Kimlik ve Cihaz Doğrulaması

Kimlik Sağlayıcısı, kullanıcıların kimliğini doğrulayan ve diğer hizmetler için belirteçler veren merkezi sistemdir. Modern IdP'ler SSO, MFA ve koşullu erişimi destekler. Örnekler: Okta, Azure AD (Entra ID), Google Workspace, Ping Identity.

SSO, kullanıcıların IdP ile bir kez kimlik doğrulaması yaparak kimlik bilgilerini yeniden girmeden birden çok uygulamaya erişmesini sağlar. SAML 2.0 veya OIDC protokolleri üzerine kuruludur. Güvenlik avantajı: daha az kimlik bilgisi, kimlik bilgilerinin çalınması için daha az fırsat demektir; güvenlik denetimleri IdP'de merkezileştirilir.

En yaygın iki SSO protokolü:

• SAML 2.0 — XML tabanlı, kurumsal, eski uygulamalar tarafından geniş ölçüde desteklenir
• OIDC (OpenID Bağlantısı) — JSON/JWT tabanlı, modern, OAuth 2.0 üzerine kuruludur; bulut ve mobil uygulamalar tarafından kullanılır

Her ikisi de kimlik doğrulamayı IdP'ye devreder ve uygulamaya imzalı bir belirteç döndürür.

Modern IdP'ler koşullu erişimi destekler: erişim kararları risk sinyallerine dayanır:

• Kullanıcı rolü ve grup üyeliği
• Cihaz uyumluluğu durumu
• Coğrafi konum
• Günün saati
• Risk puanı (oturum açma anormalliği)

Yüksek riskli sinyaller, ek MFA doğrulamasını tetikler veya erişimi tamamen engeller.

MDM, cihazları kaydeder ve yönetir; güvenlik politikalarını uygular:

• Ekran kilidi PIN'i veya biyometrik doğrulama zorunluluğu
• Disk şifrelemesi zorunluluğu
• OS güncellemelerini zorunlu kılma
• Uzaktan silme özelliği
• Koşullu erişim için IdP'ye uyumluluk raporlaması

Örnekler: Microsoft Intune, Jamf (Apple), VMware Workspace ONE.

Cihaz sertifikaları, her yönetilen cihaza kriptografik bir kimlik bağlar. MDM aracılığıyla kurumsal bir CA tarafından verilir. Sıfır Güven politikaları, erişim izni vermeden önce geçerli bir cihaz sertifikası gerektirebilir — geçerli kullanıcı kimlik bilgileri olsa bile yönetilmeyen kişisel cihazlar engellenir.

Sıfır Güven, cihaz durumu sinyali olarak EDR telemetrisi kullanır. Bir IdP, erişim izni vermeden önce EDR'nin yüklü ve sağlıklı olup olmadığını sorgulayabilir. EDR tarafından tespit edilen ele geçirilmiş bir cihaz, koşullu erişim bütünleştirmesi aracılığıyla erişimin otomatik olarak iptal edilmesini tetikler.

Tam zamanında erişim (PIM — Ayrıcalıklı Kimlik Yönetimi), yükseltilmiş izinleri yalnızca gerektiğinde, sınırlı bir süre için ve onay gerektirerek verir. Kalıcı olarak atanmış yönetici rolleri yoktur. Azure AD PIM, AWS IAM geçici kimlik bilgileri ve HashiCorp Vault bunu uygular.

Uygulamaların da kimlik doğrulamasına ihtiyacı vardır. Yaklaşımlar:

• Kısa ömürlü belirteçlere sahip hizmet hesapları
• mTLS — hem istemcinin hem de sunucunun sertifika sunduğu karşılıklı TLS
• SPIFFE/SPIRE — mikro hizmetler için iş yükü kimliği çerçevesi

SaaS ve bulut ortamlarında kimlik yalıtımı, kiracılar arası erişimi önler. Her müşterinin kimlik alanı kesin biçimde yalıtılmalıdır. Bir kiracının başka bir kiracının verilerine erişmesine izin veren bir hata, kritik bir güvenlik açığıdır.

Günlük kimlik doğrulamanın ötesinde kimlik yönetişimi şunları sağlar:

• Düzenli erişim incelemeleri — yöneticiler kimlerin erişimi olduğunu inceler
• SCIM aracılığıyla otomatik hesap sağlama ve kaldırma
• Sahipsiz hesapların tespit edilip kaldırılması
• Görevler ayrılığının uygulanması

Yönetici rollerini kalıcı olarak atamak yerine, yükseltilmiş izinleri yalnızca gerektiğinde ve onayla sınırlı bir süre için veren Sıfır Güven bileşeni hangisidir?

Sıfır Güven kimliği: SSO (SAML/OIDC), MFA ve koşullu erişim politikalarına sahip merkezi IdP. MDM uyumluluk denetimleri ve cihaz sertifikaları aracılığıyla cihaz doğrulaması. Tam zamanında erişim ve PIM, kalıcı yönetici ayrıcalıklarını ortadan kaldırır. Hizmet kimliği mTLS ve SPIFFE aracılığıyla sağlanır. Erişim incelemeleri ve otomatik SCIM hesap sağlama ile kimlik yönetişimi, en az ayrıcalığın zaman içinde korunmasını sağlar.