Koşullu Erişim ve Otomasyon: MFA Zorunluluğundan Sonra Akışlar Neden Durduğu

Koşullu Erişim ilkesi devreye girdiğinde, yalnızca kullanıcı oturum açma işlemlerini değil, aynı zamanda bir hizmet hesabı veya hizmet sorumlusu adına çalışan otomasyonları da etkileyebilir. Kritik olan şey, oturum açmanın etkileşimli mi yoksa etkileşimsiz mi olduğudur: Kullanıcılara ve gruplara hedefli ilkeler Microsoft Learn'e göre saf hizmet sorumlusu çağrılarında otomatik olarak devreye girmezken, iş yükü kimlikleri için özel ilkeler tam olarak bu tür çağrıları yakalayabilir. Bu nedenle bir n8n iş akışı, Power Automate akışı veya bağlayıcı aniden oturum açma hataları gösteriyorsa, önce hangi kimliğin arkasında olduğunu ve hangi ilke tarafından ele alındığını kontrol etmelisiniz. Durum: Ağustos 2026.

Kullanıcılara yönelik bir ilke ile iş yükü kimlikleri için bir ilkenin farkı nedir?

Klasik bir Koşullu Erişim ilkesi, kullanıcılara ve gruplara hedefli olur ve her etkileşimli oturum açmada değerlendirilir. Microsoft Entra Connect eşitleme hesabı veya hizmet sorumluları gibi etkileşimsiz hesaplar için bu otomatik olarak geçerli değildir: Microsoft Learn'e göre bu tür hesaplar tipik olarak arka uç hizmetlerinden programlı erişim için tasarlanmıştır ve kullanıcı merkezli ilkeler tarafından ele alınmaz. Otomatikleştirilmiş erişimi güvence altına almak istiyorsanız, kendi kiracınızda kayıtlı olan bireysel hizmet sorumlularını hedefli olarak içeren veya dışlayan iş yükü kimlikleri için ayrı bir ilke gereklidir. Çok kiracılı uygulamalar ve Microsoft tarafından yönetilen kimlikler bu ilkelerin kapsamından açıkça hariç tutulur.

Microsoft tarafından yönetilen temel ilkeler ne tür bir rol oynar?

Microsoft kendi ön yapılandırılmış ilkelerini dağıtır; örneğin admin hesapları için MFA zorunluluğu, Entra Admin Center'ın ilke listesinde "Microsoft" ile oluşturucu olarak görünür. Bu temel ilkeler özelleştirilebilir veya kendi dışlamalarla sağlanabilir, ancak çoğaltmadan keyfi olarak yeniden yapılandırılamaz. Microsoft Learn'e göre bu temel istisnalar için uygulama 15 Haziran 2026'dan itibaren ayarlar değiştirilmemişse kademeli olarak otomatik olarak etkinleştirilmektedir. Mevcut otomasyonlara sahip işletmeler için bu şu anlama gelir: Daha önce radardan geçen bir akış, biri aktif olarak yeni bir ilke oluşturmadan bu tür bir otomatik değişiklikle ilk kez etkilenebilir.

Güvenlik açığı açmadan hizmet hesaplarını nasıl düzgün şekilde hariç tutarsınız?

Tüm otomasyon hesaplarını her ilkeden genel olarak hariç tutmak düzgün bir çözüm değildir, çünkü Koşullu Erişim'in gerçek koruyucu etkisini ortadan kaldırır. Daha mantıklı olan, etkilenen bağlayıcı veya hizmet sorumusunun bireysel iş yükü kimliğini hedefli olarak dahil etmek veya hariç tutmak, gruptaşları toplamsal olarak muaf tutmak yerine. Microsoft'a göre acil durum hesapları veya kesme camı hesapları, yönetim erişiminin gerekli olması durumunda mümkün olması için her ilkeden hariç tutulmalıdır, ne olursa olsun engellenir. Dahil ve Dışla kuralları aynı kimlik için geçerliyse: dışlama her zaman dahil etmeyi geçersiz kılar.

Bir otomasyon bağlayıcısı güncelleme sonrasında aniden engellenmişse ne yaparsınız?

İlk adım, hangi somut ilkenin erişimi reddetsik olduğunu ve bağlayıcının hangi kimlikle oturum açtığını görmek için Entra ID'de oturum açma günlüğüdür. Sıklıkla ortaya çıkan sonuç, iş akışında değil, yeni uygulanan bir temel ilke veya yakın zamanda değiştirilen bir dışlama listesi olmuştur. Üretken otomasyonlar için, hizmet hesaplarını ve hizmet sorumlularını başından itibaren belgelenmek ve genel kurallar tarafından örtülü olarak ele alınmak yerine kendi daralan bir ilke ile sağlanır. n8n veya Power Automate akışlarını Microsoft 365 hizmetlerine bağlayanlar, bu denetimi yeni otomasyonların başlatılmasına dahil etmelidir, bunun standardında her Otomasyon kurulumuna dahildir.

Koşullu Erişim ve Otomasyon hakkında sık sorulan sorular

Koşullu Erişim tüm hizmet sorumlusu çağrılarını otomatik olarak engeller mi?

Hayır, kullanıcı merkezli ilkeler Microsoft'a göre saf hizmet sorumlusu çağrılarında temel olarak devreye girmez. Yalnızca iş yükü kimlikleri için özel olarak oluşturulan bir ilke bu tür etkileşimsiz erişimi yakalayabilir. Bir bağlayıcının etkilenip etkilenmediği, kiracıda iş yükü kimliği ilkesinin var olup olmadığına bağlıdır.

Bu bağlamda bir iş yükü kimliği nedir?

İş yükü kimliği, bir uygulamanın veya hizmetin kimliğidir; genellikle kendi kiracıya kayıtlı bir hizmet sorumlusu biçimindedir. Hiçbir kişinin etkileşimli olarak oturum açmadığı, ancak bir hizmetin arka planda erişim belirtecleri istediği nokta açısından bir kullanıcı kimliğinden farklılık gösterir. İş yükü kimliği için Koşullu Erişim ilkeleri bu bireysel kimliklere hedefli olarak uygulanabilir.

Acil durum hesaplarını her ilkeden hariç tutmalı mıyım?

Evet, Microsoft'a göre Kesme Camı hesapları tüm Koşullu Erişim ilkelerinden ısrarla hariç tutulmalıdır. Bu yeni veya Microsoft tarafından yönetilen temel ilkeler için de geçerlidir. Bu dışlama olmadan, acil bir durumda kendinizi yönetimden dışlamak risklisiniz.

Temel ilkelerin otomatik uygulaması 2026'da ne zaman başlıyor?

Microsoft Learn'e göre, etkilenen temel istisnalar için uygulama 15 Haziran 2026'dan itibaren birkaç hafta içinde kademeli olarak otomatik olarak etkinleştirilmektedir. Standart ayarları değiştirmemiş şirketler bu dönemde otomasyonlarını ve bağlayıcılarını hedefli olarak izlemelidir. Daha önce kendi uyarlamaları yapan kişiler otomatik değişiklikten etkilenmez.