Password123 Parolalara Son: Microsoft Entra Password Protection ile Active Directory Güvenliğini Güçlendirin
Active Directory ortamlarında parola politikaları uzun yıllardır güvenliğin temel yapı taşlarından biri olarak kullanılmaktadır. Ancak günümüzde yalnızca minimum karakter uzunluğu veya karmaşıklık kuralları artık yeterli koruma sağlamamaktadır. Özellikle “Password123”, “Asd1234*!” gibi tahmin edilebilir parolalar; password spray, brute-force ve credential stuffing saldırılarında hâlâ en sık kullanılan zafiyetlerden biri olmaya devam etmektedir.
Microsoft, bu riskleri azaltmak amacıyla bulut tarafında uzun süredir kullanılan akıllı parola koruma mekanizmasını artık on-premises Active Directory ortamlarına da taşımaktadır. Microsoft Entra Password Protection for on-premises Active Directory çözümü sayesinde organizasyonlar; zayıf, tahmin edilebilir veya şirkete özel riskli parolaları merkezi olarak engelleyebilmekte ve hibrit yapılarda modern parola güvenliği sağlayabilmektedir.
Gereksinimler
Microsoft Entra Password Protection çözümünü on-premises Active Directory ortamında kullanabilmek için bazı ön gereksinimlerin sağlanması gerekmektedir. Kurulum öncesinde özellikle Active Directory yapısı, işletim sistemi sürümleri, ağ erişimleri ve yetkilendirme gereksinimleri dikkatlice kontrol edilmelidir.
Active Directory Gereksinimleri
Aşağıdaki Active Directory gereksinimleri desteklenmektedir:
- Windows Server 2012 R2 veya üzeri Domain Controller
- Forest ve domain yapısının desteklenen seviyede olması
- SYSVOL replikasyonu için DFSR kullanılması
- RODC (Read-Only Domain Controller) desteklenmez
- Tüm Domain Controller’larda .NET Framework 4.7.2 veya üzeri bulunması gerekir
Önemli bir gereksinim olarak ortamda hâlâ FRS (File Replication Service) kullanılıyorsa, Microsoft Entra Password Protection kurulumu öncesinde DFSR migration işleminin tamamlanması gerekmektedir.
Microsoft Entra ID Gereksinimleri
Kurulum ve kayıt işlemleri için aşağıdaki rollerden biri gereklidir:
- Global Administrator
- Security Administrator
Forest registration işlemleri sırasında ayrıca:
- On-premises Enterprise Admin
yetkisi de gerekmektedir.
Lisans Gereksinimleri
On-premises Active Directory kullanıcıları için aşağıdaki lisanslardan biri gereklidir:
- Microsoft Entra ID P1
- Microsoft Entra ID P2
Özellikle synchronized kullanıcılar için Free lisans yeterli değildir.
Proxy Service Gereksinimleri
Microsoft Entra Password Protection Proxy Service için:
- Windows Server 2012 R2 veya üzeri
- .NET Framework 4.7.2 veya üzeri
- Member Server önerilir
- Domain Controller üzerine kurulması önerilmez
- TLS 1.2 outbound erişimi açık olmalıdır
- İnternet erişimi gereklidir
Ayrıca aşağıdaki adreslere HTTPS 443 erişimi sağlanmalıdır:
https://login.microsoftonline.com
https://enterpriseregistration.windows.net
https://autoupdate.msappproxy.netMicrosoft, yüksek erişilebilirlik için forest başına en az iki proxy server kullanılmasını önermektedir.
DC Agent Gereksinimleri
DC Agent kurulumu için:
- Tüm writable Domain Controller’lara kurulum yapılmalıdır
- RODC desteklenmez
- .NET Framework 4.7.2 veya üzeri gereklidir
- Kurulum sonrası Domain Controller restart edilmelidir
DC Agent otomatik update almaz. Yeni sürümlerde manuel upgrade yapılması gerekir.
Network ve Connectivity Gereksinimleri
Proxy server aşağıdaki servislere erişebilmelidir:
Test-NetConnection login.microsoftonline.com -Port 443Test-NetConnection enterpriseregistration.windows.net -Port 443Kurulum sonrasında health check testlerinin başarılı dönmesi gerekir:
Test-AzureADPasswordProtectionProxyHealth -TestAllTest-AzureADPasswordProtectionDCAgentHealth -TestAllTüm kontrollerin Passed durumda olması beklenir.
İşlem Adımları
- Microsoft Entra Connect Kurulumu
- Microsoft Entra Portal Password Protection Ayarları
- Microsoft Entra Password Protection Proxy Service Kurulumu
- Proxy Registration İşlemi
- Forest Registration İşlemi
- Proxy Health Check Kontrolleri
- Microsoft Entra Password Protection DC Agent Kurulumu
- Domain Controller Restart İşlemleri
- DC Agent Health Check Kontrolleri
- Yasaklı Parola Listesi Yapılandırması
- Yasaklı Parola Testleri
- DC Agent Service Restart İşlemleri
- Son Health Check ve Validasyon Testleri
Microsoft Entra Connect Kurulumu
Microsoft Entra Connect kurulum sihirbazı çalıştırılır ve lisans sözleşmesi kabul edilerek devam edilir.
“Customize” seçeneği seçilerek özel kurulum başlatılır.
“Password Hash Synchronization” yöntemi seçilerek devam edilir.
Microsoft Entra ID Global Administrator hesabı ile oturum açılır.
Connect your directories” ekranında Active Directory forest bilgisi seçilir ve “Add Directory” butonu ile eklenir.
Açılan ekranda Enterprise Admin veya yetkili servis hesabı bilgileri girilerek Active Directory bağlantısı tamamlanır.
Not: “AD DS Bağlayıcısı hesabı olarak artık Kurumsal Yönetici hesabı veya Etki Alanı Yöneticisi hesabı kullanamazsınız. Mevcut hesabı kullanmak için Kuruluş Yöneticisi veya Etki Alanı Yöneticisi olan bir hesap girmeye çalışırsanız sihirbaz bir hata iletisi görüntüler ve devam edemezseniz. Bu neden yeni bir kullanıcı hesabı oluşturmanız gerekiyor.
Detaylı bilgi : https://learn.microsoft.com/tr-tr/entra/identity/hybrid/connect/how-to-connect-install-custom
Forest başarıyla eklendikten sonra “Next” ile devam edilir.
Microsoft Entra sign-in configuration” ekranında UPN suffix kontrol edilir ve kullanıcı giriş yöntemi doğrulanır.
Gerekli OU filtreleme işlemleri yapılır.
Password Hash Synchronization ve Password Writeback özellikleri aktif edilir.
Kurulum tamamlandıktan sonra “Configuration complete” ekranı doğrulanır.
Microsoft Entra Portal Password Protection Ayarları
Microsoft Entra Portal üzerinde:
- Authentication Methods
- Password Protection
ayarları yapılandırılır.
Microsoft Entra Password Protection Proxy Service Kurulumu
Microsoft Entra Password Protection Proxy Service Ön Gereksinimleri
Windows Server 2012 R2 veya üzeri gereklidir.
.NET Framework 4.7.2 veya üzeri kurulu olmalıdır.
RODC (Read-Only Domain Controller) üzerine kurulmamalıdır.
Outbound TLS 1.2 HTTP trafiğine izin verilmelidir.
Microsoft Entra Password Protection Proxy Service’in tenant üzerinde ilk kaydı için Global Administrator hesabı gereklidir.
Aşağıdaki endpoint’lere ağ erişimi olmalıdır:
https://login.microsoftonline.com
https://enterpriseregistration.windows.net
https://autoupdate.msappproxy.net
İlk olarak buradan “Azure AD Password Protection Proxy Bundle” msi dosyasını indirin.
https://www.microsoft.com/en-us/download/details.aspx?id=57071
Azure AD Password Protection Proxy Bundle kurulumu başlatılır. Powershell ile başlatın.
Kurulum tamamlandıktan sonra PowerShell üzerinden aşağıdaki komut ile modül import edilir:
Import-Module AzureADPasswordProtection
Ardından Proxy Service tenant üzerine register edilir:
Register-AzureADPasswordProtectionProxy -AccountUpn "[email protected]"
Registration işlemi tamamlandıktan sonra sağlık kontrolü gerçekleştirilir:
Test-AzureADPasswordProtectionProxyHealth -TestAll
Microsoft Entra Password Protection DC Agent Kurulumu
Windows Server 2012 R2 veya üzeri gereklidir.
.NET Framework 4.7.2 veya üzeri kurulu olmalıdır.
RODC (Read-Only Domain Controller) üzerine kurulmamalıdır.
SYSVOL replication için Distributed File System Replication (DFSR) kullanılmalıdır.
Eğer domain ortamında hâlâ FRS (File Replication Service) kullanılıyorsa, Microsoft Entra Password Protection kurulumu öncesinde DFSR’a migration yapılmalıdır.
İlk olarak buradan “Azure AD Password Protection Proxy Bundle” msi dosyasını indirin.
https://www.microsoft.com/en-us/download/details.aspx?id=57071
Azure AD Password Protection DC Agent kurulumu başlatılır. Powershell ile başlatmanız gerekiyor.
Not: DC Agent kurulumundan sonra Domain Controller restart önerilir.
- Kurulum tamamlandıktan sonra aşağıdaki komut ile sağlık kontrolü gerçekleştirilir:
Test-AzureADPasswordProtectionDCAgentHealth -TestAll. Bu adımda sorun yaşıyorsanız aşağıdaki komut ile yeniden register yapmanız gerekiyor.
Forest registration işlemi aşağıdaki komut ile gerçekleştirilir:
Register-AzureADPasswordProtectionForest -AccountUpn "[email protected]". Bu komut proxy sunucuda çalıştırılmalı.
Register-AzureADPasswordProtectionForest -AccountUpn "[email protected]"Tekrar kontrol ediyoruz ve tümü passed olarak geçiyor.
Enforce Mode Geçişi
Microsoft Entra Portal üzerinden:
- Protection
- Authentication Methods
- Password Protection
menüsüne gidilir.
“Custom Smart Lockout” ayarları yapılandırılır:
- Lockout threshold değeri belirlenir.
- Lockout duration in seconds değeri belirlenir.
“Custom banned passwords” alanında:
- Enforce custom list seçeneği “Yes” yapılır.
- Yasaklanacak parolalar listeye eklenir.
“Password protection for Windows Server Active Directory” bölümü aktif edilir:
- Enable password protection on Windows Server Active Directory > Yes
Mode ayarı yapılandırılır:
Enforced > Parola politikası aktif olarak uygulanır
Ayarlar kaydedilerek yapılandırma tamamlanır.
Active Directory Users and Computers üzerinden test kullanıcı hesabı seçilir. Kullanıcı parolası, custom banned password listesinde bulunan bir parola ile değiştirilmeye çalışılır. Microsoft Entra Password Protection politikası devreye girdiğinde parola değişikliği engellenir. Kullanıcı aşağıdaki hata mesajını alır:
The password does not meet the password policy requirements.
Bu işlem ile Microsoft Entra Password Protection yapısının başarılı şekilde çalıştığı doğrulanmış olur.
Microsoft Entra Password Protection yapısı ile birlikte hem cloud hem de on-premises Active Directory ortamlarında zayıf, tahmin edilebilir ve kurumsal güvenlik standartlarına uygun olmayan parolaların kullanılmasının önüne geçilebilmektedir. Proxy Service ve DC Agent bileşenlerinin başarılı şekilde kurulmasıyla birlikte parola politikaları merkezi olarak yönetilebilir hale gelirken, kullanıcıların yasaklı parola listelerinde bulunan şifreleri kullanması engellenebilmektedir. Özellikle hybrid identity mimarilerinde ek güvenlik katmanı sağlayan bu yapı, parola saldırılarına karşı önemli bir koruma sunmakta ve kurumların parola güvenliği seviyesini ciddi ölçüde artırmaktadır.
Eline sağlık.