Microsoft Entra'da Koşullu Erişim ilkesini yapılandırma

Microsoft, Microsoft Entra ID P1 veya P2 lisansına sahip olduğunuzda Koşullu Erişim ilkesine sahip bir MFA kurmanızı önerir. Bu, herhangi bir sorun yaşanmaması için öncelikle güvenlik varsayılanlarını ve kullanıcı başına MFA'yı devre dışı bırakmanız gerektiği anlamına gelir. Bu makalede, Microsoft Entra yönetim merkezinde ve PowerShell ile Koşullu Erişim ilkesinin nasıl yapılandırılacağını öğreneceksiniz.

Koşullu Erişim politikası nedir

Koşullu Erişim, belirli koşullar oluştuğunda erişim gereksinimlerini uygulamanıza olanak tanır.

Koşullu Erişim politikası, Atamalar ve Erişim kontrollerinin if-then ifadesidir. Örneğin, Eğer bir kullanıcı Microsoft 365 gibi bir uygulamaya veya hizmete erişmek istiyorsa, bu durumda erişim kazanmak için çok faktörlü kimlik doğrulaması gerçekleştirmesi gerekir.

Bazı Koşullu Erişim politikası örnekleri için aşağıdaki tabloya bakın:

Koşullar:

  • Bir kullanıcı şirketin ağ IP adresinin dışındaysa.
  • "Satış" grubundaki bir kullanıcı oturum açarsa.

Kontroller:

  • Kullanıcının çok faktörlü kimlik doğrulama (MFA) ile oturum açması gerekir.
  • Kullanıcının Intune uyumlu olması gerekir.

Koşullu Erişim ilkeleri, erişimi engelleyebilecek ve çok faktörlü kimlik doğrulama gerektirebilecek güvenlik kontrollerini yöneten koşullar oluşturmanıza olanak tanır.

Kuruluşunuzu güvende tutmak amacıyla gerektiğinde doğru erişim denetimlerini uygulamak için Koşullu Erişim ilkelerini kullanın.

Lisans gereksinimleri

Koşullu Erişimi yapılandırmak için aşağıdaki gereksinimlerden birine ihtiyacınız vardır:

  • İşletme Premium lisansı
  • Microsoft Entra ID P1 lisansı
  • Microsoft Entra ID P2 lisansı

Güvenlik varsayılanlarını devre dışı bırak

Kuruluşunuzda Koşullu Erişim ilkelerini uygulamadan önce güvenlik varsayılanlarını devre dışı bırakmanız gerekir.

Microsoft her kiracıyı korur ve güvenlik varsayılanlarını etkinleştirir. Koşullu Erişim politikasını yapılandırmak istiyorsanız bu bir sorundur çünkü CA politikasını oluşturmak istediğinizde aşağıdaki hatayı alırsınız.

Hata: 'Yöneticiler için çok faktörlü kimlik doğrulama gerektir' oluşturulamadı
Beklenmeyen bir hata oluştu, lütfen daha sonra tekrar deneyin.

Bu hatayı önlemek için, Koşullu Erişim ilkesini yapılandırmadan önce kuruluşunuzun güvenlik varsayılanlarını devre dışı bırakmanız gerekir.

Microsoft Entra ID'de Güvenlik varsayılanlarını devre dışı bırakın

Kuruluşunuz için güvenlik varsayılanlarını aşağıdaki adımlarla devre dışı bırakın:

  1. Microsoft Entra yönetim merkezinde oturum açın
  2. Kimlik > Genel Bakış'ı tıklayın
  3. Özellikler sekmesini tıklayın
  4. Aşağı kaydırın > Güvenlik varsayılanlarını yönet'i tıklayın
  5. Devre Dışı'yı seçin
  6. Kuruluşum Koşullu Erişim kullanıyor'u seçin
  7. Kaydet'i tıklayın

  1. Devre Dışı Bırak'ı tıklayın

Güvenlik varsayılanlarını başarıyla devre dışı bıraktınız.

Microsoft Graph PowerShell ile güvenlik varsayılanlarını devre dışı bırakın

Aşağıdaki adımları izleyerek kuruluşunuz için Microsoft Graph PowerShell ile güvenlik varsayılanlarını da devre dışı bırakabilirsiniz:

  1. Öncelikle Microsoft Graph modülünü kurmanız gerekiyor.
Install-Module Microsoft.Graph -Force
  1. Aşağıdaki kapsamlarla Microsoft Graph'a bağlanın.
Connect-MgGraph -Scopes "Policy.Read.All", "Policy.ReadWrite.ConditionalAccess"
  1. Aşağıdaki PowerShell komutuyla güvenlik varsayılanlarını devre dışı bırakın.
Update-MgPolicyIdentitySecurityDefaultEnforcementPolicy -IsEnabled:$false
  1. Güvenlik varsayılanlarını devre dışı bırakıp bırakmadığınızı kontrol etmek için aşağıdaki PowerShell komutunu çalıştırın
Get-MgPolicyIdentitySecurityDefaultEnforcementPolicy | ft DisplayName, IsEnabled
  1. PowerShell çıkışı, Güvenlik Varsayılanları değerinin Yanlış olarak ayarlandığını gösterir.
DisplayName       IsEnabled
-----------       ---------
Security Defaults     False

Microsoft Entra'da Koşullu Erişim ilkesi oluşturma

Koşullu Erişim ilkesi oluşturmanın iki yöntemi vardır:

  • Şablonlardan yeni politika oluştur
  • Yeni politikayı manuel olarak oluştur

Şablonlardan yeni Koşullu Erişim ilkesi oluşturun

Bir şablondan yeni bir CA ilkesi oluşturmak için şu adımları izleyin:

  1. Microsoft Entra yönetim merkezinde oturum açın
  2. Koruma > Koşullu Erişim'i tıklayın
  3. Genel Bakış'a gidin
  4. Şablonlardan yeni politika oluştur'u tıklayın

  1. Bir şablon seçin'e gidin
  2. Güvenli temel'e gidin
  3. Tüm kullanıcılar için çok faktörlü kimlik doğrulamayı zorunlu kıl şablonunu seçin
  4. İncele + Oluştur'u tıklayın

  1. Politika durumunu Açık olarak seçin
  2. Oluştur'u tıklayın

CA politikasının başarıyla oluşturulduğunu belirten bir bildirim görünür: Yöneticiler için çok faktörlü kimlik doğrulamayı zorunlu kıl. Politika durumu Açık olarak ayarlanırsa politika birkaç dakika içinde etkinleştirilecektir.

Yeni Koşullu Erişim ilkesini manuel olarak oluşturun

Manuel olarak yeni bir CA ilkesi oluşturmak için aşağıdaki adımları izleyin:

  1. Microsoft Entra yönetim merkezinde oturum açın
  2. Koruma > Koşullu Erişim'i tıklayın
  3. Genel Bakış'a gidin
  4. Yeni politika oluştur'u tıklayın

  1. MFA tüm kullanıcıları adını yazın
  2. Kullanıcılar'ı tıklayın
  3. Dahil et'i tıklayın
  4. Tüm kullanıcılar'ı seçin

  1. Hariç tut'u tıklayın
  2. Kullanıcılar ve gruplar'ı seçin
  3. Kullanıcıları ve grupları seçin

  1. Kaynakları hedefle'yi tıklayın
  2. Bulut uygulamalarını seçin
  3. Dahil et'i tıklayın
  4. Tüm bulut uygulamaları'nı seçin

  1. Koşullar'ı tıklayın
  2. Konumlar'ı tıklayın
  3. Yapılandır > Evet'i seçin
  4. Dahil et'i tıklayın
  5. Herhangi bir konum'u seçin

  1. Hibe'yi tıklayın
  2. Erişim izni ver'i seçin
  3. Çok faktörlü kimlik doğrulamayı zorunlu kıl'ı seçin
  4. Seç'i tıklayın

  1. Politikayı etkinleştirin > Açık'ı tıklayın
  2. Hesabımın bu politikadan etkileneceğini anlıyorum'u seçin. Yine de devam edin.
  3. Oluştur'u tıklayın

CA politikasının başarıyla oluşturulduğunu belirten bildirim görünüyor: MFA tüm kullanıcılar. Politika birkaç dakika içinde etkinleştirilecek.

Microsoft Entra'da Koşullu Erişim ilkesini doğrulayın

Microsoft Entra yönetim merkezinde oluşturduğunuz CA ilkesini kontrol edin:

  1. Koruma > Koşullu Erişim'i tıklayın
  2. Politikalar'ı tıklayın

Oluşturduğumuz iki politika Koşullu Erişim politikaları listesinde görünür.

PowerShell ile Koşullu Erişim ilkesini yapılandırma

Aşağıdaki adımları izleyerek Koşullu Erişim ilkesini PowerShell ile yapılandırın.

Microsoft Graph PowerShell'i yükleyin

Başlamadan önce Microsoft Graph modülünü ve Microsoft Graph Beta modülünü yüklemelisiniz.

Microsoft Graph modüllerini kurmak için aşağıdaki komutları çalıştırın.

Install-Module Microsoft.Graph -Force
Install-Module Microsoft.Graph.Beta -AllowClobber -Force

Microsoft Graph PowerShell'i bağlayın

Aşağıdaki kapsamlarla Microsoft Graph PowerShell’e bağlanmanız gerekmektedir.

Connect-MgGraph -Scopes "Policy.Read.All", "Policy.ReadWrite.ConditionalAccess"

Artık Microsoft Graph PowerShell komutlarını kullanmaya hazırsınız.

Koşullu Erişim ilkesi şablonlarının listesini alın

Koşullu erişim politikası şablonlarının bir listesini almak için New-MgBetaIdentityConditionalAccessPolicy PowerShell cmdlet'ini kullanacağız.

Aşağıdaki PowerShell komutunu çalıştırın.

Get-MgBetaIdentityConditionalAccessTemplate | select Id, Name, Description

PowerShell çıktı sonucu aşağıda gösterilmiştir.

Id                                   Name                                                                                           Description
--                                   ----                                                                                           -----------
c7503427-338e-4c5e-902d-abe252abfb43 Require multifactor authentication for admins                                                  Require multifactor authentication for privileged administrative accounts to reduce risk of compromise. This p… 
b8bda7f8-6584-4446-bce9-d871480e53fa Securing security info registration                                                            Secure when and how users register for Azure AD multifactor authentication and self-service password reset.     
0b2282f9-2862-4178-88b5-d79340b36cb8 Block legacy authentication                                                                    Block legacy authentication endpoints that can be used to bypass multifactor authentication.
a3d0a415-b068-4326-9251-f9cdf9feeb64 Require multifactor authentication for all users                                               Require multifactor authentication for all user accounts to reduce risk of compromise.
a4072ac0-722b-4991-981b-7f9755daef14 Require multifactor authentication for guest access                                            Require guest users perform multifactor authentication when accessing your company resources.
d8c51a9a-e6b1-454d-86af-554e7872e2c1 Require multifactor authentication for Azure management                                        Require multifactor authentication to protect privileged access to Azure management.
6b619f55-792e-45dc-9711-d83ec9d7ae90 Require multifactor authentication for risky sign-ins                                          Require multifactor authentication if the sign-in risk is detected to be medium or high. (Requires an Azure AD… 
634b6de7-c38d-4357-a2c7-3842706eedd7 Require password change for high-risk users                                                    Require the user to change their password if the user risk is detected to be high. (Requires an Azure AD Premi… 
c26a510a-3b8b-4023-8c44-d4f4c854e9f9 Require compliant or hybrid Azure AD joined device for admins                                  Require privileged administrators to only access resources when using a compliant or hybrid Azure AD joined de… 
4e39a309-931e-4cb1-a371-e2beea168002 Block access for unknown or unsupported device platform                                        Users will be blocked from accessing company resources when the device type is unknown or unsupported.
62e51ccc-c9c3-4554-ac70-066172c81007 No persistent browser session                                                                  Protect user access on unmanaged devices by preventing browser sessions from remaining signed in after the bro… 
6acdf4c3-6815-485c-a57d-2c349d517ba0 Require approved client apps or app protection policies                                        To prevent data loss, organizations can restrict access to approved modern auth client apps with Intune app pr… 
927c884e-7888-4e81-abc4-bd56ded28985 Require compliant or hybrid Azure AD joined device or multifactor authentication for all users Protect access to company resources by requiring users to use a managed device or perform multifactor authenti… 
81fd2072-4876-42b6-8157-c6000693046b Use application enforced restrictions for O365 apps                                            Block or limit access to O365 apps, including SharePoint Online, OneDrive, and Exchange Online content. This p… 
76c03f19-ea37-4656-a772-a183b4ddb81d Require phishing-resistant multifactor authentication for admins                               Require phishing-resistant multifactor authentication for privileged administrative accounts to reduce risk of… 
6364131e-bc4a-47c4-a20b-33492d1fff6c Require multifactor authentication for Microsoft admin portals                                 Use this template to protect sign-ins to admin portals if you are unable to use the "Require MFA for admins" t… 
16aaa400-bfdf-4756-a420-ad2245d4cde8 Block access for users with Insider Risk (Preview)                                             Configure insider risk as a condition to identify potential risky behavior (Requires an Azure AD premium P2 li…

Tüm Koşullu Erişim ilkesi şablonlarının bir listesini gösterir.

Şablondan Koşullu Erişim ilkesi oluşturun

Bir şablondan Koşullu Erişim ilkesi oluşturabilirsiniz. Yukarıdaki tüm şablonların listesine bakın ve bunlardan birini seçin.

  1. Şablon Kimliği numarasını 1 numaralı satıra yazın
  2. Aşağıdaki PowerShell betiğini çalıştırın
$CAtemplate = Get-MgBetaIdentityConditionalAccessTemplate -ConditionalAccessTemplateId "a3d0a415-b068-4326-9251-f9cdf9feeb64"

$policyParams = @{
    TemplateId  = $CAtemplate.Id
    DisplayName = $CAtemplate.Name
    State       = "enabled"
}

New-MgIdentityConditionalAccessPolicy @policyParams

Aşağıdaki PowerShell çıktı sonucuna bakın.

Id                                   CreatedDateTime     Description DisplayName                                      ModifiedDateTime State   TemplateId
--                                   ---------------     ----------- -----------                                      ---------------- -----   ----------
a09f03f4-235c-4dfc-ab7e-f05b50e8206f 31/10/2023 12.02.42             Require multifactor authentication for all users                  enabled a3d0a415-b068-4326-9251-f9cdf9feeb64

Seçtiğiniz şablonla Koşullu Erişim politikasını oluşturur.

Koşullu Erişim ilkesi oluştur

Koşullu Erişim politikası oluşturmak için New-MgIdentityConditionalAccessPolicy PowerShell cmdlet'ini kullanacağız.

Aşağıdaki PowerShell betiğini çalıştırın.

Connect-MgGraph -Scopes "Policy.Read.All", "Policy.ReadWrite.ConditionalAccess"

$params = @{
    displayName   = "MFA all users"
    state         = "enabled"
    conditions    = @{
        clientAppTypes = @(
            "All"
        )
        applications   = @{
            includeApplications = @(
                "All"
            )
        }
        users          = @{
            includeUsers  = @(
                "All"
            )
            excludeUsers  = @(
                "f034e5cd-4abb-47ca-895a-48560ec30787"
            )
            excludeGroups = @(
                "99db26ab-a3c8-4eba-a853-de022efa0021"
            )
        }
        locations      = @{
            includeLocations = @(
                "All"
            )
        }
    }
    grantControls = @{
        operator        = "OR"
        builtInControls = @(
            "mfa"
        )
    }
}

New-MgIdentityConditionalAccessPolicy -BodyParameter $params

Yeni Koşullu Erişim ilkesini oluşturur.

Tüm Koşullu Erişim politikalarını edinin

Get-MgIdentityConditionalAccessPolicy PowerShell cmdlet'ini kullanarak oluşturduğunuz tüm Koşullu Erişim politikalarının bir listesini alabilirsiniz.

Aşağıdaki PowerShell komutunu çalıştırın.

Get-MgIdentityConditionalAccessPolicy | ft

Aşağıdaki PowerShell çıktısına bakın.

Id                                   CreatedDateTime     Description DisplayName                                      ModifiedDateTime State   TemplateId
--                                   ---------------     ----------- -----------                                      ---------------- -----   ----------
5abe02d2-ff3f-4d31-8b20-7e7c58903462 31/10/2023 10.58.08             MFA all users                                                     enabled
a09f03f4-235c-4dfc-ab7e-f05b50e8206f 31/10/2023 12.02.42             Require multifactor authentication for all users                  enabled a3d0a415-b068-4326-9251-f9cdf9feeb64

Bu kadar!

Devamını oku: Koşullu Erişim politikası nasıl dışa aktarılır »

Çözüm

Kuruluşunuz için Koşullu Erişim ilkesini Microsoft Entra yönetim merkezinde ve PowerShell ile nasıl yapılandıracağınızı öğrendiniz. Öncelikle kuruluşunuz için güvenlik varsayılanlarını devre dışı bırakmanız gerekir. Daha sonra devam edebilir ve bir Koşullu Erişim politikasını yapılandırabilirsiniz.

Bu makaleyi beğendiniz mi? Ayrıca Microsoft 365 kullanıcı lisanslarını dışa aktarma seçeneğini de beğenebilirsiniz. Bizi takip etmeyi ve bu yazımızı paylaşmayı unutmayın.

İlgili makaleler