Active Directory MFA Nasıl Etkinleştirilir?
Active Directory MFA, yani çok faktörlü kimlik doğrulama, günümüzde kurumların güvenlik altyapısında en kritik adımlardan biridir. Sadece kullanıcı adı ve parolaya güvenmek artık yeterli değil. MFA sayesinde hesaplara ek bir doğrulama katmanı ekleyerek siber saldırılara karşı güvenlik seviyesini artırabilirsiniz.
Active Directory (AD) günümüzde birçok kurumun kimlik yönetiminde kritik rol oynuyor. Ancak sadece kullanıcı adı ve parola ile yapılan oturum açma işlemleri artık yeterince güvenli değil. İşte tam bu noktada MFA (Multi-Factor Authentication) devreye giriyor. Bu yazıda, Active Directory ortamında MFA’nın nasıl etkinleştirileceğini, farklı entegrasyon yöntemlerini ve PowerShell ile nasıl yönetilebileceğini anlatacağız.
MFA Neden Gerekli ?
-
Kimlik Avı Saldırılarını Önler
-
Parola Çalınsa Bile Hesap Güvende Kalır
-
Regülasyonlara Uyum Sağlar (KVKK, ISO 27001, GDPR)
Active Directory’de MFA Neden Önemlidir?
Active Directory’de MFA sayesinde;
- Kimlik avı saldırılarını büyük ölçüde engellemiş olursunuz.
- Parola çalınsa bile ek doğrulama ile hesabı korursunuz.
- Kurumunuzun KVKK, ISO 27001 ve GDPR gibi regülasyonlara uyumunu güçlendirirsiniz.
MFA’yı Active Directory’de Etkinleştirme Yöntemleri
-
Azure AD ile Entegrasyon (En Kolay Yöntem)
-
Azure AD Connect kurarak hybrid ortam oluşturma
-
Conditional Access Policies üzerinden MFA zorunlu kılma
-
Kullanıcıya SMS, Authenticator App veya donanım token seçenekleri
-
-
ADFS (Active Directory Federation Services) ile MFA
-
ADFS rolünü kurma
-
MFA sağlayıcıları ekleme (RSA, Duo, Azure MFA Extension)
-
-
Üçüncü Parti MFA Çözümleri
-
Duo Security, Okta, Ping Identity gibi entegrasyonlar
-
PowerShell ile Active Directory’de MFA Yönetimi
Azure AD PowerShell modülü ile kullanıcılar için MFA etkinleştirebilirsiniz:
Güncel yaklaşım: MSOnline Connect-MsolService ve Set-MsolUser komutları eski yönetim modeline aittir; yeni dağıtımlar için önerilmez. Microsoft Entra ID’de MFA gereksinimini uygun lisans ve kapsamla Conditional Access üzerinden yönetin. Eski komutları üretimde çalıştırmayın.
AD MFA, güvenlik seviyesini artırmak için olmazsa olmazdır. Azure AD entegrasyonu en kolay yöntem olarak öne çıkarken, ADFS veya üçüncü parti çözümler de kullanılabilir. Kendi ortamınıza uygun yöntemi seçerek hızlıca MFA’yı hayata geçirebilirsiniz. Umarım faydalı olmuştur. Takipte kalmayı unutmayın herkese iyi çalışmalar dilerim.
Tavsiye: Hybrid ortamlarda Azure AD MFA en kolay ve sürdürülebilir çözümdür. Kullanmanızı kesinlikle tavsiye ederim.
İlgili yazılarımı da ziyaret edebilirsiniz: Windows Server Backup Kurulumu, GPO Password Policy Ayarları
Kaynak olarak: Microsoft Docs – Azure AD Multi-Factor Authentication
On-premises AD ve Entra MFA Ayrımı
AD DS üzerinde bütün Windows domain oturum açmalarına tek bir GPO seçeneğiyle MFA eklenmez. Microsoft Entra Conditional Access, Entra tarafından korunan bulut uygulamalarındaki oturum açmaları hedefler; tek başına klasik on-premises Windows interactive logon, LDAP veya Kerberos akışlarına MFA zorunluluğu getirmez. VPN, RD Gateway, NPS veya üçüncü taraf kimlik sağlayıcıları için entegrasyon ve protokol desteği ayrıca tasarlanmalıdır. MFA kimlik avını tamamen önlemez; mümkün olan yerlerde phishing-resistant yöntemler (örneğin FIDO2/passkey) tercih edilmelidir.
AD MFA, güvenlik seviyesini artırmak için olmazsa olmazdır. Azure AD entegrasyonu en kolay yöntem olarak öne çıkarken, ADFS veya üçüncü parti çözümler de kullanılabilir. Kendi ortamınıza uygun yöntemi seçerek hızlıca MFA’yı hayata geçirebilirsiniz. Umarım faydalı olmuştur. Takipte kalmayı unutmayın herkese iyi çalışmalar dilerim.
Tavsiye: Hybrid ortamlarda Azure AD MFA en kolay ve sürdürülebilir çözümdür. Kullanmanızı kesinlikle tavsiye ederim.
İlgili yazılarımı da ziyaret edebilirsiniz: Windows Server Backup Kurulumu, GPO Password Policy Ayarları
Kaynak olarak: Microsoft Docs – Azure AD Multi-Factor Authentication
On-premises AD ve Entra MFA Ayrımı
AD DS üzerinde bütün Windows domain oturum açmalarına tek bir GPO seçeneğiyle MFA eklenmez. Microsoft Entra Conditional Access, Entra tarafından korunan bulut uygulamalarındaki oturum açmaları hedefler; tek başına klasik on-premises Windows interactive logon, LDAP veya Kerberos akışlarına MFA zorunluluğu getirmez. VPN, RD Gateway, NPS veya üçüncü taraf kimlik sağlayıcıları için entegrasyon ve protokol desteği ayrıca tasarlanmalıdır. MFA kimlik avını tamamen önlemez; mümkün olan yerlerde phishing-resistant yöntemler (örneğin FIDO2/passkey) tercih edilmelidir.
