Registered, joined ve hybrid joined cihazlar; Windows Hello’nun bu resimdeki yeri.

1. Core Mechanism / Temel mekanizma

Cihaz tartışmalarında üç soru karıştırılır: cihaz hangi dizine bağlı, kullanıcı nasıl oturum açıyor, cihaz nasıl yönetiliyor. Registered, joined ve hybrid joined dizin ilişkisini; parola, PIN, biometric, FIDO2 ve Windows Hello for Business oturum açma yöntemini; MDM, Group Policy ve co-management ise yönetimi anlatır. Device registration, cihaz kimliğine dayanan cloud authentication'ın temelidir; tek başına yönetim veya compliance kanıtı değildir.

Arabirimler ve belirtimler

• Microsoft Entra registered (workplace joined): cihaz Entra ID'ye kaydedilir, ancak Windows'a oturum açmak için organizasyon hesabı gerekmez. BYOD ve mobil senaryolarında yaygındır; sahiplik kullanıcıda kalabilir ve kullanıcı cihaza yerel hesapla oturum açar. Registration tek başına MDM enrollment anlamına gelmez; cihaz yönetimi ve app protection ayrı kontrollerdir.
• Microsoft Entra joined: cihaz Entra ID'ye join edilir; kurumsal kullanıcı Windows'a Entra hesabıyla oturum açar. Yerel hesap veya uygun cached sign-in yolları ayrıca vardır; join türü her oturumun çevrimiçi doğrulandığını göstermez. Bu cihazlar çoğunlukla kuruma aittir; MDM ve co-management ayrı yönetim yapılandırmalarıdır.
• Microsoft Entra hybrid joined cihaz, on-premises AD domain’ine bağlıdır ve Entra ID’de kayıtlıdır. Cihaz parolasını değiştirme, cached kullanıcı parolasını yenileme ve TPM reset gibi işlemler için periyodik DC erişimi gerekir. Bu bağımlılık bütün cloud erişiminin duracağı anlamına gelmez: Windows 10/11’de hybrid join tamamlandıktan ve kullanıcı en az bir kez oturum açtıktan sonra, parola değişikliği istisnasıyla internet üzerinden Entra uygulamalarına SSO mümkündür.
• Belgelenen device registration akışında istemci Azure Device Registration Service'e (DRS) discovery isteği gönderir. İstemci 2048 bitlik RSA device key çifti oluşturur; bu anahtarın tercihen TPM'e bağlı olması önerilir. Ayrıca TPM storage root key'den bir transport key türetilir.
• Kayıt isteği ID token, certificate request, tkpub ve attestation verisini taşır. Azure DRS ID token'ı doğrular, device ID ve device certificate oluşturur, Entra ID'de device object yazar ve yanıtı istemciye gönderir. Windows'ta MS-Organization-Access sertifikası joined/hybrid joined için Local Computer\Personal\Certificates, registered için Current User\Personal\Certificates store'una kurulur. Device ID dsregcmd.exe /status ile görüntülenebilir.
• Windows Hello, kullanıcıların Windows cihazlarına parola yerine biometric veri ya da PIN ile oturum açmasını sağlayan kimlik doğrulama teknolojisidir. Windows Hello for Business bunun kurumsal uzantısıdır; key-based ya da certificate-based doğrulama kullanır ve kullanıcı Entra ID hesabına, Active Directory hesabına veya FIDO v2.0 destekleyen bir IdP'ye doğrulanabilir.
• Windows Hello for Business iki faktörlüdür: cihaza özgü bir credential ile biometric ya da PIN gesture birlikte kullanılır. Provisioning sırasında kullanıcı iki adımlı doğrulamadan geçer, sonra gesture belirlenir; PIN cihazdan çıkmaz ve yerleşik brute force koruması vardır.

Üç durum, tek bir kayıt mekanizması

Registered, joined ve hybrid joined ayrımını iki soruyla oku. Windows'un kurumsal oturumu hangi hesap otoritesine dayanıyor? Registered kayıt, mevcut Windows logon'unu Entra'ya taşımaz; Entra joined kurumsal oturum Entra hesabını, hybrid joined kurumsal oturum AD hesabını kullanır. Yerel hesaplar ve cached sign-in ayrı yollardır. Cihaz on-premises AD domain'ine de bağlı mı? Bu üç Entra durumundan yalnız hybrid joined için evet.

Device registration bu cihaz durumlarının ortak mekanizmasıdır ve cihaz kimliğine dayanan cloud authentication'ı mümkün kılar: cihaz Azure DRS'e kaydolur, device ID ve device certificate alır ve Entra ID'de bir device object oluşturulur. Bu nedenle cihazın Entra ID'de görünmesi tek başına join veya yönetim durumunu göstermez; registered bir BYOD cihazında da device object bulunur.

Anahtar nerede üretilir, ne korur?

Belgelenen registration akışı 2048 bitlik RSA device key çifti oluşturur; anahtarın tercihen TPM'e bağlı olması önerilir. Private key, cihazın device identity'sine sahip olduğunu kanıtlamak için kullanılır. Aynı akışta TPM storage root key'den ayrı bir transport key türetilir.

Azure DRS kayıt isteğinin ID token'ını doğrular, device ID ve device certificate oluşturur; Entra ID'de device object oluşur. Windows'ta sertifika store'u join türüne bağlıdır: joined/hybrid joined Local Computer Personal, registered Current User Personal kullanır. Device identity kullanıcı kimliğinden ayrı bir eksendir; Conditional Access ikisini ayrı girdiler olarak değerlendirebilir.

Device identity ile cihazın compliance durumu ayrı sinyallerdir. Registration device identity'yi oluşturur; compliance ise cihaz yönetimi üzerinden değerlendirilir. Registered cihazlarda compliance tabanlı Conditional Access için Intune gibi bir MDM'e enrollment gerekir; app-protection policy ayrı bir yönetim yoludur.

Windows Hello for Business ayrı bir eksendir

Windows Hello for Business sık sık bir cihaz join durumu gibi konuşulur; değildir. Join durumu cihazın hangi dizine bağlı olduğunu söyler; Windows Hello for Business ise kullanıcının hangi kimlik materyaliyle doğrulandığını söyler. Microsoft Learn bunu Windows Hello'nun kurumsal uzantısı olarak tanımlar ve key-based ya da certificate-based doğrulama kullandığını belirtir.

İki faktörlülük burada çoğu zaman yanlış anlaşılır. Faktörler 'PIN ve parola' değil, cihaza bağlı credential ile kullanıcının gesture'ıdır. PIN, cihazdan ayrılmayan ve yerleşik brute force korumasıyla gelen yerel bir gesture'dır; sunucudan çalınabilecek ya da uzaktan kullanılabilecek simetrik bir sır değildir.

Bu nedenle 'PIN paroladan zayıftır' karşılaştırması yanlış eksendedir. Parola uzaktan kullanılabilen ve sunucu tarafında saklanan bir sırdır; Windows Hello for Business credential'ı belirli bir cihaza bağlıdır ve asimetrik anahtarlara dayanır. Destek durumu platforma ve yapılandırmaya göre değişir; hybrid joined ve joined cihazlarda passwordless seçenekler arasında listelenir.

Device registration anahtarı (dk), transport key (tk) ve Windows Hello for Business kullanıcı credential’ı ayrı anahtarlardır. dk cihaz kimliğini temsil eder; tk kayıt akışındaki ayrı transport anahtarıdır. Hello provisioning’de oluşturulan public key ise IdP’de kullanıcı hesabıyla eşleştirilir. PIN veya biometric gesture, yerel olarak korunan Hello credential’ının kullanımını açar; dk’yi açtığını ya da PIN’in IdP’ye gönderildiğini göstermez. Anahtarın TPM’de mi yazılımda mı korunduğu donanım ve policy’ye bağlıdır.

Buradan sonraki mekanizmaya

Cihazın join veya registration durumu, Windows Hello for Business trust yöntemini tek başına belirlemez. 12.05’te cloud, key ve certificate trust yollarını karşılaştırıp cloud uygulamasında başarılı olan kullanıcının AD kaynağına giderken hangi ek kararlarla karşılaştığını izleyeceğiz.

DC erişimi kesildiğinde hangi işlem etkilenir?

Uzaktaki bir Windows 10/11 cihazında hybrid join tamamlanmış, kullanıcı daha önce oturum açmış ve internet erişimi var. Cloud uygulamasının çalışması, cihazın DC’ye ulaşabildiğini kanıtlamaz. Kullanıcı parolasını dışarıdan değiştirirse cihaz DC olmadan yeni parolayı doğrulayamaz; eski cached parola yerel oturumu açabilir, fakat Entra eski parolayı token isteklerinde geçersiz sayar. Yerel logon ile cloud SSO bu yüzden ayrı ayrı incelenir.

Microsoft FAQ, Windows Hello for Business kullananların parola değişikliğinden sonra da DC’ye doğrudan erişmeden Entra uygulamalarında SSO’yu sürdürebildiğini belirtir. Bu istisna cihaz parolası, TPM reset veya her AD kaynağı için bağımlılıkların kalktığını söylemez. AD kaynağına erişimde cloud, key ve certificate trust farklarını 12.05’te inceleyeceğiz.

Durum ve veri akışı

1. Kullanıcı ya da yönetici cihazı kaydeder: registered durumunda kullanıcı kendi cihazını Settings veya Company Portal ile kaydeder; joined durumunda OOBE, bulk enrollment ya da Autopilot ile join yapılır; hybrid joined durumunda cihaz önce domain join edilir ve yapılandırmaya göre otomatik olarak Entra ID'ye kaydolur.
2. İstemci Azure DRS'e discovery isteği gönderir ve tenant'a özgü URI'leri alır. Belgelenen akışta RSA 2048 device key çifti oluşturur; anahtar tercihen TPM'e bağlıdır ve transport key TPM storage root key'den türetilir.
3. İstemci ID token, certificate request, tkpub ve attestation verisiyle kayıt isteğini gönderir. Azure DRS token’ı doğrular ve device ID/certificate sonucunu hazırlar. Entra joined managed örneğinde device object oluşturur; hybrid joined managed yolunda önceden senkronize edilmiş eşleşen nesneyi günceller. Join ve environment önkoşulları ayrı kontrol edilir.
4. İstemci device ID ve device certificate'i alır. Windows'ta MS-Organization-Access sertifikası joined/hybrid joined için Local Computer Personal, registered için Current User Personal store'una kurulur. Device ID daha sonra dsregcmd.exe /status ile okunabilir.
5. Kullanıcı oturum açarken yapılandırılmış doğrulama yöntemini kullanır. Windows Hello for Business’ta PIN veya biometric gesture yerel kullanıcı credential’ının kullanımını açar; bu credential ile IdP’ye kimlik kanıtı sunulur. Device registration anahtarı ayrı kalır.
6. Kaynağa erişimde kullanıcı kimliği ve cihaz kimliği ayrı girdiler olarak Conditional Access değerlendirmesine girer; cihazın kayıtlı olması tek başına erişim kararı değildir.

2. Exploitation / İstismar

Broken trust assumption

“Cihaz Entra ID'de görünüyorsa yönetiliyordur ve güvenlidir; hybrid join cihazı iki dizine birden bağladığı için her iki tarafta da aynı güveni üretir; Windows Hello for Business da sadece daha kolay bir oturum açma yöntemidir” varsayımı.

Technical prerequisites

• Cihaz envanterinde join durumu, yönetim durumu ve oturum açma yöntemi tek bir alanda birleştirilmiştir; registered cihazlar joined cihazlarla aynı kategoride sayılır.
• Uzaktaki hybrid joined cihazlar için DC erişimine bağlı parola ve TPM işlemleri, cloud SSO’dan ayrı planlanmamıştır.
• Device registration ile Hello kullanıcı credential’ının hangi nesne ve anahtara ait olduğu yetki incelemesinde ayrılmamıştır.

Exploitation mechanism / İstismar mekanizması

Üç farklı karar tek etikete sığdırıldığında hata oluşur. Entra ID’de device object bulunması, cihazın yönetildiğini veya compliant olduğunu kanıtlamaz. Hybrid join de cloud SSO ile DC’ye bağlı parola ve TPM işlemlerini aynı hale getirmez. Üçüncü ayrım anahtar sahipliğidir: registration cihaz kimliğini, Hello credential’ı kullanıcı kimliğini temsil eder. İlgili kimlik alanını değiştirme yetkisi incelenirken hedef nesne, attribute ve trust yöntemi birlikte belirlenir; genel bir Write Property ACE’sinden belirli bir anahtara etkili yazma hakkı çıkarılamaz.

Hangi kimlik alanını kim değiştirebilir?

Hello provisioning’de public key kullanıcı hesabına bağlanır. Public-key synchronization kullanan hybrid yolda kullanıcı public key’i AD kullanıcı nesnesinin msDS-KeyCredentialLink alanına yazılır; bu, DRS’in device ID ve device certificate üretmesiyle aynı kayıt değildir. Her hybrid trust yönteminin public-key synchronization gerektirdiği sonucuna varma; yöntemler 12.05’te ayrılır.

Savunma incelemesinde delegasyonun genel adına değil hedef nesne ve attribute kapsamına bak. Bu dersteki sentetik SDDL yalnız okuma/yazma izinlerini okumaya yarar; bir device key veya Hello anahtar alanına etkili yazma hakkını kanıtlamaz. Böyle bir karar için nesnenin gerçek descriptor’ı, token, istenen hak, ACE sırası ve nesne bağlamı gerekir.

Kaybolan önkoşullar sessiz kesintiye dönüşür

Uzaktan çalışmada 'cihaz kullanılamıyor' demeden önce başarısız işlemi adlandır: yeni parolayla Windows logon mu, cihaz parolası yenileme mi, TPM reset mi, cloud SSO mu? İlk üçünde DC erişimi önemlidir; tamamlanmış hybrid join ve önceki oturum koşullarıyla cloud SSO’nun farklı bir yolu vardır. Parola değişikliği ve Hello istisnasını atlamak, çalışan bir cloud akışını da DC kesintisine bağlayabilir.

Benzer bir önkoşul Windows Hello for Business için de geçerlidir: provisioning ek kurulum gerektirir ve her cihazda kullanılabilir olmayabilir. Bir politika 'passwordless' hedefi koyarken hangi cihaz durumlarında hangi yöntemin desteklendiği önceden yazılmazsa, kullanıcıların bir bölümü parolaya geri döner ve hedef kâğıt üzerinde kalır.

3. Defense & Detection / Savunma ve tespit

Telemetry scope

• Cihaz envanterinde üç alanı ayrı tut: join durumu (registered, joined, hybrid joined), yönetim durumu (MDM, Group Policy, co-management, yönetilmiyor) ve kullanılan oturum açma yöntemleri.
• Device object'in varlığını management kanıtı sayma; MDM enrollment, compliance state ve app-protection kontrollerini ayrı kaydet.
• Hybrid joined cihazlar için domain controller erişim gereksinimini kullanılabilirlik riski olarak kaydet ve uzaktan çalışan kullanıcılar için ayrı bir plan tanımla.
• Cihaz ve kullanıcı nesneleri üzerindeki write delegasyonlarını, kimlik doğrulamaya etkisi olan attribute'lar bakımından ayrı bir listede izle.
• Windows Hello for Business yapılandırmasının hangi cihaz durumlarında ve hangi platformlarda etkin olduğunu belgele; desteklenmeyen senaryolarda geri dönüş yöntemini yaz.

Events and relevant fields

• Yeni bir device object oluşması beklenen bir kayıt akışının sonucu olabilir; tek başına yetkisiz bir cihaz göstergesi değildir ve kaydın kim tarafından yapıldığıyla birlikte okunmalıdır.
• Hybrid joined cihazda logon sorunu görüldüğünde başarısız işlemi ve DC erişimini birlikte incele. Yeni parolanın yerelde doğrulanamaması ile cloud SSO sorunu ayrı olabilir; bu gözlem tek başına saldırı kanıtı da saldırıyı dışlayan kanıt da değildir.
• Bir cihazın dsregcmd.exe /status çıktısındaki device ID, Entra ID'deki device object ile eşleştirme için kullanılır; bu eşleşmenin yokluğu kaydın bozulduğunu ya da farklı bir tenant'a kayıt yapıldığını gösterebilir.
• Kullanıcı nesnesi veya cihaz nesnesi üzerinde kimlik doğrulamayla ilgili attribute değişiklikleri, dizin değişiklik denetimiyle izlenebilir; bu kayıtların üretilmesi uygun audit policy yapılandırmasına bağlıdır.
• Registered bir cihazdan gelen erişim, kurumsal bir cihazdan gelen erişimle aynı güven seviyesinde değildir; politika değerlendirmesi cihaz durumunu ayrı bir girdi olarak ele almalıdır.

Cihaz envanteri üç sütun ister

Tek sütunlu bir cihaz envanteri, hibrit ortamlarda neredeyse her zaman yanlış sonuç üretir. Join durumu cihazın hangi dizine bağlı olduğunu; yönetim durumu cihaz yapılandırmasının nasıl zorlandığını; oturum açma yöntemi ise kullanıcının hangi kimlik materyaliyle doğrulandığını söyler. Bu üç sütun farklı ekipler tarafından değiştirilebilir ve biri diğerini ima etmez.

Üç sütunlu envanterin pratik faydası bir olay sırasında görülür. 'Bu cihaz yönetiliyor muydu?' sorusu join durumuyla değil yönetim durumuyla yanıtlanır; 'kullanıcı nasıl doğrulandı?' sorusu ise oturum açma yöntemiyle. Tek sütunlu envanterde bu sorular tahmine kalır.

Passwordless bir yöntem değil, bir kapsam kararıdır

Windows Hello for Business kurumsal bir uzantıdır ve dağıtımı ek yapılandırma gerektirir. Dolayısıyla passwordless hedefi, bir ayarın açılmasıyla değil, kapsam kararlarıyla ilerler: hangi cihaz durumları, hangi platformlar, hangi kullanıcı grupları ve hangi geri dönüş yolları.

Kapsam yazılmazsa iki tipik sonuç ortaya çıkar. Birincisi, kullanıcıların bir bölümü desteklenmeyen senaryolarda parolaya geri döner ve ölçümde ilerleme görünmez. İkincisi, geri dönüş yolu tanımsız kaldığı için yardım masası yükü artar ve ekip güvenliği zayıflatan geçici çözümler üretir. Her iki sonuç da teknolojiyle değil kapsam planlamasıyla ilgilidir.

Detection logic · KQL

SigninLogs
| where TimeGenerated > ago(7d)
| extend trustType = tostring(DeviceDetail.trustType), deviceId = tostring(DeviceDetail.deviceId)
| summarize signins = count(), users = dcount(UserPrincipalName) by trustType, isCompliant = tostring(DeviceDetail.isCompliant)
| order by signins desc

Query assumptions

• Bu sorgu biçim örneğidir ve hiçbir tenant'ta çalıştırılmamıştır; DeviceDetail alanlarının varlığı ve adlandırması kullanılan log bağlayıcısına ve sürüme bağlıdır.
• Alan değerlerinin boş gelmesi cihazın kayıtsız olduğu anlamına gelmez; bazı akışlarda cihaz bilgisi raporlanmayabilir.
• Sorgu, cihazın Windows Hello for Business kullanıp kullanmadığını göstermez; kullanılan kimlik doğrulama yöntemi ayrı alanlardan okunmalıdır.

False positives

• Yönetilmeyen görünen cihazların bir kısmı kayıt veya kaydolma sürecinin ortasında olabilir; tek bir zaman diliminden çıkarım yapmak yanıltır.
• Aynı fiziksel cihaz farklı kullanıcı profilleriyle farklı device object'ler üretebilir; sayım tekilleştirilmeden okunduğunda envanter şişer.
• Negatif örnek: uyumlu görünen bir cihaz, uyumluluk değerlendirmesinin yapıldığı andan sonra bozulmuş olabilir; uyumluluk etiketi anlık bir değerlendirmedir, sürekli bir garanti değildir.

Hardening

• Cihaz durumunu erişim politikalarında açık bir girdi olarak kullan; 'cihaz Entra ID'de var' ifadesini güven gerekçesi yapma.
• BYOD senaryolarını registered durumla sınırla ve bu cihazlar için uygulama koruma politikaları ile uyumluluk gereksinimlerini ayrı tanımla.
• Hybrid joined cihazlar için domain controller erişimi gereksinimini planla; bu kısıt sorun yaratıyorsa Entra joined modeli değerlendir.
• Cihaz ve kullanıcı nesneleri üzerindeki write delegasyonlarını en az ayrıcalık ilkesine göre daralt ve kimlik doğrulamaya etkisi olan alanları ayrı izle.
• Windows Hello for Business dağıtımını cihaz durumu ve platform desteğine göre planla; geri dönüş yöntemlerini ve PIN sıfırlama akışını önceden tanımla.
• Passwordless hedefini ölçülebilir yap: hangi kullanıcı grubunda hangi yöntemin etkin olduğunu ve parolaya geri dönüş oranını izle.

Örnekler üzerinde oku / Read the examples

O:DAG:DAD:P(A;;RPLCLORC;;;AU)(A;;RPWPCRLCLORC;;;S-1-5-21-4071847660-1138144873-2902452632-1174)(D;;WP;;;S-1-5-21-4071847660-1138144873-2902452632-1175)

İki yanlış kanı / Two reality checks

Sanılan: Bir cihazın Microsoft Entra ID'de görünmesi, o cihazın kuruma ait ve yönetiliyor olduğu anlamına gelir.

Gerçekte: Hayır. Kişisel, registered bir cihazın Entra ID'de device object'i olabilir ve kullanıcı cihaza yerel hesapla oturum açmayı sürdürebilir. Registration, cihaz enrollment'ı veya yönetimiyle aynı şey değildir: MDM cihaz düzeyinde yapılandırma ve compliance kontrolleri uygulayabilir; app protection ayrı yönetilebilir. Join durumu, sahiplik ve yönetim durumu ayrı alanlardır.

Sanılan: Windows Hello for Business'taki PIN, bir paroladan daha zayıf bir sırdır ve cihazın join durumunu belirler.

Gerçekte: Hayır. Windows Hello for Business key-based ya da certificate-based doğrulama kullanır; iki faktör cihaza özgü credential ile biometric veya PIN gesture'ının birleşimidir. PIN cihazdan çıkmaz, yerleşik brute force koruması vardır ve sunucudan çalınıp uzaktan kullanılabilecek simetrik bir sır değildir. Ayrıca Windows Hello for Business bir cihaz join durumu değildir; registered, joined ve hybrid joined eksenlerinden bağımsız olarak kullanıcının kimlik doğrulama yöntemini tanımlar.

Kaynaklar / Sources

• Microsoft · What are Microsoft Entra registered devices?
  Registered (workplace joined) tanımı: cihaza oturum açmak için organizasyon hesabı gerekmemesi, BYOD ve mobil hedef kitlesi, sahiplik, yerel hesapla oturum açma, Intune kaydı ile Conditional Access; registration ile enrollment'ın aynı şey olmaması.
• Microsoft · What is a Microsoft Entra joined device?
  Entra joined organizational Windows sign-in, device ownership and MDM/co-management options; local and cached sign-in exceptions are described in the device management FAQ.
• Microsoft · What is a Microsoft Entra hybrid joined device?
  Hybrid join definition and periodic DC dependency. Scope qualified by hybrid-join-plan and device FAQ for password, TPM and cloud SSO operations.
• Microsoft · How Microsoft Entra device registration works
  Device Registration'ın cloud tabanlı kimlik doğrulamanın önkoşulu olması; Azure DRS discovery isteği; TPM'e bağlı RSA 2048 device key (dkpub/dkpriv) ve storage root key'den türetilen transport key; ID token, certificate request, tkpub ve attestation ile kayıt; device ID, device certificate, Personal store ve dsregcmd.exe /status.
• Microsoft · Windows Hello for Business overview
  Windows Hello ve Windows Hello for Business farkı; key-based ve certificate-based doğrulama; Entra ID, Active Directory ve FIDO v2.0 IdP hedefleri; cihaza özgü credential ile gesture'dan oluşan iki faktör; PIN'in cihazdan çıkmaması ve brute force koruması.
• Microsoft · Device management FAQ
  MS-Organization-Access certificate store: joined/hybrid joined use Local Computer Personal; registered uses Current User Personal. Entra join FAQ: local administrator and cached sign-in paths; hybrid join cloud SSO and periodic DC operation scope.
• Microsoft · Plan hybrid join
  2026-10-03 source review: key ownership, periodic DC operation scope or cloud SSO exception; no native execution.
• Microsoft · How Windows Hello for Business works
  2026-10-03 source review: key ownership, periodic DC operation scope or cloud SSO exception; no native execution.