Microsoft Entra'nın Conditional Access Optimization Agent genel kullanıma açıldı

Microsoft'un Entra ID için Temmuz 2025'te ilk kez tanıttığı Conditional Access Optimization Agent, Entra yönetim merkezine gömülü Security Copilot ile birlikte genel kullanıma ulaştı. Eduardo Silva'nın dev.to'daki yazısına göre agent, Entra yöneticilerinin iyi bildiği bir başarısızlık senaryosunu hedefliyor: aceleyle oluşturulmuş, hiçbir Conditional Access politikasına bağlanmamış ve aylarca sessizce korumasız kalmış bir kullanıcı ya da uygulama.

Agent gerçekte ne yapıyor

Yazıya göre agent, kiracı genelinde günlük bir tarama çalıştırıyor; önceki 24 saatte oluşturulan veya değiştirilen kullanıcıları, uygulamaları ve AI agent kimliklerini inceleyerek her birinin bir Conditional Access politikası kapsamında olup olmadığını kontrol ediyor. Politikaların çok faktörlü kimlik doğrulama zorunlu kılıp kılmadığına, uyumluluk denetimi, uygulama koruma politikaları veya domain join gibi cihaz tabanlı denetimler uygulayıp uygulamadığına, ayrıca eski kimlik doğrulama yöntemlerini ve device code akışını engelleyip engellemediğine özellikle bakıyor.

Boşluk tespiti işin yalnızca yarısı. Ayrıca etkinleştirilmiş politikaları inceleyip benzer olanları birleştirmeyi öneriyor; bu durum, yıllar içinde organik olarak büyüyen kiracılarda politika çoğalmasının sık bir kaynağı. Her öneri; tespit edilen boşluğu, önerilen politika türünü ve tahmini etkiyi kapsayan sade bir dille açıklamayla geliyor ve düzeltme tek tıkla uygulanabiliyor ya da denetim amaçlı belgelenmiş bir gerekçeyle reddedilebiliyor.

Etkinleştirmeden önce ön koşullar

dev.to yazısı pratik gereksinimleri sıralıyor. Lisanslama Microsoft Entra ID P1'den başlıyor; risk tabanlı öneriler için P2 gerekiyor, cihaz tabanlı denetimler için ise ayrıca Microsoft Intune lisansı şart. Agent, Security Compute Unit'leri yalnızca bir tarama gerçekten çalışırken kullanıyor, sürekli değil; bu birimler Security Copilot veya Azure portal üzerinden sağlanıyor.

Roller de önemli: ilk etkinleştirmeyi bir Security Administrator yapmalı, Security Reader ve Global Reader ise agent'ı ve önerilerini yalnızca görüntüleyebiliyor. Conditional Access Administrator'lar ise günlük işleyişte önerileri inceleyip uygulayabiliyor. Bir kez etkinleştirildiğinde agent her 24 saatte bir otomatik olarak yeniden çalışıyor.

Plan yaparken göz önünde bulundurulacak sınırlar

Yazı mevcut kısıtlamalara da değiniyor. Başlatılan bir çalışma duraklatılamıyor, her çalışma birleştirme için en fazla 40 benzer politika çiftini değerlendiriyor, tarama penceresi 24 saatle sınırlı ve tek bir çalışma 300 kullanıcı ile 150 uygulamayı kapsıyor. Bu nedenle büyük kiracılarda tam kapsam birden fazla döngü sürebilir.

2026 boyunca neler değişti

Temel boşluk tespitinin ötesinde agent; iş bağlamına duyarlı öneriler, yeni politikaların üretimde hepsini birden uygulamak yerine aşamalı olarak devreye alınması desteği ve AI agent kimlikleri için otomatik least-privilege zorlaması kazandı. Bu son yetenek, Copilot Studio ve üçüncü taraf araçlarla oluşturulan agent'ların yaygınlaşmasını yansıtıyor; bunlar giderek artan biçimde herhangi bir kimlik gibi politikaya tabi kimlikler olarak ele alınmayı gerektiriyor.

dev.to yazısında atıf yapılan Microsoft'un kendi kontrollü çalışmaları, agent'ı kullanan kimlik yöneticilerinin politika ile ilgili görevleri yüzde 43 daha hızlı tamamladığını ve yapılandırma zayıflıklarını yüzde 48 daha yüksek doğrulukla tespit ettiğini iddia ediyor. Şirket ayrıca Security Copilot'un Microsoft 365 E5 ve E7 lisanslarıyla ek ücret ödemeden geldiğini, bu planlardaki kuruluşlar için giriş eşiğini düşürdüğünü belirtiyor.

Neden önemli

Conditional Access kapsam boşlukları, kimlik yönetimindeki en sessiz güvenlik başarısızlıkları arasında ve hibrit ortamlar bunları daha da kötüleştiriyor: nesneler hem Entra Connect senkronizasyonu hem de yerel bulut sağlama yoluyla geldiğinden unutulmuş bir politikayı gözden kaçırmak kolay. Agent, tekrarlayan manuel bir denetimi otomatik ve açıklanabilir önerilere dönüştürüyor; bu, hesapların sürekli değiştiği ortamlarda özellikle değerli.

Ancak bu, yönetişimin yerine geçmiyor. Görev açısından kritik bir uygulamayı engelleme gibi iş kararları hâlâ bir insana ihtiyaç duyuyor; birleştirme önerileri, erişim desenleri yinelenmiş görünen ama aslında öyle olmayan servis hesaplarında yanılabilir ve kapsam neredeyse tam olsa bile taramalar compute unit tüketiyor. Yine de unutulmuş politikalara karşı otomatik bir güvence olarak, çoğu kiracının şu anda yalnızca periyodik manuel incelemeden elde ettiği bir görünürlük düzeyi sunuyor.