Defender for Cloud Apps'da yönetici erişimini yapılandırma

Microsoft Defender for Cloud Apps rol tabanlı erişim denetimini destekler. Bu makalede, yöneticileriniz için Defender for Cloud Apps erişimi ayarlama yönergeleri sağlanır. Yönetici rolleri atama hakkında daha fazla bilgi için Microsoft Entra ID ve Microsoft 365 makalelerine bakın.

Defender for Cloud Apps erişimi olan Microsoft 365 ve Microsoft Entra rolleri

Not

• Microsoft 365 ve Microsoft Entra rolleri Defender for Cloud Apps Yönetici erişimini yönet sayfasında listelenmez. Microsoft 365 veya Microsoft Entra ID rol atamak için söz konusu hizmetin ilgili RBAC ayarlarına gidin.
• Defender for Cloud Apps, kullanıcının dizin düzeyi etkinlik dışı zaman aşımı ayarını belirlemek için Microsoft Entra ID kullanır. Bir kullanıcı Microsoft Entra ID etkin olmadığında hiçbir zaman oturumu kapatamayacak şekilde yapılandırılmışsa, aynı ayar Defender for Cloud Apps'da da geçerlidir.
• Defender for Cloud Apps Information Protection etkinleştirme için Microsoft Entra Yönetici kimliği gerekir; örneğin: Uygulama Yöneticisi veya Bulut Uygulaması Yöneticisi. Daha fazla ayrıntı için bkz. Microsoft Entra yerleşik rolleri ve Microsoft 365 ortamınızı koruma

Not

Microsoft Defender tamamen birleşik bir kimlik platformuna doğru ilerlerken, bazı Defender for Cloud Apps veri işlem hatları ayrı kalır. Defender for Cloud Apps RBAC kapsam belirleme, henüz Kimlik envanteri ile tümleştirilmemiş ayrı bir veri işlem hattı kullanır. Kimlik envanterinde tanımlanan bağıntılar Defender for Cloud Apps kapsamını etkilemez. Etkilenen özelliklerin tam listesi için bkz. Kimlik envanteri tümleştirmesini etkinleştirme.

Varsayılan olarak, aşağıdaki Microsoft 365 ve Microsoft Entra ID yönetici rolleri Defender for Cloud Apps erişebilir:

Rol adı	Açıklama
Güvenlik yöneticisi	Tam erişimi olan yöneticilerin Defender for Cloud Apps tam izinleri vardır. Yöneticiler ekleyebilir, ilkeler ve ayarlar ekleyebilir, günlükleri karşıya yükleyebilir ve idare eylemleri gerçekleştirebilir, SIEM aracılarına erişebilir ve bu aracıları yönetebilir.
Bulut Uygulamaları Güvenliği yöneticisi	Defender for Cloud Apps'de tam erişime ve izinlere izin verir. Bu rol, Microsoft Entra ID Genel yönetici rolü gibi Defender for Cloud Apps için tam izinler verir. Ancak bu rol yalnızca Defender for Cloud Apps ile sınırlıdır ve diğer Microsoft güvenlik ürünlerinin genelinde tam yetki sağlamaz.
Uyumluluk yöneticisi	Salt okunur izinlere sahiptir ve uyarıları yönetebilir. Bulut platformları için Güvenlik önerilerine erişemiyorum. Dosya ilkeleri oluşturabilir ve değiştirebilir, dosya idare eylemlerine izin verebilir ve Veri Yönetimi altındaki tüm yerleşik raporları görüntüleyebilir.
Uyumluluk veri yöneticisi	Salt okunur izinlere sahiptir, dosya ilkeleri oluşturup değiştirebilir, dosya idare eylemlerine izin verebilir ve tüm bulma raporlarını görüntüleyebilir. Bulut platformları için Güvenlik önerilerine erişemiyorum.
Güvenlik operatörü	Salt okunur izinlere sahiptir ve uyarıları yönetebilir. Bu yöneticilerin aşağıdaki eylemleri gerçekleştirmesi kısıtlanmıştır: İlke oluşturma veya mevcut ilkeleri düzenleme ve değiştirme herhangi bir idare eylemi gerçekleştirme Keşif günlükleri yükleniyor Microsoft dışı uygulamaları yasaklama veya onaylama IP adresi aralığı ayarları sayfasına erişme ve görüntüleme Tüm sistem ayarları sayfalarına erişme ve bunları görüntüleme Bulma ayarlarına erişme ve bunları görüntüleme Uygulama bağlayıcıları sayfasına erişme ve sayfayı görüntüleme İdare günlüğüne erişme ve bunları görüntüleme Anlık görüntü raporlarını yönet sayfasına erişme ve görüntüleme
Güvenlik gözetmeni	Salt okunur izinlere sahiptir ve API erişim belirteçleri oluşturabilir. Bu yöneticilerin aşağıdaki eylemleri gerçekleştirmesi kısıtlanmıştır: İlke oluşturma veya mevcut ilkeleri düzenleme ve değiştirme herhangi bir idare eylemi gerçekleştirme Keşif günlükleri yükleniyor Microsoft dışı uygulamaları yasaklama veya onaylama IP adresi aralığı ayarları sayfasına erişme ve görüntüleme Tüm sistem ayarları sayfalarına erişme ve bunları görüntüleme Bulma ayarlarına erişme ve bunları görüntüleme Uygulama bağlayıcıları sayfasına erişme ve sayfayı görüntüleme İdare günlüğüne erişme ve bunları görüntüleme Anlık görüntü raporlarını yönet sayfasına erişme ve görüntüleme
Genel okuyucu	Defender for Cloud Apps’ın tüm özelliklerine tam salt okunur erişime sahiptir. Hiçbir ayar değiştirilemez veya herhangi bir eylem gerçekleştiremezsiniz.

^*Microsoft, en az izne sahip rolleri kullanmanızı öneriyor. Bu strateji, kuruluşunuzun güvenliğini artırmaya yardımcı olur. Genel Yönetici, mevcut bir rolü kullanamıyorsanız acil durum senaryolarıyla sınırlı olması gereken yüksek ayrıcalıklı bir roldür.

Not

Neredeyse tüm uygulama idare deneyimleri yalnızca Microsoft Entra ID rolleri tarafından denetlenmektedir. Tek özel durum , gelişmiş avcılıktaki OAuthAppInfo tablosudur. Defender for Cloud Apps'deki birleşik RBAC izinleri, bu tablodaki uygulama idare verilerine erişim izni verir.

Defender XDR'daki birleşik uyarı ve olay deneyimlerinde uygulama idare verilerine erişim yalnızca Microsoft Entra ID tarafından denetlenmektedir.

Uygulama idaresindeki izinler hakkında daha fazla bilgi için bkz. Uygulama idaresi rolleri.

Roller ve İzinler

İzinler	Genel Yönetici	Güvenlik Yönetici	Uyumluluk Yönetici	Uyumluluk Veri Yönetici	Güvenlik Işleç	Güvenlik Okuyucu	Genel Okuyucu	PBI Yöneticisi	Bulut Uygulaması Güvenlik yöneticisi
Uyarıları okuma	✔	✔	✔	✔	✔	✔	✔	✔	✔
Uyarıları yönetin	✔	✔	✔	✔	✔			✔	✔
OAuth uygulamalarını okuma	✔	✔	✔	✔	✔	✔	✔	✔	✔
OAuth uygulama eylemleri gerçekleştirme	✔	✔						✔	✔
Bulunan uygulamalara, bulut uygulaması kataloğuna ve diğer bulut bulma verilerine erişme	✔	✔	✔	✔	✔	✔	✔		✔
API bağlayıcılarını yapılandırma	✔	✔			✔				✔
Bulut bulma eylemleri gerçekleştirme	✔	✔							✔
Dosya verilerine ve dosya ilkelerine erişme	✔	✔	✔	✔	✔	✔	✔	✔	✔
Dosya eylemleri gerçekleştirme	✔	✔						✔	✔
Erişim yönetimi günlüğü	✔	✔	✔	✔	✔	✔	✔	✔	✔
İdare günlüğü eylemleri gerçekleştirme	✔	✔						✔	✔
Kapsamı belirlenmiş keşif yönetişimi günlüğüne erişim	✔	✔							✔
İlkeleri okuma	✔	✔	✔	✔	✔	✔	✔	✔	✔
Tüm ilke eylemlerini gerçekleştirme	✔	✔						✔	✔
Dosya ilkesi eylemlerini gerçekleştirin	✔	✔	✔	✔					✔
OAuth ilkesi eylemleri gerçekleştirme	✔	✔						✔	✔
Yönetici erişimini yönetmeyi görüntüle	✔	✔	✔	✔	✔	✔	✔		✔
Yöneticileri ve etkinlik gizliliğini yönetme	✔	✔							✔

Defender for Cloud Apps'de yerleşik yönetici rolleri

Aşağıdaki belirli yönetici rolleri Microsoft Defender portalında İzinler > Cloud Apps > Rolleri alanında yapılandırılabilir:

Rol adı	Açıklama
Genel yönetici	Microsoft Entra Genel Yönetici rolüne benzer tam erişime sahiptir, ancak bu erişim yalnızca Defender for Cloud Apps içindir.
Uyumluluk yöneticisi	Microsoft Entra Uyumluluk Yöneticisi rolüyle aynı izinleri verir, ancak bu izinler yalnızca Defender for Cloud Apps için geçerlidir.
Güvenlik gözetmeni	Microsoft Entra Güvenlik okuyucusu rolüyle aynı izinleri verir, ancak yalnızca Defender for Cloud Apps için.
Güvenlik operatörü	Microsoft Entra Güvenlik Operatörü rolüyle aynı izinleri verir, ancak yalnızca Defender for Cloud Apps için.
Uygulama/örnek yöneticisi	Defender for Cloud Apps’te, seçilen belirli uygulamaya veya bu uygulamanın bir örneğine ilişkin tüm verilere tam erişim ya da salt okunur erişim izinlerine sahiptir. Örneğin, Box European örneğine bir kullanıcı yöneticisi izni verirsiniz. Yönetici, dosyalar, etkinlikler, ilkeler, davranışlar veya uyarılar olsun, yalnızca Box European örneğiyle ilgili verileri görür: Etkinlikler sayfası - Yalnızca belirli bir uygulamayla ilgili etkinlikler Uyarılar/Davranışlar - Yalnızca belirli bir uygulamayla ilgili. Bazı durumlarda, veriler belirli bir uygulamayla ilişkiliyse, başka bir uygulamayla ilgili uyarı ve davranış verileri de gösterilebilir. Başka bir uygulamayla ilgili uyarı verilerinin görünürlüğü sınırlıdır ve daha fazla ayrıntı için detaya gitme erişimi yoktur İlkeler - Tüm ilkeleri görüntüleyebilir ve atanmış tam izinler yalnızca uygulama/örnekle özel olarak ilgilenen ilkeleri düzenleyebilir veya oluşturabilir Hesaplar sayfası - Yalnızca belirli bir uygulama/örnek için hesaplar Uygulama izinleri - Yalnızca belirli bir uygulama/örnek için izinler Files sayfası - Yalnızca belirli uygulamadan/örnekten dosyalar Koşullu erişim uygulama denetimi - İzin yok Bulut bulma etkinliği - İzin yok Güvenlik uzantıları - Kullanıcı izinlerine sahip API belirteci için yalnızca izinler İdare eylemleri - Yalnızca belirli uygulama/örnek için Bulut platformları için güvenlik önerileri - İzin yok IP aralıkları - İzin yok
Kullanıcı grubu yöneticisi	Defender for Cloud Apps'da yalnızca kendilerine atanan belirli gruplarla ilgilenen tüm veriler için tam veya salt okunur izinlere sahiptir. Örneğin, "Almanya - tüm kullanıcılar" grubuna kullanıcı yöneticisi izinleri atarsanız, yönetici bilgileri yalnızca bu kullanıcı grubu için Defender for Cloud Apps görüntüleyebilir ve düzenleyebilir. Kullanıcı grubu yöneticisi aşağıdaki erişime sahiptir: Etkinlikler sayfası - Yalnızca gruptaki kullanıcılarla ilgili etkinlikler Uyarılar - Yalnızca gruptaki kullanıcılarla ilgili uyarılar. Bazı durumlarda, veriler gruptaki kullanıcılarla ilişkilendiriliyorsa başka bir kullanıcıyla ilgili uyarı verileri görüntülenebilir. Başka kullanıcılarla ilgili uyarı verilerinin görünürlüğü sınırlıdır ve daha fazla ayrıntı için detaya gitme erişimi yoktur. İlkeler - Tüm ilkeleri görüntüleyebilir ve atanan tam izinler yalnızca gruptaki kullanıcılarla özel olarak ilgilenen ilkeleri düzenleyebilir veya oluşturabilir Hesaplar sayfası - Yalnızca gruptaki belirli kullanıcılara yönelik hesaplar Uygulama izinleri – İzin yok Files sayfası – İzin yok Koşullu erişim uygulama denetimi - İzin yok Bulut bulma etkinliği - İzin yok Güvenlik uzantıları - Yalnızca gruptaki kullanıcılar için API belirteci izinleri İdare eylemleri - Yalnızca gruptaki belirli kullanıcılar için Bulut platformları için güvenlik önerileri - İzin yok IP aralıkları - İzin yok Notlar: Kullanıcı grubu yöneticilerine grup atamak için önce bağlı uygulamalardan kullanıcı gruplarını içeri aktarmanız gerekir. İçeri aktarılan Microsoft Entra gruplarına yalnızca kullanıcı grubu yöneticileri izinleri atayabilirsiniz.
Cloud Discovery genel yöneticisi	Tüm bulut bulma ayarlarını ve verilerini görüntüleme ve düzenleme iznine sahiptir. Genel Bulma yöneticisi aşağıdaki erişime sahiptir: Ayarlar: Sistem ayarları - Yalnızca görüntüleme; Cloud Discovery ayarları - Tümünü görüntüleme ve düzenleme (anonimleştirme izinleri rol ataması sırasında izin verilip verilmediğine bağlıdır) Bulut bulma etkinliği - tam izinler Uyarılar - yalnızca ilgili bulut bulma raporuyla ilgili uyarıları görüntüleme ve yönetme İlkeler - Tüm ilkeleri görüntüleyebilir ve yalnızca bulut bulma ilkelerini düzenleyebilir veya oluşturabilir Etkinlikler sayfası - İzin yok Hesaplar sayfası - İzin yok Uygulama izinleri – İzin yok Files sayfası – İzin yok Koşullu erişim uygulama denetimi - İzin yok Güvenlik uzantıları - Kendi API belirteçlerini oluşturma ve silme İdare eylemleri - Yalnızca Cloud Discovery ile ilgili eylemler Bulut platformları için güvenlik önerileri - İzin yok IP aralıkları - İzin yok
Cloud Discovery rapor yöneticisi	Ayarlar: Sistem ayarları - Yalnızca görüntüleme; Bulut bulma ayarları - Tümünü görüntüle (anonimleştirme izinleri rol ataması sırasında izin verilip verilmediğine bağlıdır) Bulut bulma etkinliği - yalnızca okuma izinleri Uyarılar – yalnızca ilgili bulut bulma raporuyla ilgili uyarıları görüntüleyin İlkeler - Tüm ilkeleri görüntüleyebilir ve uygulamayı yönetme olanağı olmadan (etiketleme, tasdik ve tasdiksiz) yalnızca bulut bulma ilkeleri oluşturabilir Etkinlikler sayfası - İzin yok Hesaplar sayfası - İzin yok Uygulama izinleri – İzin yok Files sayfası – İzin yok Koşullu erişim uygulama denetimi - İzin yok Güvenlik uzantıları - Kendi API belirteçlerini oluşturma ve silme İdare eylemleri – yalnızca ilgili bulut bulma raporuyla ilgili eylemleri görüntüleyin Bulut platformları için güvenlik önerileri - İzin yok IP aralıkları - İzin yok

Önemli

Microsoft, rolleri en az izinle kullanmanızı önerir. Bu strateji, kuruluşunuzun güvenliğini artırmaya yardımcı olur. Genel Yönetici, mevcut bir rolü kullanamıyorsanız acil durum senaryolarıyla sınırlı olması gereken yüksek ayrıcalıklı bir roldür.

Yerleşik Defender for Cloud Apps yönetici rolleri yalnızca Defender for Cloud Apps erişim izinleri sağlar.

Yönetici izinlerini geçersiz kılma

Bir yöneticinin Microsoft Entra ID veya Microsoft 365'ten gelen iznini geçersiz kılmak için kullanıcıyı el ile Defender for Cloud Apps ekleyebilir ve kullanıcıya izinler atayabilirsiniz. Örneğin, Microsoft Entra ID'da Güvenlik okuyucusu olan Stephanie'yi Defender for Cloud Apps'da Tam erişime sahip olacak şekilde atamak istiyorsanız, Defender for Cloud Apps'a el ile ekleyebilir ve rolünü geçersiz kılmak ve gerekli izinlere izin vermek için ona Tam erişim atayabilirsiniz Defender for Cloud Apps. Tam erişim (Genel yönetici, Güvenlik yöneticisi ve Bulut Uygulamaları Güvenliği yöneticisi) veren Microsoft Entra rolleri geçersiz kılamazsınız.

Ek yönetici ekleme

Microsoft Entra yönetim rollerine kullanıcı eklemeden Defender for Cloud Apps ek yöneticiler ekleyebilirsiniz. Ek yöneticiler eklemek için aşağıdaki adımları uygulayın:

Önemli

• Yönetici erişimini yönet sayfasına Genel Yöneticiler, Güvenlik Yöneticileri, Uyumluluk Yöneticileri, Uyumluluk Verileri Yöneticileri, Güvenlik İşleçleri, Güvenlik Okuyucuları ve Genel Okuyucular gruplarının üyeleri erişebilir.
• Yönetici erişimini yönet sayfasını düzenlemek ve diğer kullanıcılara Defender for Cloud Apps erişim vermek için en azından bir Güvenlik Yöneticisi rolüne sahip olmanız gerekir.

Microsoft, rolleri en az izinle kullanmanızı önerir. Bu strateji, kuruluşunuzun güvenliğini artırmaya yardımcı olur. Genel Yönetici, mevcut bir rolü kullanamıyorsanız acil durum senaryolarıyla sınırlı olması gereken yüksek ayrıcalıklı bir roldür.

1. Microsoft Defender Portalı'nın sol tarafındaki menüde İzinler'i seçin.

2. Cloud Apps altında Roller'i seçin.

   

3. Defender for Cloud Apps erişimi olması gereken yöneticileri eklemek için +Kullanıcı ekle'yi seçin. Kuruluşunuzun içinden bir kullanıcının e-posta adresini sağlayın.

   Not

   Defender for Cloud Apps için yönetici olarak dış Yönetilen Güvenlik Hizmet Sağlayıcıları (MSSP) eklemek istiyorsanız, önce bunları kuruluşunuza konuk olarak davet ettiğinizden emin olun.

   

4. Ardından, yöneticinin ne tür bir rolü olduğunu ayarlamak için açılan listeyi seçin. Uygulama/Örnek yöneticisi'ni seçerseniz, yöneticinin izinlere sahip olması için uygulamayı ve örneği seçin.

   Not

   Kısıtlı bir sayfaya erişmeye veya kısıtlı eylem gerçekleştirmeye çalışan sınırlı erişim yöneticileri, sayfaya erişme veya eylemi gerçekleştirme iznine sahip olmadıklarını belirten bir hata alır.

5. Yönetici ekle'yi seçin.

Dış yöneticileri davet etme

Defender for Cloud Apps, kuruluşunuzun (MSSP müşterisi) Defender for Cloud Apps hizmetinin yöneticisi olarak dış yöneticileri (MSSP) davet etmenizi sağlar. MSSP'leri eklemek için, Defender for Cloud Apps'in MSSP kiracısında etkinleştirildiğinden emin olun ve ardından bunları MSSP müşterilerinin Azure portalında Microsoft Entra B2B işbirliği kullanıcıları olarak ekleyin. Eklendikten sonra, MSSP'ler yönetici olarak yapılandırılabilir ve Defender for Cloud Apps'da kullanılabilen rollerden herhangi birine atanabilir.

MSSP müşterisinin Defender for Cloud Apps hizmetine MSSP eklemek için

1. Kuruluş dışındaki kişileri dizine ekleme altındaki adımları kullanarak MSSP müşteri dizinine MSSP'leri kuruluşun dışındaki kişiler olarak ekleyin.
2. Ek yönetici ekleme altındaki adımları izleyerek MSSP’leri ekleyin ve MSSP müşterisinin Defender for Cloud Apps’inde bir yönetici rolü atayın. MSSP müşteri dizinine konuk olarak eklerken kullanılan dış e-posta adresini sağlayın.

MSSP'lerin MSSP müşterilerine ait Defender for Cloud Apps hizmetine erişimi

Varsayılan olarak, Yönetilen Güvenlik Hizmeti Sağlayıcıları (MSSP) aşağıdaki URL aracılığıyla Defender for Cloud Apps kiracılarına erişmektedir: https://security.microsoft.com.

Ancak MSSP'lerin aşağıdaki biçimde kiracıya özgü bir URL kullanarak MSSP müşteri Microsoft Defender Portalına erişmesi gerekir: https://security.microsoft.com/?tid=<tenant_id>.

MSSP müşteri portalı kiracı kimliğini almak ve kiracıya özgü URL'ye erişmek için şu yordamı tamamlayın:

1. MSSP olarak kimlik bilgilerinizle Microsoft Entra ID oturum açın.
2. Dizini MSSP müşterisinin kiracısına geçirin.
3. Microsoft Entra ID>Özellikler'i seçin. MSSP müşteri kiracı kimliği Kiracı Kimliği alanındadır.
4. Aşağıdaki URL’deki <tenant_id> değerini değiştirerek MSSP müşteri portalına erişin: https://security.microsoft.com/?tid=<tenant_id>.

Yönetici etkinlik denetimi

Defender for Cloud Apps, yönetici oturum açma etkinliklerinin günlüğünü ve belirli bir kullanıcının görünümlerinin veya bir araştırmanın parçası olarak gerçekleştirilen uyarıların denetimini dışarı aktarmanıza olanak tanır.

Bir günlüğü dışarı aktarmak için aşağıdaki adımları uygulayın:

1. Microsoft Defender Portalı'nın sol tarafındaki menüde İzinler'i seçin.

2. Cloud Apps altında Roller'i seçin.

3. Yönetici rolleri sayfasının sağ üst köşesinde Yönetici etkinliklerini dışarı aktar'ı seçin.

4. Gerekli zaman aralığını belirtin.

5. Dışarı Aktar'ı seçin.

Sonraki adımlar

Bulut keşfini ayarlayın