Entra ID PIM — Just-In-Time Admin Access Rehberi (2026)

"Şirketimizde 5 kişi Global Admin" — bu cümle her CISO\'nun korkusudur. Sürekli aktif yönetici hesabı saldırganın en arzulanan hedefidir. Microsoft Entra ID Privileged Identity Management (PIM) ile yöneticiler varsayılan olarak sıradan kullanıcı, sadece ihtiyaç anında onay ile 1-8 saat aktif olurlar. Bu yazıda PIM kurulumu ve KOBİ\'ler için pratik kullanımı.

Sürekli vs Eligible Yönetici

PIM Kurulum — Adım Adım

Adım 1: PIM Aktivasyonu

1. entra.microsoft.com → Identity governance → Privileged Identity Management.
2. İlk açışta PIM kendini etkinleştirir (5-10 dk).
3. Microsoft Entra roles → Roles sekmesi.

Adım 2: Mevcut Yöneticileri Eligible'a Çevir

Önce mevcut sürekli Global Admin'leri PIM'e taşı:

1. Roles → Global Administrator.
2. Active assignments listesini gör (örn 5 kişi).
3. Her birini tek tek seç → Remove.
4. Add assignments → kullanıcıyı seç → Eligible tipi seç.
5. Atama süresi: "Permanently eligible" (sürekli yetki için aday) veya "Eligible from X to Y" (zaman-sınırlı aday).

Adım 3: Role Settings

Her role için aktivasyon kuralları tanımla:

1. Roles → Global Administrator → Settings.
2. Activation maximum duration: 1-8 saat (varsayılan 8 — kısaltabilirsiniz).
3. On activation, require:
   • MFA: ✓ (her aktivasyonda)
   • Justification: ✓ (iş gerekçesi yaz)
   • Ticket information: ✓ (ITSM ticket no — varsa)
   • Approval to activate: ✓ (başka admin onaylasın — 4 göz prensibi)
4. Onaylayıcılar listesi: 1-3 yönetici. Onay 30 dk içinde gelmezse aktivasyon reddedilir.
5. Assignment maximum duration: Permanently eligible / 6 ay / 1 yıl. Düzenli review için 6 ay öneririz.
6. Save.

Kullanıcı Tarafında: PIM Aktivasyonu

Yönetici acil yetki ihtiyacı duyduğunda:

1. entra.microsoft.com → My roles.
2. Eligible roles listesini gör → istediği rolün yanındaki Activate.
3. MFA challenge → kabul.
4. Form: süre (1-8 saat), iş gerekçesi (örn "Ticket #1234 - kullanıcı şifre sıfırlama").
5. Submit → onay sürecini bekle (eğer aktif).
6. Onay gelirse rol aktif olur, süre dolana kadar kullanılabilir.

Access Review — Düzenli Denetim

Her 3 veya 6 ayda bir tüm Eligible yöneticilerin yetkilerini gözden geçir:

1. Identity governance → Access Reviews.
2. New access review → ad: "Q1-2026 Admin Review".
3. What to review: Members of a group → Eligible Global Admins.
4. Reviewers: "Members review themselves" veya "Manager" veya manuel listesi.
5. Schedule: Quarterly / 6 months.
6. Action when reviewer doesn\'t respond: Remove access (auto).
7. Start.

Her review sonunda kalmaması gerekenler otomatik kaldırılır.

Audit Log — PIM Aktiviteleri

PIM tarafından üretilen log'lar Audit Log'a girer:

• Eligibility added: kim, ne zaman, hangi role aday olarak eklendi
• Role activation requested: kim aktivasyon talep etti
• Role activation approved/denied: kim onayladı/reddetti
• Role activated: rol aktive oldu
• Role deactivated: rol bitti (otomatik veya manuel)

Bu logları SIEM\'inize akıtın (Sentinel, Splunk) → AI tabanlı anomali tespiti.

Sık Karşılaşılan Sorunlar

Sorun 1: "Activation pending approval" 30 dk geçse de bekliyor

Onaylayıcı(lar) yok veya yanıt vermiyor. Çözüm: yedek onaylayıcı (backup approver) tanımla; otomatik timeout sonra denial yerine "another approver"\'a transfer ayarla.

Sorun 2: "I need urgent access, no time for approval"

Acil durumlar için "Self-activation" — onaysız aktivasyon ama detaylı justification + alert tetiklenir. Senior yönetici hemen bilgilendirilir, log incelenir. Onay süreci kullanılır ama post-facto.

Sorun 3: PIM aktivasyon SMS doğrulama gelmiyor

PIM MFA için Microsoft Authenticator önerilir (SMS değil). SMS güvenilmez (SIM swap attack), authenticator uygulamasını kullan.

Maliyet — KOBİ İçin

PIM için:

• Sadece adminler P2: 3-5 Global Admin için Entra ID P2 standalone $9/ay × 5 = $45/ay
• Tüm kullanıcılar E5\'e geçiş: Pahalı KOBİ\'ye fazla — sadece admin için yeter
• Yatırım geri dönüşü: Tek bir admin hesabı sızıntısı engellendiğinde KVKK ihlal cezası + ransomware kurtarma maliyeti milyonları bulur — PIM yıllık ~$540 ile sigortadır

İlgili Rehberler

• Conditional Access 10 Hazır Policy
• Hybrid Entra ID Join
• M365 Admin Center 12 Sık İşlem