İçeriğe atla
Bilgi Merkezi/Makale
Makale

IAM (Kimlik ve Erişim Yönetimi) Nedir? PAM ve SSO

IAM, kimin hangi sisteme hangi yetkiyle erişeceğini yönetir. Kimlik yaşam döngüsünü, RBAC ve ABAC'ı, SSO'yu, PAM'i, bulutta IAM'i ve sık hataları anlattık.

Oğuzhan Gerçek··8 dk okuma
IAM (Kimlik ve Erişim Yönetimi) Nedir? PAM ve SSO

Kısa cevap: Kimlik ve erişim yönetimi (IAM), bir kurumda kimin hangi sisteme, hangi yetkiyle erişeceğini belirleyen süreç, politika ve teknolojilerin bütünüdür. Kimliklerin işe girişten ayrılışa kadar yönetilmesini, kimlik doğrulamayı, yetkilendirmeyi ve erişimin gözden geçirilmesini kapsar. Tek oturum açma (SSO) kullanıcıyı merkezi kimlik sistemine bağlar; ayrıcalıklı erişim yönetimi (PAM) yönetici hesaplarını tam zamanında erişim, parola kasası ve kayıtla denetler. Temel ilke en az yetkidir.

IAM nedir?

NIST sözlüğündeki tanıma göre IAM, kurumsal BT'de ağ kullanıcılarının rollerini ve erişim yetkilerini belirleyip yönetmektir. NSA ve CISA'nın Mart 2023 tarihli IAM rehberi amacı ekliyor: kullanıcılar veriye yalnızca uygun kimlik bilgileriyle erişmeli. AWS'nin tarifiyle IAM, kimin oturum açtığını (kimlik doğrulama) ve kimin yetkisi olduğunu (yetkilendirme) denetler. Doğrulama yöntemlerini MFA yazımızda anlattık.

Neden kurumsal güvenliğin temeli sayıldığını olaylar gösteriyor. Verizon'un 2026 DBIR raporuna göre 2025'te gündeme gelen bulut kaynaklı üçüncü taraf olaylarının önemli bir kısmı, güvensiz kimlik doğrulamaya ya da en az yetkinin uygulanmamasına dayanıyor. NIST'in CSF 2.0 çerçevesi de kimlik yönetimini, kimlik doğrulamayı ve erişim denetimini ayrı bir kategoride (PR.AA) topluyor.

Kimlik yaşam döngüsü: işe giriş, görev değişikliği, ayrılış

NSA ve CISA'nın rehberi yaşam döngüsünü üç olayla anlatıyor:

  • İşe giriş (join): İnsan kaynakları verisiyle kimlik kaydı oluşur, hesaplar yetkileriyle birlikte otomatik açılabilir.
  • Görev değişikliği (move): Yeni rolün yetkileri eklenir, gerekmeyenler kaldırılır. Rehbere göre bu adım yönetilmezse uzun süredir çalışan kullanıcılar yetki biriktirir.
  • Ayrılış (leave): Hesaplar ve yetkiler derhâl kapatılmalı.

CIS Controls v8.1 erişimin verilmesi ve geri alınması için tercihen otomatik bir süreç istiyor (6.1, 6.2). SaaS uygulamalarında hesapların otomatik açılıp kapanmasını sağlayan SCIM'i SaaS yazımızda anlattık.

Yetkilendirme: RBAC, ABAC ve en az yetki

  • RBAC (rol tabanlı erişim denetimi): NIST'in RBAC sayfasına göre her kullanıcıya bir ya da birden fazla rol, her role de bir ya da birden fazla yetki atanır. CIS'in 6.8 önlemi, rol haklarının belgelenip en az yılda bir gözden geçirilmesini istiyor.
  • ABAC (öznitelik tabanlı erişim denetimi): NIST SP 800-162'ye göre karar, öznenin, nesnenin, istenen işlemin ve gerektiğinde bağlam koşullarının öznitelikleri bir politikayla karşılaştırılarak verilir.

Ödünleşim belli. SP 800-162'ye göre RBAC rolleri görece durağan pozisyonlara dayanır ve dinamik kararlar için açılan çok sayıda küçük rol "rol patlaması" (role explosion) yaratır; ABAC ise yetkinin önceden tek tek kişilere atanmasını gerektirmez.

İki modelin ortak ilkesi en az yetki. NIST SP 800-53 Rev. 5'in tanımıyla her varlık yalnızca işlevi için gereken en az kaynağı ve yetkiyi alır. Katalogda ilke AC-6 kontrolünde duruyor; yetkilerin gözden geçirilmesi (AC-6(7)) ve ayrıcalıklı işlevlerin loglanması (AC-6(9)) geliştirmeleri arasında.

Tek oturum açma (SSO): SAML, OpenID Connect ve OAuth 2.0

SSO'da kullanıcı kimliğini bir kez kimlik sağlayıcıda (IdP) doğrular, uygulamalar bu doğrulamaya güvenir:

  • SAML 2.0: Mart 2005'te OASIS standardı olarak onaylandı; kimlik doğrulama, öznitelik ve yetki bilgisini XML biçimli beyanlarla (assertion) taşır.
  • OpenID Connect: Belirtimine göre OAuth 2.0'ın üstünde çalışan bir kimlik katmanı; doğrulamanın sonucunu JWT biçimli ID Token taşır.
  • OAuth 2.0 (RFC 6749): Bir yetkilendirme çerçevesi. Uygulama, kullanıcının parolası yerine sınırlı erişim için bir token alır; kimlik katmanını OpenID Connect ekler.

NSA ve CISA'nın rehberine göre SSO kullanıcının yükünü tek bir güçlü parolaya indirir, ama SSO çökerse bağlı bütün sistemlere erişim de kaybedilir. Kimlik sağlayıcıdaki hesap da bütün uygulamaların anahtarı olur: CISA'nın Scattered Spider uyarısında saldırganlar, yardım masasını kandırıp SSO kurulumlarındaki hesapları devralıyor.

Dizin hizmetleri: Active Directory ve Microsoft Entra ID

Active Directory Domain Services (AD DS), ağdaki nesnelerin bilgisini tutan dizin hizmetidir; Microsoft'a göre güvenliği oturum açma doğrulaması ve dizindeki nesnelere erişim denetimiyle sağlar. Microsoft Entra ID ise bulut tabanlı bir IAM hizmeti ve Azure Active Directory'nin 11 Temmuz 2023'te duyurulan yeni adı. Microsoft'un karşılaştırmasına göre kurum içi uygulamaların çoğu LDAP ya da NTLM ve Kerberos kullanıyor; SaaS uygulamaları ise OAuth 2.0, SAML ve WS-* ile Entra ID'ye bağlanabiliyor. AD kullanan kurumlar kimliklerini Entra Connect ile buluta eşitliyor.

PAM (ayrıcalıklı erişim yönetimi) nedir?

NIST'in NCCoE merkezine göre PAM, IAM'in ayrıcalıklı hesapların kullanımını izleyip denetleyen alanıdır: yönetici, acil durum, uygulama yönetimi ve servis hesapları. Bu hesaplar altyapıya yüksek, çoğu zaman sınırsız erişim verdiği için saldırganların hedefinde; korunmaları yine de eksik kalabiliyor. Verizon DBIR 2026'da incelenen bir bulut veri setinde kurumların %37'sinin bir IaaS hizmetinde MFA'sı kapalı bir yönetici hesabı vardı. PAM'in üç temel aracı var:

  • Tam zamanında (just-in-time) erişim: İngiltere'nin siber güvenlik merkezi NCSC'ye göre yönetici önce erişim talep eder; talebi başka bir yetkili kişi onaylarsa geçici bir kimlik bilgisi alır.
  • Parola kasası: NSA ve CISA'ya göre kapatılamayan varsayılan ve paylaşılan hesapların parolaları rastgele değerlere çevrilip bir parola kasasında korunabilir.
  • Oturum kaydı: NSA ve CISA, ayrı yönetici hesaplarını ve ayrıcalıklı erişimin kullanımını denetim kaydına alan PAM sistemlerini önerilen uygulamalar arasında sayıyor. NCSC'ye göre de yöneticinin her erişimde talep edip gerekçelendirdiği işlemler log'lanmalı ve denetime aktarılmalı.

Bulutta IAM: AWS IAM ve Azure RBAC

AWS'nin IAM güvenlik önerileri arasında kimlik sağlayıcı üzerinden geçici kimlik bilgileriyle giriş, MFA, en az yetkili izinler ve kullanılmayan kullanıcı, rol ve izinlerin düzenli temizlenmesi var. Azure RBAC sisteminde rol ataması bir güvenlik sorumlusu, bir rol tanımı ve bir kapsamdan oluşur; kapsam, yönetim grubundan tek bir kaynağa kadar dört düzeyde seçilebilir. Microsoft, geniş rolleri geniş kapsamlarda atamaktan kaçınmayı ve bir abonelikte en fazla 3 sahip (owner) tutmayı öneriyor. DBIR 2026'ya göre bulutta fazla yetki yaygın; üçüncü tarafların bulutundaki zayıf parola ve yetki yapılandırma bulgularının yarısının kapanması yaklaşık sekiz ay sürdü.

Zero trust ile ilişkisi

NIST SP 800-207 (Ağustos 2020), zero trust mimarisinde erişimin oturum bazında verilmesini ve kararın kimlik, uygulama ve cihaz durumu gibi dinamik bir politikaya dayanmasını istiyor. Kimlik doğrulama ve yetkilendirme oturum boyunca izlenir, gerekirse yenilenir. Belgeye göre zero trust kuran kurumda kimlik, kimlik bilgisi ve erişim yönetimi (ICAM) sistemleri hazır olmalı. Ağ tarafını ağ güvenliği yazımızda anlattık.

Sık hatalar, ISO 27001 ve KVKK

NSA ve CISA'nın Ekim 2023 tarihli en yaygın on yapılandırma hatası listesinde kullanıcı ve yönetici yetkilerinin ayrılmaması ile zayıf kimlik bilgisi hijyeni de var. Üç hata öne çıkıyor:

  • Sahipsiz hesaplar: Ayrılan çalışanın ya da tedarikçinin açık kalan hesabı. CIS'in 5.3 önlemi, 45 gün kullanılmayan hesapların silinmesini ya da devre dışı bırakılmasını istiyor.
  • Fazla yetki: Görev değişiklikleriyle biriken yetkiler (privilege creep), yüksek yetkili servis hesapları ve günlük işlerin yönetici hesabıyla yapılması.
  • Paylaşılan hesaplar: NSA ve CISA'ya göre paylaşılan parolalı yerel hesaplar (ör. root), saldırganın kimliğini belirlemeyi zorlaştırır ve kurum için hukuki ve adli sorun yaratır.

ISO/IEC 27002:2022 erişim denetimini temel başlıkları arasında sayıyor; denetimde istenen kanıtlar ISO 27001 yazımızda. KVKK'nın 12. maddesi de veri sorumlusundan, kişisel verilere hukuka aykırı erişimi önleyecek teknik ve idari tedbirleri almasını istiyor; genel çerçeveyi KVKK yazımızda anlattık. Kimlik katmanını kimlik yönetimi, uyum tarafını yönetişim, risk ve uyum hizmetimizde ele alıyoruz.

Sık sorulan sorular

Kimlik ve erişim yönetimi (IAM) ne demek? Kurumda kimin hangi sisteme, hangi yetkiyle erişeceğini belirleyen süreç, politika ve teknolojilerin bütünü demek.

PAM nedir? Ayrıcalıklı erişim yönetimi (privileged access management) demek. Yönetici, servis ve acil durum hesaplarını tam zamanında erişim, onay, parola kasası ve kayıtla denetleyen IAM alanıdır.

IAM ile PAM arasındaki fark nedir? IAM bütün kullanıcıların kimliğini ve erişimini yönetir. PAM onun bir alt alanıdır ve ayrıcalıklı hesaplara odaklanır.

SSO nedir? Tek oturum açma: kullanıcı kimliğini bir kez doğrular ve aynı oturumla birden fazla uygulamaya girer. SAML 2.0 ya da OpenID Connect gibi standartlarla kurulur.

RBAC ile ABAC arasındaki fark nedir? RBAC yetkiyi kullanıcının rolüne göre verir. ABAC ise kullanıcı, kaynak, işlem ve bağlam özniteliklerini bir politikayla karşılaştırır.

Kaynaklar