Conditional Access Nedir, Nasıl Planlanır?

Conditional Access (Koşullu Erişim), Microsoft Entra ID’nin bir oturum açma isteğine verdiği kararı; kullanıcıya, uygulamaya, cihaza, konuma ve riske göre belirleyen politika motorudur. Microsoft’un tanımıyla Zero Trust yaklaşımındaki politika karar noktasının merkezidir. Bu rehber, Conditional Access’in mantığını ve güvenli bir başlangıç politika setinin nasıl planlanacağını açıklar.

Nasıl çalışır?

Her politika iki bölümden oluşur: atamalar (kimin, hangi uygulamaya, hangi koşulda eriştiği) ve erişim denetimleri (engelle, MFA iste, uyumlu cihaz iste, oturum süresini sınırla). Oturum açma sırasında uygulanabilir tüm politikalar birlikte değerlendirilir; bir politika erişimi engelliyorsa engelleme önceliklidir.

Lisans gereksinimi

Conditional Access için Microsoft Entra ID P1 gerekir; Microsoft 365 Business Premium ve E3 gibi paketler P1 içerir. Risk tabanlı koşullar P2 ister. P1 olmayan kiracılarda temel koruma için güvenlik varsayılanları kullanılmalıdır.

Başlangıç politika seti

1. Yönetici rolleri için MFA: Tüm dizin rolleri için güçlü kimlik doğrulama.
2. Tüm kullanıcılar için MFA: Acil durum hesapları hariç tutularak.
3. Eski kimlik doğrulamayı engelle: MFA’yı atlatan protokolleri kapatır.
4. Azure yönetimi için MFA: Portal, CLI ve PowerShell erişimi.
5. Kurumsal veriye uyumlu cihaz: Intune uyumluluğu veya uygulama koruma politikası koşulu.
6. Kullanılmayan ülkelerden erişimi engelle: İş ihtiyacına göre, istisna süreciyle.

Microsoft, bazı kiracılarda bu tür temel kontrolleri “Microsoft tarafından yönetilen politikalar” olarak da devreye almaktadır; mevcut politikalarınızla çakışmamaları için gözden geçirilmelidir.

Güvenli devreye alma: rapor modu

Yeni politikalar önce report-only (yalnızca rapor) modunda çalıştırılmalıdır. Bu modda politika uygulanmaz ancak oturum açma loglarında “uygulansaydı ne olurdu” bilgisi görülür. Birkaç günlük gözlemden sonra beklenmeyen etkiler giderilir ve politika açılır.

Sık yapılan hatalar

• Acil durum hesaplarını hariç tutmadan “tüm kullanıcıları engelle” türü politikalar açmak ve kiracıdan kilitlenmek.
• İstisna gruplarını büyütüp unutmak; istisnalar düzenli gözden geçirilmelidir.
• Servis hesaplarını ve otomasyonları hesaba katmamak.
• Politika adlarını standartlaştırmamak; okunabilir bir isimlendirme (ör. CA01-Admins-MFA) yönetimi kolaylaştırır.

Conditional Access tasarımı ve kademeli geçiş için Microsoft 365 Güvenliği ve Kimlik ve Erişim Yönetimi hizmetlerimizi, uzun vadeli yaklaşım için Zero Trust Güvenlik Mimarisi sayfamızı inceleyebilirsiniz.