Bir kullanıcı Outlook’u açtığında erişim kararını Microsoft 365 vermez. Kimliği Microsoft Entra ID doğrular, Conditional Access politikası cihaz kaydına bakar, o kayıttaki uyumlu ya da uyumsuz bilgisini ise Microsoft Intune yazar. Tek bir oturum açma isteğinde üç ürün birden çalışır ve birindeki eksik ayar diğer ikisinin işini boşa çıkarır.
Bu yüzden üçünü ayrı ürünler olarak öğrenip sonra birbirine bağlamak gerekiyor. Sahada en sık karşılaştığım tablo, Microsoft 365 lisansı alınmış ama Conditional Access ve Intune hiç yapılandırılmamış bir tenant. Bu yazıda her ürünün neyi yönettiğine, bir Outlook oturumunun perde arkasındaki akışına, kayıtsız telefonların nasıl korunduğuna, hangi işin hangi portalda yapıldığına, lisans paketlerine ve en sık karıştırılan noktalara ineceğiz.
Üç ürün, üç ayrı soru
Anuradha Kumari’nin LinkedIn’de paylaştığı ayrım iyi bir başlangıç. Ben bunu her ürünün cevapladığı soru üzerinden anlatmayı daha kullanışlı buluyorum.
Microsoft 365 işin yapıldığı yerdir. Exchange Online, Teams, SharePoint, OneDrive ve Microsoft 365 Apps bu katmanda durur. Posta kutusu, ekip, site ve dosya buranın nesneleridir.
Microsoft Entra ID kimin girdiğini yönetir. Kullanıcılar, gruplar, uygulama kayıtları, MFA ve Conditional Access burada yaşar. Microsoft’un kimlik modeli belgesine göre her Microsoft 365 aboneliğinin arkasında bir Entra kiracısı vardır ve kimlik doğrulamayı o yapar. Yani Teams’e giren her kullanıcı aslında bir Entra nesnesidir.
Microsoft Intune ise hangi cihazdan ve hangi uygulamayla girildiğini yönetir. Cihaz kaydı, uyumluluk politikası, yapılandırma profili, uygulama dağıtımı ve app protection policy bu ürünün işidir. Windows güncelleme halkalarını anlattığım Intune Windows Update yazısı da bu katmanın parçası.
Bir Outlook oturumu açılırken perde arkasında ne oluyor?
Bağlantı noktalarını görmenin en kısa yolu tek bir isteği izlemek. Kullanıcının Intune’a kayıtlı bir Windows dizüstüyle Outlook’u açtığını düşünelim.
- Outlook, Exchange Online’a erişmek için Entra ID’den token ister.
- Entra kullanıcıyı doğrular. Parola, Authenticator ya da passkey burada devreye girer. Passkey tarafındaki son değişiklikleri Entra passkey yazısında ele almıştım.
- Conditional Access, Office 365 uygulamasını hedefleyen politikaları değerlendirir. Politikada Require device to be marked as compliant seçiliyse Entra cihaz nesnesine bakar.
- O nesnedeki uyumluluk bilgisini Intune yazmıştır. Microsoft’un grant kontrolleri belgesi bunu açıkça söylüyor: Intune uyumluluk bilgisini Entra ID’ye gönderir, Conditional Access de erişime bu bilgiyle karar verir.
- Cihaz uyumluysa token verilir ve posta kutusu açılır. Uyumsuzsa erişim engellenir; kullanıcı Company Portal uygulamasında cihazın hangi kuralı karşılamadığını görebilir.
Sinyaller tek noktada değerlendirilir; karar izin, MFA veya engelleme olarak uygulamaya ve veriye ulaşır.
Burada iki ayar sık atlanır. Intune’daki kiracı geneli Mark devices with no compliance policy assigned as ayarı varsayılan olarak Compliant gelir; Intune uyumluluk belgesi Conditional Access kullanılıyorsa bunun Not compliant yapılmasını öneriyor. Aksi halde politika atanmamış bir cihaz da uyumlu sayılır. İkincisi, cihazın uyumluluk raporlaması için varsayılan geçerlilik süresi 30 gündür. Bu sürede rapor vermeyen cihaz uyumsuza düşer.
Telefon Intune’a kayıtlı değilse ne olacak?
Çalışanın kendi telefonunu yönetime almak çoğu zaman mümkün olmaz. Bu durumda app protection policy devreye girer. Microsoft Learn’deki tanıma göre bu politikalar herhangi bir MDM çözümünden bağımsız çalışır, cihaz kayıtlı olsun olmasın veriyi uygulama düzeyinde korur.
Pratikte Outlook ve Teams gibi mobil uygulamalara PIN zorunluluğu ve kurumsal veriyi kişisel uygulamalara kopyalama yasağı gibi kurallar konur. Cihaz kaybolursa yalnızca kurumsal veri silinir, telefonun geri kalanına dokunulmaz. Conditional Access tarafında bunu Require app protection policy kontrolüyle bağlarsınız. Böylece politikası olmayan bir uygulamadan posta kutusuna erişilemez.
Bir sınırı da bilmekte fayda var. Intune lisans belgesi, device-only lisansla kaydedilen kiosk ve paylaşımlı cihazlarda app protection policy ile Conditional Access desteklenmediğini yazıyor. Kullanıcısız cihazları bu zincire katmak istiyorsanız lisans türünü baştan kontrol edin.
Hangi işi hangi portalda yaparsınız?
Üç ürünün üç ayrı yönetim merkezi var. Microsoft 365 admin center admin.microsoft.com, Microsoft Entra admin center entra.microsoft.com, Intune admin center intune.microsoft.com adresinden açılır. Görevler kabaca şöyle dağılır:
| Görev | Portal |
|---|---|
| Kullanıcı oluşturma, lisans atama | admin.microsoft.com, Entra’dan da yapılabilir |
| Posta kutusu, Teams ve SharePoint ayarları | admin.microsoft.com ve ürünlerin kendi admin center’ları |
| MFA yöntemleri, Conditional Access, uygulama kayıtları | entra.microsoft.com |
| Cihaz kaydı, uyumluluk ve yapılandırma politikaları | intune.microsoft.com |
| App protection policy, uygulama dağıtımı | intune.microsoft.com |
Bir ayrıntı kafa karıştırıyor. Intune admin center’da da bir Conditional Access menüsü var. Intune belgesi bunun Entra’daki düğümle aynı düğüm olduğunu söylüyor. Orada oluşturduğunuz politika bir Entra politikasıdır, Intune’a ait ayrı bir kural seti değildir.
Projelerde aynı sırayı izliyorum. Önce Entra’da kimlik ve MFA, sonra Intune’da uyumluluk politikası, en son ikisini bağlayan Conditional Access politikası gelir. Sırayı ters çevirirseniz kayıtlı olmayan ya da henüz rapor vermemiş cihazlar ilk gün engellenir. Politikayı önce report-only modunda açıp oturum açma kayıtlarında etkisini görmek bu riski büyük ölçüde azaltır.
Intune portalındaki Conditional Access ekranı, başlığın altındaki Microsoft Entra ID etiketiyle aynı Entra hizmetini açar.
Yan yana koyunca fark netleşiyor
| Ürün | Ne yönetir | Ana nesneler | Admin center | Tipik görev |
|---|---|---|---|---|
| Microsoft 365 | Verimlilik ve iş birliği servisleri | Posta kutusu, ekip, site, dosya | admin.microsoft.com | Lisans atamak, paylaşımlı posta kutusu açmak |
| Microsoft Entra ID | Kimlik ve erişim | Kullanıcı, grup, uygulama, cihaz nesnesi | entra.microsoft.com | MFA ve Conditional Access politikası yazmak |
| Microsoft Intune | Cihaz ve uygulama yönetimi | Kayıtlı cihaz, uyumluluk politikası, profil, uygulama | intune.microsoft.com | Uyumluluk kuralı ve app protection policy atamak |
Lisans tarafında hangi pakette ne var?
Burada fiyat yerine kapsamı konuşalım. Entra lisans belgesine göre Entra ID Free tüm Microsoft 365 abonelikleriyle gelir. Conditional Access ise Entra ID P1 ister. P1, Microsoft 365 Business Premium, E3 ve E5 içinde var. Risk tabanlı politikalar ve Privileged Identity Management için gereken P2 ise E5 ve E7 paketlerinde geliyor.
Intune Plan 1, Intune lisans sayfasına göre temel servis ve Business Premium, E3 ile E5 paketlerine dahil. Business Basic ve Business Standard’da ise Intune yerine Basic Mobility and Security adlı sınırlı bir alt küme bulunuyor. Remote Help gibi özellikler Plan 2 ya da Intune Suite ister; bunu Remote Help yazısında ayrıntılı anlatmıştım. E5’in üstündeki yeni paketi merak ediyorsanız Microsoft 365 E7 yazısına bakabilirsiniz.
Microsoft 365 aldınız diye Intune ve Conditional Access’e sahip olmazsınız; hangi pakette olduğunuz bunu belirler.
En sık karıştırılan üç nokta
İlki isim. Azure Active Directory’nin yeni adı Microsoft Entra ID. Değişiklik 11 Temmuz 2023’te duyuruldu, Azure AD Premium P1 ve P2 de Entra ID P1 ve P2 oldu. Özellikler aynı kaldı. Eski belgelerde ve PowerShell örneklerinde Azure AD gördüğünüzde aynı hizmetten söz edildiğini bilin.
İkincisi Intune’un ayrı bir ürün olması. Intune, Microsoft 365’in bir menüsü değil. Kendi lisansı, kendi portalı ve kendi politika motoru var. Paketinizde Intune lisansı yoksa kullanıcıların cihazlarını Intune’a kaydedemez, uyumluluk politikası da uygulayamazsınız.
Üçüncüsü yazma yeri. Microsoft 365 admin center’da kullanıcı açtığınızda, grubu değiştirdiğinizde ya da parolayı sıfırladığınızda bu değişiklikler Entra ID’deki nesneye yazılır. İki ayrı kullanıcı listesi yoktur. Hibrit yapıda kullanıcı şirket içi Active Directory’den Entra Connect ile eşitlendiği için bazı alanları bulutta değiştiremezsiniz; değişikliği kaynakta yapmanız gerekir. Kimlik tarafı yalnızca insanlarla da sınırlı kalmıyor, yapay zeka ajanlarının kimliğini Entra Agent ID yazısında anlatmıştım.
Üç ürünü tek cümlede ayırmak
- Microsoft 365 posta, dosya ve iş birliği servislerini sunar.
- Entra ID kimliği doğrular ve Conditional Access ile erişim kararını verir.
- Intune cihaz uyumluluğunu Entra’ya yazar, kayıtsız cihazda app protection policy ile veriyi korur.
- Yönetim merkezleri ayrıdır ama Conditional Access tek bir Entra hizmetidir.
- Business Premium ve E3, Entra ID P1 ile Intune Plan 1’i birlikte getirir; P2 ise E5 ve E7 ile gelir.
Bu üç ürün aynı kiracıda tek bir erişim zinciri kurar; halkalardan birini eksik bırakırsanız diğer ikisi de yarım çalışır. Sorularınız olursa yorumlarda buluşalım.
