From 17d7d43765b45a40c43e5f42974f5e3bc5aec2c7 Mon Sep 17 00:00:00 2001 From: Translator Date: Mon, 10 Feb 2025 00:25:41 +0000 Subject: [PATCH] Translated ['src/pentesting-cloud/azure-security/az-basic-information/RE --- .../az-basic-information/README.md | 132 +++++++++--------- .../azure-security/az-services/az-azuread.md | 27 ++-- 2 files changed, 80 insertions(+), 79 deletions(-) diff --git a/src/pentesting-cloud/azure-security/az-basic-information/README.md b/src/pentesting-cloud/azure-security/az-basic-information/README.md index 52bebefa5..658a2eb20 100644 --- a/src/pentesting-cloud/azure-security/az-basic-information/README.md +++ b/src/pentesting-cloud/azure-security/az-basic-information/README.md @@ -28,7 +28,7 @@ ### Kaynak Grupları -[Belgelerden:](https://learn.microsoft.com/en-us/azure/azure-resource-manager/management/manage-resource-groups-python?tabs=macos#what-is-a-resource-group) Bir kaynak grubu, bir Azure çözümü için **ilişkili kaynakları** tutan bir **konteynerdir**. Kaynak grubu, çözüm için tüm kaynakları veya yalnızca **bir grup olarak yönetmek istediğiniz kaynakları** içerebilir. Genel olarak, aynı **yaşam döngüsüne** sahip **kaynakları** aynı kaynak grubuna ekleyin, böylece bunları grup olarak kolayca dağıtabilir, güncelleyebilir ve silebilirsiniz. +[Belgelerden:](https://learn.microsoft.com/en-us/azure/azure-resource-manager/management/manage-resource-groups-python?tabs=macos#what-is-a-resource-group) Bir kaynak grubu, bir Azure çözümü için **ilişkili kaynakları** tutan bir **konteynerdir**. Kaynak grubu, çözüm için tüm kaynakları veya yalnızca **bir grup olarak yönetmek istediğiniz kaynakları** içerebilir. Genel olarak, aynı yaşam döngüsünü paylaşan **kaynakları** aynı kaynak grubuna ekleyin, böylece bunları grup olarak kolayca dağıtabilir, güncelleyebilir ve silebilirsiniz. Tüm **kaynaklar** bir kaynak grubunun **içinde** olmalı ve yalnızca bir gruba ait olabilir; eğer bir kaynak grubu silinirse, içindeki tüm kaynaklar da silinir. @@ -42,7 +42,7 @@ Bir Azure Kaynak Kimliğinin formatı şu şekildedir: - `/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/{resourceProviderNamespace}/{resourceType}/{resourceName}` -`myResourceGroup` kaynak grubunda `12345678-1234-1234-1234-123456789012` abonelik kimliğine sahip `myVM` adlı bir sanal makine için Azure Kaynak Kimliği şu şekilde görünür: +`12345678-1234-1234-1234-123456789012` abonelik kimliği altında `myResourceGroup` kaynak grubunda myVM adında bir sanal makine için Azure Kaynak Kimliği şu şekilde görünür: - `/subscriptions/12345678-1234-1234-1234-123456789012/resourceGroups/myResourceGroup/providers/Microsoft.Compute/virtualMachines/myVM` @@ -54,11 +54,11 @@ Azure, Microsoft'un kapsamlı **bulut bilişim platformudur, geniş bir hizmet y ### Entra ID (eski adıyla Azure Active Directory) -Entra ID, kimlik doğrulama, yetkilendirme ve kullanıcı erişim kontrolünü yönetmek için tasarlanmış bulut tabanlı bir **kimlik ve erişim yönetim hizmetidir**. Office 365, Azure ve birçok üçüncü taraf SaaS uygulaması gibi Microsoft hizmetlerine güvenli erişim sağlar. Tek oturum açma (SSO), çok faktörlü kimlik doğrulama (MFA) ve koşullu erişim politikaları gibi özellikler sunar. +Entra ID, kimlik doğrulama, yetkilendirme ve kullanıcı erişim kontrolünü yönetmek için tasarlanmış bulut tabanlı bir **kimlik ve erişim yönetim hizmetidir**. Office 365, Azure ve birçok üçüncü taraf SaaS uygulaması gibi Microsoft hizmetlerine güvenli erişimi sağlar. Tek oturum açma (SSO), çok faktörlü kimlik doğrulama (MFA) ve koşullu erişim politikaları gibi özellikler sunar. ### Entra Alan Hizmetleri (eski adıyla Azure AD DS) -Entra Alan Hizmetleri, Entra ID'nin yeteneklerini, **geleneksel Windows Active Directory ortamlarıyla uyumlu yönetilen alan hizmetleri** sunarak genişletir. LDAP, Kerberos ve NTLM gibi eski protokolleri destekler, böylece kuruluşların bulutta eski uygulamaları taşımalarına veya çalıştırmalarına olanak tanır; bu, yerel alan denetleyicileri dağıtmadan yapılabilir. Bu hizmet ayrıca merkezi yönetim için Grup İlkesi'ni destekler, bu da eski veya AD tabanlı iş yüklerinin modern bulut ortamlarıyla bir arada var olması gereken senaryolar için uygundur. +Entra Alan Hizmetleri, Entra ID'nin yeteneklerini, **geleneksel Windows Active Directory ortamlarıyla uyumlu yönetilen alan hizmetleri** sunarak genişletir. LDAP, Kerberos ve NTLM gibi eski protokolleri destekler ve kuruluşların, yerel alan denetleyicileri dağıtmadan bulutta eski uygulamaları taşımalarına veya çalıştırmalarına olanak tanır. Bu hizmet ayrıca merkezi yönetim için Grup İlkesi'ni destekler ve eski veya AD tabanlı iş yüklerinin modern bulut ortamlarıyla bir arada var olması gereken senaryolar için uygundur. ## Entra ID Prensipleri @@ -71,7 +71,7 @@ Entra Alan Hizmetleri, Entra ID'nin yeteneklerini, **geleneksel Windows Active D - Özellikleri belirtin (ad, unvan, iletişim bilgileri…) - Varsayılan kullanıcı türü “**üye**”dir. - **Dış kullanıcılar** -- Davet edilecek e-posta ve görünen adı belirtin (Microsoft dışı bir e-posta olabilir) +- Davet etmek için e-posta ve görünür adı belirtin (Microsoft dışı bir e-posta olabilir) - Özellikleri belirtin - Varsayılan kullanıcı türü “**Misafir**”dir. @@ -79,16 +79,16 @@ Entra Alan Hizmetleri, Entra ID'nin yeteneklerini, **geleneksel Windows Active D Bunları [https://learn.microsoft.com/en-us/entra/fundamentals/users-default-permissions](https://learn.microsoft.com/en-us/entra/fundamentals/users-default-permissions) adresinde kontrol edebilirsiniz, ancak diğer eylemler arasında bir üye şunları yapabilecektir: -- Tüm kullanıcıları, Grupları, Uygulamaları, Cihazları, Rolleri, Abonelikleri ve bunların genel özelliklerini görüntüleyebilir -- Misafirleri davet edebilir (_kapalı hale getirilebilir_) -- Güvenlik grupları oluşturabilir -- Gizli olmayan Grup üyeliklerini okuyabilir -- Sahip olduğu gruplara misafir ekleyebilir -- Yeni uygulama oluşturabilir (_kapalı hale getirilebilir_) -- Azure'a 50'ye kadar cihaz ekleyebilir (_kapalı hale getirilebilir_) +- Tüm kullanıcıları, Grupları, Uygulamaları, Cihazları, Rolleri, Abonelikleri ve bunların genel özelliklerini okumak +- Misafirleri davet etmek (_kapalı hale getirilebilir_) +- Güvenlik grupları oluşturmak +- Gizli olmayan Grup üyeliklerini okumak +- Sahip olunan gruplara misafir eklemek +- Yeni uygulama oluşturmak (_kapalı hale getirilebilir_) +- Azure'a 50'ye kadar cihaz eklemek (_kapalı hale getirilebilir_) -> [!NOT] -> Azure kaynaklarını listelemek için kullanıcının izinlerin açıkça verilmesi gerekir. +> [!NOTE] +> Azure kaynaklarını listelemek için kullanıcının izin verilmiş bir yetkiye sahip olması gerekir. ### Kullanıcıların Varsayılan Yapılandırılabilir İzinleri @@ -101,7 +101,7 @@ Bunları [https://learn.microsoft.com/en-us/entra/fundamentals/users-default-per - Kullanıcıların iş veya okul hesaplarını LinkedIn ile bağlamasına izin ver: Varsayılan **Evet** - Kullanıcının oturumunu açık tutmasını göster: Varsayılan **Evet** - Kullanıcıların sahip oldukları cihazlar için BitLocker anahtarını kurtarmasını kısıtla: Varsayılan Hayır (Cihaz Ayarlarında kontrol edin) -- Diğer kullanıcıları oku: Varsayılan **Evet** (Microsoft Graph aracılığıyla) +- Diğer kullanıcıları okumak: Varsayılan **Evet** (Microsoft Graph aracılığıyla) - **Misafirler** - **Misafir kullanıcı erişim kısıtlamaları** seçenekleri: - **Misafir kullanıcılar, üyelerle aynı erişime sahiptir**. @@ -109,14 +109,14 @@ Bunları [https://learn.microsoft.com/en-us/entra/fundamentals/users-default-per - **Misafir kullanıcı erişimi, kendi dizin nesnelerinin özelliklerine ve üyeliklerine kısıtlanmıştır** en kısıtlayıcı olanıdır. - **Misafirler davet edebilir** seçenekleri: - **Kuruluşta herhangi biri, misafir kullanıcıları davet edebilir, misafirler ve yönetici olmayanlar dahil (en kapsayıcı) - Varsayılan** -- **Üye kullanıcılar ve belirli yönetici rollerine atanmış kullanıcılar, misafir kullanıcıları davet edebilir, üyelik izinleri olan misafirler dahil** +- **Üye kullanıcılar ve belirli yönetici rollerine atanmış kullanıcılar, misafir kullanıcıları davet edebilir, misafirler ile üye izinleriyle** - **Sadece belirli yönetici rollerine atanmış kullanıcılar misafir kullanıcıları davet edebilir** -- **Kuruluşta hiç kimse misafir kullanıcıları davet edemez, yöneticiler dahil (en kısıtlayıcı)** +- **Kuruluşta hiç kimse, misafir kullanıcıları davet edemez, yöneticiler dahil (en kısıtlayıcı)** - **Dış kullanıcıların ayrılması**: Varsayılan **Doğru** -- Dış kullanıcıların kuruluşu terk etmesine izin ver +- Dış kullanıcıların kuruluşu terk etmesine izin verin. -> [!İPUCU] -> Varsayılan olarak kısıtlanmış olsa da, izin verilmiş kullanıcılar (üyeler ve misafirler) önceki eylemleri gerçekleştirebilir. +> [!TIP] +> Varsayılan olarak kısıtlanmış olsalar bile, izin verilmiş kullanıcılar (üyeler ve misafirler) önceki eylemleri gerçekleştirebilir. ### **Gruplar** @@ -129,20 +129,20 @@ Bunları [https://learn.microsoft.com/en-us/entra/fundamentals/users-default-per **2 tür üyelik** vardır: - **Atanmış**: Belirli üyeleri bir gruba manuel olarak eklemeye izin verir. -- **Dinamik üyelik**: Üyelikleri kurallar kullanarak otomatik olarak yönetir, üyelerin özellikleri değiştiğinde grup dahil edilmesini günceller. +- **Dinamik üyelik**: Üyelikleri kurallar kullanarak otomatik olarak yönetir, üyelerin özellikleri değiştiğinde grup dahil olmasını günceller. ### **Hizmet İlkeleri** -Bir **Hizmet İlkesi**, **uygulamalar**, barındırılan hizmetler ve otomatik araçlarla Azure kaynaklarına erişim için oluşturulmuş bir **kimliktir**. Bu erişim, hizmet ilkesine atanan rollerle **kısıtlanır**, böylece **hangi kaynakların erişilebileceği** ve hangi düzeyde erişileceği üzerinde kontrol sağlar. Güvenlik nedenleriyle, **hizmet ilkelerini otomatik araçlarla kullanmak** her zaman önerilir; kullanıcı kimliği ile giriş yapmalarına izin vermektense. +Bir **Hizmet İlkesi**, **uygulamalar**, barındırılan hizmetler ve Azure kaynaklarına erişim için otomatik araçlarla **kullanım** için oluşturulmuş bir **kimliktir**. Bu erişim, hizmet ilkesine atanan rollerle **kısıtlanmıştır**, bu da hangi kaynakların **erişilebileceği** ve hangi düzeyde erişileceği üzerinde kontrol sağlar. Güvenlik nedenleriyle, **hizmet ilkelerini otomatik araçlarla kullanmak** her zaman önerilir, kullanıcı kimliği ile giriş yapmalarına izin vermektense. Bir hizmet ilkesine **doğrudan giriş yapmak** mümkündür; bunun için bir **gizli anahtar** (parola), bir **sertifika** oluşturabilir veya üçüncü taraf platformlara (örneğin, Github Actions) üzerinden **federasyon** erişimi verebilirsiniz. -- **Parola** kimlik doğrulamasını seçerseniz (varsayılan), **oluşturulan parolayı kaydedin** çünkü bir daha erişemezsiniz. +- **Parola** kimlik doğrulamasını (varsayılan olarak) seçerseniz, **oluşturulan parolayı kaydedin** çünkü bir daha erişemezsiniz. - Sertifika kimlik doğrulamasını seçerseniz, **uygulamanın özel anahtara erişimi olmasını** sağladığınızdan emin olun. ### Uygulama Kayıtları -Bir **Uygulama Kaydı**, bir uygulamanın Entra ID ile entegre olmasını ve eylemler gerçekleştirmesini sağlayan bir yapılandırmadır. +Bir **Uygulama Kaydı**, bir uygulamanın Entra ID ile entegre olmasına ve eylemler gerçekleştirmesine olanak tanıyan bir yapılandırmadır. #### Ana Bileşenler: @@ -153,15 +153,15 @@ Bir **Uygulama Kaydı**, bir uygulamanın Entra ID ile entegre olmasını ve eyl 5. **API İzinleri:** Uygulamanın erişebileceği kaynakları veya API'leri belirtir. 6. **Kimlik Doğrulama Ayarları:** Uygulamanın desteklediği kimlik doğrulama akışlarını tanımlar (örneğin, OAuth2, OpenID Connect). 7. **Hizmet İlkesi**: Bir Uygulama oluşturulduğunda (web konsolundan yapılırsa) veya yeni bir kiracıya yüklendiğinde bir hizmet ilkesi oluşturulur. -8. **Hizmet ilkesi**, yapılandırıldığı tüm istenen izinleri alır. +8. **Hizmet ilkesi**, yapılandırıldığı tüm istenen izinleri alacaktır. ### Varsayılan Onay İzinleri **Uygulamalar için kullanıcı onayı** -- **Kullanıcı onayına izin verme** +- **Kullanıcı onayını izin vermeyin** - Tüm uygulamalar için bir yönetici gerekecektir. -- **Doğrulanmış yayıncılardan, seçilen izinler için uygulamalar için kullanıcı onayına izin ver (Tavsiye Edilir)** +- **Doğrulanmış yayıncılardan, seçilen izinler için uygulamalar için kullanıcı onayına izin verin (Tavsiye Edilir)** - Tüm kullanıcılar, "düşük etki" olarak sınıflandırılan izinler için, doğrulanmış yayıncılardan veya bu kuruluşta kayıtlı uygulamalar için onay verebilir. - **Varsayılan** düşük etki izinleri (bunları düşük olarak eklemek için kabul etmeniz gerekir): - User.Read - oturum açma ve kullanıcı profilini okuma @@ -174,18 +174,18 @@ Bir **Uygulama Kaydı**, bir uygulamanın Entra ID ile entegre olmasını ve eyl **Yönetici onay talepleri**: Varsayılan **Hayır** -- Kullanıcılar, onay veremedikleri uygulamalar için yönetici onayı talep edebilir -- Eğer **Evet**: Onay taleplerine onay verebilecek Kullanıcılar, Gruplar ve Roller belirtmek mümkündür +- Kullanıcılar, onay veremedikleri uygulamalar için yönetici onayı talep edebilir. +- Eğer **Evet**: Onay taleplerine onay verebilecek Kullanıcılar, Gruplar ve Roller belirtmek mümkündür. - Kullanıcıların e-posta bildirimleri ve son kullanma hatırlatmaları alıp almayacaklarını da yapılandırın. ### **Yönetilen Kimlik (Meta Veriler)** -Azure Active Directory'deki yönetilen kimlikler, uygulamaların kimliğini **otomatik olarak yönetme** çözümü sunar. Bu kimlikler, uygulamaların Azure Active Directory (**Azure AD**) kimlik doğrulaması ile uyumlu **kaynaklara** **bağlanması** amacıyla kullanılır. Bu, uygulamanın **meta veri** hizmeti ile iletişim kurarak Azure'daki belirtilen yönetilen kimlik olarak **hareket etmek için** geçerli bir token almasını sağlar; böylece bulut kimlik bilgilerini kodda sabit kodlama ihtiyacını **ortadan kaldırır**. +Azure Active Directory'deki yönetilen kimlikler, uygulamaların kimliğini **otomatik olarak yönetme** çözümü sunar. Bu kimlikler, uygulamaların Azure Active Directory (**Azure AD**) kimlik doğrulaması ile uyumlu **kaynaklara** **bağlanması** amacıyla kullanılır. Bu, uygulamanın **meta veri** hizmeti ile iletişim kurarak Azure'daki belirtilen yönetilen kimlik olarak **hareket etmek** için geçerli bir token almasını sağlar; böylece bulut kimlik bilgilerini kodda sabit kodlama ihtiyacını **ortadan kaldırır**. İki tür yönetilen kimlik vardır: -- **Sistem atamalı**. Bazı Azure hizmetleri, bir hizmet örneği üzerinde **yönetilen bir kimliği doğrudan etkinleştirmenize** olanak tanır. Sistem atamalı bir yönetilen kimliği etkinleştirdiğinizde, **hizmet ilkesi**, kaynağın bulunduğu abonluğa güvenilen Entra ID kiracısında oluşturulur. **Kaynak** silindiğinde, Azure otomatik olarak **kimliği** sizin için **silmiştir**. -- **Kullanıcı atamalı**. Kullanıcıların yönetilen kimlikler oluşturması da mümkündür. Bunlar, bir abonelik içindeki bir kaynak grubunun içinde oluşturulur ve EntraID'de abonluğa güvenilen bir hizmet ilkesi oluşturulur. Daha sonra, yönetilen kimliği bir veya **daha fazla Azure hizmeti örneğine** (birden fazla kaynak) atayabilirsiniz. Kullanıcı atamalı yönetilen kimlikler için, **kimlik, onu kullanan kaynaklardan ayrı olarak yönetilir**. +- **Sistem atamalı**. Bazı Azure hizmetleri, bir hizmet örneği üzerinde **yönetilen bir kimliği doğrudan etkinleştirmenize** olanak tanır. Sistem atamalı bir yönetilen kimliği etkinleştirdiğinizde, **hizmet ilkesi**, kaynağın bulunduğu abonelikteki Entra ID kiracısında oluşturulur. **Kaynak** silindiğinde, Azure otomatik olarak **kimliği** sizin için **silmiştir**. +- **Kullanıcı atamalı**. Kullanıcıların yönetilen kimlikler oluşturması da mümkündür. Bunlar, bir abonelik içindeki bir kaynak grubunun içinde oluşturulur ve EntraID'de abonelik tarafından güvenilen bir hizmet ilkesi oluşturulur. Daha sonra, yönetilen kimliği bir veya **daha fazla Azure hizmeti örneğine** (birden fazla kaynak) atayabilirsiniz. Kullanıcı atamalı yönetilen kimlikler için, **kimlik, onu kullanan kaynaklardan ayrı olarak yönetilir**. Yönetilen Kimlikler, ona bağlı hizmet ilkesine erişmek için **sonsuz kimlik bilgileri** (parolalar veya sertifikalar gibi) oluşturmaz. @@ -193,7 +193,7 @@ Yönetilen Kimlikler, ona bağlı hizmet ilkesine erişmek için **sonsuz kimlik Bu, yalnızca **hizmet ilkelerini filtrelemek ve atanmış uygulamaları kontrol etmek için Azure'da bir tablodur**. -**Bu, başka bir "uygulama" türü değildir**, Azure'da "Kurumsal Uygulama" olarak adlandırılan bir nesne yoktur; bu, yalnızca Hizmet ilkelerini, Uygulama kayıtlarını ve yönetilen kimlikleri kontrol etmek için bir soyutlamadır. +**Bu, başka bir "uygulama" türü değildir**, Azure'da "Kurumsal Uygulama" olarak adlandırılan herhangi bir nesne yoktur, bu sadece Hizmet ilkelerini, Uygulama kayıtlarını ve yönetilen kimlikleri kontrol etmek için bir soyutlamadır. ### İdari Birimler @@ -212,40 +212,34 @@ Bu, yalnızca **hizmet ilkelerini filtrelemek ve atanmış uygulamaları kontrol - "Kullanıcı Yöneticisi" rolünü bölgesel BT personeline, kendi bölgelerinin AU'suna göre atayın. - Sonuç: Bölgesel BT yöneticileri, diğer bölgeleri etkilemeden kendi bölgelerindeki kullanıcı hesaplarını yönetebilir. -### Entra ID Rolleri +### Entra ID Rolleri & İzinleri - Entra ID'yi yönetmek için, Entra ID'yi yönetmek üzere Entra ID prensiplerine atanabilecek bazı **yerleşik roller** vardır. - Rolleri [https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference](https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference) adresinde kontrol edin. +- EntraID tarafından **`AYRICALIKLI`** olarak işaretlenen roller, dikkatle atanmalıdır çünkü Microsoft'un belgelerde açıkladığı gibi [https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference](https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference): Ayrıcalıklı rol atamaları, güvenli ve amaçlanan bir şekilde kullanılmadığında ayrıcalık yükselmesine yol açabilir. - En yüksek ayrıcalıklı rol **Küresel Yönetici**dir. -- Rolün Tanımında, **ayrıntılı izinlerini** görebilirsiniz. +- Roller, **ince izinleri** gruplar ve açıklamalarında bulunabilir. +- İstenilen izinlerle **özel roller** oluşturmak mümkündür. Ancak bazı nedenlerden dolayı, tüm ince izinler yöneticilerin özel roller oluşturması için mevcut değildir. +- Entra ID'deki roller, Azure'daki rollerden tamamen **bağımsızdır**. Tek ilişki, Entra ID'deki **Küresel Yönetici** rolüne sahip prensiplerin Azure'daki **Kullanıcı Erişim Yöneticisi** rolüne yükseltilebilmesidir. +- Entra ID rollerinde **joker karakter kullanmak** mümkün değildir. -## Roller & İzinler +## Azure Rolleri & İzinleri -**Roller**, **prensiplere** bir **kapsamda** atanır: `prensip -[ROLÜ VAR]->(kapsam)` - -**Gruplara** atanan **roller**, grubun tüm **üyeleri** tarafından **devralınır**. - -Rolün atandığı kapsamına bağlı olarak, **rol**, kapsam konteyneri içindeki **diğer kaynaklara** **devralınabilir**. Örneğin, bir A kullanıcısının bir **abonelikte rolü** varsa, o **rolü, abonelik içindeki tüm kaynak gruplarında** ve **kaynak grubundaki tüm kaynaklarda** alır. - -### Klasik Roller - -| **Sahip** | | Tüm kaynak türleri | -| ----------------------------- | ---------------------------------------------------------------------------------------- | ------------------ | -| **Katkıda Bulunan** | | Tüm kaynak türleri | -| **Okuyucu** | • Tüm kaynakları görüntüleyebilir | Tüm kaynak türleri | -| **Kullanıcı Erişimi Yöneticisi** | | Tüm kaynak türleri | +- **Roller**, **prensiplere** bir **kapsamda** atanır: `prensip -[ROLÜ VAR]->(kapsam)` +- **Gruplara** atanan **roller**, grubun tüm **üyeleri** tarafından **devralınır**. +- Rolün atandığı kapsama bağlı olarak, **rol**, kapsama dahil olan **diğer kaynaklara** **devralınabilir**. Örneğin, bir kullanıcı A'nın bir **abonelikte rolü** varsa, o **rolü, abonelikteki tüm kaynak gruplarında** ve **kaynak grubundaki tüm kaynaklarda** olacaktır. ### Yerleşik roller -[Belgelerden: ](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles)[Azure rol tabanlı erişim kontrolü (Azure RBAC)](https://learn.microsoft.com/en-us/azure/role-based-access-control/overview), **kullanıcılara, gruplara, hizmet ilkelerine ve yönetilen kimliklere** atayabileceğiniz birkaç Azure **yerleşik rolü** vardır. Rol atamaları, **Azure kaynaklarına erişimi kontrol etmenin** yoludur. Yerleşik roller, kuruluşunuzun özel ihtiyaçlarını karşılamıyorsa, kendi [**Azure özel rollerinizi**](https://learn.microsoft.com/en-us/azure/role-based-access-control/custom-roles)** oluşturabilirsiniz.** +[Belgelerden: ](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles)[Azure rol tabanlı erişim kontrolü (Azure RBAC)](https://learn.microsoft.com/en-us/azure/role-based-access-control/overview), **kullanıcılara, gruplara, hizmet ilkelerine ve yönetilen kimliklere** atayabileceğiniz birkaç Azure **yerleşik rolü** vardır. Rol atamaları, **Azure kaynaklarına erişimi kontrol etmenin** yoludur. Yerleşik roller, kuruluşunuzun özel ihtiyaçlarını karşılamıyorsa, kendi [**Azure özel rollerinizi**](https://learn.microsoft.com/en-us/azure/role-based-access-control/custom-roles) oluşturabilirsiniz. -**Yerleşik** roller yalnızca **amaçlandıkları kaynaklara** uygulanır; örneğin, **Hesaplama** kaynakları üzerindeki bu 2 yerleşik rol örneğine bakın: +**Yerleşik** roller yalnızca **amaçlandıkları kaynaklara** uygulanır, örneğin, **Hesaplama** kaynakları üzerindeki bu 2 yerleşik rol örneğine bakın: -| [Disk Yedekleme Okuyucusu](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles#disk-backup-reader) | Yedekleme kasasına disk yedeklemesi gerçekleştirme izni verir. | 3e5e47e6-65f7-47ef-90b5-e5dd4d455f24 | +| [Disk Yedekleme Okuyucu](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles#disk-backup-reader) | Disk yedeklemesi gerçekleştirmek için yedekleme kasasına izin verir. | 3e5e47e6-65f7-47ef-90b5-e5dd4d455f24 | | ----------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------- | ------------------------------------ | -| [Sanal Makine Kullanıcı Girişi](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles#virtual-machine-user-login) | Portaldaki Sanal Makineleri görüntüleyebilir ve normal bir kullanıcı olarak giriş yapabilir. | fb879df8-f326-4884-b1cf-06f3ad86be52 | +| [Sanal Makine Kullanıcı Girişi](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles#virtual-machine-user-login) | Portalda Sanal Makineleri görüntüleyin ve normal bir kullanıcı olarak oturum açın. | fb879df8-f326-4884-b1cf-06f3ad86be52 | -Bu roller, **mantıksal konteynerler** (yönetim grupları, abonelikler ve kaynak grupları gibi) üzerinde de atanabilir ve etkilenen prensipler, **bu konteynerler içindeki kaynaklar üzerinde** bu rollere sahip olacaktır. +Bu roller, **yönetim grupları, abonelikler ve kaynak grupları** gibi mantıksal konteynerler üzerinde de atanabilir ve etkilenen prensipler, **bu konteynerlerin içindeki kaynaklar üzerinde** bu rollere sahip olacaktır. - Burada [**tüm Azure yerleşik rollerinin**](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles) bir listesini bulabilirsiniz. - Burada [**tüm Entra ID yerleşik rollerinin**](https://learn.microsoft.com/en-us/azure/active-directory/roles/permissions-reference) bir listesini bulabilirsiniz. @@ -254,14 +248,14 @@ Bu roller, **mantıksal konteynerler** (yönetim grupları, abonelikler ve kayna - [**Özel roller**](https://learn.microsoft.com/en-us/azure/role-based-access-control/custom-roles) oluşturmak da mümkündür. - Bunlar bir kapsam içinde oluşturulur, ancak bir rol birden fazla kapsamda (yönetim grupları, abonelikler ve kaynak grupları) olabilir. -- Özel rolün sahip olacağı tüm ayrıntılı izinleri yapılandırmak mümkündür. +- Özel rolün sahip olacağı tüm ince izinleri yapılandırmak mümkündür. - İzinleri hariç tutmak mümkündür. - Hariç tutulan bir izne sahip bir prensip, izin başka bir yerde verilse bile onu kullanamaz. -- Joker karakterler kullanmak mümkündür. +- Joker karakter kullanmak mümkündür. - Kullanılan format bir JSON'dur. -- `actions`, kaynaklar üzerindeki yönetim işlemleri için izinleri ifade eder; örneğin, kaynak tanımları ve ayarlarını oluşturma, güncelleme veya silme. +- `actions`, kaynaklar üzerindeki yönetim işlemleri için izinleri ifade eder; örneğin, kaynak tanımlarını ve ayarlarını oluşturma, güncelleme veya silme. - `dataActions`, kaynak içindeki veri işlemleri için izinlerdir; bu, kaynakta bulunan gerçek verileri okuma, yazma veya silme izni verir. -- `notActions` ve `notDataActions`, rolün belirli izinlerini hariç tutmak için kullanılır. Ancak, **bunlar reddetmez**, eğer farklı bir rol bunları verirse, prensip bunlara sahip olacaktır. +- `notActions` ve `notDataActions`, rolün belirli izinlerini hariç tutmak için kullanılır. Ancak, **bunlar reddetmez**, eğer farklı bir rol bunları veriyorsa, prensip bunlara sahip olacaktır. - `assignableScopes`, rolün atanabileceği kapsamların bir dizisidir (yönetim grupları, abonelikler veya kaynak grupları gibi). Özel bir rol için izinlerin JSON örneği: @@ -296,14 +290,14 @@ Bu roller, **mantıksal konteynerler** (yönetim grupları, abonelikler ve kayna ``` ### İzinler Sırası -- Bir **prensibin bir kaynağa erişim hakkı** olması için ona açık bir rol verilmesi gerekir (herhangi bir şekilde) **ona bu izni vermektedir**. -- Açık bir **reddetme ataması, izni veren rolün önceliğine sahiptir**. +- Bir **prensipin bir kaynağa erişim sağlaması** için ona açık bir rol verilmesi gerekir (herhangi bir şekilde) **bu izni vermek için**. +- Açık bir **reddetme ataması, izni veren rolun önceliğine sahiptir**.

https://link.springer.com/chapter/10.1007/978-1-4842-7325-8_10

### Küresel Yöneticisi -Küresel Yöneticisi, **Entra ID kiracısı üzerinde tam kontrol** sağlayan bir Entra ID rolüdür. Ancak, varsayılan olarak Azure kaynakları üzerinde herhangi bir izin vermez. +Küresel Yöneticisi, **Entra ID kiracısı üzerinde tam kontrol** sağlayan bir roldür. Ancak, varsayılan olarak Azure kaynakları üzerinde herhangi bir izin vermez. Küresel Yöneticisi rolüne sahip kullanıcılar, **Kök Yönetim Grubunda Kullanıcı Erişim Yöneticisi Azure rolüne 'yükseltme' yapma** yeteneğine sahiptir. Bu nedenle, Küresel Yöneticiler **tüm Azure abonelikleri ve yönetim gruplarında erişimi yönetebilir.**\ Bu yükseltme sayfanın sonunda yapılabilir: [https://portal.azure.com/#view/Microsoft_AAD_IAM/ActiveDirectoryMenuBlade/\~/Properties](https://portal.azure.com/#view/Microsoft_AAD_IAM/ActiveDirectoryMenuBlade/~/Properties) @@ -316,15 +310,15 @@ Bu yükseltme sayfanın sonunda yapılabilir: [https://portal.azure.com/#view/Mi ### Reddetme Atamaları -Rol atamaları gibi, **reddetme atamaları** da **Azure kaynaklarına erişimi kontrol etmek için** kullanılır. Ancak, **reddetme atamaları** bir kaynağa erişimi **açıkça reddetmek için** kullanılır, kullanıcı bir rol ataması aracılığıyla erişim hakkı verilmiş olsa bile. **Reddetme atamaları**, **rol atamalarının** önceliğine sahiptir; bu, bir kullanıcıya bir rol ataması aracılığıyla erişim hakkı verilmişse ancak aynı zamanda bir reddetme ataması aracılığıyla açıkça erişimi reddedilmişse, reddetme atamasının öncelikli olacağı anlamına gelir. +Rol atamaları gibi, **reddetme atamaları** da **Azure kaynaklarına erişimi kontrol etmek için** kullanılır. Ancak, **reddetme atamaları** bir kaynağa erişimi **açıkça reddetmek için** kullanılır, kullanıcı bir rol ataması aracılığıyla erişim verilmiş olsa bile. **Reddetme atamaları**, **rol atamalarının** önceliğine sahiptir; bu, bir kullanıcıya bir rol ataması aracılığıyla erişim verilmişse ancak aynı zamanda bir reddetme ataması aracılığıyla açıkça erişimi reddedilmişse, reddetme atamasının öncelikli olacağı anlamına gelir. Rol atamaları gibi, **reddetme atamaları** etkilenen prensipleri ve reddedilen izinleri belirten bir kapsam üzerinde uygulanır. Ayrıca, reddetme atamaları durumunda, **reddetmenin çocuk kaynaklara miras alınmasını önlemek** mümkündür. ### Azure Politikaları -**Azure Politikaları**, organizasyonların kaynaklarının belirli standartlara ve uyumluluk gereksinimlerine uygun olmasını sağlamalarına yardımcı olan kurallardır. Azure'daki kaynaklar üzerinde **ayarları uygulamak veya denetlemek** için kullanılır. Örneğin, yetkisiz bir bölgede sanal makinelerin oluşturulmasını engelleyebilir veya tüm kaynakların izleme için belirli etiketlere sahip olmasını sağlayabilirsiniz. +**Azure Politikaları**, organizasyonların kaynaklarının belirli standartlara ve uyumluluk gereksinimlerine uygun olmasını sağlamalarına yardımcı olan kurallardır. Bu politikalar, **Azure'daki kaynaklar üzerinde ayarları uygulamanıza veya denetlemenize** olanak tanır. Örneğin, yetkisiz bir bölgede sanal makinelerin oluşturulmasını engelleyebilir veya tüm kaynakların izleme için belirli etiketlere sahip olmasını sağlayabilirsiniz. -Azure Politikaları **proaktiftir**: uyumsuz kaynakların oluşturulmasını veya değiştirilmesini durdurabilirler. Ayrıca **reaktif** olup, mevcut uyumsuz kaynakları bulup düzeltmenize olanak tanır. +Azure Politikaları **proaktiftir**: uyumsuz kaynakların oluşturulmasını veya değiştirilmesini durdurabilirler. Ayrıca **reaktif** olup, mevcut uyumsuz kaynakları bulmanıza ve düzeltmenize olanak tanır. #### **Anahtar Kavramlar** @@ -336,13 +330,13 @@ Azure Politikaları **proaktiftir**: uyumsuz kaynakların oluşturulmasını vey **Bazı örnekler:** 1. **Belirli Azure Bölgeleri ile Uyum Sağlama**: Bu politika, tüm kaynakların belirli Azure bölgelerinde dağıtılmasını sağlar. Örneğin, bir şirket tüm verilerinin GDPR uyumluluğu için Avrupa'da saklanmasını isteyebilir. -2. **İsimlendirme Standartlarını Uygulama**: Politikalar, Azure kaynakları için isimlendirme kurallarını uygulayabilir. Bu, büyük ortamlarda kaynakların isimlerine göre düzenlenmesine ve kolayca tanımlanmasına yardımcı olur. +2. **İsimlendirme Standartlarını Uygulama**: Politikalar, Azure kaynakları için isimlendirme kurallarını uygulayabilir. Bu, büyük ortamlarda kaynakları düzenlemeye ve kolayca tanımlamaya yardımcı olur. 3. **Belirli Kaynak Türlerini Kısıtlama**: Bu politika, belirli türde kaynakların oluşturulmasını kısıtlayabilir. Örneğin, maliyetleri kontrol etmek için belirli VM boyutları gibi pahalı kaynak türlerinin oluşturulmasını engellemek için bir politika ayarlanabilir. 4. **Etiketleme Politikalarını Uygulama**: Etiketler, kaynak yönetimi için kullanılan Azure kaynakları ile ilişkili anahtar-değer çiftleridir. Politikalar, belirli etiketlerin mevcut olmasını veya tüm kaynaklar için belirli değerlere sahip olmasını zorunlu kılabilir. Bu, maliyet takibi, sahiplik veya kaynakların kategorize edilmesi için faydalıdır. 5. **Kaynaklara Kamu Erişimini Sınırlama**: Politikalar, belirli kaynakların, örneğin depolama hesapları veya veritabanlarının, kamu uç noktalarına sahip olmamasını zorunlu kılabilir, böylece yalnızca organizasyonun ağı içinde erişilebilir olmalarını sağlar. -6. **Güvenlik Ayarlarını Otomatik Olarak Uygulama**: Politikalar, tüm VM'lere belirli bir ağ güvenlik grubunun uygulanması veya tüm depolama hesaplarının şifreleme kullanmasını sağlamak gibi güvenlik ayarlarını kaynaklara otomatik olarak uygulamak için kullanılabilir. +6. **Güvenlik Ayarlarını Otomatik Olarak Uygulama**: Politikalar, tüm VM'lere belirli bir ağ güvenlik grubunu uygulamak veya tüm depolama hesaplarının şifreleme kullanmasını sağlamak gibi kaynaklara güvenlik ayarlarını otomatik olarak uygulamak için kullanılabilir. -Azure Politikalarının Azure hiyerarşisinin herhangi bir seviyesine eklenebileceğini unutmayın, ancak genellikle **kök yönetim grubunda** veya diğer yönetim gruplarında kullanılır. +Azure Politikalarının Azure hiyerarşisinin herhangi bir seviyesine eklenebileceğini unutmayın, ancak genellikle **kök yönetim grubunda** veya diğer yönetim gruplarında kullanılır. Azure politika json örneği: ```json @@ -364,7 +358,7 @@ Azure politika json örneği: ``` ### İzin Mirası -Azure'da **izinler hiyerarşinin herhangi bir parçasına atanabilir**. Bu, yönetim gruplarını, abonelikleri, kaynak gruplarını ve bireysel kaynakları içerir. İzinler, atandıkları varlığın içerdiği **kaynaklar** tarafından **miras alınır**. +Azure'da **izinler hiyerarşinin herhangi bir parçasına atanabilir**. Bu, yönetim gruplarını, abonelikleri, kaynak gruplarını ve bireysel kaynakları içerir. İzinler, atandıkları varlığın **içindeki kaynaklar** tarafından **miras alınır**. Bu hiyerarşik yapı, erişim izinlerinin verimli ve ölçeklenebilir bir şekilde yönetilmesini sağlar. @@ -372,7 +366,7 @@ Bu hiyerarşik yapı, erişim izinlerinin verimli ve ölçeklenebilir bir şekil ### Azure RBAC vs ABAC -**RBAC** (rol tabanlı erişim kontrolü), önceki bölümlerde gördüğümüz şeydir: **Bir kaynağa erişim vermek için bir ilkeye rol atamak**.\ +**RBAC** (rol tabanlı erişim kontrolü), önceki bölümlerde gördüğümüz şeydir: **Bir kaynağa erişim sağlamak için bir ilkeye rol atamak**.\ Ancak, bazı durumlarda **daha ince ayrıntılı erişim yönetimi** sağlamak veya **yüzlerce** rol **atanmasını** yönetimini **basitleştirmek** isteyebilirsiniz. Azure **ABAC** (özellik tabanlı erişim kontrolü), belirli eylemler bağlamında **özelliklere dayalı rol atama koşulları** ekleyerek Azure RBAC üzerine inşa edilmiştir. Bir _rol atama koşulu_, **rol atamanıza ekleyebileceğiniz isteğe bağlı bir ek kontrol** olup daha ince ayrıntılı erişim kontrolü sağlar. Bir koşul, rol tanımı ve rol ataması parçası olarak verilen izinleri filtreler. Örneğin, **bir nesneyi okumak için nesnenin belirli bir etikete sahip olmasını gerektiren bir koşul ekleyebilirsiniz**.\ diff --git a/src/pentesting-cloud/azure-security/az-services/az-azuread.md b/src/pentesting-cloud/azure-security/az-services/az-azuread.md index 0b5e1221c..52b96fb43 100644 --- a/src/pentesting-cloud/azure-security/az-services/az-azuread.md +++ b/src/pentesting-cloud/azure-security/az-services/az-azuread.md @@ -186,9 +186,9 @@ Connect-AzureAD -AccountId test@corp.onmicrosoft.com -AadAccessToken $token Azure'a herhangi bir programla **CLI** üzerinden **giriş yaptığınızda**, **Microsoft**'a ait bir **tenant**'tan bir **Azure Uygulaması** kullanıyorsunuz. Bu Uygulamalar, hesabınızda oluşturabileceğinizler gibi, **bir istemci kimliğine** sahiptir. **Hepsini göremeyeceksiniz** **ama varsayılan olarak izin verilmiştir**. -Örneğin, **kimlik doğrulayan** bir **powershell script** istemci kimliği **`1950a258-227b-4e31-a9cf-717495945fc2`** olan bir uygulama kullanır. Uygulama konsolda görünmese bile, bir sistem yöneticisi **o uygulamayı engelleyebilir** böylece kullanıcılar o Uygulama üzerinden bağlanamaz. +Örneğin, **kimlik doğrulayan** bir **powershell script** istemci kimliği **`1950a258-227b-4e31-a9cf-717495945fc2`** olan bir uygulama kullanır. Uygulama konsolda görünmese bile, bir sistem yöneticisi **o uygulamayı engelleyebilir** böylece kullanıcılar o Uygulama üzerinden erişim sağlayamaz. -Ancak, **Azure'a bağlanmanıza izin verecek** **diğer istemci kimlikleri** vardır: +Ancak, **Azure'a bağlanmanıza izin verecek** **başka istemci kimlikleri** de vardır: ```bash # The important part is the ClientId, which identifies the application to login inside Azure @@ -365,7 +365,7 @@ $password = "ThisIsTheNewPassword.!123" | ConvertTo- SecureString -AsPlainText ``` ### MFA & Conditional Access Policies -Her kullanıcıya MFA eklenmesi şiddetle önerilir, ancak bazı şirketler bunu ayarlamayabilir veya belirli bir konum, tarayıcı veya **bazı koşul** ile giriş yapıldığında kullanıcıdan **MFA istenecektir** şeklinde bir Koşullu Erişim ayarlayabilir. Bu politikalar, doğru yapılandırılmazsa **bypass**'lara karşı hassas olabilir. Kontrol edin: +Her kullanıcıya MFA eklenmesi şiddetle önerilir, ancak bazı şirketler bunu ayarlamayabilir veya bunu Koşullu Erişim ile ayarlayabilir: Kullanıcı, belirli bir konumdan, tarayıcıdan veya **bazı koşullardan** giriş yapıyorsa **MFA gereklidir**. Bu politikalar, doğru yapılandırılmazsa **bypass**'lara karşı hassas olabilir. Kontrol edin: {{#ref}} ../az-privilege-escalation/az-entraid-privesc/az-conditional-access-policies-mfa-bypass.md @@ -482,7 +482,7 @@ Get-AzureADGroup -ObjectId | Get-AzureADGroupAppRoleAssignment | fl * #### Gruppa kullanıcı ekle -Grup sahipleri gruba yeni kullanıcılar ekleyebilir. +Grup sahipleri yeni kullanıcıları gruba ekleyebilir. ```bash Add-AzureADGroupMember -ObjectId -RefObjectId -Verbose ``` @@ -717,7 +717,7 @@ Uygulamalar hakkında daha fazla bilgi için kontrol edin: Bir Uygulama oluşturulduğunda 2 tür izin verilir: - **Hizmet Prensibi** için verilen **İzinler** -- **Kullanıcı** adına **uygulama** tarafından sahip olunabilecek ve kullanılabilecek **İzinler**. +- **Kullanıcının** adına **uygulamanın** sahip olabileceği ve kullanabileceği **İzinler**. {{#tabs }} {{#tab name="az cli" }} @@ -735,6 +735,13 @@ az ad app owner list --id --query "[].[displayName]" -o table az ad app list --show-mine # Get apps with generated secret or certificate az ad app list --query '[?length(keyCredentials) > `0` || length(passwordCredentials) > `0`].[displayName, appId, keyCredentials, passwordCredentials]' -o json +# Get Global Administrators (full access over apps) +az rest --method GET --url "https://graph.microsoft.com/v1.0/directoryRoles/1b2256f9-46c1-4fc2-a125-5b2f51bb43b7/members" +# Get Application Administrators (full access over apps) +az rest --method GET --url "https://graph.microsoft.com/v1.0/directoryRoles/1e92c3b7-2363-4826-93a6-7f7a5b53e7f9/members" +# Get Cloud Applications Administrators (full access over apps) +az rest --method GET --url "https://graph.microsoft.com/v1.0/directoryRoles/0d601d27-7b9c-476f-8134-8e7cd6744f02/members" + ``` {{#endtab }} @@ -793,7 +800,7 @@ Get-AzureADApplication -ObjectId | Get-AzureADApplicationOwner |fl * > Bu nedenle, bu **şifreyi** bulursanız, **tenant** içinde **service principal** olarak erişim sağlayabilirsiniz.\ > Bu şifrenin yalnızca oluşturulduğunda görünür olduğunu unutmayın (değiştirebilirsiniz ama tekrar alamazsınız).\ > **Uygulamanın** **sahibi**, ona **bir şifre ekleyebilir** (böylece onu taklit edebilir).\ -> Bu service principal'lar olarak oturum açma işlemleri **riskli olarak işaretlenmez** ve **MFA'ya sahip olmazlar.** +> Bu service principal olarak girişler **riskli olarak işaretlenmez** ve **MFA'ya sahip olmazlar.** Microsoft'a ait yaygın olarak kullanılan App ID'lerinin bir listesini [https://learn.microsoft.com/en-us/troubleshoot/entra/entra-id/governance/verify-first-party-apps-sign-in#application-ids-of-commonly-used-microsoft-applications](https://learn.microsoft.com/en-us/troubleshoot/entra/entra-id/governance/verify-first-party-apps-sign-in#application-ids-of-commonly-used-microsoft-applications) adresinde bulmak mümkündür. @@ -894,7 +901,7 @@ Get-AzDenyAssignment -Scope '/subscriptions/96231a05-34ce-4eb4-aa6a-70759cbb5e83 {{#tab name="Raw" }} ```bash -# Bir kaynağa ARM üzerinden doğrudan izinler alın +# Bir kaynağa ARM üzerinden doğrudan izinler alma $Token = (Get-AzAccessToken).Token $URI = 'https://management.azure.com/subscriptions/b413826f-108d-4049-8c11-d52d5d388768/resourceGroups/Research/providers/Microsoft.Compute/virtualMachines/infradminsrv/providers/Microsoft.Authorization/permissions?api-version=2015-07-01' $RequestParams = @{ @@ -958,7 +965,7 @@ az rest --method GET \ --query "value[]" \ --output json -# Bir hizmet ilkesi için atanmış Entra ID rollerini listele +# Bir hizmet ilkesine atanmış Entra ID rollerini listele az rest --method GET \ --uri "https://graph.microsoft.com/v1.0/servicePrincipals/$SP_ID/memberOf/microsoft.graph.directoryRole" \ --query "value[]" \ @@ -993,7 +1000,7 @@ Get-AzureADMSScopedRoleMembership -Id | fl * {{#tab name="az cli" }} ```bash -# Eğer bunu nasıl yapacağınızı biliyorsanız bir PR gönderin! +# Eğer bunu yapmayı biliyorsanız bir PR gönderin! ``` {{#endtab }} @@ -1079,7 +1086,7 @@ Get-AzureADMSAdministrativeUnit -Id $adminUnitObj = Get-AzureADMSAdministrativeUnit -Filter "displayname eq 'Test administrative unit 2'" # Yönetim biriminden etkilenen kullanıcıları, grupları ve cihazları listele Get-AzureADMSAdministrativeUnitMember -Id -# AU üyeleri üzerinde kullanıcıların sahip olduğu rolleri al +# Kullanıcıların AU üyeleri üzerindeki rollerini al Get-AzureADMSScopedRoleMembership -Id | fl #Rol kimliğini ve rol üyelerini al ```