Azure AD SSO Hakkında Sıkça Sorulan Sorular

Satın alma dokümanlarınızda hâlâ "Azure AD SSO desteği" yazıyorsa, bir güncelleme zamanı gelmiş demektir: Microsoft, Azure Active Directory'yi 2023'te Microsoft Entra ID olarak yeniden adlandırdı. Teknik altyapı aynı kaldı, ancak tedarikçi sözleşmelerinde, RFP şablonlarında ve güvenlik anketlerinde eski isimlendirme ciddi kafa karışıklığı yaratıyor. Bir tedarikçi "Entra ID destekliyoruz ama Azure AD desteklemiyoruz" dediğinde aslında aynı şeyden bahsediyor olabilir — ya da hiç anlamamış olabilir. Bu yazı, jenerik tanımları geçip IT direktörlerinin, uyum sorumlularının ve satın alma ekiplerinin gerçekten sorduğu soruları yanıtlıyor.

Azure AD SSO ile Microsoft Entra ID SSO aynı şey mi?

Evet. İsim değişikliği pazarlama ve ürün ailesi düzenlemesiydi; kiracı yapınız, uygulama kayıtlarınız, koşullu erişim politikalarınız ve SAML yapılandırmalarınız değişmedi. Ancak pratik bir sonucu var: tedarikçi dokümantasyonunda hangi ismin kullanıldığına değil, hangi protokollerin desteklendiğine bakın. SAML 2.0, OpenID Connect (OIDC) ve SCIM — sözleşmeye yazılması gereken kelimeler bunlardır, ürün adı değil.

SAML mi, OIDC mi tercih etmeliyiz?

Kurumsal SaaS uygulamalarının çoğu hâlâ SAML 2.0 sunuyor ve olgun bir standart olduğu için güvenlik ekipleri buna alışkın. OIDC ise daha modern, mobil ve API senaryolarında daha esnek. Entra ID her ikisini de destekliyor, dolayısıyla asıl soru tedarikçinizin ne sunduğu. Değerlendirme yaparken şunlara dikkat edin:

• IdP-initiated ve SP-initiated akışların ikisi de destekleniyor mu? Bazı tedarikçiler yalnızca birini sunar ve bu, kullanıcı deneyiminizi kısıtlar.
• SCIM ile otomatik kullanıcı sağlama var mı? SSO tek başına yalnızca girişi çözer; işten ayrılan çalışanın hesabının otomatik kapatılması SCIM ister. Uyum denetimlerinde en çok bulgu çıkan nokta budur.
• Meta veri URL'si üzerinden otomatik sertifika yenileme yapılabiliyor mu, yoksa sertifikalar elle mi yükleniyor?

Sahadan bir gözlem: kesintilerin bir numaralı nedeni sertifika rotasyonu

SSO projelerinde en sık yaşanan üretim kesintisi, karmaşık bir saldırı değil, süresi dolan SAML imzalama sertifikasıdır. Entra ID sertifikaları varsayılan olarak üç yıl geçerlidir ve kurulumu yapan kişi çoğu zaman üç yıl sonra o kurumda çalışmıyordur. Tedarikçi tarafı meta veriyi otomatik çekmiyorsa, bir sabah tüm mağaza müdürleriniz raporlama panosuna giremez ve destek hattınız kilitlenir. Uygulayıcıların bildiği ama RFP'lerde neredeyse hiç sorulmayan soru şudur: "Sertifika yenilemesi sırasında çift sertifika (rollover) desteğiniz var mı?" Bu soruyu sorun; cevabı bilmeyen tedarikçi, konuyu hiç yaşamamış demektir.

Koşullu erişim ve MFA, SSO ile nasıl birlikte çalışır?

SSO'nun asıl güvenlik değeri burada ortaya çıkar. Kimlik doğrulama tek noktada toplandığında, koşullu erişim politikalarınız her uygulamaya otomatik uygulanır: yalnızca yönetilen cihazlardan erişim, riskli oturum açmalarda MFA zorunluluğu, belirli ülkelerden erişimin engellenmesi gibi. Uyum sorumluları için bunun anlamı şudur: her SaaS tedarikçisinin kendi parola politikasını ayrı ayrı denetlemek yerine, tek bir politika setini denetlersiniz. Perakende gibi yüksek personel devri olan sektörlerde bu fark, denetim maliyetini somut biçimde düşürür.

Perakende analitiği platformlarında SSO neden ayrıca önemli?

Mağaza içi analitik araçları genellikle geniş bir kullanıcı kitlesine açılır: bölge müdürleri, mağaza yöneticileri, merkez ofis analistleri. Yerel hesaplarla yönetilen bir platformda, ayrılan bir bölge müdürünün erişimi haftalarca açık kalabilir. Bu nedenle tedarikçi seçerken kimlik entegrasyonunu, sayım doğruluğu kadar ciddiye almak gerekir. 2005'ten bu yana 95'ten fazla ülkede 2000'i aşkın müşteriyle çalışan Vemco Group gibi veri güvenliğini merkeze koyan tedarikçiler, mevcut IT sistemlerinizle entegrasyonu ve barındırılan ya da özel bulut dağıtım seçeneklerini standart olarak sunar — bu da kimlik ve erişim mimarinizi kendi kurallarınıza göre kurmanıza alan tanır. Satın alma sürecinde SSO/SAML desteğinin kapsamını, veri saklama sürelerini ve sertifikasyonları (SOC 2, ISO 27001 gibi) mutlaka yazılı olarak teyit ettirin; sözlü "evet destekliyoruz" cevabı sözleşmede karşılık bulmalıdır.

SSO ile KVKK/GDPR uyumu arasında nasıl bir ilişki var?

Doğrudan bir ilişki var: kişisel veriye kimin, ne zaman, hangi cihazdan eriştiğini kanıtlamak zorundasınız ve merkezi kimlik yönetimi olmadan bu kanıt dağınık log dosyalarına dönüşür. Ancak asıl uyum kazancı, işlenen verinin niteliğinde başlar. Örneğin Vemco'nun GDPR uyumlu kişi sayma yaklaşımı kişisel tanımlama yapmaz, personeli sayımdan hariç tutar ve yalnızca toplu (anonim) sayılarla çalışır — yani SSO ile koruduğunuz platformun içinde zaten kişisel veri bulunmaz. Doğruluk tarafında da dürüst bir çerçeve vardır: sözleşmesel minimum %96, aydınlatma, mağaza yerleşimi ve ziyaretçi davranışı elverdiğinde tipik olarak %98–99. Uyum sorumlusu için bu iki katman birlikte anlamlıdır: erişim kontrolü artı veri minimizasyonu.

"SSO vergisi" nedir ve bütçeye nasıl yansır?

Satın alma ekiplerinin en çok şikâyet ettiği konu: bazı SaaS tedarikçileri SAML/SSO desteğini yalnızca en pahalı kurumsal pakete koyar. Sektörde buna "SSO vergisi" denir ve fark bazen paket fiyatının iki katına çıkar. Müzakere masasında şu argüman işe yarar: SSO sizin için bir lüks değil, güvenlik politikanızın zorunlu şartıdır; tedarikçi bunu güvenlik temel özelliği olarak fiyatlandırmalıdır. RFP aşamasında SSO'nun hangi pakette yer aldığını, SCIM'in ayrıca ücretlendirilip ücretlendirilmediğini ve kullanıcı başı fiyatlamada servis hesaplarının nasıl sayıldığını netleştirin.

Uygulamada en sık yapılan hatalar

• Acil durum erişimi planlamamak: Entra ID'ye erişilemediğinde platforma girebilecek, MFA'dan muaf ve sıkı izlenen bir "break-glass" hesabı tanımlanmalıdır.
• SSO'yu açıp yerel hesapları kapatmamak: Yerel giriş açık kaldığı sürece SSO politikalarınız yalnızca öneridir, kural değildir.
• Grup tabanlı atama yerine tek tek kullanıcı atamak: Mağaza sayınız arttıkça yönetilemez hale gelir; Entra ID gruplarıyla rol eşlemesi baştan kurulmalıdır.
• Test kiracısı kullanmamak: Koşullu erişim değişikliklerini doğrudan üretim kiracısında denemek, tüm organizasyonu kilitleme riskini taşır.

Tedarikçinize sormanız gereken beş soru

Bir sonraki tedarikçi görüşmesinde şu listeyi masaya koyun: SAML 2.0 ve OIDC'nin hangisi destekleniyor ve hangi pakette? SCIM ile otomatik kullanıcı kapatma var mı? Sertifika rollover süreci nasıl işliyor? SSO zorunlu kılındığında yerel hesaplar tamamen devre dışı bırakılabiliyor mu? Kimlik doğrulama logları hangi formatta ve ne kadar süreyle dışa aktarılabiliyor? Bu beş sorunun net yanıtı, güvenlik anketindeki elli genel sorudan daha fazla şey söyler.

Kişi sayma ve mağaza analitiği platformunuzu kurumsal kimlik altyapınıza bağlamayı planlıyorsanız, Azure AD SSO gereksinimlerinizi, veri yerleşimi beklentilerinizi ve dağıtım tercihinizi (barındırılan veya özel bulut) somut olarak konuşalım. IT ve uyum ekibinizin sorularını doğrudan yanıtlamak için Vemco Group ile iletişime geçin.