Azure AD PowerShell ve MS Graph Explorer'a Kullanıcı Erişimini Kısıtlayın

Microsoft Entra ID'deki herhangi bir kullanıcının, Entra ID portalını, PowerShell'i ve Graph API Explorer'ı kullanarak kullanıcıların ayrıntılarını ve dizin bilgilerini okuyabildiğini hepimiz biliyoruz. Değişiklik yapması kısıtlanmış olsa da yönetici olmayanlar yine de kullanıcı bilgilerini, grup ayrıntılarını, cihaz ayrıntılarını vb. inceleyebilir. Bilgisayar korsanları, Microsoft 365 ortamınızdaki kapsamlı bilgilere erişim sağlamak için her zaman en az ayrıcalıklı kullanıcıları istismar ettiğinden, bu büyük bir güvenlik sorunu oluşturur. Öyleyse, Azure AD PowerShell ve Microsoft Graph Explorer'a kullanıcı erişiminin nasıl kısıtlanacağını öğrenmeye derinlemesine bakalım.

Yönetici Olmayanlar Entra Dizin Bilgilerine Nereden Erişebilir?

Kullanıcılar, yönetici olmasalar bile diğer kullanıcıların bilgilerine çeşitli şekillerde erişebilirler.

Yönetici Merkezi ve Entra ID Portalı: Kullanıcılar, kullanıcı bilgilerine erişmek için Microsoft 365 yönetim merkezinin yanı sıra Entra ID portalına da gidebilirler.
PowerShell: Kullanıcılar, PowerShell komutları aracılığıyla Microsoft Entra ID'den dizin bilgilerini alabilir. Yönetici olmasalar bile 'Get-MgUser', 'Get-MgGroup' cmdlet'lerini çalıştırarak kullanıcı ve grup bilgilerini alabilirler.
Grafik Gezgini: Microsoft Graph Explorer, kullanıcıların Microsoft Graph API'leriyle etkileşim kurarak kullanıcı bilgileri de dahil olmak üzere çok çeşitli verilere erişmesine olanak tanır. Kullanıcılar kimlik doğrulaması yapabilir ve kullanıcı ayrıntılarını almak için API isteklerinde bulunabilir.

Kullanıcı bilgileri her yere dağıldığından, yönetici olmayanların Entra ID portalına, Azure AD PowerShell'e, Graph PowerShell'e ve Graph Explorer'a erişimini kısıtlamak önemli hale geliyor. Başlayalım.

Azure AD PowerShell'e Kullanıcı Erişimini Kısıtlayın
Microsoft Graph PowerShell ve Graph Explorer'a Kullanıcı Erişimini Kısıtlayın

- Entra ID'de Microsoft Graph PowerShell'e Kullanıcı Erişimini Engelleyin
- Koşullu Erişim Politikasıyla Grafik Gezginine Kullanıcı Erişimini Engelleyin

Azure AD PowerShell'e Kullanıcı Erişimini Kısıtlayın

Microsoft Graph, Entra ID yönetimi için başvurulacak araç haline gelmiş olsa da MSOnline, kullanıcı bilgilerine erişim konusunda hala güçlü bir seçenek olmaya devam ediyor. Bu güvenlik riskini azaltmak için yöneticiler kullanıcıların Azure AD PowerShell'e erişimini kısıtlayabilir.

1. Kullanıcı hesaplarının MS Graph kullanarak Azure AD PowerShell'e erişmesini engellemek için aşağıdaki adımları izleyin.

Öncelikle Microsoft Graph PowerShell'e bağlanın.

Kullanıcıların MSOnline kullanarak diğer kullanıcıların verilerine erişmesini engellemek için aşağıdaki cmdlet'i yürütün. Komut, hangi politikayı güncellemek istediğinizi belirtmek için bir AuthorizationPolicyId parametresi gerektirir. Tüm yetkilendirme politikalarının bir listesini almak için Get-MgPolicyAuthorizationPolicy komutunu çalıştırabilirsiniz.

Update-MgPolicyAuthorizationPolicy -AuthorizationPolicyId <AuthorizationPolicyId> -BlockMsolPowerShell $true

'-BlockMsolPowerShell' cmdlet'i, kullanıcıların Microsoft 365 kiracınızı yönetmek için daha eski bir araç (MSOL PowerShell) kullanmasını engeller. Bu, Microsoft Entra Connect veya Microsoft Graph'ı etkilemez.

2. Kullanıcı hesaplarının MSOnline kullanarak diğer kullanıcıların bilgilerini okumasını engellemek için aşağıdaki adımları izleyin.

Öncelikle Azure AD PowerShell’e bağlanın ve aşağıdaki cmdlet’i çalıştırın.

Set-MsolCompanySettings -UsersPermissionToReadOtherUsersEnabled $false

Burada, Set-MsolCompanySettings, Microsoft 365'te şirket genelindeki ayarları değiştirmek için kullanılır. -UsersPermissionToReadOtherUsersEnabled parametresi, kullanıcıların diğer kullanıcılar hakkındaki bilgileri okuma iznine sahip olup olmadığını denetler.

Bu cmdlet'i çalıştırdıktan sonra kullanıcılar PowerShell aracılığıyla Azure AD'ye erişmeye devam edebilir ancak diğer kullanıcıların bilgilerini okuyamazlar. Kullanıcılar Azure AD verilerini okumaya çalışırsa 'Erişim Reddedildi' mesajıyla karşılaşırlar.

3. PowerShell erişimini yönetici listesi dışında herkesle kısıtlamak için Microsoft bir PowerShell betiği geliştirmiştir. Bu betiği çalıştırmak, CSV dosyasında belirtilen yöneticiler listesi dışında herkes için PowerShell'i engelleyecektir.

Unutmayın - Yukarıda atıfta bulunulan Azure AD cmdlet'i ve Microsoft betiği, Microsoft'un 30 Mart 2024'te zaten kullanımdan kaldırdığı cmdlet'lere dayanmaktadır. Ancak Microsoft, MSOnline'ın 30 Mart 2025'e kadar çalışmaya devam etmesini sağlamıştır. MS Online'ın 1.1.166.0'dan önceki sürümleri (2017'de yayınlandı) artık güncelleme alamayacak ve 30 Haziran 2024'ten sonra sorunlarla karşılaşabilir.

Azure AD PowerShell'in yanı sıra kullanıcılar, kullanıcıların bilgilerine erişmek için 'portal.azure.com' ve 'entra.microsoft.com' adreslerine gitmeye devam edebilir. Bu nedenle, kullanıcının Azure portalına erişimini kısıtlamayı da düşünmeniz önerilir. Ancak bu yöntemlerin uygulanması kuruluştaki kullanıcı hesaplarının tamamının engellenmesine neden olacaktır ki bu hoş bir durum değildir.

Microsoft Graph PowerShell ve Graph Explorer'a Kullanıcı Erişimini Kısıtlayın

Microsoft Graph PowerShell ve Graph Explorer'a yönetici olmayan erişimi engellemek için Microsoft Entra yönetici merkezini veya Koşullu Erişim politikasını kullanabiliriz.

Entra ID'de Microsoft Graph PowerShell'e Kullanıcı Erişimini Engelleyin

Durum 1: Entra ID'de Microsoft Graph PowerShell'e Kullanıcı Erişimini Sınırlayın

Yetkisiz kullanıcıların Entra ID portalını kullanarak Microsoft Graph PowerShell'e erişmesini engellemek için lütfen aşağıdaki adımları izleyin.

Microsoft Entra yönetim merkezini açın.
Kimlik -> Uygulamalar —> Kurumsal uygulamalar -> Tüm uygulamalar'a gidin.
Microsoft Graph PowerShell'i seçin.
'Yönet' sekmesi altında Özellikler 'i tıklayın.
Erişim kısıtlaması için 'Atama gerekli mi?' geçişini Evet olarak değiştirin.
Kaydet'i seçin.

'Atama gerekli seçeneği' Evet olarak ayarlanmışsa kullanıcıların bu uygulamaya erişmeden önce bu uygulamaya atanmaları gerekir.

Not- Kullanıcıların Microsoft Graph PowerShell'de oturum açmasını tamamen engellemek istiyorsanız, aynı sayfada 'Kullanıcıların oturum açması için etkin mi?' seçeneğini Hayır olarak değiştirin.

2. Durum: Entra ID'de Microsoft Graph PowerShell'e Erişen Kullanıcıları Ekleme veya Kaldırma

Artık yöneticiler Microsoft Graph PowerShell'e erişebilecek belirli kullanıcıları veya grupları ekleyebilir.

Aynı 'Microsoft Graph PowerShell' sayfasında, 'Yönet' sekmesi altında Kullanıcılar ve gruplar'ı tıklayın.
Kullanıcı/grup ekle'yi seçin.
'Kullanıcılar ve gruplar'ın altında gerekli kullanıcıları ve grupları seçin ve Kaydet'i tıklayın.

Not - Benzer şekilde, uygulama listesinden 'Grafik Gezgini'ni seçerek Microsoft Entra'daki Grafik Gezgini uygulaması için kullanıcı erişimini kısıtlayabilirsiniz . Grafik Gezgini, en az bir kullanıcı tarafından kullanılmadığı sürece 'Tüm uygulamalar' listesinde görünmez.

Şimdi bir sonraki yönteme geçelim!

Koşullu Erişim Politikasıyla Grafik Gezginine Kullanıcı Erişimini Engelleyin

Entra ID portalının yanı sıra, Grafik Gezgini'ni belirli bir kullanıcı grubuyla sınırlamak için Koşullu Erişim politikalarından yararlanabilirsiniz. Ancak Koşullu Erişim ilkesi oluşturmanın kiracınız için en az bir Microsoft Entra ID P1 lisansı gerektirdiğini unutmayın.

Koşullu Erişim ilkesini kullanarak Grafik Gezgini'ni belirli kullanıcılar için kısıtlamak üzere aşağıdaki adımları izleyin:

Microsoft Entra yönetim merkezinde Koşullu Erişim sayfasını açın.
Yeni politika oluştur'u tıklayın.
Koşullu Erişim politikanıza ad verin.
Ödevler altında 'Kullanıcılar'ı seçin. Şimdi bu politikanın uygulanacağı kullanıcıları ve grupları belirtin. Gereksinimlere bağlı olarak yöneticileri bu politikanın dışında bırakabilirsiniz. Tüm kullanıcıları kısıtlamak istiyorsanız 'Tüm kullanıcılar'ı seçin.
Ardından, 'Kaynakları hedefle''yi seçin ve 'Bulut uygulamaları' bölümünden Uygulama seç 'i seçin. Şimdi ‘Ara’ seçeneğine tıklayın ve Grafik Gezgini adlı uygulamayı ekleyin. 'Seç' düğmesini tıklayın.
Erişim Kontrolleri altında, 'İzin Ver''i seçin ve 'Erişimi engelle' seçeneğini seçin. Ardından Seç düğmesini tıklayın.
Ayarlarınızı onaylayın ve politikayı etkinleştirin.
CA politikanızı oluşturmak için 'Oluştur''u tıklayın.

Not - Aynı şekilde, 'Bulut uygulamaları' altında 'Microsoft Graph PowerShell'i seçerek Koşullu Erişim politikasını kullanarak 'Microsoft Graph PowerShell'e kullanıcı erişimini engelleyebilirsiniz.

Bu adımları izleyerek, belirlenen kullanıcılar için MS Graph Explorer'a erişimi etkili bir şekilde kısıtlayabilir ve saldırganların kullanıcı ayrıntılarına erişme yeteneğini engelleyebilirsiniz. Ek olarak yöneticiler, CA politikalarını dışa aktarmak için PowerShell'i kullanabilir ve böylece politika yapılandırmalarını çevrimdışı olarak inceleyebilir ve doğrulayabilirler.

Bunu takiben Grafik Gezgini'ne erişmeye çalışan kullanıcılar aşağıdakine benzer bir hata mesajıyla karşılaşabilirler:

MS Graph PowerShell ve Graph Explorer gibi bu güçlü araçlar kullanıcı yönetiminde yardımcı olsa da, en ufak bir yanlış kullanım bile potansiyel veri tehditlerine yol açabilir. Bu sayede bilgisayar korsanlarının en az ayrıcalıklı hesapları istismar etmesini engelleyerek güvenliği sağlayabilirsiniz.