Microsoft Entra ID: Kullanıcı ve Grup Oluşturma

Azure serisinde dördüncü güne geldik ve artık işin kalbine giriyoruz: kimlik. Önceki üç günde aboneliği, kaynak gruplarını, etiketleri ve kilitleri kurcaladık; bunların hepsi neyi yönettiğimizle ilgiliydi. Bugün kimin yönettiğini konuşuyoruz. Bir sistem mühendisi olarak yıllardır Active Directory ile çalıştım; Entra ID’yi de aynı gözle, “erişimi kim, nasıl, ne kadar alıyor?” sorusuyla inceledim. Bu yazıda Microsoft Entra ID’de kullanıcı ve grup oluşturmayı portal, Azure CLI ve PowerShell ile adım adım anlatıyorum. Değerlendirme, Microsoft’un resmî dokümantasyonuna (learn.microsoft.com) dayanıyor; komutları çalışabilirlik açısından tek tek kontrol ettim.

Microsoft Entra ID nedir, Azure AD’den farkı ne?

Microsoft Entra ID, Azure’ın bulut tabanlı kimlik ve erişim yönetimi hizmetidir. Daha önce Azure Active Directory (Azure AD) adıyla tanıdığımız hizmet, 2023’te Entra ID olarak yeniden adlandırıldı; teknoloji aynı, isim değişti. Şirket içi Active Directory’nin aksine Entra ID bir alan denetleyicisi (domain controller) değildir; LDAP ve Kerberos yerine OAuth 2.0, OpenID Connect ve SAML gibi modern protokollerle çalışır. Her Azure aboneliği bir Entra ID tenant‘ına güvenir ve tüm kimlik doğrulama bu dizin üzerinden yürür. Yani bir kullanıcıya VM’e, depolama hesabına ya da portala erişim vereceksen, önce o kullanıcının burada bir kimliği olması gerekir.

Kullanıcı türleri: Member mı, Guest mi?

Entra ID’de kullanıcı oluştururken en kritik karar kullanıcı türüdür. İki temel seçenek var:

• Member (Üye): Kuruluşunun kendi çalışanı. Tenant’a tam üye olarak katılır, varsayılan izinlere sahip olur. Günlük işe aldığın mühendisler, operatörler bu gruba girer.
• Guest (Konuk): Dışarıdan davet edilen, farklı bir kimlikle (başka bir kuruluş ya da Microsoft hesabı) kimlik doğrulayan kullanıcı. Konuk ayrıcalıkları kısıtlıdır. Bir danışman ya da tedarikçiyle tek bir kaynağı paylaşacaksan Guest doğru tercihtir.

Benim iş yüküme göre pratik kural şu: kalıcı ve kuruma ait kimlikler Member, geçici ve dışarıdan gelen herkes Guest olmalı. Konuk hesapları düzenli gözden geçirip gereksiz olanları temizlemek de güvenliğin bir parçası.

Portaldan kullanıcı oluşturma

Resmî ve en görsel yol Microsoft Entra yönetim merkezidir. Bu işlem için hesabının en az User Administrator (Kullanıcı Yöneticisi) rolüne sahip olması gerekir.

1. entra.microsoft.com adresine User Administrator yetkisiyle giriş yap.
2. Sol menüden Entra ID → Users (Kullanıcılar) bölümüne git.
3. New user → Create new user seçeneğine bas.
4. Basics sekmesinde User principal name (UPN), Display name ve parolayı gir. UPN mutlaka tenant’ın doğrulanmış bir alan adını içermeli (ör. [email protected]). Parolayı kendin belirleyecek isen “Auto-generate password” kutusunun işaretini kaldır.
5. Properties sekmesinde Identity bölümünden User type alanını Member veya Guest olarak ayarla.
6. Assignments sekmesinde (isteğe bağlı) kullanıcıyı gruplara ve rollere ekleyebilirsin.
7. Review + create → Create ile tamamla.

Hesabı yanlışlıkla silersen panik yok: silinen kullanıcılar Deleted users alanında 30 gün boyunca durur ve geri alınabilir.

Aynı işi Azure CLI ile yapmak

Portal keşif için harika, ama aynı kullanıcıyı onlarca kez oluşturacaksan komut satırı şart. Azure CLI’de kullanıcı oluşturmanın üç zorunlu parametresi var: --display-name, --user-principal-name ve --password.

az ad user create \
  --display-name "Ayşe Kaya" \
  --user-principal-name "[email protected]" \
  --password "Gizli-Parola-123!" \
  --force-change-password-next-sign-in true

Buradaki --force-change-password-next-sign-in true parametresi, kullanıcıyı ilk oturum açışında parolasını değiştirmeye zorlar. Zorunlu değil ama ilk günden doğru bir alışkanlık; sen belirlediğin geçici parola kimsede kalmasın.

Grup türleri: Security mi, Microsoft 365 mi?

Kullanıcıları tek tek yetkilendirmek hem yorucu hem de hatalı. Doğru yaklaşım: rolü gruba ver, kullanıcıyı gruba ekle. Entra ID’de iki grup türü var:

• Güvenlik (Security) grubu: Erişim yönetimi ve RBAC için. Sunucu, depolama, kaynak izinlerini bu gruplar üzerinden dağıtırsın. Sistem mühendisinin ekmek-su grubudur.
• Microsoft 365 grubu: Paylaşılan posta kutusu, Teams, SharePoint gibi işbirliği senaryoları için. Altyapı erişimi için değil.

Altyapı tarafında neredeyse her zaman Güvenlik grubu kullanırsın.

Üyelik türü ve lisans kapısı

Grup oluştururken ikinci önemli karar üyelik türüdür:

• Atanmış (Assigned): Üyeleri elle eklersin. Küçük, sabit ekipler için idealdir ve ücretsiz katmanda dahil her lisansta çalışır.
• Dinamik (Dynamic): Üyelik bir kurala göre otomatik dolar (ör. departmanı “BT” olan herkes). Kullanıcının bir özelliği değiştiğinde grup da güncellenir. Ölçekli ortamlarda altın değerindedir.

Ama burada bir kapı var ve kontrol ettim: dinamik üyelik için kuruluşta en az bir Microsoft Entra ID P1 (veya P2) lisansı gerekir. Resmî doküman bunu net söylüyor — üyelerin tek tek lisanslanması şart değil, ama yöneten taraf için minimum bir P1 lisansı olmalı. Ücretsiz katmanda yalnızca atanmış üyelik kullanabilirsin. Bu, eğitim ortamında dinamik grupları deneyemeyeceğin anlamına gelebilir; o yüzden bugünkü pratiğimiz atanmış üyelik üzerinden.

Grup oluştur ve üye ekle (Azure CLI)

Azure CLI’de grup oluşturmanın zorunlu iki parametresi var: --display-name ve --mail-nickname. CLI varsayılan olarak güvenlik grubu oluşturur.

# 1) Güvenlik grubu oluştur
az ad group create \
  --display-name "Sunucu-Operatorleri" \
  --mail-nickname "sunucu-ops"

# 2) Kullanıcının NESNE KİMLİĞİNİ (object id) al
uid=$(az ad user show --id "[email protected]" --query id -o tsv)

# 3) Üyeyi gruba ekle — dikkat: --member-id nesne kimliği ister, UPN değil
az ad group member add \
  --group "Sunucu-Operatorleri" \
  --member-id "$uid"

# 4) Doğrula
az ad group member check --group "Sunucu-Operatorleri" --member-id "$uid"
az ad group member list --group "Sunucu-Operatorleri" -o table

Buradaki en yaygın hata, --member-id alanına kullanıcının e-postasını (UPN) yazmaktır. Bu alan nesne kimliği (object id) ister; o yüzden önce az ad user show ... --query id ile kimliği çekip değişkene alıyoruz.

PowerShell tarafı: Microsoft Graph

Bir not düşmem lazım, çünkü bu çok takılıyor: eski AzureAD ve MSOnline PowerShell modülleri artık emekliye ayrıldı. Bugün Entra ID’yi PowerShell’den yönetmenin doğru yolu Microsoft Graph PowerShell SDK‘dır.

Connect-MgGraph -Scopes "User.ReadWrite.All","Group.ReadWrite.All"

# Kullanıcı oluştur
$parola = @{ Password = "Gizli-Parola-123!"; ForceChangePasswordNextSignIn = $true }
$kullanici = New-MgUser -DisplayName "Ayşe Kaya" `
  -UserPrincipalName "[email protected]" `
  -MailNickname "ayse.kaya" -AccountEnabled `
  -PasswordProfile $parola

# Güvenlik grubu oluştur
$grup = New-MgGroup -DisplayName "Sunucu-Operatorleri" -MailNickname "sunucu-ops" `
  -SecurityEnabled -MailEnabled:$false -GroupTypes @()

# Üyeyi ekle
New-MgGroupMember -GroupId $grup.Id -DirectoryObjectId $kullanici.Id

Graph SDK nesne tabanlı çalıştığı için $kullanici.Id gibi çıktıları doğrudan değişkende tutup zincirleyebiliyorsun; betik yazarken bu çok rahat.

Güvenlik ve maliyet notu

• En az ayrıcalık: Rolleri kullanıcılara tek tek değil, gruplara ver. Personel değişiminde tek yerden yönetirsin, yetki sızıntısını önlersin.
• İlk oturumda parola değişimi: CLI’de --force-change-password-next-sign-in true, PowerShell’de ForceChangePasswordNextSignIn = $true ile zorla.
• Konuk denetimi: Guest hesaplarını düzenli gözden geçir; işi biten dış kullanıcıyı sil.
• Maliyet: Kullanıcı, grup ve atanmış üyelik Entra ID’nin ücretsiz katmanında gelir. Ek ücret, yalnızca dinamik üyelik, Koşullu Erişim veya PIM gibi özellikler için gereken P1/P2 lisansında (kullanıcı başına aylık) doğar. Eğitim ortamında bu özellikleri açmıyorsan ekstra ücret çıkmaz.
• Temizlik: Denediğin test kullanıcı ve gruplarını gün sonunda sil; silinen kullanıcı 30 gün kurtarılabilir durumda kalır.

Mini ödev

Azure CLI ile test.kullanici1 ve test.kullanici2 adında iki kullanıcı oluştur (kendi doğrulanmış alan adınla). Test-Operatorleri adında bir güvenlik grubu aç, her iki kullanıcıyı da --member-id ile ekle, sonra az ad group member list ile üyeleri doğrula. Son olarak grubu ve iki kullanıcıyı da sil. Bonus: Portalda aynı grubu oluşturmayı dene ve “Membership type” alanında Dinamik seçeneğinin lisansın olmadan neden gri/kapalı geldiğini not et.

Günün değerlendirmesi

Bugünün özü tek cümlede: kimlik, Azure güvenliğinin ilk katmanıdır ve yönetilebilir erişim gruplardan geçer. Kullanıcıyı Member/Guest doğru seçmek, erişimi tek tek kullanıcıya değil güvenlik grubuna bağlamak ve ilk oturumda parola değişimini zorlamak — bunlar ücretsiz katmanda bile yapabileceğin, ama çoğu kişinin atladığı doğru alışkanlıklar. Dinamik üyelik güçlü bir araç; ancak lisans kapısını unutma. Bir sonraki Azure gününde bu grupların üstüne RBAC — roller ve rol atamalarını koyacağız; yani bugün oluşturduğun gruplara gerçek yetkiyi orada bağlayacağız.

Microsoft Entra ID ile Azure AD aynı şey mi?

Evet. Azure Active Directory, 2023’te Microsoft Entra ID olarak yeniden adlandırıldı. Hizmet ve yetenekler aynı; yalnızca marka adı değişti.

Dinamik grup üyeliği için lisans şart mı?

Evet. Dinamik üyelik için kuruluşta en az bir Microsoft Entra ID P1 (veya P2) lisansı bulunması gerekir. Ücretsiz katmanda yalnızca atanmış (elle) üyelik kullanılabilir.

Member ve Guest kullanıcı arasındaki fark nedir?

Member, kuruluşun kendi kimliğiyle tam üye olan kullanıcıdır. Guest ise dışarıdan davet edilen, farklı bir kimlikle doğrulayan ve kısıtlı ayrıcalıklara sahip konuk kullanıcıdır.

Sildiğim bir kullanıcıyı geri alabilir miyim?

Evet, silinen kullanıcılar “Deleted users” alanında 30 gün boyunca saklanır ve bu süre içinde geri yüklenebilir. 30 gün sonra kalıcı olarak silinir.

AzureAD PowerShell modülünü hâlâ kullanabilir miyim?

Hayır, önerilmez. Eski AzureAD ve MSOnline modülleri emekliye ayrıldı. Yeni betiklerini Microsoft Graph PowerShell SDK (Connect-MgGraph, New-MgUser, New-MgGroup) ile yazmalısın.