Microsoft Entra Id'de varsayılan kullanıcı izinleri nelerdir?

Microsoft Entra Id'de tüm kullanıcılara bir dizi varsayılan izin verilir. Kullanıcının erişimi, kullanıcı türünden, rol atamalarından ve nesnelerin sahipliklerinden oluşur.

Bu makalede bu varsayılan izinler açıklanır ve üye ve konuk kullanıcı varsayılanları karşılaştırılmaktadır. Varsayılan kullanıcı izinleri yalnızca Microsoft Entra Id'deki kullanıcı ayarlarında değiştirilebilir.

Üyeler ve konuk kullanıcılar

Varsayılan izinler kümesi, kullanıcının kiracının yerel bir üyesi (üye kullanıcı) olup olmadığına veya kullanıcının başka bir dizinden işletmeler arası (B2B) işbirliği konuğu (konuk kullanıcı) olarak getirilip getirilmediğine bağlıdır. Konuk kullanıcı ekleme hakkında daha fazla bilgi için bkz . Microsoft Entra B2B işbirliği nedir?. Varsayılan izinlerin özellikleri şunlardır:

• Üye kullanıcılar uygulamaları kaydedebilir, kendi profil fotoğrafını ve cep telefonu numarasını yönetebilir, kendi parolalarını değiştirebilir ve B2B konuklarını davet edebilir. Bu kullanıcılar tüm dizin bilgilerini de okuyabilir (birkaç özel durum dışında).

• Konuk kullanıcıların dizin izinleri kısıtlanmıştır. Kendi profillerini yönetebilir, kendi parolalarını değiştirebilir ve diğer kullanıcılar, gruplar ve uygulamalar hakkında bazı bilgiler alabilirler. Ancak, tüm dizin bilgilerini okuyamaz.

  Örneğin, konuk kullanıcılar tüm kullanıcıların, grupların ve diğer dizin nesnelerinin listesini numaralandıramaz. Konuklar yönetici rollerine eklenebilir ve bu roller onlara tam okuma ve yazma izinleri verir. Konuklar diğer konukları da davet edebilir.

Üye ve konuk varsayılan izinlerini karşılaştırma

Alan	Üye kullanıcı izinleri	Varsayılan konuk kullanıcı izinleri	Kısıtlı konuk kullanıcı izinleri
Kullanıcılar ve ilgili kişiler	Tüm kullanıcıların ve kişilerin listesini listeleme Kullanıcıların ve kişilerin tüm genel özelliklerini okuma Konuk davet etme Kendi parolalarını değiştirme Kendi cep telefonu numarasını yönetme Kendi fotoğrafını yönetme Kendi yenileme belirteçlerini geçersiz kılma	Kendi özelliklerini okuma Diğer kullanıcıların ve kişilerin görünen ad, e-posta, oturum açma adı, fotoğraf, kullanıcı asıl adı ve kullanıcı türü özelliklerini okuma Kendi parolalarını değiştirme Nesne kimliğine göre başka bir kullanıcı arama (izin veriliyorsa) Diğer kullanıcıların yönetici ve doğrudan rapor bilgilerini okuma	Kendi özelliklerini okuma Kendi parolalarını değiştirme Kendi cep telefonu numarasını yönetme
Gruplar	Güvenlik grubu oluşturma Microsoft 365 grupları oluşturma Tüm grupların listesini listeleme Grupların tüm özelliklerini okuma Gizli olmayan grup üyeliklerini okuma Katılmış gruplar için gizli Microsoft 365 grup üyeliklerini okuma Kullanıcının sahip olduğu grupların özelliklerini, sahipliğini ve üyeliğini yönetme Sahip olunan gruplara konuk ekleme Dinamik üyelik ayarlarını yönetme Sahip olunan grupları silme Sahip olunan Microsoft 365 gruplarını geri yükleme	Üyelik ve sahiplik de dahil olmak üzere gizli olmayan grupların özelliklerini okuma (katılmamış gruplar bile) Katılmış gruplar için gizli Microsoft 365 grup üyeliklerini okuma Görünen ada veya nesne kimliğine göre grupları arama (izin veriliyorsa)	Katılmış gruplar için nesne kimliğini okuma Bazı Microsoft 365 uygulamalarında katılmış grupların üyeliğini ve sahipliğini okuma (izin veriliyorsa)
Uygulamalar	Yeni uygulamaları kaydetme (oluşturma) Tüm uygulamaların listesini listeleme Kayıtlı ve kurumsal uygulamaların özelliklerini okuma Sahip olunan uygulamaların uygulama özelliklerini, atamalarını ve kimlik bilgilerini yönetme Kullanıcılar için uygulama parolaları oluşturma veya silme Sahip olunan uygulamaları silme Sahip olunan uygulamaları geri yükleme Uygulamalara verilen izinleri listeleme	Kayıtlı ve kurumsal uygulamaların özelliklerini okuma Uygulamalara verilen izinleri listeleme	Kayıtlı ve kurumsal uygulamaların özelliklerini okuma Uygulamalara verilen izinleri listeleme
Cihazlar	Tüm cihazların listesini listeleme Cihazların tüm özelliklerini okuma Sahip olunan cihazların tüm özelliklerini yönetme	İzin yok	İzin yok
Kuruluş	Tüm şirket bilgilerini okuma Tüm etki alanlarını okuma Sertifika tabanlı kimlik doğrulamasının okuma yapılandırması Tüm iş ortağı sözleşmelerini okuma Çok kiracılı kuruluş temel ayrıntılarını ve etkin kiracıları okuma	Şirket görünen adını okuma Tüm etki alanlarını okuma Sertifika tabanlı kimlik doğrulamasının okuma yapılandırması	Şirket görünen adını okuma Tüm etki alanlarını okuma
Roller ve kapsamlar	Tüm yönetim rollerini ve üyelikleri okuma Tüm yönetim birimlerinin özelliklerini ve üyeliklerini okuma	İzin yok	İzin yok
Abonelikler	Tüm lisans aboneliklerini okuma Hizmet planı üyeliklerini etkinleştirme	İzin yok	İzin yok
İlkeler	İlkelerin tüm özelliklerini okuma Sahip olunan ilkelerin tüm özelliklerini yönetme	İzin yok	İzin yok

Üye kullanıcıların varsayılan izinlerini kısıtlama

Kullanıcıların varsayılan izinlerine kısıtlamalar eklemek mümkündür.

Üye kullanıcılar için varsayılan izinleri aşağıdaki şekillerde kısıtlayabilirsiniz:

Dikkat

Microsoft Entra yönetim portalına erişimi kısıtla anahtarının kullanılması bir güvenlik önlemi DEĞİlDİR. İşlev hakkında daha fazla bilgi için aşağıdaki tabloya bakın.

İzin	Ayar açıklaması
Uygulamaları kaydetme	Bu seçeneğin Hayır olarak ayarlanması, kullanıcıların uygulama kayıtları oluşturmasını engeller. Daha sonra belirli kişilere uygulama geliştirici rolüne ekleyerek bu özelliği geri vekleyebilirsiniz.
Kullanıcıların LinkedIn ile iş veya okul hesabını bağlamasına izin ver	Bu seçeneğin Hayır olarak ayarlanması, kullanıcıların iş veya okul hesabını LinkedIn hesaplarına bağlamasını engeller. Daha fazla bilgi için bkz . LinkedIn hesabı bağlantıları veri paylaşımı ve onayı.
Güvenlik grupları oluşturma	Bu seçeneğin Hayır olarak ayarlanması, kullanıcıların güvenlik grupları oluşturmasını engeller. Genel Yönetici strators ve User Yönetici istrators yine de güvenlik grupları oluşturabilir. Nasıl yapılacağını öğrenmek için bkz . Grup ayarlarını yapılandırmak için Microsoft Entra cmdlet'leri.
Microsoft 365 grupları oluşturma	Bu seçeneğin Hayır olarak ayarlanması, kullanıcıların Microsoft 365 grupları oluşturmasını engeller. Bu seçeneğin Bazıları olarak ayarlanması, bir kullanıcı kümesinin Microsoft 365 grupları oluşturmasına olanak tanır. Global Yönetici istrators ve User Yönetici istrators yine de Microsoft 365 grupları oluşturabilir. Nasıl yapılacağını öğrenmek için bkz . Grup ayarlarını yapılandırmak için Microsoft Entra cmdlet'leri.
Microsoft Entra yönetim portalına erişimi kısıtlama	Bu anahtar ne yapar? Hayır , yönetici olmayanların Microsoft Entra yönetim portalına göz atmalarına izin verir. Evet Yönetici olmayanların Microsoft Entra yönetim portalına göz atmalarını kısıtlar. Grupların veya uygulamaların sahibi olan yönetici olmayanlar, sahip oldukları kaynakları yönetmek için Azure portalını kullanamaz. Ne işe yarmıyor? PowerShell, Microsoft GraphAPI veya Visual Studio gibi diğer istemcileri kullanarak Microsoft Entra verilerine erişimi kısıtlamaz. Kullanıcıya özel bir rol (veya herhangi bir rol) atandığı sürece erişimi kısıtlamaz. Bu anahtarı ne zaman kullanmalıyım? Kullanıcıların sahip oldukları kaynakları yanlış yapılandırmalarını önlemek için bu seçeneği kullanın. Bu anahtarı ne zaman kullanmamalıyım? Bu anahtarı güvenlik önlemi olarak kullanmayın. Bunun yerine, yönetici olmayanların Windows Azure Hizmet Yönetimi API'sine erişimini engelleyen Windows Azure Hizmet Yönetimi API'sini hedefleyen bir Koşullu Erişim ilkesi oluşturun. Yalnızca belirli yönetici olmayan kullanıcılara Microsoft Entra yönetim portalını kullanma izni Nasıl yaparım?? Bu seçeneği Evet olarak ayarlayın ve genel okuyucu gibi bir rol atayın. Microsoft Entra yönetim portalına erişimi kısıtlama Windows Azure Hizmet Yönetimi API'sini hedefleyen bir Koşullu Erişim ilkesi, tüm Azure yönetimine erişimi hedefler.
Yönetici olmayan kullanıcıların kiracı oluşturmalarını kısıtlama	Kullanıcılar, Microsoft Entra Id ve Microsoft Entra yönetim portalında Kiracıyı yönet altında kiracı oluşturabilir. Kiracı oluşturma işlemi Denetim günlüğüne DirectoryManagement kategorisi ve Şirket Oluştur etkinliği olarak kaydedilir. Kiracı oluşturan herkes, bu kiracının Genel Yönetici istratörü olur. Yeni oluşturulan kiracı hiçbir ayarı veya yapılandırmayı devralmıyor. Bu anahtar ne yapar? Bu seçeneğin Evet olarak ayarlanması, Microsoft Entra kiracılarının oluşturulmasını Genel Yönetici istrator veya kiracı oluşturucu rolleri ile kısıtlar. Bu seçeneğin Hayır olarak ayarlanması, yönetici olmayan kullanıcıların Microsoft Entra kiracıları oluşturmasına olanak tanır. Kiracı oluşturma işlemi Denetim günlüğüne kaydedilmeye devam eder. Nasıl yaparım? yalnızca belirli yönetici olmayan kullanıcılara yeni kiracılar oluşturma olanağı verir mi? Bu seçeneği Evet olarak ayarlayın ve kiracı oluşturucu rolünü atayın.
Kullanıcıların sahip oldukları cihazlar için BitLocker anahtarlarını kurtarmasını kısıtlama	Bu ayar, Cihaz Ayarlar Microsoft Entra yönetim merkezinde bulunabilir. Bu seçeneği Evet olarak ayarlamak, kullanıcıların sahip oldukları cihazlar için Self Servis Kurtarma BitLocker anahtarlarını kurtarabilmesini kısıtlar. Kullanıcıların BitLocker anahtarlarını almak için kuruluşlarının yardım masasına başvurmaları gerekir. Bu seçeneğin Hayır olarak ayarlanması, kullanıcıların BitLocker anahtarlarını kurtarmasına olanak tanır.
Diğer kullanıcıları okuma	Bu ayar yalnızca Microsoft Graph ve PowerShell'de kullanılabilir. Bu bayrağı, yönetici olmayan tüm kullanıcıların dizinden kullanıcı bilgilerini okumasını engelleyecek şekilde $false ayarlamak. Bu bayrak, Exchange Online gibi diğer Microsoft hizmetleri kullanıcı bilgilerinin okunmasını engellemez. Bu ayar özel durumlar içindir, bu nedenle bayrağı $falseolarak ayarlamanızı önermeyiz.

Yönetici olmayan kullanıcıların kiracı oluşturmasını kısıtla seçeneği aşağıda gösterilmiştir

Konuk kullanıcıların varsayılan izinlerini kısıtlama

Konuk kullanıcılar için varsayılan izinleri aşağıdaki yollarla kısıtlayabilirsiniz.

Not

Konuk kullanıcı erişim kısıtlamaları ayarı, Konuk kullanıcı izinlerinin yerini aldı ayarı sınırlıdır . Bu özelliği kullanma hakkında yönergeler için bkz . Microsoft Entra Id'de konuk erişimi izinlerini kısıtlama.

İzin	Ayar açıklaması
Konuk kullanıcı erişim kısıtlamaları	Bu seçeneği Konuk kullanıcılara ayarlamak , üyeler ile aynı erişime sahip olur ve tüm üye kullanıcılara varsayılan olarak konuk kullanıcılara izin verir. Bu seçeneği Konuk kullanıcı erişimi olarak ayarlamak, kendi dizin nesnelerinin özellikleri ve üyelikleriyle sınırlıdır, konuk erişimini varsayılan olarak yalnızca kendi kullanıcı profiliyle kısıtlar. Kullanıcı asıl adına, nesne kimliğine veya görünen ada göre arama yaparken bile diğer kullanıcılara erişime artık izin verilmiyor. Grup üyelikleri de dahil olmak üzere grup bilgilerine erişime de artık izin verilmiyor. Bu ayar, Microsoft Teams gibi bazı Microsoft 365 hizmetlerinde birleştirilmiş gruplara erişimi engellemez. Daha fazla bilgi edinmek için bkz . Microsoft Teams konuk erişimi. Konuk kullanıcılar, bu izin ayarından bağımsız olarak yönetici rollerine eklenebilir.
Konuklar davet edebilir	Bu seçeneğin Evet olarak ayarlanması, konukların diğer konukları davet etmesine olanak tanır. Daha fazla bilgi edinmek için bkz . Dış işbirliği ayarlarını yapılandırma.

Nesne sahipliği

Uygulama kaydı sahibi izinleri

Kullanıcı bir uygulamayı kaydettirdiğinde, uygulama sahibi olarak otomatik olarak eklenir. Sahip olarak, uygulamanın istediği ad ve izinler gibi uygulamanın meta verilerini yönetebilir. Bunlar, çoklu oturum açma (SSO) yapılandırması ve kullanıcı atamaları gibi uygulamanın kiracıya özgü yapılandırmasını da yönetebilir.

Sahipler başka kullanıcıları sahip olarak ekleyebilir veya kaldırabilir. Genel Yönetici istrator'lardan farklı olarak, sahipler yalnızca sahip oldukları uygulamaları yönetebilir.

Kurumsal uygulama sahibi izinleri

Kullanıcı yeni bir kurumsal uygulama eklediğinde otomatik olarak sahip olarak eklenir. Sahip olarak, SSO yapılandırması, sağlama ve kullanıcı atamaları gibi uygulamanın kiracıya özgü yapılandırmasını yönetebilir.

Sahipler başka kullanıcıları sahip olarak ekleyebilir veya kaldırabilir. Genel Yönetici istrator'lardan farklı olarak, sahipler yalnızca sahip oldukları uygulamaları yönetebilir.

Grup sahibi izinleri

Kullanıcı bir grup oluşturduğunda, bu grup için otomatik olarak sahip olarak eklenir. Sahip olarak, grubun özelliklerini (ad gibi) yönetebilir ve grup üyeliğini yönetebilir.

Sahipler başka kullanıcıları sahip olarak ekleyebilir veya kaldırabilir. Genel Yönetici istrator'ların ve Kullanıcı Yönetici istrator'ların aksine, sahipler yalnızca sahip oldukları grupları yönetebilir.

Grup sahibi atamak için bkz. Grup sahiplerini yönetme.

Sahiplik izinleri

Aşağıdaki tablolarda, Microsoft Entra Id'de üye kullanıcıların sahip olduğu nesneler üzerinde sahip olduğu belirli izinler açıklanmaktadır. Kullanıcılar yalnızca sahip oldukları nesneler üzerinde bu izinlere sahiptir.

Sahip olunan uygulama kayıtları

Kullanıcılar sahip olunan uygulama kayıtlarında aşağıdaki eylemleri gerçekleştirebilir:

Eylem	Açıklama
microsoft.directory/applications/audience/update	Microsoft Entra Id içindeki özelliği güncelleştirin applications.audience .
microsoft.directory/applications/authentication/update	Microsoft Entra Id içindeki özelliği güncelleştirin applications.authentication .
microsoft.directory/applications/basic/update	Microsoft Entra Id'deki uygulamalardaki temel özellikleri güncelleştirin.
microsoft.directory/applications/credentials/update	Microsoft Entra Id içindeki özelliği güncelleştirin applications.credentials .
microsoft.directory/applications/delete	Microsoft Entra Id'deki uygulamaları silin.
microsoft.directory/applications/owners/update	Microsoft Entra Id içindeki özelliği güncelleştirin applications.owners .
microsoft.directory/applications/permissions/update	Microsoft Entra Id içindeki özelliği güncelleştirin applications.permissions .
microsoft.directory/applications/policies/update	Microsoft Entra Id içindeki özelliği güncelleştirin applications.policies .
microsoft.directory/applications/restore	Microsoft Entra Id'de uygulamaları geri yükleyin.

Sahip olunan kurumsal uygulamalar

Kullanıcılar, sahip olunan kurumsal uygulamalarda aşağıdaki eylemleri gerçekleştirebilir. Kurumsal uygulama bir hizmet sorumlusundan, bir veya daha fazla uygulama ilkesinden ve bazen hizmet sorumlusuyla aynı kiracıdaki bir uygulama nesnesinden oluşur.

Eylem	Açıklama
microsoft.directory/auditLogs/allProperties/read	Microsoft Entra Id'deki denetim günlüklerindeki tüm özellikleri (ayrıcalıklı özellikler dahil) okuyun.
microsoft.directory/policies/basic/update	Microsoft Entra Id'deki ilkelerdeki temel özellikleri güncelleştirin.
microsoft.directory/policies/delete	Microsoft Entra Id'de ilkeleri silin.
microsoft.directory/policies/owners/update	Microsoft Entra Id içindeki özelliği güncelleştirin policies.owners .
microsoft.directory/servicePrincipals/appRoleAssignedTo/update	Microsoft Entra Id içindeki özelliği güncelleştirin servicePrincipals.appRoleAssignedTo .
microsoft.directory/servicePrincipals/appRoleAssignments/update	Microsoft Entra Id içindeki özelliği güncelleştirin users.appRoleAssignments .
microsoft.directory/servicePrincipals/audience/update	Microsoft Entra Id içindeki özelliği güncelleştirin servicePrincipals.audience .
microsoft.directory/servicePrincipals/authentication/update	Microsoft Entra Id içindeki özelliği güncelleştirin servicePrincipals.authentication .
microsoft.directory/servicePrincipals/basic/update	Microsoft Entra Id'deki hizmet sorumlularındaki temel özellikleri güncelleştirin.
microsoft.directory/servicePrincipals/credentials/update	Microsoft Entra Id içindeki özelliği güncelleştirin servicePrincipals.credentials .
microsoft.directory/servicePrincipals/delete	Microsoft Entra Kimliği'nde hizmet sorumlularını silin.
microsoft.directory/servicePrincipals/owners/update	Microsoft Entra Id içindeki özelliği güncelleştirin servicePrincipals.owners .
microsoft.directory/servicePrincipals/permissions/update	Microsoft Entra Id içindeki özelliği güncelleştirin servicePrincipals.permissions .
microsoft.directory/servicePrincipals/policies/update	Microsoft Entra Id içindeki özelliği güncelleştirin servicePrincipals.policies .
microsoft.directory/signInReports/allProperties/read	Microsoft Entra Id'de oturum açma raporlarında tüm özellikleri (ayrıcalıklı özellikler dahil) okuyun.
microsoft.directory/servicePrincipals/synchronizationCredentials/manage	Uygulama sağlama gizli dizilerini ve kimlik bilgilerini yönetme
microsoft.directory/servicePrincipals/synchronizationJobs/manage	Uygulama sağlama eşitleme işlerini başlatma, yeniden başlatma ve duraklatma
microsoft.directory/servicePrincipals/synchronizationSchema/manage	Uygulama sağlama eşitleme işlerini ve şemasını oluşturma ve yönetme
microsoft.directory/servicePrincipals/synchronization/standard/read	Hizmet sorumlunuzla ilişkili sağlama ayarlarını okuma

Sahip olunan cihazlar

Kullanıcılar sahip olunan cihazlarda aşağıdaki eylemleri gerçekleştirebilir:

Eylem	Açıklama
microsoft.directory/devices/bitLockerRecoveryKeys/read	devices.bitLockerRecoveryKeys Microsoft Entra Id içindeki özelliğini okuyun.
microsoft.directory/devices/disable	Microsoft Entra Id'de cihazları devre dışı bırakın.

Sahip olunan gruplar

Kullanıcılar sahip olunan gruplarda aşağıdaki eylemleri gerçekleştirebilir.

Not

Dinamik grupların sahiplerinin grup üyeliği kurallarını düzenlemek için Genel Yönetici istrator, Group Yönetici istrator, Intune Yönetici istrator veya User Yönetici istrator rolü olmalıdır. Daha fazla bilgi için bkz . Microsoft Entra Id'de dinamik grup oluşturma veya güncelleştirme.

Eylem	Açıklama
microsoft.directory/groups/appRoleAssignments/update	Microsoft Entra Id içindeki özelliği güncelleştirin groups.appRoleAssignments .
microsoft.directory/groups/basic/update	Microsoft Entra Id'deki gruplardaki temel özellikleri güncelleştirin.
microsoft.directory/groups/delete	Microsoft Entra Id'de grupları silin.
microsoft.directory/groups/members/update	Microsoft Entra Id içindeki özelliği güncelleştirin groups.members .
microsoft.directory/groups/owners/update	Microsoft Entra Id içindeki özelliği güncelleştirin groups.owners .
microsoft.directory/groups/restore	Microsoft Entra Id'de grupları geri yükleyin.
microsoft.directory/groups/settings/update	Microsoft Entra Id içindeki özelliği güncelleştirin groups.settings .

Sonraki adımlar

• Konuk kullanıcı erişim kısıtlamaları ayarı hakkında daha fazla bilgi edinmek için bkz. Microsoft Entra Id'de konuk erişim izinlerini kısıtlama.
• Microsoft Entra yönetici rollerini atama hakkında daha fazla bilgi edinmek için bkz . Microsoft Entra Id'de yönetici rollerine kullanıcı atama.
• Microsoft Azure'da kaynak erişiminin nasıl denetlendiğini öğrenmek için bkz . Azure'da kaynak erişimini anlama.
• Microsoft Entra Id'nin Azure aboneliğinizle ilişkisi hakkında daha fazla bilgi için bkz . Azure abonelikleri Microsoft Entra Id ile nasıl ilişkilendirilir?
• Kullanıcıları yönetme.