Tek Oturum Açma ve Dış Kimlikler

Single Sign-On (SSO), kullanıcının bir kez kimlik doğrulaması yaparak her uygulama için kimlik bilgilerini yeniden girmeden birden fazla uygulamaya erişmesini sağlar. Entra ID, merkezi kimlik sağlayıcısı (IdP) olarak görev yapar: Kullanıcı Microsoft kimlik platformunda oturum açtıktan sonra, kullanıcının erişim yetkisi olan kayıtlı tüm uygulamalara erişim sağlayan belirteçler verilir. SSO, parola yorgunluğunu ve uygulama başına kimlik bilgilerinin çoğalmasını azaltarak güvenliği artırır.

Entra ID iki temel SSO protokolünü destekler. OpenID Connect (OIDC), OAuth 2.0 üzerine kurulmuş modern standarttır; Microsoft'un kendi uygulamaları ve yeni SaaS uygulamalarının çoğu tarafından kullanılır ve JSON Web Token'ları (JWT'ler) verir. SAML 2.0, hâlâ birçok eski kurumsal uygulama tarafından gerekli görülen XML tabanlı eski bir protokoldür ve Entra ID uygulama galerisindeki önceden tümleştirilmiş binlerce uygulama tarafından desteklenir.

Entra ID; Salesforce, ServiceNow, GitHub Enterprise, AWS, Zoom ve daha birçok uygulama dahil olmak üzere 3.000'den fazla SaaS uygulaması için önceden oluşturulmuş SSO tümleştirmeleri içeren bir uygulama galerisi sunar. Galeriden bir uygulama eklemek, SSO üst verilerini otomatik olarak yapılandırarak tümleştirme süresini büyük ölçüde azaltır. Galeride bulunmayan uygulamalar için SAML veya OIDC federasyon parametrelerini el ile yapılandırabilirsiniz.

My Apps portalı (myapps.microsoft.com), kullanıcıların erişim ataması yapılmış tüm kurumsal uygulamaları gördüğü ve bunları tek tıklamayla başlatabildiği, self servis bir web portalıdır. IT yöneticileri hangi uygulamaların, hangi kullanıcılar için görüneceğini denetler. Self servis özellikleri etkinleştirilmişse kullanıcılar grup üyeliklerini ve erişim isteklerini de bu portal üzerinden yönetebilir.

Entra ID B2B (Business-to-Business), dış iş ortaklarını, yüklenicileri ve tedarikçileri kiracınıza konuk kullanıcılar olarak davet etmenize olanak tanır. Konuklar kendi kuruluşlarının kimlik sağlayıcısıyla (başka bir Entra ID kiracısı, Google veya herhangi bir SAML/OIDC sağlayıcısı) kimlik doğrulaması yapar ve ardından kaynaklarınıza erişim belirteci alır. Konukların hangi uygulamalara, gruplara ve kaynaklara erişebileceğini standart RBAC ve Conditional Access ilkeleri aracılığıyla tam olarak denetleyebilirsiniz.

Bir dış kullanıcıyı davet ettiğinizde, kullanıcı bir geri alma bağlantısı içeren e-posta daveti alır. Bağlantıya tıkladığında kendi kimlik bilgilerini (kiracınızda yeni bir parola değil) kullanarak kimlik doğrulaması yapar ve Entra ID, dizininizde onu temsil eden bir konuk kullanıcı nesnesi oluşturur. Bu noktadan sonra yöneticiler, konuk kullanıcıya tıpkı iç kullanıcılarda olduğu gibi roller ve grup üyelikleri atar; ancak konuk, kendi kuruluşu üzerinden kimlik doğrulaması yapmaya devam eder.

Müşteriler için Entra External ID (eski adıyla Azure AD B2C), tüketiciye yönelik uygulamalar için ayrı bir kimlik hizmetidir. Müşterilerin e-posta adresi, telefon numarası veya sosyal hesaplarını (Google, Facebook, Apple) kullanarak kaydolmasına ve oturum açmasına olanak tanır. Mevcut kurumsal kimliklerle federasyon kuran B2B'den farklı olarak B2C, müşteri kimlik hesaplarını oluşturur ve yönetir; özel markalı oturum açma deneyimleriyle milyonlarca kullanıcıyı destekler.

B2B ile B2C arasındaki seçim, kullanıcıların kim olduğuna bağlıdır. B2B, hâlihazırda kimlik doğrulamak için kullandıkları kurumsal kimliğe sahip olan iş ortakları ve diğer kuruluşların çalışanları içindir. B2C ise kurumsal kimliği olmayan son tüketiciler içindir; bu kullanıcılar bir e-posta veya sosyal hesapla kaydolur. B2B kullanıcıları kiracınızda konuk olarak görünür; B2C kullanıcıları ise B2C kiracısının kendi dizininde depolanır.

Entra ID, dış SAML veya WS-Fed kimlik sağlayıcılarıyla doğrudan federasyonu destekler. Bu özellik, iş ortağı kuruluşun Okta, Ping Identity veya AD FS gibi Microsoft dışı bir IdP kullanması durumunda yararlıdır. Federasyon kurulduktan sonra iş ortağının etki alanındaki tüm kullanıcılar, tek tek konuk davetlerine ihtiyaç duymadan kendi IdP'lerini kullanarak uygulamalarınızda oturum açabilir. Bu, çok sayıda kullanıcısı olan büyük iş ortaklıkları için idealdir.

Entra ID'deki kiracılar arası erişim ayarları (XTAP), belirli iş ortağı kiracılarıyla gelen ve giden iş birliği üzerinde ayrıntılı denetim sağlar. Kiracı başına ilkeleri, iş ortağının MFA taleplerine ve cihaz uyumluluğu durumuna güvenecek veya güvenmeyecek şekilde yapılandırabilirsiniz. Böylece konukların kendi giriş kiracılarında MFA'yı zaten karşılamış olduklarında MFA'yı yeniden yapmaları gerekmez. XTAP, eski B2B izin ver/engelle listelerinin yerini alır.

Entra ID, parolasız kimlik doğrulama aracılığıyla parolaları tamamen ortadan kaldırmayı destekler. Seçenekler arasında Windows Hello for Business (bir cihaza bağlı biyometrik doğrulama veya PIN), FIDO2 güvenlik anahtarları (YubiKey gibi donanım tabanlı USB/NFC anahtarları) ve telefonla oturum açmayı (numara eşleştirme) kullanan Microsoft Authenticator uygulaması bulunur. Parolasız yöntemler hem parolalardan daha güvenlidir hem de kullanıcılar için daha pratiktir; hesap ele geçirmelerindeki başlıca saldırı vektörünü ortadan kaldırır.

Bu derste ele alınan Microsoft Azure Fundamentals (AZ-900) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: Entra ID kullanan SSO, kullanıcıların bir kez kimlik doğrulaması yaparak birden fazla uygulamaya erişmesini sağlar; B2B, kendi IdP'leriyle kimlik doğrulayan dış iş ortaklarını konuk kullanıcılar olarak davet eder; B2C, sosyal oturum açma desteğiyle tüketici kimlik hesaplarını yönetir. Sırada Microsoft Defender for Cloud ile başlayarak Azure'ın güvenlik araçlarını inceleyeceğiz.