Intune’da BitLocker’ı settings catalog ile sessizce açmaya çalışırsanız büyük ihtimalle bir yerde takılırsınız. Microsoft Learn, settings catalog’un sessiz şifreleme için gereken TPM başlangıç kontrollerini içermediğini açıkça yazıyor ve bu iş için endpoint security politikasını öneriyor. Yeni bir tenant kurulurken yapılan hataların çoğu bu türden. Politika doğru ama yeri yanlış, ya da politika doğru ama atama dağınık.
Shankar Kumar Sony’nin LinkedIn’de paylaştığı 27 politikalık liste bu yüzden dikkatimi çekti. Liste her tenant için dokuz olmazsa olmaz sayıyor ve büyük ölçüde haklı. Eksik kalan taraf, menü yolları ile politikaların birbirine çarpmasını önleyen atama disiplini. Üstelik Intune admin center’daki bazı menüler son dönemde yer değiştirdi, eski yazılardaki yollar artık tutmuyor.
Bu yazıda dokuz temel politikayı Learn’de doğruladığım menü yollarıyla tek tabloya koyup her birinde en çok takılınan ayara ineceğiz. Ardından listenin geri kalanını gruplayıp kısa geçeceğiz ve pilot grup, assignment filter, conflict ve Conditional Access tarafındaki kuralları gerçek Intune davranışıyla anlatacağız.
Dokuz temel politika tek tabloda
| Politika | Intune’daki yer | Neden gerekli |
|---|---|---|
| BitLocker sessiz şifreleme | Endpoint security > Disk encryption > Windows > BitLocker | Kaybolan dizüstündeki veri okunamaz, kurtarma anahtarı Intune’da kalır |
| FileVault | Endpoint security > Disk encryption > macOS > FileVault | Mac’te aynı koruma, kurtarma anahtarı Intune’a emanet edilir |
| Microsoft Defender Antivirus | Endpoint security > Antivirus > Windows > Microsoft Defender Antivirus | Gerçek zamanlı koruma ve tamper protection tek yerden yönetilir |
| Windows Firewall | Endpoint security > Firewall > Windows > Windows Firewall | Kullanıcının kapatamadığı, ağ profiline göre çalışan filtre |
| Windows LAPS | Endpoint security > Account protection > Windows > Local admin password solution (Windows LAPS) | Her cihazda farklı ve düzenli değişen yerel admin parolası |
| Update rings | Devices > By platform > Windows > Manage updates > Windows updates > Update rings | Erteleme, son tarih ve yeniden başlatma davranışı kontrol altında |
| App protection | Apps > Protection > iOS/iPadOS veya Android | Kayıtsız kişisel telefonda kurumsal veri uygulamanın içinde kalır |
| Windows compliance | Devices > Compliance > Windows 10 and later | BitLocker, Secure Boot, Defender ve minimum OS şartı |
| iOS ve Android compliance | Devices > Compliance > iOS/iPadOS ya da Android Enterprise | Jailbreak veya root tespiti, minimum OS ve cihaz parolası |
Tablodaki yolların çoğu Endpoint security düğümünde toplanıyor ve bu bilinçli bir tercih. Aynı ayarları device configuration şablonlarından da verebilirsiniz ama Learn, o şablonların konuyla ilgisiz başka kategoriler de taşıdığını ve yönetimi karıştırdığını söylüyor.
BitLocker sessiz açılır, FileVault iki aşamada ilerler
BitLocker’ı kullanıcıya hiçbir şey sormadan açmanın tarifi Learn’de net. BitLocker profilinde Require Device Encryption Enabled, Allow Warning For Other Disk Encryption Disabled olmalı. Cihazları standart kullanıcılar kullanıyorsa ikinci ayar kapatılınca görünen Allow Standard User Encryption da Enabled yapılmalı. Cihaz tarafında Entra joined ya da hybrid joined olma, TPM, UEFI, Secure Boot ve çalışan bir Windows Recovery Environment ön şart.
Allow Warning For Other Disk Encryption kapatıldığında BitLocker, cihazda başka bir şifreleme yazılımı olsa bile devam eder. Learn bunun veri kaybına ve açılmayan sistemlere yol açabileceğini yazıyor, bu yüzden üçüncü parti şifreleme kullanan cihazları önce envanterden ayıklayın. TPM başlangıç PIN’i ya da başlangıç anahtarı isteyen her ayar sessiz şifrelemeyi durdurur, çünkü kullanıcı etkileşimi gerektirir. Microsoft Defender security baseline bu ayarları açabiliyor; baseline atadıysanız önce onu kontrol edin.
Mac tarafında FileVault aynı Disk encryption düğümünde duruyor. Şifreleme iki aşamada ilerliyor. Önce kurtarma anahtarı Intune’a emanet ediliyor, sonra disk şifreleniyor. Algoritma XTS-AES 128 ile sabit, 256 bit seçeneği yok. macOS 14 ve sonrasında kurulum sihirbazı sırasında FileVault zorlamak istiyorsanız bu seçenek yalnızca settings catalog’da var. Kullanıcı onaylı MDM kaydı da şart.
Defender ve Firewall’da ön koşulu atlamayın
Antivirus düğümündeki profiller yalnızca Defender Antivirus ayarlarını ya da Windows Security uygulamasının kullanıcı deneyimini kapsıyor. Windows’ta ek bir ön koşul yok. macOS’ta ise profilin işe yaraması için Defender for Endpoint’in cihazda kurulu olması gerekiyor. Tamper protection için cihazın Defender for Endpoint’e onboard edilmiş olması gerekir. Onboard olmamış cihazda bu ayar, onboarding sonrasındaki ilk check-in’i bekler.
Firewall tarafında iki ayrı profil var. Windows Firewall profili domain, private ve public ağ profillerinin davranışını belirler. Windows Firewall rules profili ise port, protokol ve uygulama bazlı kuralları taşır ve her profil en fazla 150 kural alır. Güncel Windows sürümlerinde bir kural bloğu ya tamamen uygulanıyor ya hiç uygulanmıyor. Tek hatalı kural bütün bloğu düşürebildiği için kuralları küçük ve anlamlı profillere bölmek sorun ayıklamayı ciddi ölçüde kolaylaştırıyor.
Windows LAPS hesabı yaratmaz, yönetir
LAPS politikası Endpoint security > Account protection altında Create Policy ile başlıyor. Platform olarak Windows, profil olarak Windows LAPS seçiliyor. Başlamadan önce Entra tarafında LAPS’in etkinleştirilmiş olması gerekiyor, aksi halde parola yedeği hiçbir zaman gelmez.
Intune’un LAPS politikası yeni hesap açmaz, cihazda zaten var olan hesabı yönetir. Administrator Account Name boş bırakılırsa yerleşik yönetici hesabı yönetiliyor. Backup Directory seçiminin de cihazın join tipine uyması gerekiyor. Yalnızca Entra’ya katılmış bir cihaza Active Directory yedeği verirseniz politika hatasız uygulanır ama parola hiçbir yere yedeklenmez. Microsoft, LAPS politikasının kullanıcı grubuna değil cihaz grubuna, cihaz başına tek politika olacak şekilde atanmasını öneriyor. Kullanıcı grubuna atanan politika her oturum açan kişiyle değişebilir; bir süre sonra hangi hesabın yönetildiğini kimse bilemez.
Update ring’ler pilot mantığının kendisi
Learn, update ring’lerin test, pilot ve üretim gibi dağıtım aşamaları kurmak için kullanıldığını yazıyor. Yol artık Devices > By platform > Windows > Manage updates > Windows updates; oradaki Update rings sekmesinde Create profile ile başlıyorsunuz. En az üç ring kurun ve her birini ayrı bir cihaz grubuna atayın. Cihaz grubu kullanıldığında politika, kullanıcının oturum açmasını beklemeden uygulanıyor. Windows Autopatch kullanıyorsanız ring’leri servis kendisi yönetiyor, Autopatch cihazlarına kendi ring’inizi atamayın.
Ring’lerin yanında feature update, quality update ve kurulum takibini Intune Windows Update yazısında adım adım anlattım. Ring ayarlarını orada gösterdiğim pilot sırasıyla birlikte düşünmek işi kolaylaştırır.
Kişisel telefon için app protection, kayıtlı cihaz için compliance
Telefonunu Intune’a kaydettirmek istemeyen kullanıcı için cevap app protection. Apps > Protection altında Create policy ile iOS/iPadOS ya da Android seçiliyor ve politika cihaza değil, Outlook, Teams, OneDrive gibi uygulamalara uygulanıyor. Microsoft’un data protection framework’ü üç seviye tanımlıyor ve çoğu kullanıcı için ikinci seviyeyi, yani Enterprise enhanced data protection’ı öneriyor. Bu seviye PIN ve şifrelemenin üzerine veri sızıntısı kontrollerini ve minimum OS şartını ekliyor.
Kayıtlı cihazlar için compliance politikası Devices > Compliance altında, Create policy ile platform seçilerek oluşturuluyor. Windows’ta BitLocker, Secure Boot, Defender ve minimum OS sürümü; iOS ve Android’de jailbreak veya root tespiti, minimum OS ve cihaz parolası iyi bir başlangıç. Devices > Compliance altındaki Compliance settings sayfasında Mark devices with no compliance policy assigned as ayarını Not compliant yapın. Varsayılan değer Compliant ve hiçbir politika almamış cihaz bu haliyle uyumlu sayılıyor.
Compliance sonucu tek başına hiçbir erişimi engellemez. Engel, aşağıda anlatacağım Conditional Access bağlantısıyla geliyor. Uyumsuz çıkan bir cihazda kullanıcının yanında olmadan müdahale etmeniz gerekiyorsa Intune Unattended Remote Help bu iş için tasarlandı.
Listenin geri kalanı nereye oturuyor?
Dokuz temel politika oturduktan sonra listedeki diğer kalemler daha kolay yerleşiyor. Hepsini aynı hafta açmak gerekmiyor, ama nerede durduklarını bilmek planı netleştiriyor.
- Attack Surface Reduction ve device control, Endpoint security > Attack surface reduction altında duruyor. ASR kurallarını önce Audit modunda açıp olayları izleyin, sonra Block’a geçin. Aynı düğümdeki Device Control profili USB ve çıkarılabilir depolamayı yönetiyor.
- App Control for Business, Endpoint security altında kendi düğümüne sahip. Cihazda hangi uygulamanın çalışabileceğini belirleyen bu özelliğin eski adı Windows Defender Application Control.
- Endpoint Privilege Management yine Endpoint security altında. Kullanıcıya kalıcı admin vermeden tek bir uygulamayı yükseltir, ama Intune Plan 1’e dahil değil; lisansınızı önceden kontrol edin.
- Windows Autopilot device preparation politikaları Devices > By platform > Windows > Enrollment yolundaki Device preparation policies ekranında oluşturuluyor.
- iOS ve macOS güncellemelerine son tarih vermek için settings catalog içindeki Declarative Device Management > Software Update kategorisi kullanılıyor.
- Wi-Fi ve sertifika profilleri Devices > Configuration > Create altındaki şablonlarda. Wi-Fi, Trusted certificate, SCEP ve PKCS burada bulunuyor.
Bu politikaların bir kısmı AI ajanlarının cihazda neye erişebileceğini sınırlamakta da kullanılıyor. Bu tarafı AI ajanlarını Intune ve Defender ile kontrol etmek yazısında ele aldım.
Politikalar birbirine çarpmasın diye dört kural
Her politika önce pilot gruba
Her yeni politikayı önce BT ekibinin ve birkaç gönüllü kullanıcının cihazlarından oluşan bir gruba atayın. Learn’ün BitLocker sayfası da sessiz şifrelemeyi geniş dağıtımdan önce pilot grupta doğrulamayı öneriyor. Politika raporunda Succeeded dışındaki her durumu kapatmadan geniş gruba geçmeyin.
Grup kimin, filter hangi cihazın alacağını belirler
Assignment filter’lar OS sürümü, üretici ya da kurumsal ve kişisel sahiplik gibi özelliklere göre include veya exclude modunda çalışıyor. Learn’deki örnek tam bu ihtiyacı anlatıyor. Android compliance politikasını bütün kullanıcılara atayıp mobil telefon ayarlarını desteklemeyen toplantı odası cihazlarını filter ile dışarıda bırakabiliyorsunuz. Böylece her istisna için yeni bir grup açmak zorunda kalmıyorsunuz.
Aynı ayar iki politikada olmasın
Sahada en sık karşılaştığım tablo, aynı ayarın security baseline, endpoint security ve settings catalog’da ayrı ayrı tanımlanması. Değerler farklıysa politika raporunda Conflict durumu görünüyor. Learn bunu Intune’un iki ayarı çözemediği ve yöneticinin incelemesi gereken durum olarak tanımlıyor; pratikte ayar cihaza istediğiniz gibi uygulanmıyor. Devices > Monitor altındaki Configuration policy assignment failure raporu bu çakışmaları toplu görmenin en hızlı yolu. Çözüm, her ayara tek bir sahip vermek. BitLocker Disk encryption’da, LAPS Account protection’da dursun ve baseline aynı ayara dokunmasın.
Compliance’ı Conditional Access’e bağlayın
Compliance sonucunu erişim kararına Conditional Access çeviriyor. Entra admin center’da Grant altında Require device to be marked as compliant seçilen bir politika, uyumsuz cihazdan gelen oturumu engelliyor. Bunun için Entra ID P1 ya da P2 gerekir. Learn’e göre Intune’da compliance politikası yoksa bu politika beklendiği gibi çalışmaz; break-glass hesaplarını da politikanın dışında tutmanız gerekir. Politikayı önce report-only modunda açıp oturum açma kayıtlarını izleyin, sonra zorlayın. Kimlik tarafında passkey geçişini planlıyorsanız Entra passkey yazısı aynı Conditional Access mantığının devamı.
İlk dokuzu bitirmeden onuncuya geçmeyin
- Şifreleme, antivirüs, firewall ve LAPS’i Endpoint security altında, her ayar tek politikada kalacak şekilde kurun.
- Update ring’leri en az üç aşamada ve cihaz gruplarına atayın.
- Kişisel telefon için app protection, kayıtlı cihaz için compliance yazın.
- Compliance’ı Conditional Access’e önce report-only modunda bağlayın, sonra zorlayın.
- Pilot grupta Conflict ve Error görmeden hiçbir politikayı genişletmeyin.
Yirmi yedi politikalık liste ilk bakışta uzun görünür, ama ilk dokuzu temiz kurulmuş bir tenant’ta geri kalanı sırayla ve sorunsuz eklenir.
Sorularınız olursa yorumlarda buluşalım.
