Office 365 Multi Factor Authentication Kapatma

Bu yazı yıllardır güvenlik varsayılanları nasıl kapatılır aramasından ziyaretçi alıyor ve her okuyana baştan söylemem gereken bir şey var: bu ayarı kapatmak, hesabınızın kapısını aralık bırakmaktır. Yine de bazı senaryolarda geçici olarak kapatmak gerekebiliyor; nasıl yapıldığını, hangi riske girdiğinizi ve doğru alternatifi birlikte görelim.

Güvenlik varsayılanları ne yapıyor?

Microsoft, tüm Microsoft 365 ve Azure kiracılarında güvenlik varsayılanları denen bir temel koruma paketi sunuyor. Etkinleştirildiğinde tüm kullanıcılar için çok faktörlü kimlik doğrulama kaydı zorunlu hale geliyor, eski ve güvensiz oturum açma protokolleri engelleniyor, yönetici hesapları her girişte ek doğrulamadan geçiyor. Microsoft’un kendi verilerine göre çok faktörlü doğrulama, hesap ele geçirme saldırılarının ezici çoğunluğunu tek başına durduruyor.

Peki insanlar neden kapatmak istiyor? Sahada en çok iki sebep görüyorum: eski bir yazıcı ya da uygulama SMTP ile mail atarken doğrulamaya takılıyor, ya da kullanıcılar bir sabah aniden telefon doğrulaması istenince yardım masası telefonları kilitleniyor. İkisi de anlaşılır dertler ama çözümü toptan kapatmak değil.

Nasıl kapatılır?

Yine de kapatmanız gerekiyorsa adımlar şöyle:

1. entra.microsoft.com adresine Global Administrator yetkili hesabınızla giriş yapın. Aynı ekrana portal.azure.com üzerinden Microsoft Entra ID menüsüyle de ulaşabilirsiniz.
2. Sol menüden Identity > Overview > Properties sekmesine gelin.
3. Sayfanın altındaki Manage security defaults bağlantısına tıklayın.
4. Açılan panelde Security defaults seçeneğini Disabled yapın; Microsoft size neden kapattığınızı soracak, bir sebep seçip kaydedin.

Değişiklik anında geçerli olur; kullanıcılar bir sonraki oturumda ek doğrulama görmez.

Kapatmadan önce iki kez düşünün

Kapattığınız anda kiracınızdaki tüm hesaplar yalnızca parolayla korunur hale gelir. Parola sızıntıları düşündüğünüzden çok daha yaygın; tek bir kullanıcının başka bir sitede kullandığı parolanın sızması, tüm şirket mailinizin okunması demek olabilir. Projelerimde birebir yaşadığım gerçek şu: güvenlik varsayılanlarını kapatıp yerine hiçbir şey koymayan kiracılarda hesap ele geçirme vakası gelmesi aylar değil haftalar meselesi.

Doğru yaklaşım şu iki yoldan biri:

• Entra ID P1 lisansınız varsa Conditional Access kullanın. Güvenlik varsayılanlarını kapatın ama yerine koşullu erişim ilkeleri kurun; böylece yazıcınızın mail attığı tek hesabı ayrı tutup geri kalan herkeste doğrulamayı zorunlu bırakabilirsiniz. İnce ayar isteyen kurumsal senaryonun doğru cevabı bu.
• Lisansınız yoksa varsayılanları açık tutun ve sorun yaşayan eski uygulamayı modern kimlik doğrulama destekleyen bir yöntemle değiştirin.

MFA’yı bilinçli şekilde açmak isterseniz adım adım anlattığım MFA nasıl etkinleştirilir yazısına bakabilirsiniz.

Toparlayalım

• Güvenlik varsayılanları, kiracınızdaki tüm hesaplara temel MFA koruması getirir.
• Kapatma işlemi Entra portalında Properties altındaki Manage security defaults panelinden yapılır.
• Kapatıyorsanız yerine mutlaka Conditional Access ilkeleri koyun; boşlukta bırakmayın.
• Tek bir uygulamanın derdi için tüm şirketin korumasını indirmeyin.

Sorularınız olursa yorumlarda buluşalım.