Microsoft Entra ID (Azure AD) Koşullu Erişim (Conditional Access) ve FIDO2 / Passkey Dağıtım Kılavuzu (Adım Adım Resimli Rehber)
Kurumsal kimlik güvenliğini Zero Trust seviyesine yükseltmek için Microsoft Entra ID üzerinde Koşullu Erişim (Conditional Access) ilkeleri, Phishing-Resistant MFA (FIDO2/Passkey) zorunluluğu ve Microsoft Graph API yönetim rehberi.
AuditAgent™ Kod & Mimari Doğrulaması
Güven Skoru: %100AuditAgent Onaylı (Microsoft Entra Zero Trust Validated)
Uygulama Önkoşulları & Gereksinimler
Giriş: Neden SMS ve Standart MFA Yetersiz?
Geleneksel SMS ve standart push bildirimli MFA (Çok Faktörlü Kimlik Doğrulama), günümüzde **AiTM (Adversary-in-the-Middle)** ve oturum belirteci çalma (Session Token Hijacking / Evilginx) saldırılarına karşı yetersiz kalmaktadır. Saldırganlar sahte kurumsal giriş portalları üzerinden kullanıcının girdiği OTP kodunu veya onayını anlık olarak ele geçirip oturum açabilmektedir.
**Phishing-Resistant MFA (FIDO2 Güvenlik Anahtarları, Windows Hello for Business ve Passkey)**, FIDO/WebAuthn standardı gereği alan adı bağlama (Domain Binding) uyguladığı için sahte oltalama sitelerinde ASLA çalışmaz ve kimlik hırsızlığını %100 engeller.
:::server-wizard{type="WIN11_SETTINGS"}:::
---
1. Adım: Entra ID Authentication Methods Üzerinde FIDO2 ve Passkey Politikalarının Açılması
Microsoft Entra Yönetim Merkezi (`entra.microsoft.com`) açılır: 1. **Protection -> Authentication methods -> Policies** yoluna gidin. 2. **FIDO2 security key** seçeneğini tıklayın: - **Enable:** *Yes* - **Target:** *All Users (veya hedeflenen Pilot Grup)* 3. **Configure** sekmesine geçin: - **Allow self-service setup:** *Yes* - **Enforce attestation:** *Yes (Yalnızca FIDO Alliance onaylı kurumsal donanım anahtarları)*
---
2. Adım: Kimlik Doğrulama Gücü (Authentication Strengths) Tanımlama
Entra ID üzerinde standart MFA yerine yalnızca oltalama korumalı yöntemlerin geçerli olacağı kural kümesi: `Protection -> Authentication methods -> Authentication strengths` -> **Phishing-resistant MFA**: - *FIDO2 security keys* - *Windows Hello for Business* - *Certificate-based authentication (CBA)*
---
3. Adım: Koşullu Erişim (Conditional Access) İlkesinin Oluşturulması
**Protection -> Conditional Access -> Policies** -> `CA-Enforce-Phishing-Resistant-MFA`:
| Koşullu Erişim Ayarı | Yapılandırma Değeri | Açıklama |
|---|---|---|
| **Users** | **All Users (Exclude: Break-glass Acil Hesap)** | Tüm şirket personeline uygulanır. |
| **Target Resources** | **All Cloud Apps (Office 365, Azure Portal, VPN)** | Tüm kurumsal bulut servisleri korunur. |
| **Grant Controls** | **Require authentication strength: Phishing-resistant MFA** | SMS veya standart OTP kabul edilmez, yalnızca Passkey/FIDO2. |
| **Session Controls** | **Sign-in frequency: 8 hours** | Oturum süresi iş günü ile sınırlandırılır. |
iOS/iPadOS compliance policy: Corp_iOS_18_Enterprise_Compliance
| Ayar Adı (Policy Setting) | Durum / Kural | Hedef Güvenlik Seviyesi |
|---|---|---|
| Jailbroken devices (Kök Erişimi) | Block | Cihaz uyumsuz işaretlenir ve şirket ağına erişimi engellenir. |
| Minimum OS Version | 18.0 (veya üzeri) | Eski güvenlik açıklarına sahip sürümler otomatik reddedilir. |
| Passcode Required Type | Alphanumeric (Min 8) | Biyometrik kilit veya 8 haneli karmaşık parola zorunluluğu. |
| Declarative Device Mgmt (DDM) | Enabled (Otonom) | İlke değişikliklerine cihaz yerel düzeyde milisaniyeler içinde yanıt verir. |
| Wi-Fi 7 SCEP EAP-TLS Profile | Enforced (Sertifikalı) | Parolasız 802.1X kurumsal ağ bağlantısı otomatik dağıtılır. |
---
4. Adım: Microsoft Graph PowerShell ile Otomasyon ve Raporlama
Şirket genelinde hangi kullanıcıların FIDO2 veya Passkey kaydı yaptığını PowerShell ile anlık listeleyin:
| 1 | # 1. Microsoft Graph Beta Modülüne Bağlanın |
| 2 | Connect-MgGraph -Scopes "UserAuthenticationMethod.Read.All", "AuditLog.Read.All" |
| 3 | |
| 4 | # 2. Şirketteki FIDO2 Güvenlik Anahtarı Kayıtlarını Raporlayın |
| 5 | $Users = Get-MgUser -All |
| 6 | $Report = foreach ($User in $Users) { |
| 7 | $Methods = Get-MgUserAuthenticationFido2Method -UserId $User.Id |
| 8 | if ($Methods) { |
| 9 | [PSCustomObject]@{ |
| 10 | UserPrincipalName = $User.UserPrincipalName |
| 11 | DisplayName = $User.DisplayName |
| 12 | Fido2KeysCount = $Methods.Count |
| 13 | Model = $Methods.Model -join ", " |
| 14 | CreatedDateTime = $Methods.CreatedDateTime -join ", " |
| 15 | } |
| 16 | } |
| 17 | } |
| 18 | |
| 19 | $Report | Out-GridView -Title "Kurumsal FIDO2 & Passkey Dağıtım Durumu" |
---
5. Adım: Test ve Olay Günlüğü Doğrulaması
Kullanıcı FIDO2 anahtarı ile giriş yaptığında Entra ID Sign-in Logs incelenir: - **Authentication Method:** *FIDO2 security key* - **Authentication Requirement:** *Multifactor authentication* - **Conditional Access Status:** *Success (CA-Enforce-Phishing-Resistant-MFA)*
Bu Makaleyle İlgili Bir Sorunuz mu Var?
Uygulama esnasında aldığınız hata kodlarını veya logları forumda paylaşarak TriageAgent ve topluluktan anında destek alın.