1. GİRİŞ

Identity Management (kimlik yönetimi), bir organizasyonun kullanıcı, servis ve cihaz kimliklerini güvenli, tutarlı ve izlenebilir biçimde yönetme disiplinidir. Bulut adoptasyonu, mikroservis mimarileri, mobil uygulamalar ve API ekonomisinin yaygınlaşmasıyla kimlikler artık sadece kullanıcı parolalarından ibaret değildir. Kimlikler erişim yetkilerini, iş akışlarını ve uyumluluk gereksinimlerini doğrudan etkiler; bu yüzden kimlik yönetimi kurumsal güvenliğin temel taşlarından biri haline gelmiştir.

Bu konu neden bugün önemli?

• Dağıtık sistemler, çoklu bulut ve third‑party entegrasyonlar kimlik yüzeyini genişletti.
• SSO, OAuth/OIDC, API token'ları, servis hesapları ve cihaz kimlikleri karmaşıklığı arttırdı.
• Regülasyonlar (GDPR, KVKK, PCI) kimlik doğrulama ve erişim yönetimini denetimli hale getirdi.

Kimler için önemli?

• Kimlik yöneticileri ve platform mühendisleri
• Güvenlik mühendisleri ve uyum ekipleri
• DevOps, SRE ve uygulama geliştiriciler
• Ürün yöneticileri ve CTO/CISO

Hangi problemleri çözüyor?

• Merkezi yetki ve kimlik yönetimi ile yetki aşımını engellemek
• Provisioning, deprovisioning süreçlerini otomatikleştirerek insan hatasını azaltmak
• Audit, reporting ve erişim governance ile uyumluluk sağlamak

2. KAVRAMSAL TEMELLER

2.1 Temel tanımlar

• Identity: Bir kullanıcı, servis veya cihazın dijital temsili (ör. userId, service account).
• Authentication (kimlik doğrulama): Bir iddianın doğrulanması (şifre, MFA, sertifika, WebAuthn).
• Authorization (yetkilendirme): Kimliğin hangi kaynaklara hangi haklarla erişebileceğinin belirlenmesi (RBAC, ABAC, PBAC).
• Provisioning / Deprovisioning: Kimlik yaşam döngüsünün yaratılması, güncellenmesi ve iptali süreçleri.
• Identity Provider (IdP): Kimlik doğrulama ve token hizmeti sağlayan sistem (Okta, Azure AD, Keycloak vb.).
• SSO (Single Sign‑On): Tek bir kimlik ile birden çok uygulamaya erişim sağlayan yapı.

2.2 IAM bileşenleri

• Directory / identity store (LDAP, Active Directory, cloud directories)
• Identity Provider (authentication, token issuance)
• Access Management (authorization, policy engine)
• Provisioning tooling (SCIM, HR connectors, identity orchestration)
• Privileged Access Management (PAM), credential vaults
• Audit, reporting ve governance araçları

3. NASIL ÇALIŞIR?

3.1 Sistem mimarisi

Modern kimlik platformu bir IdP, bir veya daha fazla identity store, bir policy engine (OPA, cloud policy), provisioning katmanı ve entegre audit/telemetry katmanından oluşur. IdP, authentication akışlarını (SAML/OIDC/OAuth2) yönetir; policy engine authorization kararlarını verir; provisioning katmanı kullanıcıları HR sisteminden, LDAP'tan veya SaaS uygulamalarından senkronize eder.

3.2 Veri akışı — örnek kullanıcı login akışı

1. Kullanıcı frontend'den login isteği başlatır → IdP'ye yönlendirilir (OIDC/SAML).
2. IdP kimliği doğrular (şifre + MFA) → Authorization code / token üretir.
3. Client token ile resource server'a istek yapar; resource server audience ve scope kontrolü yapar.
4. Audit: login event, device, geo ve risk score IdP/ SIEM'e gönderilir.

3.3 Provisioning örneği

Provisioning: HR system → identity orchestration → create user in directory → assign roles/groups → provision to SaaS apps via SCIM. Deprovisioning: termination in HR triggers deprovision pipeline that removes access and notifies downstream apps.

4. GERÇEK DÜNYA KULLANIMLARI

4.1 Netflix / Large‑scale identity patterns

Büyük ölçekli organizasyonlar merkezi IdP ile SSO, fine‑grained roles ve service account yönetimini platform seviyesinde sağlar. Observability ve anomaly detection ile kimlik tabanlı riskleri gerçek zamanlı tespit ederler.

4.2 Amazon / AWS IAM örnekleri

Cloud sağlayıcılarının IAM modelleri (AWS IAM, Azure RBAC) kaynak bazlı politika ve rol atamalarına izin verir. Least privilege politika uygulaması, permission boundaries, and role‑assumption patterns kritik öneme sahiptir.

4.3 Enterprise HR‑driven provisioning

Pek çok kurum kimlik yaşam döngüsünü HR system ile entegre eder; onboarding and offboarding süreçleri otomatikleşir. Bu, insan hatasından kaynaklanan uzun yetki sürelerini azaltır.

5. AVANTAJLAR VE SINIRLAMALAR

Avantajlar

• Merkezi kimlik kontrolü, governance ve audit sağlar
• Provisioning automation operasyonel maliyetleri ve riskleri azaltır
• PAM ve least‑privilege uygulamaları ile kritik yetkiler daha güvenli yönetilir

Sınırlamalar

• Yanlış konfigürasyon IdP veya provisioning hataları geniş çaplı erişim sorunlarına yol açabilir
• Legacy sistemler modern IAM ile entegre etmek maliyetli ve zaman alıcıdır
• Kimliklerin genişlemesi (service accounts, API keys) yönetim karmaşıklığını artırır

6. ALTERNATİFLER VE KARŞILAŞTIRMA

7. EN İYİ PRATİKLER

Production kullanımı

• Least privilege: roller ve izinleri minimize edin; permission reviews rutinleştirin.
• MFA zorunlu kılın; phishing‑resistant MFA (FIDO2) kritik kullanıcılar için tercih edilsin.
• Provisioning otomasyonunu HR‑first model ile kurun; deprovisioning SLA belirleyin.
• PAM kullanarak privileged credentials'ı vault içinde yönetin ve oturumları izleyin.
• IdP konfigürasyonlarında redirect_uri, claim mapping ve token lifetime ayarlarını dikkatle yönetin.

Performans ve operasyon

• High availability IdP ve redundant directories kullanın; latency ve throttling politikalarını değerlendirin.
• Audit ve SIEM entegrasyonu ile authentication ve authorization olaylarını korele edin.
• Policy as code: OPA/Rego veya benzeri ile politikaları merkezi ve test edilebilir hale getirin.

Güvenlik

• Key management: signing keys KMS/HSM üzerinde tutulsun ve rotasyon politikası olsun.
• Service account lifecycle: isimlendirme, expiration, rotation ve owner takibi zorunlu olsun.
• Continuous monitoring: anomalous login, impossible travel, brute‑force ve token misuse tespitleri için ML destekli detection kullanın.

8. SIK YAPILAN HATALAR

• Provisioning'i manuel tutmak; offboarding gecikmeleriyle erişim kalması.
• Service account ve API key'leri yönetmeden bırakmak; rotate etmeme.
• MFA opsiyonel bırakmak veya weak MFA (SMS) kullanmak.
• Excessive privileges: geniş scope ve global admin atamaları.
• Audit loglarını saklamamak veya izlememek; forensics imkanını kaybetmek.

9. GELECEK TRENDLER

AI ve adaptive identity

AI, risk‑based authentication ve adaptive authorization için kullanılıyor. Kullanıcı davranışı, device posture ve telemetri analizleriyle real‑time risk scoring yapılacak ve dinamik ek doğrulamalar tetiklenecek.

Decentralized identity ve verifiable credentials

DID ve verifiable credentials, kullanıcı merkezli kimlik yönetimini getiriyor; enterprise entegrasyonları için standartlar olgunlaştıkça adoption artacak.

Identity governance automation

Roles, access reviews, attestation ve certification süreçleri otomatikleştirilecek; policy violations otomatik remediate edilebilecek.

EK BÖLÜMLER

Sık Sorulan Sorular (FAQ)

1. 1. SCIM nedir ve neden kullanılır?

   SCIM (System for Cross‑domain Identity Management), kimlik provisioning ve senkronizasyon için standarttır. HR‑driven provisioning ve SaaS uygulamalarına otomatik user create/update/delete işlemleri için kullanılır.

2. 2. PAM ile IAM arasındaki fark nedir?

   PAM (Privileged Access Management) sadece kritik ve yüksek ayrıcalıklı hesapların yönetimi, oturum kontrolü ve credential vault'ı ile ilgilenir; IAM ise tüm kimlik yaşam döngüsünü kapsar.

3. 3. FIDO2 neden önemli?

   FIDO2 phishing‑resistant, passwordless authentication sağlar; phishing ve credential stuffing risklerini büyük ölçüde azaltır.

4. 4. Role explosion nasıl yönetilir?

   Attribute‑based policies (ABAC), role templating ve role mining araçları ile role proliferation kontrol altına alınabilir.

5. 5. Identity governance için en önemli metrikler nelerdir?

   Orphan accounts, time to deprovision, privileged access count, access review completion rate ve privileged session monitoring gibi metrikler önemlidir.

6. 6. Self‑service password reset nasıl güvenli hale getirilmeli?

   MFA, verification channels, rate limiting ve suspicious activity monitoring ile SSPR güvenli hale getirilir.

7. 7. Identity as a service (IDaaS) tercih edilmeli mi?

   IDaaS hızlı entegrasyon, enterprise features ve uptime sağlar; ancak vendor lock‑in ve veri residency gereksinimleri değerlendirilmelidir.

8. 8. Kimlik yönetimi projelerinde başlangıç adımları nelerdir?

   Current state inventory, critical use cases belirleme, HR integration planı, IdP seçimi ve pilot uygulama ile başlayın. Ardından provisioning, SSO ve PAM adımlarını kademeli uygulayın.

Anahtar Kavramlar

• IdP: Identity Provider — kimlik doğrulama ve token hizmeti.
• SCIM: User provisioning standardı.
• PAM: Privileged Access Management — ayrıcalıklı hesap yönetimi.
• FIDO2/WebAuthn: Phishing‑resistant authentication standardları.
• ABAC / RBAC: Attribute ve role based access control modelleri.

Öğrenme Yol Haritası

1. 0–1 ay: Kimlik temel kavramları, OIDC/OAuth2, SAML, LDAP/AD temellerini öğrenin.
2. 1–3 ay: IdP konfigürasyonu, SCIM ve provisioning pratiklerini uygulayın; PAM kavramlarını çalışın.
3. 3–6 ay: Policy as code, OPA, ABAC uygulamaları ve role management süreçlerini deneyimleyin.
4. 6–12 ay: Decentralized identity, verifiable credentials, FIDO2 ve identity governance automation projelerinde deneyim kazanın.