Genel Bakış
Identity as a Service (IDaaS), kurumların kullanıcı kimliklerini, kimlik doğrulama süreçlerini ve uygulama erişim yetkilerini bulut tabanlı merkezi bir platform üzerinden yönetmesini sağlayan hizmet modelidir. Tek oturum açma (SSO), çok faktörlü kimlik doğrulama (MFA), kullanıcı hesaplarının otomatik açılıp kapatılması (provisioning/deprovisioning), self-service parola sıfırlama ve erişim denetimi gibi yetenekler tek bir kimlik katmanında toplanır. Böylece çalışanlar, iş ortakları ve müşteriler; şirket içi, SaaS ve bulut uygulamalarına tek ve güvenilir bir kimlikle, tanımlı politikalar çerçevesinde erişir.
Kimlik, modern kurumsal güvenliğin yeni çevresidir. Uzaktan çalışma, SaaS uygulamalarının yaygınlaşması ve hibrit bulut mimarileri ile birlikte klasik ağ sınırı anlamını büyük ölçüde yitirmiştir. Saldırganlar artık güvenlik duvarını aşmaya çalışmak yerine çalınmış veya zayıf parolalarla doğrudan oturum açmayı tercih etmektedir. Kimlik avı (phishing), credential stuffing ve parola püskürtme (password spraying) saldırıları, merkezi ve güçlü bir kimlik yönetimi olmayan kurumlarda en sık başvurulan başlangıç vektörleridir. IDaaS, bu riski kimlik doğrulamanın kendisini güçlendirerek kaynağında azaltır.
Teknik açıdan IDaaS ekosistemi açık standartlar üzerine kuruludur. SAML 2.0 ve OpenID Connect (OIDC) web uygulamalarına federasyonlu oturum açmayı, OAuth 2.0 API erişim yetkilendirmesini, SCIM 2.0 ise kullanıcı ve grup bilgilerinin uygulamalara otomatik senkronizasyonunu sağlar. FIDO2/WebAuthn ve passkey teknolojileri parolasız ve kimlik avına dirençli kimlik doğrulamayı mümkün kılar. Microsoft Entra ID, Okta ve açık kaynak Keycloak bu alanda öne çıkan platformlardır; mevcut Active Directory veya LDAP dizinleri ise senkronizasyon ajanları aracılığıyla bulut kimlik katmanına bağlanır.
Merkezi kimlik yönetimi olmayan kurumlarda riskler hızla birikir. Her uygulamanın ayrı kullanıcı veritabanı, farklı parola politikaları ve dağınık yetkiler anlamına gelmesi; işten ayrılan personelin hesaplarının haftalarca açık kalmasına, sahipsiz (orphan) hesapların ve aşırı yetkilerin oluşmasına yol açar. Denetim zamanı geldiğinde "kim, hangi sisteme, hangi yetkiyle erişiyor?" sorusu yanıtlanamaz. KVKK kapsamında kişisel verilere erişimin kontrol altında tutulması ve kayıt altına alınması beklenirken, dağınık kimlik yapısı hem ihlal riskini hem de idari yaptırım riskini artırır. Yardım masasına gelen parola sıfırlama talepleri de gizli ama ciddi bir operasyon maliyeti üretir.
Indexline, IDaaS'ı bir lisans kurulumu olarak değil, yönetilen bir kimlik operasyonu olarak ele alır. Mevcut dizin yapınızı, uygulama envanterinizi ve erişim süreçlerinizi analiz ederek ihtiyacınıza uygun platformu birlikte belirleriz; ardından mimariyi tasarlar, uygulama entegrasyonlarını yapar, MFA ve koşullu erişim politikalarını devreye alır ve canlıya geçiş sonrasında platformu sürekli işletiriz. Kimlik olaylarının izlenmesi, şüpheli oturum açmaların analizi, yeni uygulamaların SSO kapsamına alınması, politika güncellemeleri ve periyodik erişim gözden geçirmeleri Indexline'ın yönetilen hizmet kapsamında yürütülür; ekipleriniz ise iş önceliklerine odaklanır.
Nasıl Çalışır?
Kimlik Envanteri ve Analiz: Mevcut Active Directory/LDAP dizinleri, kullanıcı türleri, uygulama envanteri, kimlik doğrulama yöntemleri ve erişim süreçleri analiz edilir; sahipsiz hesaplar ve aşırı yetkiler raporlanır.
Mimari ve Platform Seçimi: İş gereksinimleri, regülasyon ve bütçe doğrultusunda Entra ID, Okta veya Keycloak gibi uygun platform belirlenir; hibrit dizin senkronizasyonu, federasyon ve yüksek erişilebilirlik mimarisi tasarlanır.
Dizin Senkronizasyonu: Kurum içi dizin ile bulut kimlik katmanı arasında güvenli senkronizasyon kurulur; kimlik kaynağı (source of truth), öznitelik eşlemeleri ve grup yapısı netleştirilir.
Uygulama Entegrasyonu: SaaS, web ve şirket içi uygulamalar SAML 2.0 veya OpenID Connect ile SSO kapsamına alınır; desteklenen uygulamalarda SCIM 2.0 ile otomatik hesap açma ve kapatma yapılandırılır.
MFA ve Koşullu Erişim: Kullanıcı, cihaz, lokasyon ve risk sinyallerine dayalı koşullu erişim politikaları tanımlanır; FIDO2, passkey, push bildirim veya TOTP tabanlı MFA kademeli olarak devreye alınır.
Yaşam Döngüsü Otomasyonu: İK sistemi ile entegrasyon kurularak işe giriş, pozisyon değişikliği ve işten ayrılma (joiner-mover-leaver) süreçlerinde hesap ve yetki değişiklikleri otomatik uygulanır.
Pilot ve Kademeli Geçiş: Önce pilot kullanıcı grubu ile canlı ortam doğrulanır; kullanıcı eğitimi ve iletişim planı eşliğinde departman bazlı geçiş yapılarak iş kesintisi önlenir.
Yönetilen Operasyon ve İyileştirme: Kimlik olayları 7/24 izlenir, şüpheli oturum açmalar analiz edilir, periyodik erişim gözden geçirmeleri yürütülür ve aylık raporlarla politika ve kapsam sürekli iyileştirilir.
Temel Özellikler
Tek Oturum Açma (SSO)
Kullanıcılar tek kimlikle tüm SaaS, web ve kurum içi uygulamalara erişir. SAML 2.0 ve OpenID Connect ile standart tabanlı federasyon sağlanır.
Çok Faktörlü Kimlik Doğrulama
FIDO2 güvenlik anahtarları, passkey, push bildirim ve TOTP seçenekleriyle kimlik avına dirençli MFA katmanı oluşturulur.
Koşullu ve Risk Tabanlı Erişim
Cihaz uyumluluğu, lokasyon, oturum riski ve kullanıcı rolüne göre erişim dinamik olarak izin verilir, ek doğrulama istenir veya engellenir.
Otomatik Provisioning
SCIM 2.0 ve İK entegrasyonu ile hesaplar işe girişte otomatik açılır, işten ayrılışta entegre edilmiş tüm uygulamalarda anında kapatılır.
Hibrit Dizin Entegrasyonu
Mevcut Active Directory ve LDAP altyapısı korunarak bulut kimlik katmanına güvenli biçimde bağlanır; çift kimlik yönetimi ortadan kalkar.
Self-Service Portal
Kullanıcılar parola sıfırlama, MFA cihazı kaydı ve uygulama erişim talebini kendi başlarına yapar; yardım masası yükü azalır.
Erişim Gözden Geçirme
Periyodik erişim sertifikasyon kampanyaları ile yöneticiler ekiplerinin yetkilerini onaylar veya kaldırır; denetim kanıtı otomatik üretilir.
Kimlik Olay İzleme
Oturum açma ve yönetim logları SIEM'e aktarılır; imkânsız seyahat, olağan dışı lokasyon ve parola püskürtme gibi anomaliler 7/24 izlenir.
Faydalar ve Avantajlar
Çalınmış parolalarla yapılan yetkisiz erişim riski, güçlü MFA ve koşullu erişim politikalarıyla belirgin biçimde azalır.
İşten ayrılan personelin kimlik platformuna bağlı uygulamalardaki erişimi dakikalar içinde kapatılır; sahipsiz hesap riski büyük ölçüde ortadan kalkar.
Kullanıcılar tek kimlikle tüm uygulamalara erişir; parola yorgunluğu biter, verimlilik ve kullanıcı memnuniyeti artar.
Parola sıfırlama ve hesap açma talepleri self-service ve otomasyonla çözüldüğü için yardım masası maliyeti düşer.
Kullanıcı erişimleri ve yetki değişiklikleri merkezi olarak kayıt altına alınıp anlık raporlanabildiği için KVKK, ISO 27001 ve sektörel denetimlere hazırlık kolaylaşır.
Yeni SaaS uygulamaları ve satın alınan şirketler standart entegrasyon süreciyle günler içinde kimlik altyapısına dahil edilir.
Yönetilen hizmet modeli sayesinde uzman kimlik ekibi kurma ihtiyacı olmadan 7/24 izlenen, sürekli güncellenen bir kimlik platformuna sahip olunur.
Sektörel Kullanım Senaryoları
Finans / Bankacılık
Katılım bankası, 40'tan fazla iç uygulamayı SSO kapsamına aldı ve ayrıcalıklı işlemler için FIDO2 zorunluluğu getirdi; denetimde erişim raporu hazırlama süresi haftalardan saatlere indi.
Sağlık
Hastane grubu, vardiyalı çalışan sağlık personeli için hızlı ve güvenli oturum açma sağladı; HBYS ve PACS erişimleri rol bazlı yetkilendirildi, hasta verisine erişim kayıt altına alındı.
Üretim
Çok lokasyonlu üretici, fabrika ve merkez kullanıcılarını tek kimlik altyapısında birleştirdi; İK entegrasyonu ile hesap açma süresi 3 günden 15 dakikaya düştü.
Perakende / E-Ticaret
Mağaza çalışanlarının sık el değiştirmesi nedeniyle oluşan sahipsiz hesaplar otomatik deprovisioning ile temizlendi; parola sıfırlama talepleri %60 azaldı.
Kamu
Kamu kurumu, kişisel veri işleyen uygulamalarda koşullu erişim ve MFA zorunluluğunu devreye aldı; KVKK erişim denetimi gereksinimleri merkezi loglarla belgelendi.
Eğitim
Üniversite, öğrenci ve akademisyenler için öğrenme yönetim sistemi, e-posta ve kütüphane servislerine tek kimlikle erişim sağladı; dönem başı hesap açma yükü tamamen otomatikleşti.
Indexline Yaklaşımı
Kimlik projeleri teknolojiden çok süreçle ilgilidir. Bir IDaaS platformunu kurmak birkaç haftada mümkündür; ancak kimlik kaynağının ne olacağı, rollerin nasıl tanımlanacağı, kimin hangi erişimi onaylayacağı ve işten ayrılma sürecinin nasıl tetikleneceği netleşmediğinde platform yalnızca dağınıklığı buluta taşır. Indexline bu nedenle her projeye İK, BT, güvenlik ve iş birimleriyle birlikte yürütülen bir kimlik yönetişimi çalışmasıyla başlar ve teknik tasarımı bu süreç modelinin üzerine kurar.
Zero Trust yaklaşımında (NIST SP 800-207) her erişim talebi, ağ konumundan bağımsız olarak kimlik, cihaz ve bağlam bilgisiyle doğrulanır. IDaaS, bu mimaride politika karar noktasına (PDP) kimlik ve bağlam sinyallerini sağlayan, koşullu erişim motoru sayesinde çoğu senaryoda bu kararı bizzat veren temel bileşendir. Indexline, koşullu erişim politikalarını tek seferde katı biçimde uygulamak yerine önce raporlama modunda çalıştırır, etkisini ölçer ve ardından kademeli olarak zorunlu hale getirir. Böylece güvenlik seviyesi yükselirken kullanıcıların işini yapamaz duruma düşmesi engellenir.
Parolasız kimlik doğrulama, güvenlik ile kullanıcı deneyiminin aynı yönde ilerlediği nadir alanlardan biridir. SMS ve basit onay bildirimleri, kimlik avı ve MFA yorgunluğu (MFA fatigue) saldırılarına karşı sınırlı koruma sağlar. Indexline, özellikle yönetici ve ayrıcalıklı hesaplardan başlayarak FIDO2 güvenlik anahtarları ve passkey kullanımını yaygınlaştırmayı, numara eşleştirmeli push doğrulamayı ise geçiş dönemi standardı olarak konumlandırmayı önerir.
IDaaS, ayrıcalıklı erişim yönetiminin yerine geçmez; onunla birlikte çalışır. Son kullanıcı kimlikleri IDaaS platformunda yönetilirken, sunucu, veritabanı ve ağ cihazlarına yönelik yüksek yetkili erişimler IAM & PAM çözümleriyle oturum kaydı, kasada saklanan kimlik bilgileri ve tam zamanında (just-in-time) yetki modeliyle kontrol edilmelidir. Indexline bu iki katmanı tek bir kimlik stratejisi altında tasarlayarak kimlik olaylarını SIEM üzerinde birlikte ilişkilendirir.
Yönetilen hizmet modelimizde canlıya geçiş, işin başlangıcıdır. Kimlik platformları sürekli değişir: yeni uygulamalar eklenir, organizasyon yapısı güncellenir, saldırı teknikleri evrilir ve platform sağlayıcıları yeni özellikler yayınlar. Indexline; politika sağlığını, MFA kapsamını, sahipsiz hesap sayısını, başarısız oturum açma trendlerini ve erişim gözden geçirme tamamlanma oranlarını aylık olarak raporlar, bulgulara göre yol haritasını günceller ve kimlik altyapınızın her zaman güncel tehditlere karşı hazır kalmasını sağlar.
Sık Sorulan Sorular
IDaaS ile kurum içi Active Directory arasındaki fark nedir?
Active Directory, kurum içi ağdaki Windows sistemleri için tasarlanmış bir dizin hizmetidir ve Kerberos/LDAP protokolleriyle çalışır. IDaaS ise SaaS ve bulut uygulamalarına SAML, OpenID Connect ve OAuth 2.0 gibi modern protokollerle erişimi yönetir, MFA ve koşullu erişim gibi yetenekleri bulut üzerinden sunar. Çoğu kurumda ikisi birlikte çalışır: AD kimlik kaynağı olmaya devam ederken IDaaS bulut erişiminin kontrol katmanı olur.
Mevcut Active Directory yapımızı değiştirmemiz gerekir mi?
Hayır. Senkronizasyon ajanları aracılığıyla mevcut AD veya LDAP dizininiz bulut kimlik katmanına bağlanır; kullanıcılar mevcut kimlik bilgileriyle oturum açmaya devam eder. Geçiş öncesinde dizin temizliği (eski hesaplar, tutarsız öznitelikler, gereksiz gruplar) yapılması önerilir; bu çalışma analiz aşamasının parçasıdır.
Hangi IDaaS platformunu seçmeliyiz?
Seçim; mevcut ekosisteminize, uygulama envanterinize, regülasyon gereksinimlerinize ve bütçenize bağlıdır. Microsoft 365 ağırlıklı kurumlar için Entra ID doğal bir tercih olabilir; geniş SaaS entegrasyon kataloğu ve sağlayıcıdan bağımsızlık önemliyse Okta değerlendirilebilir; verinin tamamen kendi altyapınızda kalması gerekiyorsa açık kaynak Keycloak kurum içi veya yerli bulutta işletilebilir. Indexline bu kriterleri birlikte değerlendirerek tarafsız bir öneri sunar.
IDaaS kullanırken KVKK uyumu nasıl sağlanır?
Kimlik verileri kişisel veri niteliğindedir; bu nedenle verinin işlendiği lokasyon, yurt dışına aktarım durumu ve veri işleme sözleşmeleri değerlendirilmelidir. Yurt dışında barındırılan platformlarda KVKK'nın yurt dışına aktarım hükümleri dikkate alınmalıdır; veri yerelleştirme zorunluluğu olan kurumlar için Keycloak gibi çözümler Türkiye lokasyonlu altyapıda işletilebilir. Merkezi erişim logları ve erişim gözden geçirmeleri, KVKK kapsamındaki teknik tedbirlerin belgelenmesini de kolaylaştırır.
SSO tek bir hata noktası oluşturmaz mı?
Doğru tasarlanmış bir IDaaS mimarisi yüksek erişilebilirlik üzerine kuruludur; bulut platformlar çoklu bölgede çalışır, kurum içi bileşenler ise yedekli kurulur. Ayrıca platform erişilemez olduğunda kullanılacak acil durum (break-glass) hesapları, güvenli biçimde saklanan güçlü kimlik bilgileriyle tanımlanır ve her kullanımı alarm üretecek şekilde izlenir. Güvenlik açısından ise tek ve güçlü korunan bir kimlik noktası, onlarca zayıf parolalı uygulamadan çok daha savunulabilirdir.
Hangi MFA yöntemi en güvenlidir?
FIDO2/WebAuthn tabanlı güvenlik anahtarları ve passkey'ler, kimlik doğrulamayı alan adına kriptografik olarak bağladığı için kimlik avına karşı dirençlidir. NIST SP 800-63B çerçevesinde donanım tabanlı FIDO2 güvenlik anahtarları en yüksek güvence seviyesi olan AAL3 gereksinimlerini karşılayabilirken, cihazlar arasında senkronize edilen passkey'ler AAL2 düzeyinde kimlik avına dirençli doğrulama sağlar. Numara eşleştirmeli push bildirim ve TOTP uygulamaları iyi bir orta seviye sunar. SMS ve sesli arama ise SIM swap ve kimlik avı riskleri nedeniyle yalnızca geçiş dönemi veya yedek yöntem olarak önerilir.
Kurum içi (legacy) uygulamalar da SSO kapsamına alınabilir mi?
Evet. SAML veya OIDC desteklemeyen eski web uygulamaları; uygulama proxy'leri, header tabanlı kimlik doğrulama veya reverse proxy çözümleriyle IDaaS arkasına alınabilir. Bu yöntemle uygulamayı internete doğrudan açmadan, koşullu erişim ve MFA koruması altında uzaktan erişim sağlanır. Hiçbir modern yöntemi desteklemeyen uygulamalar için parola kasası (password vaulting) tabanlı SSO alternatif olarak kullanılabilir.
IDaaS geçişi ne kadar sürer ve kullanıcıları nasıl etkiler?
Orta ölçekli bir kurumda analiz, tasarım ve ilk uygulama grubunun entegrasyonu genellikle 6-10 hafta sürer; kalan uygulamalar dalgalar halinde kapsama alınır. Geçiş pilot grup ile başlar, kullanıcılara MFA kaydı ve yeni oturum açma deneyimi için kısa rehberler ve eğitimler sunulur. Kademeli yaklaşım sayesinde kullanıcılar için kesinti yaşanmaz; çoğu kullanıcı için sonuç, daha az parola ve daha hızlı erişimdir.