Çalışanların Microsoft 365 Hesaplarıyla Sonlandırılmasına İlişkin Kontrol Listesi

Erişimi Kaldırmanın Zamanı Geldi

Yakın zamanda bir ekip üyesinden ayrılmak zorunda kaldım. Üzücü ama bazen takımı ayakta tutmak için yapmamız gerekeni yapmalıyız. Bunu neden yaptığımız bu makalenin odak noktası değil; bunun yerine, ayrılan bir ekip üyesinin erişimini kaldırmak için gerekli adımlar hakkında öğrendiklerimi paylaşmak istiyorum.

Bir çalışanın işine son verirken tam olarak ne yapmamız gerekiyor? Fesih ani olabileceğinden (kimin gitmesine izin vereceğine karar verenler hariç), birinin Microsoft 365'e erişimini kaldırma isteği alındığında gerçekleştirilecek eylemleri listeleyen bir kontrol listesine sahip olmak iyi bir fikirdir. Kullandığım kontrol listesine geçelim.

Standart Kontrol Listesi

Bu kontrol listesi, daha sonra tartışacağımız premium hizmetlere ihtiyacı olmayan bir kiracı için geçerlidir.

• Oturum Açmayı Engelle - Bu, Şekil 1'de gösterildiği gibi hesabı devre dışı bırakmak için en önemli adımdır. Bunu yapmanın yalnızca yeni oturum açma işlemlerini engelleyeceğini ancak kullanıcıların 60 yıla kadar sisteme hâlâ erişebileceğini unutmayın. “Oturum Açmayı Engelle” seçeneğini çağırdığınız andan itibaren dakikalar Tüm oturumların anında kapatılmasını zorlamak için kullanıcının nesne kimliğiyle Revoke-MgUserSignInSession Microsoft Graph PowerShell cmdlet'ini kullanmayı düşünün. Örnek bir komut dosyası aşağıda gösterilmektedir:

Import-Module Microsoft.Graph.Users.Actions
Revoke-MgUserSignInSession -UserId "user@domain.com"

• Şirket İçi AD Hesabını Devre Dışı Bırakın - Bunu daha sonra yapıyorum çünkü Blok Oturum Açma, Entra ID'den şirket içi AD'nize Entra Connect (diğer adıyla AAD Connect) aracılığıyla senkronize edilmeyecektir. Doğal olarak kuruluş Active Directory kullanmıyorsa bu adımı atmanıza gerek yoktur.
• Kullanıcının Parolasını Sıfırlayın - İşine son verilen çalışanın gerçekten kiracıya erişmesinin hiçbir yolu olmadığından emin olmak için genellikle hesabı rastgele bir parolayla güncellerim.
• Uygulama Seçmeli Silme/Cihaz Silme İsteği Gönderin (Intune dağıtıldıysa) - Bu, mobil cihazlarda ve/veya şirket tarafından atanmış cihazlarda hiçbir veri kalmamasını sağlar. Uygulama seçmeli silme isteğini gönderdiğinizde (Şekil 2), kayıtlı tüm cihazları seçtiğinizden emin olun. Elbette Intune MAM'i önceden yapılandırmanız gerekir. Ortamınızda MAM kurulumu konusunda yardım için bu bloga başvurabilirsiniz.

• ActiveSync Silme İsteği Gönderin (Intune dağıtılmamışsa veya son kullanıcı Microsoft dışı uygulamalar kullanıyorsa) - Kullanıcıların, posta kutusu içeriğini almak için ActiveSync'ten yararlanan uygulamaları kullanma olasılıkları vardır. İçeriği silmek için ayrıca bir silme isteği göndermeliyiz. Güvenli oynamaları gereken cihazların türü ne olursa olsun bu görevi her zaman yerine getiririm. İsteği göndermek için aşağıdaki betik gibi Exchange Admin Center'ı veya PowerShell'i kullanabiliriz:

Clear-MobileDevice -AccountOnly -Identity User1  -NotificationEmailAddresses "admin@domain.com"

• Kullanıcı Cihazlarını Devre Dışı Bırakın - Bu adım, bilgisayar hesabı tabanlı kimlik doğrulamanın (mobil ve Windows/macOS uç noktası) geçersiz kılınmasını ve koşullu erişim politikalarının dışında tutulabilmesini sağlamak içindir. Bir kullanıcının birçok kayıtlı cihazı olabileceğinden genellikle bunu Microsoft Graph PowerShell SDK cmdlet'leri aracılığıyla yapacağım. Aşağıda örnek bir komut dosyası verilmiştir:

$Device = Get-MgUserRegisteredDevice -UserId "user@domain.com"
Update-MgDevice -DeviceId $Device.Id -AccountEnabled:$false

• OneDrive İş'te Yetkiyi Etkinleştir: Çalışanın OneDrive İş'ine erişim sağlamak için yetkili bir kullanıcıya (genellikle çalışanın doğrudan yöneticisidir ancak başka bir kullanıcı da olabilir) yetki verilmesini etkinleştirin. Bu eylem, atanan kullanıcının işin gerektirdiği dosyaları kurtarmasına olanak tanır. Daha sonra anlatacağımız OneDrive'ı kullanırken dikkat etmemiz gereken başka şeyler de var.
• Kullanıcının Posta Kutusunu Koruyun - Bu mutlaka yapılması gereken bir işlem değildir ancak şirketinizin uygulamasına bağlıdır. Bunu yapmanın birkaç yolu var. Bunlardan biri, kullanıcının posta kutusunu paylaşılan bir Posta Kutusuna dönüştürmektir; dönüştürmeyi yaptığınızda posta kutusunun lisanslanması gerektiğinden, lisansı çalışandan kaldırmadan önce posta kutusunu Paylaşılan Posta Kutusuna dönüştürdüğünüzden emin olun. Başka bir yol da posta kutusunu etkin olmayan bir posta kutusu olarak tutmak için saklama bekletmelerinden yararlanmaktır. Bununla birlikte, saklama ilkelerinin kullanılması yalnızca uyumluluk ekibinin posta kutusu içeriğine erişmesine izin verirken, Paylaşılan Posta Kutusu yaklaşımı diğer çalışanların, izin verildiği takdirde kalan işleri almak için normal bir posta kutusu gibi posta kutusu içeriğine erişmesine olanak tanır. Düzenlemeler burada sizi ek görevler yapmaya zorlayabilecek bir rol oynayabilir. Eski çalışanın posta kutusunda bazı hassas bilgiler olabilir. OneDrive hesabının içeriğini inceleyen çalışanın bilgilere erişiminin olmaması durumunda bu durum bazı sorunlara neden olabilir. Öğe düzeyi başına ek koruma sağlamak için erişim kısıtlamaları veya şifrelemelerle birlikte hassasiyet etiketleri uygulamayı düşünebilirsiniz. Duyarlılık etiketlerinin uygulanması hakkında daha fazla bilgiyi buradan edinebilirsiniz.
• Kullanıcının lisansını kaldırın - Artık kuruluşta çalışmayan çalışanlara ödeme yapmanın bir anlamı olmadığından lisans harcamasını azaltmak içindir.
• Kullanıcı hesabını kaldır - Bu genellikle ek sürenin ardından (14 veya 30 gün gibi) gerçekleşir. Şirket içi AD'yi Entra ID'ye senkronize etmek için Entra Connect'i kullanıyorsanız, AD'deki hesabı kaldırmanız ve bir sonraki Entra Connect senkronizasyon döngüsünün tamamlanmasını beklemeniz gerekir. Kullanıcının hesabının lisans atanmamış, yalnızca buluta yönelik bir hesap olduğunu gördüğünüzde onu sistemden kaldırabilirsiniz. Ancak kullanıcının posta kutusunu Paylaşılan Posta Kutusu'na dönüştürdüyseniz, Paylaşılan Posta Kutusu'nun çalışması için bir bağlantı hesabı gerektiğinden Entra ID'deki kullanıcı hesabını silemezsiniz.

Bu denetim listesi Microsoft 365 kiracılarına yönelik temel adımları kapsar. Ancak Bulut Uygulamaları için Defender gibi bazı gelişmiş hizmetleriniz varsa bazı ek adımlar eklemelisiniz. Örneğin, Teams/SharePoint'ten açıklanamayan büyük miktarda dosya indirilmesini izlemek için kullanıcıları Bulut Uygulamaları için Defender politikalarına eklemek.

OneDrive İş Delegasyonu

İşten çıkarılan çalışanlarla ilgilenirken karşılaşılan sorunlardan biri, çalışanların OneDrive İş veya SharePoint gibi farklı yerlerde depoladıkları dosyalardır. SharePoint siteleri genellikle sorun teşkil etmez çünkü diğer kullanıcıların dosyalara erişebileceği paylaşılan bir alan olmaları amaçlanır. Ancak bir kullanıcıyı kaldırmanın, bir ekibin veya sitenin "sahip yok" durumuna girmesine neden olabileceğini unutmayın; bu, kiracı yöneticisi dışında hiç kimsenin grup üzerinde yönetici haklarına sahip olmadığı ve dolayısıyla hiç kimsenin sitenin izinlerini güncelleme hakkına sahip olmadığı anlamına gelir. grup. Bunu yapmanın en iyi yolu, bu tür grupları belirlemek ve yeni sahiplerin yeniden atanması için iş ekibiyle iletişime geçmektir. Yeni sahipleri SharePoint Yönetici Portalı aracılığıyla veya bir PowerShell cmdlet'i çalıştırarak yeniden atayabilirsiniz.

OneDrive İş'teki yetkilendirme, atanmış bir kullanıcının (genellikle kullanıcının yöneticisinin) dosyalarına erişmesine izin veren kullanıcı silme işleminde kullanılır. Hesabı silerken OneDrive'a ek kullanıcı erişimi atayabilir veya kullanıcı hesabından lisansı kaldırabilirsiniz.

OneDrive Silme işleminden bahsetmişken, varsayılan silme zaman çizelgesi için buraya bakın.

Microsoft, belirlenen kullanıcılara OneDrive içeriğine erişmeleri için bir bağlantı sağlamak ve onlara silme işleminin gerçekleşeceğini hatırlatmak amacıyla OneDrive silme işlemi sırasında bildirimler gönderir. Ancak kullanıcı hesabının bir yöneticisi yoksa veya hesap silme işlemi sırasında OneDrive hesabına erişim atanmamışsa. Silme işlemi sırasında hiç kimse Microsoft'tan bildirim almayacaktır; bu durum OneDrive İş'teki içeriğin kimsenin bildirimi olmadan silinmesine neden olabilir. Silinen kullanıcıların OneDrive İş'e İkincil Sahip olarak erişmek için seçim aracıyla yalnızca bir kullanıcı atayabilir veya Şekil 3'te gösterildiği gibi metin kutusuna UPN'yi yazabilirsiniz. Atanan İkinci Sahip yalnızca bildirim almakla kalmayacak, aynı zamanda OneDrive silme işleminde yönetici bulunamazsa OneDrive'a erişim haklarını da alacaktır.

Dosyalara erişime izin vermek için BT, uyumluluk veya İK ekibi üyelerine yetki vermeniz gerekiyorsa, Şekil 4'te gösterildiği gibi, kullanıcının SharePoint Yönetim Merkezi'ndeki OneDrive hesabına ikincil sahipler atamanız gerekebilir.

Şekil 5, Microsoft 365'in atanmış yöneticilere ve OneDrive İş'e erişim yetkisi verilmiş kullanıcılara gönderdiği bazı örnek bildirimleri göstermektedir.

Saklama Politikası ve Kullanıcı Silme

Anlamanız gereken şeylerden biri, saklama politikalarının kullanıcı silme süreci üzerindeki etkisidir. Saklama ilkesi, verilerin kiracıda ne kadar süreyle (maksimum ve minimum) tutulması gerektiğini tanımlar. Kullanıcının silinmesi durumunda, kullanıcının posta kutusu ve OneDrive İş'te saklama ilkeleri uygulanmışsa ve hâlâ yapılandırılan minimum saklama süresi içindeyse, posta kutusu ve OneDrive İş'in içeriği kalıcı olarak kaldırılmaz. Depolar gizlidir ancak uyumluluk ekibi eDiscovery'yi kullanarak içeriğe erişebilir.

Şifrelenmiş Öğelere Etkisi

Duyarlılık etiketlerinin daha geniş çapta benimsenmesiyle Microsoft 365'te depolanan öğeler (e-postalar veya belgeler gibi) için başka sorunlar ortaya çıkabilir. Duyarlılık etiketlerinin işlevlerinden biri, bu öğelere erişim kısıtlamaları ve/veya şifreleme uygulamaktır. Etiketler, belgenin sahibi yalnızca bir kullanıcı olacak ve bu kullanıcı da serbest bırakılacak şekilde erişimi kısıtlıyorsa ne olur? Hedef kullanıcı hesabının kaldırılmasından hangi belge veya öğelerin etkilendiğini belirlemenin kolay bir yolu yoktur. Genellikle daha tepkisel bir yaklaşım benimsiyorum; yani kullanıcıların yalnızca bir öğeye erişemeyeceklerini veya bir öğeyi değiştiremeyeceklerini fark ettiklerinde izinleri değiştirmelerine yardımcı oluyorum. Hiç kimsenin sahiplik hakları yokken belgelere nasıl erişebileceğimi merak edebilirsiniz. Azure Rights Management Service'de (RMS), duyarlılık etiketlerinin şifreleme ve/veya erişim denetimi uygulamak için kullandığı teknoloji olan Süper Kullanıcı adı verilen bir yapılandırma vardır.

Süper Kullanıcı, Azure RMS tarafından korunan tüm öğelerin sahip haklarına sahip olan özel bir yönetim hesabıdır. Burayı ziyaret ederek Süper Kullanıcıyı yapılandırma hakkında daha fazla bilgi edinebilirsiniz. Oldukça hassas verilere erişebildiği için bu hesabı her zaman dikkatli kullanıyorum. Yoğun şekilde korunan, kontrol edilen ve günlük olarak kullanılmayan özel bir Süper Kullanıcı hesabı kullanmanızı öneririm.

Dikkat Edilmesi Gereken Diğer Öğeler

Microsoft 365'e daha fazla hizmet dağıtıldıkça kiracıda daha fazla veri biriktiririz. Bu, bir çalışanı işten çıkarmamız gerektiğinde kontrol listesine veya görevlere ekleme yapmamızı tetikleyebilir. Kullanıcı hesaplarını kaldırırken dikkate alınması gereken ek hususlar vardır. Burada birkaçını belirteyim:

1. Toplantı Kayıtları - Toplantı hedef kullanıcı tarafından organize ediliyorsa kayıt aslında kullanıcının OneDrive'ında depolanır. Kullanıcı hesabı devre dışı bırakıldıktan sonra dosyaları taşımayı düşünebilirsiniz.
2. Ekip Sohbet Mesajları - Tüm mesajlar Microsoft Teams sunucularında saklanır. Ancak hedef kullanıcının işini devralan kişi için bir kopyaya sahip olmak isteyebilirsiniz. Şu anda en iyi çözüm, referans amacıyla ilgili mesajların bir kopyasını dışarı aktarmak için eKeşif aramasını kullanmaktır.

Çözüm

Çoğunlukla Microsoft 365 yöneticilerinin, sonlandırılan kullanıcıların hesaplarını kaldırma isteklerine yanıt vermesi gerekir. Ancak Defender for Cloud Apps'ın toplu indirme algılama politikası gibi bazı gelişmiş hizmetleri kullananların, fesih gerçekleşmeden önce hazırlıklı olmaları gerekir. Ekibinizin eylem gerektiğinde bilgilendirilmesi için kuruluşlarınızda bazı bildirim iş akışları ayarlamanızı öneririm. Bunun hassas olabileceğini biliyorum, bu nedenle PowerAutomate bulut akışını kullanarak süreci otomatikleştirmeyi düşünebilirsiniz. İK veya üst düzey yönetim, böyle bir durum meydana geldiğinde çok fazla kişinin durumu bilmesini istemeyebileceğinden, bu bir çıkış yolu olabilir.