'stajyer' -AccountExpires (Get-Date).AddDays(30).
• Ayrılan çalışanlar: Hesabı hemen Disable-LocalUser -Name 'ayse' ile kapatın; dosyaları teslim aldıktan sonra silin.

Yetkili hesap sayısı arttıkça uzak masaüstünün dışarıya nasıl açıldığı da önem kazanır; port, NLA ve IP kısıtlaması ayarları RDP port değiştirme ve güvenlik rehberinde toplanmıştır.

Aynı anda kaç kullanıcı bağlanabilir?

Oluşturabileceğiniz hesap sayısının pratik bir sınırı yoktur; sınırlı olan, aynı anda açık tutulabilen uzak masaüstü oturumlarıdır. Uzak Masaüstü Hizmetleri (RDS) rolü kurulu olmayan bir Windows Server en fazla iki eşzamanlı uzak oturuma izin verir ve lisans koşulları bu hakkı yönetim amaçlı tanımlar. Üçüncü bağlantı denemesi ya reddedilir ya da mevcut kullanıcılardan birinin bağlantısını kesmeyi önerir.

Daha fazla çalışanın aynı anda çalışması için:

1. Sunucuya Remote Desktop Session Host rolünü ve bir RD lisans sunucusunu kurun.
2. Kullanıcı ya da cihaz başına RDS CAL edinip lisans sunucusunda etkinleştirin.
3. Kullanıcıları Remote Desktop Users grubuna ekleyin ve bellek ile işlemci planını eşzamanlı kullanıcı sayısına göre yapın.

CAL türleri arasındaki fark Windows Server lisanslama yazısında anlatılır; gereken lisansları lisans hizmetleri üzerinden temin edebilirsiniz.