Temporary Access Pass (Geçici Erişim Geçişi, TAP), Microsoft Entra ID’de bir kullanıcının kimlik doğrulaması yapmasını sağlamak için belirli bir süre geçerli olan, tek seferlik veya çok kullanımlık bir geçici kimlik doğrulama yöntemidir. TAP, özellikle ilk oturum açma, MFA kaydı ve hesap kurtarma gibi senaryolar için tasarlanmıştır.
Temporary Access Pass’in Kullanım Alanlarını değerlendirirsek;
İlk Oturum Açma:
- Yeni bir kullanıcının ilk kez oturum açmasına yardımcı olur.
- Bir cihaz veya hesap için başlangıç kimlik doğrulama yöntemi olarak kullanılabilir.
Çok Faktörlü Kimlik Doğrulama (MFA) Kaydı:
- Kullanıcıların FIDO2 güvenlik anahtarları veya Microsoft Authenticator gibi MFA yöntemlerini kaydetmeleri için TAP kullanılabilir.
- Kullanıcı, TAP ile oturum açarak MFA yöntemlerini ekleyebilir ve sonrasında TAP’i kullanmayı bırakabilir.
Hesap Kurtarma:
- Kullanıcı parolasını unuttuğunda veya ana kimlik doğrulama yöntemi devre dışı kaldığında, TAP ile kimliğini doğrulayarak hesabını kurtarabilir.
Parolasız Kimlik Doğrulama Geçişi:
- Kullanıcıları parolasız kimlik doğrulamaya yönlendirmek için TAP kullanılabilir.
- Kullanıcı TAP ile giriş yaptıktan sonra, Windows Hello, FIDO2 anahtarları veya Microsoft Authenticator gibi parolasız yöntemleri yapılandırabilir.
Temporary Access Pass’in Avantajları
✔ Güvenli: Sadece belirlenen süre boyunca geçerlidir, bu nedenle kimlik bilgisi çalınma riskini azaltır.
✔ Esnek: Tek kullanımlık veya çok kullanımlık olarak yapılandırılabilir.
✔ Kolay Yönetilebilir: Microsoft Entra admin merkezi veya Microsoft Graph API ile yönetilebilir.
✔ İlk Kimlik Doğrulama ve Kurtarma İçin Uygun: Kullanıcılar MFA kayıtlarını tamamlamadan önce TAP ile kimlik doğrulaması yapabilir.
TAP politikası, kiracıda oluşturulan geçişlerin ömrü veya oturum açmak için TAP kullanabilen kullanıcılar ve gruplar gibi ayarları tanımlar.
Kullanıcılar bir TAP ile oturum açabilmeden önce, Kimlik Doğrulama yöntemleri politikasında bu yöntemi etkinleştirmeniz ve hangi kullanıcıların ve grupların TAP kullanarak oturum açabileceğini seçmeniz gerekir.
Herhangi bir kullanıcı için bir TAP oluşturabilmenize rağmen, yalnızca politikaya dahil olan kullanıcılar onunla oturum açabilir. TAP Kimlik Doğrulama yöntemleri politikasını güncellemek için Kimlik Doğrulama Politikası Yöneticisi rolüne ihtiyacınız vardır.
Kimlik Doğrulama yöntemleri politikasında TAP’ı yapılandırmak için:
Microsoft Entra yönetim merkezinde en azından bir Kimlik Doğrulama İlkesi Yöneticisi olarak oturum açın .
Koruma > Kimlik doğrulama yöntemleri > İlkeler bölümüne gidin .
Kullanılabilir kimlik doğrulama yöntemleri listesinden Temporary Access Pass’i seçin .
Etkinleştir’e tıklayın ve ardından politikaya dahil edilecek veya politikadan hariç tutulacak kullanıcıları seçin.
(İsteğe bağlı) Varsayılan Geçici Erişim Geçişi ayarlarını (örneğin, maksimum kullanım ömrü veya uzunluk) değiştirmek için Yapılandır’ı seçin ve Güncelle’ye tıklayın .
Politikayı uygulamak için Kaydet’i seçin .
Bir TAP ilkesini etkinleştirdikten sonra, Microsoft Entra ID’deki kullanıcılar için bir TAP ilkesi oluşturabilirsiniz. Aşağıdaki roller, bir TAP ile ilgili çeşitli eylemler gerçekleştirebilir.
- Ayrıcalıklı Kimlik Doğrulama Yöneticileri, yöneticiler ve üyeler (kendileri hariç) için bir TAP oluşturabilir, silebilir ve görüntüleyebilir.
- Kimlik Doğrulama Yöneticileri, üyeler (kendileri hariç) için bir TAP oluşturabilir, silebilir ve görüntüleyebilir.
- Kimlik Doğrulama İlkesi Yöneticileri TAP’ı etkinleştirebilir, grupları dahil edebilir veya hariç tutabilir ve Kimlik Doğrulama yöntemleri ilkesini düzenleyebilir.
- Global Okuyucular, kullanıcının TAP ayrıntılarını (kodun kendisini okumadan) görüntüleyebilirler.
Microsoft Entra yönetim merkezinde en azından bir Kimlik Doğrulama Yöneticisi olarak oturum açın .
Kimlik > Kullanıcılar’a gidin .
TAP oluşturmak istediğiniz kullanıcıyı seçin.
Kimlik doğrulama yöntemlerini seçin ve Kimlik doğrulama yöntemi ekle’ye tıklayın .
Temporary Access Pass’i seçin .
Özel bir etkinleştirme zamanı veya süresi tanımlayın ve Ekle’yi seçin .
Eklendikten sonra TAP’ın detayları gösterilir. Gerçek TAP değerini not edin, çünkü bu değeri kullanıcıya siz sağlayacaksınız. Ok’u seçtikten sonra bu değeri görüntüleyemezsiniz .
Windows cihaz kurulumu
TAP’li kullanıcılar, Windows 10 ve 11’de kurulum sürecini gezinerek cihaz birleştirme işlemlerini gerçekleştirebilir ve Windows Hello for Business’ı yapılandırabilir. Windows Hello for Business’ı kurmak için TAP kullanımı, cihazların katılma durumuna göre değişir.
Microsoft Entra ID’ye bağlı cihazlar için:
- Etki alanına katılma kurulum süreci sırasında kullanıcılar, cihaza katılmak ve Windows Hello for Business’ı kaydetmek için bir TAP ile kimlik doğrulaması yapabilir (şifre gerekmez).
- Zaten katılmış cihazlarda, kullanıcıların Windows Hello for Business’ı kurmak için TAP’ı kullanmadan önce parola, akıllı kart veya FIDO2 anahtarı gibi başka bir yöntemle kimlik doğrulaması yapmaları gerekir.
- Windows’da Web oturum açma özelliği de etkinleştirilmişse , kullanıcı cihazda oturum açmak için TAP’ı kullanabilir. Bu yalnızca ilk cihaz kurulumunu tamamlamak veya kullanıcı bir parola bilmediğinde veya parolası olmadığında kurtarma için tasarlanmıştır.
Hibrit katılımlı cihazlarda, kullanıcıların Windows Hello for Business’ı kurmak için TAP’ı kullanmadan önce parola, akıllı kart veya FIDO2 anahtarı gibi başka bir yöntemle kimlik doğrulaması yapması gerekir.
Microsoft Authenticator ile TAP Kullanımı
Kullanıcılar ayrıca Microsoft Authenticator’ı hesaplarıyla kaydetmek için TAP’lerini kullanabilirler. Bir iş veya okul hesabı ekleyerek ve bir TAP ile oturum açarak kullanıcılar hem geçiş anahtarlarını hem de şifresiz telefon oturum açmayı doğrudan Authenticator uygulamasından kaydedebilirler.
Daha fazla bilgi için bkz. İş veya okul hesabınızı Microsoft Authenticator uygulamasına ekleme .
Misafir erişimi
Bir TAP’ı dahili bir misafire oturum açma yöntemi olarak ekleyebilirsiniz, ancak diğer misafir türlerine ekleyemezsiniz. Dahili bir misafirin UserType kullanıcı nesnesi Guest olarak ayarlanmıştır .
Microsoft Entra yönetim merkezinde veya Microsoft Graph’ta harici bir misafir hesabına TAP eklemeye çalışırsanız, Geçici Erişim Geçişi harici bir misafir kullanıcısına eklenemez hatasını alırsınız.
Harici konuk kullanıcılar, ev kiracı kimlik doğrulama gereksinimlerini karşılıyorsa ve Çapraz Kiracı Erişim politikaları kullanıcının ev kiracısından gelen MFA’ya güvenecek şekilde yapılandırılmışsa, ev kiracıları tarafından verilen bir TAP ile bir kaynak kiracıda oturum açabilirler.
Son kullanma tarihi
Süresi dolmuş veya silinmiş bir TAP, etkileşimli veya etkileşimsiz kimlik doğrulaması için kullanılamaz.
TAP süresi dolduktan veya silindikten sonra kullanıcıların farklı kimlik doğrulama yöntemleriyle yeniden kimlik doğrulaması yapması gerekir.
Bir TAP oturum açma kullanılarak elde edilen belirteç ömrü (oturum belirteci, yenileme belirteci, erişim belirteci vb.) TAP ömrüyle sınırlıdır. Bir TAP sona erdiğinde, ilişkili belirtecin sona ermesine yol açar.
Süresi dolmuş Geçici Erişim Geçişini silin
Bir kullanıcı için Kimlik Doğrulama yöntemleri altında , Ayrıntı sütunu TAP’ın ne zaman sona erdiğini gösterir. Aşağıdaki adımları kullanarak sona ermiş bir TAP’ı silebilirsiniz:
Microsoft Entra yönetim merkezinde en azından bir Kimlik Doğrulama Yöneticisi olarak oturum açın .
Kimlik > Kullanıcılar’a gidin , Kullanıcı gibi bir kullanıcı seçin ve ardından Kimlik doğrulama yöntemleri’ni seçin .
Listede gösterilen Geçici Erişim Geçişi kimlik doğrulama yönteminin sağ tarafında Sil seçeneğini belirleyin.
Toparlarsak;
Temporary Access Pass, hesap kurtarma, MFA kaydı ve parolasız kimlik doğrulama geçişi için güçlü bir araçtır. Kullanıcıların güvenli ve sorunsuz bir şekilde oturum açmasını sağlayarak, organizasyonlarda parola yönetimini kolaylaştırır ve güvenliği artırır.
Referans: learn.microsoft.com
