Microsoft Exchange Online API İzinlerini Değiştiriyor: Yöneticilere Geçiş İçin Süre Tanındı
Microsoft, Exchange Online Admin API v2.0 üzerinden çalışan uygulamaların kullandığı izinleri yenileyerek kuruluşların yeni yetkilendirme modeline geçmesini istiyor. 1 Kasım 2026’da dünya genelinde kullanıma açılan iki yeni izin, mevcut izinlerin yerini alacak ve geçişin 30 Kasım’a kadar tamamlanması gerekecek. Eski izinler 1 Aralık 2026 itibarıyla kullanımdan kaldırılmaya başlanırken GCC, GCC High ve DoD ortamları için farklı bir takvim uygulanacak.
Exchange Online Admin API İzinleri Yeniden Düzenleniyor
Microsoft, Exchange Online yönetim işlemlerini otomatikleştiren uygulamaların yetkilendirme altyapısında kapsamlı bir değişikliğe gidiyor. Exchange Online Admin API v2.0 ile bağlantı kuran yazılımlar, bugüne kadar iki farklı API izni üzerinden işlem gerçekleştiriyordu. Şirket, uygulamaların erişim kapsamını daha açık biçimde tanımlamak amacıyla bu izinlerin yerine özel olarak yönetim işlemlerine ayrılmış yeni seçenekler sunuyor.
Exchange Online Admin API, üçüncü taraf yazılımların veya kurum içinde geliştirilen uygulamaların Microsoft’un e-posta hizmetiyle iletişim kurmasını sağlayan REST tabanlı bir arayüz olarak çalışıyor. Geliştiriciler, standart HTTP istekleri üzerinden posta kutusu yönetimi, kuruluş ayarlarının düzenlenmesi ve desteklenen diğer yönetim işlemlerini uygulamalarına entegre edebiliyor. Böylece sistem yöneticileri, tekrarlanan görevleri her seferinde yönetim panelinden elle gerçekleştirmek yerine otomasyon araçlarından yararlanabiliyor.
API, iki farklı erişim modelini destekliyor. Delegated access olarak adlandırılan yetkilendirme türünde uygulama, oturum açmış kullanıcının yetkileri üzerinden işlem yapıyor. Application-only access modelinde ise yazılım, kendi uygulama kimliği ve kendisine tanımlanan izinlerle kullanıcı oturumuna ihtiyaç duymadan çalışıyor.
Microsoft’un duyurduğu değişiklik, doğrudan iki mevcut API iznini kapsıyor. Delegated access modelinde kullanılan Exchange.ManageV2 izninin yerini Exchange.AdminAPI.Manage alacak. Uygulamanın kendi kimliğiyle çalışmasını sağlayan Exchange.ManageAsAppV2 izni ise Exchange.AdminAPI.ManageAsApp ile değiştirilecek.
Yeni izinleri kullanmaya geçmeyen uygulamalar, eski yetkiler kullanımdan kaldırıldığında ilgili yönetim uç noktalarına erişimini kaybedebilecek. Dolayısıyla kuruluşların yalnızca etkilenen izinleri kullanan uygulamalar için geçiş planı hazırlaması gerekiyor. Microsoft, söz konusu iki eski izne bağlı olmayan uygulamalar için yöneticilerin herhangi bir işlem yapmasına gerek bulunmadığını belirtiyor.
Yeni yetkiler 1 Kasım 2026 itibarıyla dünya genelindeki kuruluşların kullanımına sunuldu. Microsoft, genel bulut ortamlarında geçiş işlemlerinin 30 Kasım 2026’ya kadar tamamlanmasını istiyor. Eski izinlerin kullanımdan kaldırılması ise 1 Aralık 2026 tarihinde başlayacak.
ABD hükümetine yönelik bulut ortamlarında farklı bir takvim uygulanacak. GCC, GCC High ve DoD sistemlerinde yeni izinlerin kullanıma sunulması kasım ayında başlayacak, eski izinlerin kullanımdan kaldırılması ise 1 Ocak 2027 tarihinde gerçekleşecek.
Microsoft, hizmet kesintisi yaşanmaması için öncelikle kuruluşların mevcut uygulama envanterini incelemesini öneriyor. Yöneticilerin Microsoft Entra uygulama kayıtlarında Exchange.ManageV2 veya Exchange.ManageAsAppV2 izinlerini kullanan yazılımları belirlemesi gerekiyor. Ardından her uygulama için uygun yeni iznin eklenmesi ve gerekli yönetici onayının verilmesi isteniyor.
Ancak izin adlarının değiştirilmesi, geçiş sürecinin tamamlandığı anlamına gelmiyor. Exchange Online rol tabanlı erişim denetimi (RBAC) gereksinimleri yeni yetkilendirme modelinde de geçerliliğini koruyor. Bu nedenle yöneticilerin uygulamaya veya uygulama adına işlem yapan kullanıcıya gerekli Exchange rollerinin atandığını ayrıca doğrulaması gerekiyor.
OAuth izinleri, bir uygulamanın erişim belirteci (access token) alıp alamayacağını belirliyor. Exchange Online RBAC ise uygulamanın hangi yönetim işlemlerini gerçekleştirebileceğini, hangi API uç noktalarına erişebileceğini ve hangi nesneler üzerinde işlem yapabileceğini kontrol ediyor. Uygulama geçerli bir erişim belirtecine sahip olsa bile gerekli RBAC yetkileri tanımlanmamışsa sunucu 403 Forbidden hatası döndürebiliyor.
Microsoft, yöneticilerin eski izinleri kaldırmadan önce yeni yetkilerle çalışan API iş akışlarını test etmesini tavsiye ediyor. Kuruluşların ayrıca eski izin adlarını içeren betikleri, yapılandırma dosyalarını ve yönetici onay süreçlerini güncellemesi gerekiyor. Üçüncü taraf yazılımlara bağımlı olan işletmelerin ise ilgili sağlayıcılarla iletişime geçerek uygulama güncellemesi gerekip gerekmediğini doğrulaması önem taşıyor.
Geçişe ilişkin ayrıntılı yönergeler, Microsoft 365 Yönetim Merkezi üzerinden MC1540345 bildiriminde yer alıyor. Yöneticiler, ilgili uygulamaların izinlerini ve rol atamalarını bu takvime göre kontrol ederek eski yetkilerin kaldırılmasının ardından yaşanabilecek erişim sorunlarını önleyebilir.
