Erişimi sürekli doğrula — ayrıldıktan sonra bile.
AD, Azure AD ve LDAP üzerinde Joiner-Mover-Leaver; sadece IdP üzerinden bakan araçların kaçırdığı hayalet hesap avı dahil.
İşten ayrılanlar, kimsenin verildiğini hatırlamadığı SaaS uygulamalarına erişimini sürdürür.
"Google ile giriş" kurumsal mı kişisel hesap mı olduğunu gizler.
Erişim incelemeleri sürekli bir kontrol değil, yılda bir yapılan telaşlı bir egzersize dönüşüyor.
Üç kaynak, tek kimlik.
Active Directory, bağımsız LDAP ve Azure AD tek bir kimlik grafına birleşir — UPN normalize edilmiş, DC'ler arası lastLogon MAX, çoklu-controller kayması bulgu olarak görünür, sessizce gizlenmez.
AD + LDAP + IdP tek bir grafa
- · UPN · sAMAccountName
- · memberOf · gruplar
- · lastLogon (DC'lerde MAX)
- · DN · uid
- · memberOf
- · özel öznitelikler
- · SSO oturumu · MFA
- · OAuth izni · scope
- · conditional access
Döngü haftalarda değil saatlerde kapanır.
HR olayı → AD güncel → IdP senkron → SaaS deprovision → denetim log. Her adım enstrümante, her gecikme SLA'ya karşı ölçülü.
Erişim sertifikasyonu
İnceleyici-odaklı tut / kaldır / işaretle kampanyaları (ISO 27001 A.5.18); kapandığında denetim-değişmez.
OAuth & SSPM
Bağlı-kiracı OAuth izin envanteri ve duruş: güvenlik varsayılanları, koşullu erişim, admin / misafir / MFA kapsaması.