Entra B2B Misafir Erişimi Güvenliği: Davet, İnceleme ve Sınırlar

Bir Teams ekibine danışman eklenir, bir tedarikçiyle klasör paylaşılır; iş biter, misafir hesabı kalır. Birkaç yıl sonra kiracıda kimin davet ettiği, neye erişebildiği ve hâlâ gerekip gerekmediği bilinmeyen yüzlerce dış kimlik birikmiş olur. Bu rehberde Microsoft Entra B2B misafir erişimini kimlik yönetimi tarafından ele alıyoruz: davet yetkisi, kiracılar arası erişim ayarları ve MFA güveni, misafirlere Conditional Access, erişim incelemeleriyle yaşam döngüsü ve eski hesapların güvenli temizliği.

Misafir hesapları neden risk biriktirir

B2B işbirliğinde misafir kendi kuruluşunun kimliğiyle (kendi Entra ID kiracısı, Microsoft hesabı, e-posta tek kullanımlık kodu veya federasyonlu bir sağlayıcı) oturum açar; sizin kiracınızda ise userType = Guest olan bir kullanıcı nesnesi oluşur. Hesap sizde, kimlik başkasında. Bu modelin kendine özgü riskleri var:

• Yaşam döngüsü sizin kontrolünüzde değil. Misafir kendi şirketinden ayrıldığında ev kiracısındaki hesabı kapanabilir; ama bu her zaman olmaz, kişisel e-posta adresiyle davet edilmiş misafirde böyle bir bağ hiç yoktur.
• Dizin görünürlüğü: Misafir varsayılan olarak sınırlı da olsa dizin bilgisi okuyabilir. Gevşek ayarlarda kullanıcı ve grup listesi keşif amacıyla kullanılabilir.
• Erişim birikimi: Teams ekipleri, SharePoint siteleri, uygulama atamaları ve gruplar üzerinden verilen erişimler proje bittikten sonra da kalır.
• Kimlik doğrulama gücü belirsiz: Misafirin ev kiracısında MFA olup olmadığını, hangi yöntemi kullandığını bilmeden erişim verilir.

Dış işbirliği ayarları ve davet yetkisi

İlk bakılacak yer Entra yönetim merkezinde External Identities → External collaboration settings sayfası. Buradaki ayarlar kiracının tamamı için geçerlidir; yanlış bir tık bütün dış işbirliğini etkiler.

Ayar	Seçenekler	Önerilen yaklaşım
Guest user access	Üyelerle aynı / Sınırlı / En kısıtlı	En kısıtlı: misafir diğer kullanıcıları ve grup üyeliklerini listeleyemez
Guest invite settings	Herkes / Üyeler ve rol sahipleri / Yalnız rol sahipleri / Kimse	Yalnız Guest Inviter vb. rol sahipleri veya onaylı talep süreci
Self-service sign up via user flows	Açık / Kapalı	Gerçek bir ihtiyaç yoksa kapalı
Collaboration restrictions	Tüm alan adları / İzin listesi / Engelleme listesi	İş ortakları belliyse izin listesi; değilse en azından kişisel e-posta alan adları için değerlendirme
Allow external users to remove themselves from your organization	Açık / Kapalı	Açık; misafirin kendi çıkışını yapabilmesi temizliği kolaylaştırır

Davet yetkisini yalnız rol sahiplerine indirmek Teams ve SharePoint’ten yapılan paylaşımları da etkiler; kullanıcılar yeni dış kişi ekleyemez hale gelir. Talep yolu olmayan kısıtlama, kullanıcıyı kişisel paylaşım araçlarına iter. Bu yüzden kısıtlama, misafir talebinin nasıl karşılanacağıyla birlikte tasarlanır. Ölçeklenen yöntem, Entra ID Governance içindeki yetkilendirme yönetimi (entitlement management) erişim paketleridir: iş ortağı kuruluş “bağlı kuruluş” olarak tanımlanır, dış kullanıcı paketi talep eder, iç sponsor onaylar, erişim belirlenen süre sonunda otomatik biter ve son erişimi biten misafir hesabı kaldırılabilir.

Kiracılar arası erişim ayarları ve MFA güveni

Cross-tenant access settings, diğer Entra ID kiracılarıyla ilişkiyi gelen (inbound) ve giden (outbound) yönde ayrı ayrı tanımlar. Varsayılan ayarlar tüm dış kiracılar için geçerlidir; belirli kuruluşlar için ayrı “organizational settings” eklenebilir.

Gelen ayarlardaki trust settings bölümü misafir MFA’sının nerede yapılacağını belirler:

Güven ayarı	Kapalıyken	Açıkken
Trust MFA from Microsoft Entra tenants	Misafir sizin kiracınızda ayrıca MFA kaydı yapar ve doğrular	Ev kiracısında tamamlanan MFA kabul edilir
Trust compliant devices	Uyumlu cihaz koşulu misafirde karşılanamaz	Ev kiracısının Intune uyumluluk iddiası kabul edilir
Trust Microsoft Entra hybrid joined devices	Hibrit katılım koşulu karşılanamaz	Ev kiracısının cihaz durumu kabul edilir

MFA güvenini varsayılan ayarda değil, yalnız MFA uygulamasını bildiğiniz iş ortağı kiracıları için organizasyon bazında açmak daha kontrollüdür. Güven kapalıyken misafir sizin kiracınızda kendi MFA yöntemini kaydeder; her kiracıda ayrı yöntem demektir ama kontrol sizdedir. Güven açıldığında ev kiracısındaki yöntemin gücüne bağlı kalırsınız. Phishing’e dayanıklı bir authentication strength istiyorsanız, ev kiracısındaki yöntemin bunu karşılaması gerekir. Karşılamıyorsa misafir kapıda kalır.

Giden ayarlar ise kendi kullanıcılarınızın hangi dış kiracılara misafir olabileceğini belirler. Veri sızıntısı ve kurumsal siber güvenlik açısından bu yön de aynı ağırlıktadır; kurumsal cihazlardan yalnız onaylı kiracılara erişimi zorlamak için Tenant Restrictions v2 ayrıca değerlendirilebilir.

Misafirlere Conditional Access uygulamak

Conditional Access’te kullanıcı kapsamındaki Guest or external users seçeneği dış kullanıcı türlerini ayrı ayrı hedeflemeye izin verir: B2B collaboration guest users, B2B collaboration member users, B2B direct connect users (Teams paylaşılan kanalları), local guest users, service provider users ve other external users. Belirli dış kiracılar seçilerek kapsam ayrıca daraltılabilir.

Misafirler için tipik politika seti:

1. Tüm misafirler için MFA: Tüm bulut uygulamaları, “Require MFA” veya dış kullanıcılar için tanımlanmış bir authentication strength.
2. Uygulama kapsamını sınırlama: Misafirlerin yalnız işbirliği uygulamalarına (Office 365, belirli kurumsal uygulamalar) erişmesi; diğer uygulamaları misafirler için engelleme.
3. Oturum kontrolleri: Yönetilmeyen cihazlardan SharePoint ve OneDrive’da yalnız tarayıcı erişimi ve indirme kısıtlaması için uygulama tarafından zorlanan kısıtlamalar.
4. Riskli oturumlar: Lisans kapsamınız uygunsa misafirlere de oturum açma riski koşulu uygulanabilir. Misafirde kullanıcı riski düzeltmesi (parola değişimi) sizin kiracınızda yapılamaz; oturum riski bu yüzden daha anlamlıdır.

Politika tasarımının genel çerçevesi için Conditional Access planlama rehberine bakın. Misafir politikalarını da önce report-only modunda çalıştırın ve oturum açma günlüklerinde dış kullanıcıların nasıl etkilendiğini görün. Sahada sık gördüğümüz tablo: “tüm kullanıcılar” kapsamlı bir cihaz uyumluluğu politikası, Intune’a kayıtlı olamayacak misafirleri sessizce dışarıda bırakır ve sorun ancak iş ortağı aradığında fark edilir.

Erişim incelemeleri ile yaşam döngüsü

Access reviews, misafir erişimini periyodik olarak bir sorumluya onaylatmanın yerleşik yoludur ve Entra ID Governance (veya ilgili P2 kapsamı) lisansı gerektirir; güncel lisans eşlemesini Microsoft’un dokümantasyonundan doğrulayın. Tasarımda dikkat edilecekler:

• Kapsam: Misafir içeren tüm Microsoft 365 grupları ve Teams ekipleri, “Guest users only” seçeneğiyle.
• İnceleyen: Grup sahipleri; sahibi olmayan gruplar için yedek inceleyici olarak bir güvenlik veya BT sorumlusu. Misafirin kendi kendini incelemesi yalnız düşük riskli senaryolarda kullanılmalı.
• Sıklık: Hassas proje gruplarında üç ayda bir, genel işbirliği gruplarında altı ayda bir gibi risk temelli bir döngü.
• Yanıt verilmezse: Erişimi kaldır. Sessizlik onay sayılmaz. Son oturum açma bilgisine dayalı “öneri”lerin inceleyiciye gösterilmesi karar kalitesini artırır.
• Sonuçların otomatik uygulanması: Açık olmalı. Kiracı genelinde misafir incelemesinde, reddedilen misafirin oturum açmasını engelleyip belirli bir süre sonra kiracıdan kaldıran seçenek, yanlışlıkla kaldırılan bir iş ortağını geri almaya zaman tanır.

Eski misafir hesaplarını bulmak ve temizlemek

İlk temizlik, erişim incelemesi döngüsü başlamadan önce yapılır; yoksa ilk inceleme turu yüzlerce sahipsiz kayıtla tıkanır. Microsoft Graph PowerShell ile misafirlerin oluşturulma tarihi, davet durumu ve son oturum açma bilgisi alınabilir. signInActivity özelliğini okumak için AuditLog.Read.All izni ve Entra ID P1 veya üzeri lisans gerekir.

Connect-MgGraph -Scopes "User.Read.All","AuditLog.Read.All"

$esik = (Get-Date).AddDays(-180)
Get-MgUser -Filter "userType eq 'Guest'" -All `
  -Property Id,DisplayName,Mail,CreatedDateTime,ExternalUserState,SignInActivity |
  Select-Object DisplayName, Mail, CreatedDateTime, ExternalUserState,
    @{n='SonGiris';e={$_.SignInActivity.LastSignInDateTime}} |
  Where-Object { ($_.ExternalUserState -eq 'PendingAcceptance' -and $_.CreatedDateTime -lt $esik) -or
                 ($_.SonGiris -and $_.SonGiris -lt $esik) -or
                 (-not $_.SonGiris -and $_.CreatedDateTime -lt $esik) } |
  Export-Csv .\eski-misafirler.csv -NoTypeInformation -Encoding UTF8

Örnekteki 180 günlük eşik bir başlangıç değeridir; kendi işbirliği döngünüze göre ayarlayın. Güvenli temizlik sırası:

1. Listeyi davet eden birimle veya sponsorla paylaşın; aktif sözleşmesi olanları ayırın.
2. Kalanların oturum açmasını engelleyin (Update-MgUser -UserId <id> -AccountEnabled:$false) ve bir bekleme süresi tanıyın.
3. Bekleme süresi sonunda hesapları silin; silinen kullanıcılar belirli bir süre geri yüklenebilir durumda kalır.
4. Kabul edilmemiş eski davetleri (PendingAcceptance) doğrudan kaldırın.

Önce devre dışı, sonra silme. Bu sıra, yanlış listeye girmiş bir iş ortağını tek komutla geri getirmenizi sağlar.

Teams ve SharePoint tarafı bu kimlik ayarlarıyla birlikte çalışır: Teams’in misafir erişimi ayarı, SharePoint’in kuruluş düzeyindeki dış paylaşım seviyesi ve SharePoint–Entra B2B tümleşimi, misafirin nasıl oluşturulduğunu ve hangi politikalara tabi olduğunu belirler. Paylaşım ayarlarının ayrıntısı için SharePoint ve OneDrive dış paylaşım güvenliği yazısına, kiracı genelindeki diğer temel ayarlar için Microsoft 365 güvenlik kontrol listesine bakın. Dış kimlik ayarlarının güncel açıklamaları Microsoft Entra External ID dokümantasyonunda.

Misafir erişim modelinin davet sürecinden erişim incelemelerine kadar kurulması kimlik ve erişim yönetimi çalışmalarının; Teams ve SharePoint ayarlarıyla birlikte değerlendirilmesi ise Microsoft 365 güvenliği kapsamının parçasıdır.

Sık sorulan sorular

Misafir kullanıcılara MFA kimin kiracısında uygulanır?

Varsayılan olarak misafir, sizin kiracınızdaki Conditional Access politikası MFA istediğinde sizin kiracınızda MFA kaydı yapar ve doğrular. Kiracılar arası erişim ayarlarında ilgili kuruluş için MFA güveni açılırsa ev kiracısında tamamlanan MFA kabul edilir.

Misafir davet etme yetkisini tamamen kapatmak doğru mu?

Güvenlik açısından sıkıdır, ama talep süreci tasarlanmazsa kullanıcılar kişisel paylaşım yollarına yönelir. Davet yetkisini rol sahiplerine indirip misafir taleplerini sponsor onaylı erişim paketleriyle karşılamak daha sürdürülebilir bir modeldir.

Son oturum açma bilgisi olmayan misafir ne anlama gelir?

Hesap ya hiç kullanılmamıştır ya da oturum açma etkinliği kaydedilmeye başlanmadan önceki bir tarihte kullanılmıştır. Oluşturulma tarihi eskiyse ve sponsoru erişim ihtiyacını doğrulamıyorsa önce devre dışı bırakılır, sonra silinir.

Erişim incelemeleri için hangi lisans gerekir?

Erişim incelemeleri Microsoft Entra ID Governance özelliklerindendir ve uygun lisans gerektirir; misafirler için kullanıcı başına değil aylık etkin kullanıcıya dayalı bir faturalama modeli de bulunabilir. Güncel lisans koşullarını Microsoft’un dokümantasyonundan doğrulayın.