Entra ID PIM ile Tam Zamanında Yönetici Yetkisi

Çoğu Microsoft 365 kiracısında Global Administrator rolü, yıllar içinde birikmiş ve kalıcı atanmış birkaç hesapta durur. Bu hesaplar günün her saati tam yetkiyle açıktır; tek bir oturum çerezi hırsızlığı kiracının tamamını saldırgana verir. Microsoft Entra Privileged Identity Management (PIM), bu kalıcı atamaları ihtiyaç anında açılan, süreli ve denetlenebilir yetkilere çevirir. Aşağıda rol ayarlarını, rol grubuna göre önerilen değerleri, acil durum hesaplarını ve erişim incelemelerini uygulama sırasıyla anlatıyoruz.

Kalıcı yönetici rolünün riski

Kurumsal siber güvenlik açısından kalıcı ayrıcalığın sorunu, yetkinin kullanılmadığı saatlerde de açık durmasıdır. Yönetici e-postasını okurken, bir web sayfası açarken, kişisel işine bakarken hesabın bütün yönetim yetkisi aktiftir. Bu hesaplardan birinin parolası ya da oturum belirteci çalındığında saldırgan yeni yönetici ekler, Conditional Access politikalarını kapatır, uygulama kayıtlarına gizli anahtar ekleyip kalıcılık kurar. Bunu dakikalar içinde yapar.

İşe kiracıda neyin kalıcı atandığını görerek başlayın. Microsoft Graph PowerShell ile aktif rol atamaları listelenir; bitiş tarihi olmayanlar kalıcı olarak işaretlenir:

Connect-MgGraph -Scopes "RoleManagement.Read.Directory","Directory.Read.All"

$roller = @{}
Get-MgRoleManagementDirectoryRoleDefinition -All |
    ForEach-Object { $roller[$_.Id] = $_.DisplayName }

Get-MgRoleManagementDirectoryRoleAssignmentScheduleInstance -All |
    Select-Object @{n='Rol';e={$roller[$_.RoleDefinitionId]}},
                  PrincipalId, AssignmentType,
                  @{n='Kalici';e={-not $_.EndDateTime}} |
    Sort-Object Rol | Format-Table -AutoSize

AssignmentType değeri Assigned olan satırlar doğrudan atanmış aktif rolleri, Activated olanlar PIM üzerinden geçici etkinleştirilmiş rolleri gösterir. Hedef net: acil durum hesapları dışında kalıcı aktif ayrıcalıklı rol ataması kalmamalı. İlk raporda çoğu zaman eski bir danışmanın, ayrılmış bir çalışanın ya da bir test hesabının hâlâ Global Administrator olduğu çıkar.

Uygun ve aktif atama farkı

PIM iki atama türüyle çalışır:

• Uygun (eligible) atama: Kullanıcı rolü kullanabilir, ama önce etkinleştirmesi gerekir. Etkinleştirmede rol ayarlarındaki koşullar (MFA, gerekçe, onay) uygulanır; rol yalnız belirlenen süre boyunca aktif kalır.
• Aktif (active) atama: Rol, etkinleştirme gerektirmeden kullanılır. Süreli (ör. bir proje için iki hafta) veya kalıcı olabilir.

Her iki tür de süreli ya da kalıcı tanımlanabilir. Önerdiğimiz yapı şu: günlük yöneticiler uygun ve süreli atamalarla, hizmet hesapları mümkün olduğunca rol yerine uygulama izinleriyle çalışır. PIM için Microsoft Entra ID P2 veya Microsoft Entra ID Governance lisansı gerekir; kimin lisanslanması gerektiğini Microsoft’un güncel lisans sayfasından doğrulayın.

Rol ayarları: süre, onay, MFA, gerekçe

Her Entra rolünün PIM içinde ayrı bir ayar seti vardır. Yol: Identity Governance > Privileged Identity Management > Microsoft Entra roles > Settings. Bakılacak parametreler:

• Aktivasyon süresi üst sınırı: 1 ile 24 saat arasında seçilir. Kısa süre riskli pencereyi daraltır; fazla kısa tutulursa yöneticiler gün içinde defalarca etkinleştirme yapar ve süreci atlatmanın yolunu arar.
• Aktivasyonda kimlik doğrulama: “Azure MFA” ya da bir Conditional Access authentication context istenebilir. Authentication context, aktivasyon anında phishing’e dayanıklı yöntem veya uyumlu cihaz gibi koşulları zorlayabildiği için daha güçlüdür.
• Gerekçe ve talep numarası: Denetim kaydında aktivasyonun nedenini değişiklik kaydıyla ilişkilendirir.
• Onay: Belirlenen onaylayıcılardan biri onaylamadan rol aktifleşmez. Kullanıcı kendi talebini onaylayamaz.
• Atama süresi sınırları: Uygun ve aktif atamaların kalıcı yapılıp yapılamayacağı, yapılamıyorsa en uzun süresi.
• Bildirimler: Rol atandığında ve etkinleştirildiğinde yöneticilere, rol sahibine ve onaylayıcılara giden e-postalar.

Rol grubuna göre önerilen ayarlar

Bütün rollere aynı ayarı basmak iki sonuçtan birini doğurur: ya gereksiz sürtünme ya da en kritik rollerde yetersiz koruma. Aşağıdaki tablo bir başlangıç noktasıdır; kendi operasyon modelinize göre uyarlayın.

Rol grubu	Azami süre	Onay	Kimlik doğrulama
Global Administrator, Privileged Role Administrator	1–2 saat	Evet	Phishing’e dayanıklı (context)
Security Administrator, Conditional Access Administrator	2–4 saat	Evet	Phishing’e dayanıklı (context)
Exchange, SharePoint, Intune Administrator	4–8 saat	İsteğe bağlı	MFA, tercihen context
User Administrator, Helpdesk Administrator	8 saat	Hayır	MFA
Okuma rolleri (Global Reader, Security Reader)	8 saat veya aktif	Hayır	MFA

Uygun atamalarda en uzun süreyi bir yıl veya altında tutup erişim incelemeleriyle yenileyin; yıllar içinde biriken atamaların önü böyle kesilir. Global Administrator sayısını az tutun. İşlerin çoğu daha dar rollerle yapılır. Phishing’e dayanıklı yöntemlerin kullanıcılara nasıl yayılacağı FIDO2 ve passkey geçiş planı yazısında anlatılıyor.

Acil durum hesapları ve izlenmesi

Onaylayıcılara ulaşılamadığında, federasyon veya MFA servisi kesildiğinde ya da yanlış bir Conditional Access politikası bütün yöneticileri dışarıda bıraktığında PIM tek başına yönetimi sürdüremez. Bu anlar için acil durum (break-glass) hesapları kurulur:

• En az iki hesap; kalıcı aktif Global Administrator.
• Yalnız bulutta, *.onmicrosoft.com alan adında; şirket içi AD’den senkronize edilmez, federasyona bağlı değildir.
• Belirli bir kişiye ait değildir; posta kutusu ve lisans gerektirmez.
• Conditional Access politikalarının çoğundan hariç tutulur, ama kimlik doğrulaması FIDO2 güvenlik anahtarı veya sertifika tabanlı doğrulama gibi phishing’e dayanıklı yöntemle yapılır. Microsoft’un yönetim portalları için getirdiği MFA zorunluluğu bu hesapları da kapsar.
• Anahtarlar ve varsa parola parçaları fiziksel olarak ayrı, güvenli yerlerde saklanır; erişim süreci yazılıdır.
• Düzenli aralıklarla (ör. çeyrekte bir) oturum açma testi yapılır ve kayda geçirilir. Test edilmeyen acil durum hesabı, kriz günü çalışmaz.

Bu hesaplarla yapılan her oturum açma alarm üretmelidir. Oturum açma günlükleri bir Log Analytics çalışma alanına akıyorsa aşağıdaki sorgu bir uyarı kuralına bağlanabilir:

SigninLogs
| where UserPrincipalName in~ ("bg-acil01@kiraciadi.onmicrosoft.com",
                               "bg-acil02@kiraciadi.onmicrosoft.com")
| project TimeGenerated, UserPrincipalName, IPAddress,
          AppDisplayName, ResultType, Location

Örnekteki “bg-acil” gibi amacını ele veren adlar yerine, kurumsal isimlendirme şablonuna uymayan ama yazılı prosedürde kayıtlı adlar seçin. Uyarı kuralını başarılı ve başarısız tüm denemeleri kapsayacak şekilde (ResultType filtresi olmadan) bırakın; başarısız deneme de hesabın hedef alındığını gösterir.

PIM for Groups ve Azure kaynak rolleri

PIM yalnız Entra dizin rolleriyle sınırlı değildir:

• PIM for Groups: Bir güvenlik grubunun veya Microsoft 365 grubunun üyeliği ya da sahipliği uygun atama olarak verilebilir. Rol atanabilir gruplar (role-assignable groups) bu sayede birden fazla rolü tek aktivasyonla verir; Entra rolü olmayan erişimler (ör. bir uygulamanın yönetici grubu) için de tam zamanında yetkilendirme sağlar.
• Azure kaynak rolleri: Yönetim grubu, abonelik veya kaynak grubu düzeyindeki Owner, Contributor ve User Access Administrator gibi Azure RBAC rolleri PIM ile uygun hale getirilebilir. Abonelik düzeyinde kalıcı Owner ataması, Entra’daki kalıcı Global Administrator kadar dikkat ister; denetimlerde en çok gözden kaçan atama budur.

Rol atanabilir grupların üyeliğini, User Administrator gibi genel rollerin aksine, yalnız Privileged Role Administrator, Global Administrator ve grubun sahipleri yönetebilir. Yani grup sahibi fiilen o grubun verdiği rollere erişim dağıtabilir. Grupları PIM’e alırken sahiplikleri de en az ayrıcalık ilkesine göre daraltın; sahipliği de PIM ile uygun atamaya çevirmeyi değerlendirin.

Erişim incelemeleri ve denetim günlükleri

PIM atamaları da zamanla birikir; projeden ayrılan kişinin uygun ataması yerinde kalır. Erişim incelemeleri (access reviews) bu birikimi düzenli temizler:

1. Ayrıcalıklı roller için çeyreklik, düşük riskli roller için altı aylık inceleme planlayın.
2. İnceleyici olarak kişinin yöneticisini veya rol sahibini seçin; yüksek ayrıcalıklı rollerde kendi kendini incelemeye izin vermeyin.
3. Yanıtsız incelemeler için varsayılan kararı “erişimi kaldır” yapın, sonuçların otomatik uygulanmasını açın.
4. Son aktivasyonu çok eskide kalan kullanıcıları öne çıkarın. Hiç etkinleştirilmeyen uygun atama gereksiz atamadır.

PIM’deki tüm atama, aktivasyon ve onay işlemleri Entra denetim günlüğüne yazılır; PIM’in kendi denetim geçmişinden de izlenir. Log Analytics’te AuditLogs tablosunda Category == "RoleManagement" filtresi bu olayları getirir. PIM dışından yapılan doğrudan rol atamaları, yani birinin PIM’i atlayıp kalıcı atama yapması, ayrı bir alarm hak eder. Sessiz geri dönüş en sık burada olur.

Uygulama sırası: önce acil durum hesaplarını oluşturup test edin; sonra kalıcı atamaları raporlayın; rol ayarlarını yapılandırın; kalıcı atamaları uygun atamaya çevirin; en son erişim incelemelerini ve alarmları devreye alın. Şirket içi AD tarafındaki yönetici ayrımı için Active Directory tier modeli, kiracının genel kontrolleri için Microsoft 365 güvenlik kontrol listesi tamamlayıcıdır. Rol ayarlarının tam listesi Microsoft’un PIM dokümantasyonunda yer alır. Ayrıcalıklı erişim süreçlerinin tasarımı için ayrıcalıklı erişim yönetimi, kiracı yapılandırmasının bütünü için Microsoft 365 güvenliği sayfalarımıza bakabilirsiniz.

Sık sorulan sorular

PIM kullanmak için hangi lisans gerekir?

PIM, Microsoft Entra ID P2 veya Microsoft Entra ID Governance lisansı ister. Hangi kullanıcıların lisanslanacağı (uygun atanan kullanıcılar, onaylayıcılar, inceleyiciler) Microsoft tarafından güncellenebildiği için kapsamı Microsoft’un güncel lisans dokümantasyonundan doğrulayın.

Acil durum hesapları da PIM ile uygun hale getirilmeli mi?

Hayır. Acil durum hesaplarının işi, PIM, MFA servisi veya Conditional Access kaynaklı bir kilitlenmede yönetimi sürdürmektir. Bu yüzden kalıcı aktif Global Administrator kalırlar; risk phishing’e dayanıklı kimlik doğrulama, güvenli saklama ve her oturum açmada alarm üreten izlemeyle yönetilir.

Aktivasyon süresi ne kadar olmalı?

PIM’de aktivasyon süresi 1 ile 24 saat arasında ayarlanır. Global Administrator gibi en kritik roller için 1–2 saat, günlük operasyon rolleri için 4–8 saat yaygın bir başlangıçtır. Süre çok kısa olursa yöneticiler sürekli yeniden etkinleştirmek zorunda kalır; aktivasyon sıklığını izleyip ayarlayın.

PIM dışından yapılan rol atamaları nasıl fark edilir?

Entra denetim günlüklerinde RoleManagement kategorisindeki rol ekleme olayları izlenir. PIM üzerinden yapılmayan doğrudan atamalar için Log Analytics veya SIEM üzerinde alarm kurulur; kalıcı atama raporu düzenli çalıştırılarak beklenmeyen atamalar yakalanır.