Microsoft Entra'da Konuk Kullanıcı Davetlerini Kısıtlama

Konuk hesapları aracılığıyla ortamınıza harici erişimin etkinleştirilmesi dikkatlice düşünülmesi gereken bir şeydir; buna izin vermeye karar verirseniz, personelin üretken olmasını sağlarken hangi güvenlik kontrollerini uygulamak istediğinizi de düşünmelisiniz.

Bu eğitimde size bir konuk kullanıcının kiracınıza başka konuk kullanıcıları davet etme olanağını nasıl kısıtlayacağınızı göstereceğim.

Microsoft Entra'daki varsayılan konuk kullanıcı daveti ayarları

Microsoft Entra'da varsayılan olarak herkes konuk kullanıcıları kiracınıza davet edebilir ve onları Microsoft Entra ID'de kullanıcı olarak kaydedebilir. Ancak bu izin, misafir kullanıcılara da uygulanarak yalnızca normal kullanıcıları da kapsar! Bu, bir harici kullanıcıyı kiracınıza konuk olarak davet ettiğinizde, belki de sizinle bir projede işbirliği yapmak için davet ettiğinizde, sizin girişiniz olmadan başka harici kullanıcıları da davet edebilecekleri anlamına gelir.

Varsayılan olarak konuk kullanıcılarınıza olan bu güven düzeyi çok yüksektir. Kiracınıza ve dolayısıyla içerdiği hassas verilere erişim, dağıtılmadan önce dikkatle kontrol edilmeli, incelenmeli ve onaylanmalıdır.

Bu seçeneği etkin bırakmanın bir başka riski de, personelinizin, kuruluşa zaten 'güvenilen' biri tarafından davet edilmiş olması nedeniyle, bir kullanıcıya izin verilmesi gerekenden daha fazla bilgiye erişim izni verme yönünde yönlendirilmesini kolaylaştırmasıdır. Bu, Microsoft Entra'nın meşru bir özelliğinin kötüye kullanıldığı bir tür sosyal mühendisliktir.

Konuk kullanıcı daveti ayarlarını kısıtlamak ve bu özelliğin varsayılan durumdayken kötüye kullanılmasını önlemek için bu gönderiye devam edin.

Microsoft Entra'da konuk kullanıcı davetleri nasıl kısıtlanır

Konuk kullanıcıların Microsoft Entra'da başka konuk kullanıcı davet etmesini önlemek için aşağıdaki adımları izleyin.

1. Microsoft Entra'da Genel Yönetici olarak oturum açın.

2. Kimlik > Harici Kimlikler'i genişletin ve ardından Harici ortak çalışma ayarları'nı seçin.

3. Konuk daveti ayarları altında, Konuklar ve yönetici olmayanlar (çoğu dahil) dahil olmak üzere kuruluştaki herkes konuk kullanıcıları davet edebilir seçeneğinin seçilmediğinden emin olun. >.

Microsoft Graph PowerShell'i Kullanma ile konuk kullanıcı davetlerini kısıtlayın

Aynı sonuca Microsoft Graph PowerShell ve beta uç noktası kullanılarak da ulaşılabilir. Bunun için en son Microsoft Graph PowerShell modülünün kurulu olduğundan emin olmanız gerekir, modülün nasıl kurulacağına ilişkin rehberime buradan göz atın.

Policy.ReadWrite.Authorization izniyle Microsoft Graph'a bağlanarak başlayın. Bu, Microsoft Entra'da harici kimliklerle ilgili ayarları değiştirebilmenizi sağlayacaktır.

Connect-MgGraph -Scopes Policy.ReadWrite.Authorization

Daha sonra ayarlarınızı değiştirmek için Update-MgBetaPolicyAuthorizationPolicy cmdlet'ini kullanabilirsiniz.

Update-MgBetaPolicyAuthorizationPolicy -authorizationPolicyId authorizationPolicy `
-AllowInvitesFrom adminsAndGuestInviters

-AllowInvitesFrom parametresinin mevcut değerleri şunları içerir:

  • hiçbiri
  • adminsAndGuestDavetliler,
  • adminlerMisafirDavetlilerVeTümÜyeler
  • herkes

Varsayılan ayar herkes'tir.

Eğer PowerShell modüllerine bağımlı kalmadan Microsoft Graph kullanmak istiyorsanız aynı sonuç için aşağıdaki HTTP isteğini yapabilirsiniz.

  • URL: https://graph.microsoft.com/beta/policies/authorizationPolicy/authorizationPolicy
  • Yöntem: YAMA
  • Yük: {
    “guestUserRoleId”: “10dae51f-b6af-4016-8d66-8c2a99b929b3”,
    “allowInvitesFrom”: “adminsAndGuestInviters”
    }

Konuk kullanıcıların davetlerini kısıtlamanın kullanıcı üzerindeki etkisi

Microsoft Entra'da konuk daveti ayarları değiştirilip kısıtlandıktan sonra, mevcut bir konuk kullanıcı kuruluşunuza başka konuk kullanıcıları davet etmeye çalışırsa şu hatayı alır: Kullanıcı Daveti Başarısız.

İlgili makaleler