Şirket içi için Microsoft Entra Parola Korumasını yapılandırma

Kuruluşunuzu zayıf kullanıcı parolalarından korumak istediğinizde Microsoft Entra Parola Koruması mükemmeldir. Bunun nedeni, Microsoft'un, yaygın olarak kullanılan zayıf veya güvenliği ihlal edilmiş parolaları bulmak için Microsoft Entra güvenlik telemetri verilerini sürekli olarak analiz etmesi ve küresel olarak yasaklanan parolaların bir listesini tutmasıdır. Bu makalede, kuruluşta zayıf parolaların kullanılmasını önlemek amacıyla şirket içi Active Directory için Microsoft Entra Parola Korumasını nasıl yapılandıracağınızı ve etkinleştireceğinizi öğreneceksiniz.

giriiş

Active Directory'de, kuruluşunuzda güçlü parolalar uygulamanıza yardımcı olabilecek GPO'ları etkinleştirebilirsiniz:

Minimum şifre uzunluğu
Minimum şifre yaşı
Maksimum şifre yaşı
Şifre karmaşıklık gereksinimlerini karşılamalıdır
Şifre geçmişini zorunlu kıl

Bu, kuruluşu saldırılara karşı koruduğunuz anlamına gelmez çünkü yöneticiler ve kullanıcılar, iyi bilinen şifreler olarak bilinen ve sizin istemediğiniz zayıf şifreler oluşturabilir!

Kullanıcıların her gün kullandığı binlerce bilinen şifre vardır. Bilinen bazı şifreler şunlardır:

Hoşgeldiniz01!
P@ssw0rd1234
FerrariKırmızı!@

İşte o zaman Microsoft Entra Parola Koruması, Microsoft Entra ID'de ve şirket içi AD'de dağıtılacak mükemmel bir özelliktir. Öyleyse bunun hakkında biraz daha öğrenelim.

Microsoft Entra Şifre Koruması

Birçok güvenlik yönergesi aynı şifreyi birden fazla yerde kullanmamanızı, şifreyi karmaşık hale getirmemenizi ve Password123 gibi basit şifrelerden kaçınmanızı önerir. Kullanıcılarınıza şifreleri nasıl seçecekleri konusunda rehberlik sağlayabilirsiniz ancak zayıf veya güvenli olmayan şifreler hala sıklıkla kullanılmaktadır.

Microsoft Entra Parola Koruması, bilinen zayıf parolaları ve bunların türevlerini algılar ve engeller. Ayrıca kuruluşunuza özel ek zayıf terimleri de engelleyebilir.

Microsoft Entra Şifre Koruması lisansı

Microsoft Entra Parola Koruması lisanslaması için aşağıdaki tabloya bakın.

Cloud-only users: Microsoft Entra Kimliği Ücretsiz
Users synchronized from on-premises AD DS: Microsoft Entra ID P1 veya P2

Şirket içi Active Directory Etki Alanı Hizmetleri'nden (AD DS) senkronize edilen kullanıcıların çalışması için Microsoft Entra ID P1 veya P2'ye ihtiyacınız vardır.

Microsoft Entra Şifre Koruması diyagramı

Aşağıdaki şema, Microsoft Entra Parola Korumasının temel bileşenlerinin şirket içi Active Directory ortamında birlikte nasıl çalıştığını gösterir.

Bir kullanıcı Etki Alanı Denetleyicisine parola değişikliği talebinde bulunur.
DC Aracısı şifre filtresi dll'si, işletim sisteminden şifre doğrulama isteklerini alır ve bunları DC'de yüklü olan Microsoft Entra Şifre Koruması DC Aracısı Hizmetine iletir. Bu Aracı daha sonra parolanın yerel olarak depolanan parola ilkesiyle uyumlu olup olmadığını doğrular.
DC'deki Aracı, Microsoft'tan yeni bir parola ilkesi kopyası indirmek için her 1 saatte bir ormandaki SCP (Hizmet Bağlantı Noktası) aracılığıyla Microsoft Entra Parola Koruma Proxy Hizmeti'ni bulur. Giriş kimliği.
DC'deki Aracı, proxy hizmeti aracılığıyla Microsoft Entra'dan yeni parola ilkesi sürümünü alır ve bunu Sysvol'da saklayarak bu yeni ilkenin aynı etki alanındaki tüm diğer DC'lere kopyalanmasını sağlar.

Microsoft Entra Parola Koruması ilkeleri Sysvol'da saklanır.

Microsoft Entra Parola Koruması nasıl yapılandırılır

Şirket içi Active Directory için Microsoft Entra Parola Korumasını etkinleştirmeden önce aşağıdaki adımları uygulayacağız ve her şeyin yerinde olduğundan emin olacağız.

Microsoft Entra parola geri yazmayı etkinleştirme

Daha fazlasını şu makalede okuyun: Self Servis Parola Sıfırlamayı Etkinleştirme.

Şirket içi geri yazma istemciniz çalışıyor ve çalışıyor mesajını gördüğünüzden ve Senkronize edilmiş kullanıcılar için şifrenin geri yazılmasını etkinleştir özelliğinin etkin olduğundan emin olun.

Microsoft Entra Parola Koruması gerekli yazılımı indirin

Şirket içi Microsoft Entra Parola Koruması dağıtımı için gerekli iki yükleyici vardır:

Microsoft Entra Parola Koruma proxy'si (AzureADPasswordProtectionProxySetup.msi)
Microsoft Entra Parola Koruması DC aracısı (AzureADPasswordProtectionDCAgentSetup.msi)

Her iki yükleyiciyi de Microsoft İndirme Merkezi'nden indirin.

Artık gerekli yükleyicilerin her ikisine de sahip olduğumuza göre bir sonraki adıma geçebiliriz.

Microsoft Entra Parola Koruması proxy hizmeti önkoşulları

Microsoft Entra Parola Koruması proxy hizmeti için aşağıdaki gereksinimler geçerlidir:

Windows Server 2012 R2 veya üzeri.
.NET 4.7.2 yüklü veya üzeri.
RODC'ye (Salt Okunur Etki Alanı Denetleyicisi) yüklemeyin.
Giden TLS 1.2 HTTP trafiğine izin ver.
Belirli bir kiracıda Microsoft Entra Parola Koruması proxy hizmetini ilk kez kaydetmek için bir Genel Yönetici hesabı gereklidir.
Uç noktalara ağ erişimi: https://login.microsoftonline.com, https://enterpriseregistration.windows.net ve https://autoupdate. msappproxy.net.

Microsoft Entra Şifre Koruması proxy hizmeti otomatik olarak yükseltilir. Otomatik yükseltme, proxy hizmetiyle yan yana yüklenen Microsoft Entra Connect Agent Güncelleyici hizmetini kullanır.

Microsoft Entra Parola Koruması proxy hizmetini yükleyin ve yapılandırın

Şirket içi AD DS ortamınızdaki bir üye sunucuya Microsoft Entra Parola Koruması proxy hizmetini yükleyin. Ayrıca proxy hizmeti için özel bir üye sunucu kullanabilirsiniz. Microsoft Entra Parola Koruması proxy hizmeti yüklendikten sonra, Microsoft Entra kiracınız için genel ve müşteri tarafından yasaklanan parola listelerinin bir kopyasını tutmak üzere Microsoft Entra ID ile iletişim kurar.

Not: Proxy hizmetini Etki Alanı Denetleyicisine (DC) veya Salt Okunur Etki Alanı Denetleyicisine (RODC) yüklemeyin.

Artıklık için orman başına en az iki Microsoft Entra Parola Koruması proxy sunucusu öneririz. Örneğimizde AP-01 üye sunucusuna (uygulama sunucusu) kuracağız.

AzureADPasswordProtectionProxySetup.msi dosyasını C:\install klasörüne yerleştirin. Ardından Komut İstemi'ni yönetici olarak çalıştırın ve AzureADPasswordProtectionProxySetup.msi yükleyicisini başlatın.

C:\Install\AzureADPasswordProtectionProxySetup.msi

Microsoft Entra Parola Koruma Proxy Paketi Kurulumunu inceleyin. Bitirdiğinizde Kapat'ı tıklayın.

Microsoft Entra Şifre Koruma Proxy'sinin Programlar ve Özellikler'de göründüğünü doğrulayın.

Windows PowerShell'i (64 bit) yönetici olarak çalıştırın. AzureADPasswordProtection modülünü içeri aktarın.

Import-Module AzureADPasswordProtection

Microsoft Entra Parola Koruması proxy hizmetinin çalıştığını kontrol edin.

Get-Service AzureADPasswordProtectionProxy | fl

Sonuç, Çalışıyor'un Durumunu gösterir.

Name                : AzureADPasswordProtectionProxy
DisplayName         : Azure AD Password Protection Proxy
Status              : Running
DependentServices   : {}
ServicesDependedOn  : {SAMSS, KEYISO, RPCSS}
CanPauseAndContinue : False
CanShutdown         : False
CanStop             : True
ServiceType         : Win32OwnProcess

Proxy hizmeti makinede çalışıyor ancak Microsoft Entra ID ile iletişim kurmak için kimlik bilgilerine sahip değil. Genel Yönetici kimlik bilgilerinizi kullanarak Microsoft Entra Parola Koruması proxy sunucusunu Microsoft Entra ID'ye kaydedin. Bunu her Microsoft Entra Parola Koruması proxy sunucusunda yapın.

Not: Aşağıdaki cmdlet'i ilk kez çalıştırdıktan sonra gözle görülür bir gecikme olabilir. Bir arıza bildirilmedikçe bu gecikme konusunda endişelenmeyin.

Register-AzureADPasswordProtectionProxy -AccountUpn 'admin@exoip.com'

Register-AzureADPasswordProtectionForest PowerShell cmdlet'ini kullanarak Microsoft Entra ID ile iletişim kurmak için şirket içi Active Directory ormanını gerekli kimlik bilgileriyle kaydedin.

Not: Ortamınızda birden fazla Microsoft Entra Şifre Koruması proxy sunucusu yüklüyse, ormanı kaydetmek için hangi proxy sunucusunu kullandığınız önemli değildir. Bu adım orman başına bir kez çalıştırılır.

Cmdlet, Microsoft Entra kiracınız için Genel Yönetici veya Güvenlik Yöneticisi kimlik bilgilerini gerektirir. Ayrıca şirket içi Active Directory Kurumsal Yönetici ayrıcalıklarını da gerektirir. Bu cmdlet'i yerel yönetici ayrıcalıklarına sahip bir hesap kullanarak da çalıştırmalısınız. Ormanı kaydetmek için kullanılan Microsoft Entra ID hesabı, şirket içi Active Directory hesabından farklı olabilir.

Not: Aşağıdaki cmdlet'i ilk kez çalıştırdıktan sonra gözle görülür bir gecikme olabilir. Bir arıza bildirilmedikçe bu gecikme konusunda endişelenmeyin.

Register-AzureADPasswordProtectionForest -AccountUpn 'admin@exoip.com'

Proxy hizmetinin sağlıklı olduğunu doğrulayın.

Test-AzureADPasswordProtectionProxyHealth -TestAll

Sonuç, tümünü Geçti olarak gösterir.

DiagnosticName          Result AdditionalInfo
--------------          ------ --------------
VerifyTLSConfiguration  Passed
VerifyProxyRegistration Passed
VerifyAzureConnectivity Passed

Microsoft Entra Parola Koruması Denetim modu

Bir sonraki adıma geçmeden ve Microsoft Entra Parola Koruması DC aracı hizmetini yüklemeden önce, Microsoft Entra Parola Korumasının Denetim modunda ayarlandığını doğrulayın. Varsayılan olarak Denetim moduna ayarlıdır.

Not: Microsoft Entra Parola Koruması Denetim moduna ayarlanmışsa, girişim yalnızca günlüğe kaydedilir (olay günlüğü).

Microsoft Entra yönetim merkezinde oturum açın. Koruma > Kimlik doğrulama yöntemleri > Şifre koruması'na gidin. Başka bir yol da üst kısımda Şifre Koruması'nı aramaktır.

Enforce özel listesi özelliğini etkinleştirmenizi ve şirket adını eklemenizi öneririz. Denetim modunun etkin olduğundan emin olun. Kaydet'i tıklayın.

Microsoft Entra Parola Koruması DC aracısı önkoşulları

Microsoft Entra Parola Koruması DC aracısı için aşağıdaki gereksinimler geçerlidir:

Windows Server 2012 R2 veya üzeri.
.NET 4.7.2 yüklü veya üzeri.
RODC'ye (Salt Okunur Etki Alanı Denetleyicisi) yüklemeyin.
Sysvol çoğaltması için Dağıtılmış Dosya Sistemi Çoğaltması (DFSR). Etki alanınızda halihazırda DFSR kullanılmıyorsa, Microsoft Entra Parola Korumasını yüklemeden önce RFS'den (Dosya Çoğaltma Sistemi - DFSR'nin öncüsü) DFSR'ye geçiş yapmanız gerekir.

Microsoft Entra Şifre Koruması DC aracısı otomatik olarak yükseltilmez. Bunun yerine, AzureADPasswordProtectionDCAgentSetup.msi yazılım yükleyicisinin en son sürümü çalıştırılarak manuel yükseltme gerçekleştirilir. Yazılımın en son sürümü Microsoft İndirme Merkezi'nde mevcuttur.

Microsoft Entra Parola Koruması DC aracı hizmetini yükleyin

Şirket içi Etki Alanı Denetleyicilerine Microsoft Entra Parola Koruması DC aracı hizmetini yükleyin. Örneğimizde kuruluşumuzda yalnızca bir etki alanı denetleyicimiz var.

AzureADPasswordProtectionDCAgentSetup.msi dosyasını Etki Alanı Denetleyicisindeki C:\install klasörüne yerleştirin. Ardından Komut İstemi'ni yönetici olarak çalıştırın ve AzureADPasswordProtectionDCAgentSetup.msi yükleyicisini başlatın.

C:\install\AzureADPasswordProtectionDCAgentSetup.msi

Kurulum sihirbazını izleyin ve Son'u tıklayın.

Etki Alanı Denetleyicisini yeniden başlatmak için Evet'i tıklayın. Ortamda yalnızca bir DC'niz varsa yeniden başlatma planlayın.

Microsoft Entra Şifre Koruması DC Aracısının Programlar ve Özellikler'de gösterildiğini doğrulayın.

Windows PowerShell'i (64 bit) yönetici olarak çalıştırın. Microsoft Entra Parola Koruma DC Aracısının hangi Etki Alanı Denetleyicilerinde yüklü olduğunu kontrol edin.

Get-AzureADPasswordProtectionDCAgent

Tüm bilgiler çıktıda görünür.

ServerFQDN            : DC01-2022.exoip.local
SoftwareVersion       : 1.2.177.1
Domain                : exoip.local
Forest                : exoip.local
PasswordPolicyDateUTC : 4/16/2024 5:32:02 PM
HeartbeatUTC          : 4/16/2024 5:30:59 PM
AzureTenant           : exoip.com

DC aracısının sağlıklı olduğunu doğrulayın.

Test-AzureADPasswordProtectionDCAgentHealth -TestAll

Sonuç, tümünü Geçti olarak gösterir.

DiagnosticName             Result AdditionalInfo
--------------             ------ --------------
VerifyPasswordFilterDll    Passed
VerifyForestRegistration   Passed
VerifyEncryptionDecryption Passed
VerifyDomainIsUsingDFSR    Passed
VerifyAzureConnectivity    Passed

Microsoft Entra Parola Koruması Denetim modunu doğrulayın

Şirket içi Active Directory için Microsoft Entra Parola Koruması Denetim modunu etkinleştirdiğinizde, parola sıfırlandığında veya değiştirildiğinde bir olay kaydedilir. Örneğin yöneticiler, yardım masası veya kullanıcılar tarafından belirlenen yeni şifrelerin reddedildiğini veya kabul edildiğini gösterecektir.

Çalışırken görmek ve çalıştığını doğrulamak için. Bir test kullanıcısı için Active Directory'deki şifreyi sıfırlayalım. Öncelikle güçlü bir şifre oluşturun. Bundan sonra şifreyi tekrar sıfırlayın, ancak bu sefer zayıf bir şifreyle.

Microsoft Entra Parola Koruması DC aracısı olay günlükleri

Etki Alanı Denetleyicisinde Olay Görüntüleyicisi'ni başlatın. Uygulamalar ve Hizmet Günlükleri > Microsoft > AzureADPasswordProtection > DCAgent > Yönetici'ye gidin.

Microsoft Entra ID parola ilkesi parolayı reddediyor

Microsoft Entra ID şifreyi reddettiğinde olay kimliği 10025 ve olay kimliği 30009'u gösterir.

Event 10025, DCAgent
Belirtilen kullanıcının sıfırlama parolası, geçerli Azure parola ilkesine uymadığı için normalde reddedilirdi. Geçerli Azure parola ilkesi yalnızca denetim modu için yapılandırıldığından parola kabul edildi. Daha fazla ayrıntı için lütfen ilgili olay günlüğü mesajına bakın.

Event 30009, DCAgent
Belirtilen kullanıcının sıfırlama parolası, geçerli Azure parola ilkesinin Microsoft genel yasaklı parola listesinde bulunan belirteçlerden en az biriyle eşleştiği için normalde reddedilirdi. Geçerli Azure parola ilkesi, parolanın kabul edilmesi için yalnızca denetim modu için yapılandırılmıştır.

Microsoft Entra parola ilkesi parolayı kabul eder

Microsoft Entra ID, şifrenin uyumlu olduğunu doğruladığında olay kimliği 10015'i gösterecektir.

Event 10015, DCAgent
Belirtilen kullanıcının sıfırlama parolasının geçerli Azure parola ilkesiyle uyumlu olduğu doğrulandı.

Microsoft Entra Parola Koruması özet raporu

Kaç yeni şifre kümesinin doğrulandığını ve kaçının başarısız olduğunu gösteren bir özet rapor alın.

Get-AzureADPasswordProtectionSummaryReport

Çıktı görünür.

DomainController                : DC01-2022.exoip.local
PasswordChangesValidated        : 0
PasswordSetsValidated           : 4
PasswordChangesRejected         : 0
PasswordSetsRejected            : 0
PasswordChangeAuditOnlyFailures : 0
PasswordSetAuditOnlyFailures    : 3
PasswordChangeErrors            : 0
PasswordSetErrors               : 0

Bir sonraki adım, yani son adım, Denetim modundan Zorunlu moda geçiş yapmaktır.

Microsoft Entra Parola Korumasını Zorunlu Hale Getirin

Microsoft Entra yönetim merkezinde oturum açın. Koruma > Kimlik doğrulama yöntemleri > Şifre koruması'na gidin. Başka bir yol da üst kısımda Şifre Koruması araması yapmaktır.

Not: Zorunlu kıl olarak ayarlanırsa kullanıcıların yasaklı şifreler belirlemesi engellenir ve girişim günlüğe kaydedilir.

Zorunlu kıl modunu etkinleştirin. Kaydet'i tıklayın.

Tüm Etki Alanı Denetleyicilerinde Microsoft Entra Parola Koruma DC Aracısını yeniden başlatın.

Önemli: Değişikliklerin hemen uygulanmasını sağlamak için tüm Etki Alanı Denetleyicilerindeki DC aracılarını yeniden başlatın.

Microsoft Entra Parola Korumasını Uygulama modunu doğrulayın

Active Directory Kullanıcıları ve Bilgisayarları'na gidin ve kullanıcı şifresini zayıf veya güvenliği ihlal edilmiş bir şifreyle değiştirin. Tamam'ı tıkladıktan sonra aşağıdaki hata mesajı görüntülenir:

Active Directory Etki Alanı Hizmetleri
Windows, Ruth Dickens için parola değişikliğini tamamlayamıyor çünkü:
Parola, parola ilkesi gereksinimlerini karşılamıyor. Minimum şifre uzunluğunu, şifre karmaşıklığını ve şifre geçmişi gereksinimlerini kontrol edin.

Şirket içi Active Directory için Microsoft Entra Parola Korumasını başarıyla kurdunuz.

Devamını oku: Microsoft Entra Connect ile şifre senkronizasyonunu zorunlu kılın »

Çözüm

Şirket içi Active Directory için Microsoft Entra Parola Korumasını nasıl yapılandıracağınızı öğrendiniz. Öncelikle Denetim modunda Microsoft Entra Şifre Korumasını yapılandırmak için adımları izleyin. Ardından, her şey yerli yerine oturduktan ve memnun kaldıktan sonra Denetim modundan Zorunlu moduna geçin.

Şirket içi Microsoft Entra Parola Koruması, Microsoft Entra ID'de depolanan aynı genel ve özel yasaklı parola listelerini kullanır ve şirket içi parola değişiklikleri için Microsoft Entra ID'nin bulut tabanlı değişiklikler için yaptığı denetimlerin aynısını yapar.

Microsoft Entra kiracınız (bulut) yoksa ve yalnızca şirket içi ortamınız varsa Active Directory parolalarını ihlallere karşı koruma makalesindeki adımları izleyin. Bu yapılandırma, şirket içi ortamı zayıf, ihlal edilmiş ve iyi bilinen parolalardan korumak için Have I Been Pwned parola listesini kullanacaktır.

Bu makaleyi beğendiniz mi? Ayrıca Azure AD Connect'i V2.x'e yükseltmeyi de beğenebilirsiniz. Bizi takip etmeyi ve bu makaleyi paylaşmayı unutmayın.