Google Workspace veya Microsoft 365 Yönetici Konsolu Erişiminin Kilitlenmesi: DNS TXT Devralma ve Kurtarma¶

Şirketinizin, hukuk firmanızın, tıbbi uygulamanızın veya kâr amacı gütmeyen kuruluşunuzun Google Workspace'e () tamamen erişiminin engellendiğini keşfetmekadmin.google.com) veya Microsoft 365 / Entra ID (admin.microsoft.com) bulut kiracısı çünkü tek Süper Yönetici veya Global Yönetici Microsoft/Google Authenticator MFA tohumlarını içeren akıllı telefonunu kaybetti, şirketten düşmanca şartlarla ayrıldı ve şifreyi değiştirdi ya da beklenmedik bir şekilde vefat etti, bu da varoluşsal bir iş sürekliliği krizidir. Yönetici erişimi olmadan, şirketinizin e-postasının tamamından önce çalışanları ekleyemez veya kaldıramaz, kilitli kullanıcı şifrelerini sıfırlayamaz, süresi dolan fatura kartlarını güncelleyemezsiniz (MX) ve SharePoint/Google Drive altyapısı askıya alınır veya hileli bir eski yöneticinin oturum jetonları iptal edilir. Neyse ki hem Google hem de Microsoft, kurumsal kimlik platformlarını temel bir şifreleme gerçeği etrafında tasarlıyor: özel alan adı bulut kiracısının nihai yasal mülkiyeti, Alan Adı Kayıt Kuruluşunda alan adının yetkili Genel DNS bölgesini (Cloudflare, AWS Route 53, GoDaddy veya Namecheap gibi) kontrol eden kuruluşa aittir. Sıfır yönetici oturum açabilse ve tüm YubiKey veya Authenticator uygulamaları kaybolsa bile acil bir durum gerçekleştirebilirsiniz DNS TXT veya CNAME Alan Adı Sahipliğini Devralma Yarışması (Google'ın otomatik toolbox.googleapps.com/apps/recovery/form ardışık düzen, Microsoft'un Dahili Yöneticiyi Devralma (Unmanaged Tenant) akışı veya Microsoft Veri Koruma Ekibi (DPT) DNS Doğrulama Bileti) MFA'yı kilitli yönetici hesabından çıkarmak veya mevcut bir standart çalışan hesabını tam Süper/Global Yöneticiye yükseltmek için. Düşmanca davranan eski bir çalışan veya fidye yazılımı saldırganı, sizi dışarıda bırakarak aktif olarak kurumsal banka fonlarını veya hasta verilerini sızdırıyorsa, yerel temsilcinizi arayın. acil numaralar (Amerika Birleşik Devletleri ve Kanada'da 911, Birleşik Krallık'ta 999, Avrupa Birliği genelinde 112) veya izinsiz girişi derhal FBI IC3/CISA'ya bildirin. İlgili etki alanı, hesap ve iki faktörlü acil durumlar için şu adresteki kılavuzlarımıza bakın: alan adı ele geçirme, süresi dolmuş DNS ve web sitesinin ele geçirilmesi, bulut hesabı yasakları ve veri alımı itirazlarıve iki faktörlü kimlik doğrulama, telefon numarası geri dönüşümü ve SMS kilitleme.

Bunu şimdi yap¶

1. Öncelikle Genel Etki Alanı Kayıt Kuruluşunuza ve Yetkili DNS Sunucunuza anında giriş erişimi sağlayın. Google veya Microsoft kurtarma formlarına dokunmadan önce, şirketinizin birincil alan adı için Yetkili DNS bölgesine giriş yapabildiğinizi doğrulayın (yourcompany.com). Aktif Ad Sunucularınızı arayın (NS kayıtları) kullanarak dig NS yourcompany.com +short veya whois yourcompany.com. DNS'niz Cloudflare, AWS Route 53, GoDaddy, Namecheap veya Network Solutions'da barındırılıyor olsun, kim yeni bir DNS yayınlayabilirse TXT veya CNAME köke kaydedin (@), alan bölgenizin Google ve Microsoft'a yasal sahipliğini kanıtlayacak ana anahtarı tutar.
2. HERHANGİ bir ikincil yöneticinin mi yoksa Bulut Çözüm Sağlayıcısının mı (CSP / Bayi) hala kısmi erişime sahip. Birçok kuruluş yalnızca "tek" yöneticiye sahip olduklarını düşünüyor ve şunu unutuyor:
3. Harici bir Yönetilen Hizmet Sağlayıcı (MSP) veya Bulut Çözüm Sağlayıcısı (CSP) bayi (Pax8, Ingram Micro, CDW, Sherweb veya GoDaddy gibi) Ayrıntılı Yetki Verilen Yönetici Ayrıcalıklarına (GDAP / DAP) Microsoft 365 veya Google Workspace kiracınıza yükleyebilir ve Genel Yöneticinizin MFA'sını 60 saniye içinde sıfırlayabilir; VEYA
4. İkincil bir yönetici, Microsoft Entra ID'de Ayrıcalıklı Kimlik Doğrulama Yöneticisi rolüne sahiptir (Genel Yöneticiler için bile MFA'yı ve parolaları sıfırlama konusunda tam yetkiye sahiptir).
5. Google Workspace'e erişiminiz kilitlenirse (admin.google.com), Otomatik DNS'yi başlatın TXT/CNAME Yönetici Kurtarma Sihirbazı hemen. Tüketici Gmail şifresini sıfırlamayı deneyerek günlerinizi boşa harcamayın. 'a gitadmin.google.com, kilitli Süper Yöneticinin e-posta adresini girin, "Şifrenizi mi unuttunuz?" seçeneğini tıklayın, sistem Alan Adı Doğrulaması kurtarma seçeneğini sunana kadar MFA istemlerini geçin VEYA doğrudan Google'ın özel Workspace Yönetici Konsolu Kurtarma Formu'na (toolbox.googleapps.com/apps/recovery/form). Erişilebilir bir ikincil e-posta adresi sağlayın ve benzersiz adresi yapıştırın google-site-verification=... TXT alan adınızın DNS bölgesine belirteç ekleyin.
6. Microsoft 365'e erişim engellenirse (admin.microsoft.com), bir "Veri Koruma Ekibi (DPT)" Önem Derecesi-A Telefon Bileti hemen. Google'dan farklı olarak Microsoft, halihazırda yönetilen bir ticari kiracının tek Genel Yöneticisinde MFA'yı atlamak için genel bir self-servis web formu sağlamaz. Microsoft Ticari Destek'i aramanız (numaralar aşağıdaki Bölgesel Tablomuzda listelenmiştir), "Genel Yönetici erişimi engellendi, başka yönetici yok, Veri Koruma Ekibine yönlendirin" diyerek yapay zeka sesli isteminde gezinmeli ve 16 haneli Veri Koruma Vaka Numarası almalısınız. Doğrulamayı hemen yayınlayabilmek için DNS konsolunuzu açık tutun TXT Veri Koruma mühendisinin size e-postalarını kaydedin.
7. Etkin faturalandırma kredi kartınızı koruyun ve bloke edilmiş durumdayken hiçbir zaman bankadan ters ibrazda bulunmayın. Şirketinizin aylık Google Workspace veya Microsoft 365 faturası, yönetici konsoluna erişiminiz kilitliyken kurumsal kredi kartınıza ulaşırsa kartı bloke etmeyin veya ters ibrazda bulunmayın. Aktif bir ticari kiracı üzerinde ödemenin reddi veya ters ibrazın tetiklenmesi, otomatik dolandırıcılık önleme sistemlerinin tüm kullanıcı posta kutularını askıya almasına neden olabilir (550 5.1.1 User Unknown geri döner) ve kiracının SharePoint/Drive depolama alanını 30 ila 90 gün içinde kalıcı olarak silinecek şekilde planlayın.

Karar ağacı: Kilitli bir Google Workspace veya Microsoft 365 kiracısının kontrolünü yeniden alma¶

flowchart TD
    A["Tek Süper Yöneticinin (Google Workspace) veya Genel Yöneticinin (Microsoft 365) Tamamen Kilitlenmesi"] --> B{"Lisanslarınızı Bayi / MSP (GoDaddy, Pax8, Ingram, CDW) aracılığıyla mı satın aldınız?"}
    B -->|"Evet: Bayi / CSP aracılığıyla satın alındı"| C["En Hızlı Çözüm (15 Dakika): Yönetici MFA'yı Sıfırlamak veya İkinci Bir Kullanıcıyı Tanıtmak için Yetkili Yönetici (GDAP) API'sini Kullanmak üzere Bayiyi / MSP Desteğini Arayın"]
    B -->|"Hayır: Doğrudan Google veya Microsoft'tan satın alındı"| D{"Hangi Bulut Platformu Kilitli?"}
    D -->|"1. Google Workspace (admin.google.com)"| E["1. Adım: admin.google.com adresinde Otomatik Yönetici Kurtarma Akışını deneyin -> 'Başka bir yol deneyin' -> 'Alan Ana Bilgisayarı ile Doğrulayın'"]
    E --> F{"Otomatik Akış DNS Sorununu Tetikledi mi?"}
    F -->|"Evet"| G["Alan Adı Kayıt Kuruluşuna Benzersiz 'google-site-verification=...' TXT veya CNAME Kaydı ekleyin; Google, Süper Yöneticiyi 24-72 Saat İçinde Sıfırlar"]
    F -->|"Hayır / Döngüler Oluştur"| H["Toolbox.googleapps.com/apps/recovery/form adresinden Support-Assisted Admin Recovery'yi gönderin + DNS TXT Kanıtı aracılığıyla Standart Kullanıcıyı Tanıtın"]
    D -->|"2. Microsoft 365 / Giriş Kimliği (admin.microsoft.com)"| I{"Bu bir 'Gölge/Viral' Yönetilmeyen Kiracı mı yoksa Tam Ticari Olarak Yönetilen Kiracı mı?"}
    I -->|"Gölge / Viral Kiracı (Çalışanlar PowerBI/Teams ücretsiz deneme sürümü aracılığıyla kaydoldu)"| J["Anında DNS TXT Doğrulamayı Kullanarak PowerShell / M365 Sihirbazı aracılığıyla Self Servis 'Dahili Yöneticiyi Devralma' işlemini gerçekleştirin"]
    I -->|"Tam Ticari Olarak Yönetilen Kiracı (Tek Küresel Yönetici MFA'yı kaybetti / kaldı / öldü)"| K["Microsoft Ticari Desteği Arayın -> 'Veri Koruma Ekibi (DPT)' İletimini Talep Edin -> DNS TXT + İşletme Sahipliği Denetimini Geçin"]

Google Workspace ve Microsoft 365: Kiracı kurtarma mimarisinin farklılıkları¶

Hem Google hem de Microsoft Yetkili DNS'ye güveniyor TXT Bulut kiracısına eklenen alan adının yasal olarak kime ait olduğunu kanıtlamaya yönelik doğrulama için yönetimsel kurtarma iş akışları çok farklıdır. Her platformda hangi kaldıraçların bulunduğunu bilmek, sizi günlerce süren çıkmaz destek bildirimlerinden kurtaracaktır:

Başucu Kitabı 1: Kilitli bir Google Workspace Süper Yöneticisini kurtarma (admin.google.com)¶

Google Authenticator'lı telefonunuzun bozulması, FIDO2 donanım güvenlik anahtarınızın kaybolması, görevden ayrılan bir BT yüklenicisinin şifreyi değiştirmesi veya bu anahtarı etkinleştirmiş olmanız nedeniyle tek Google Workspace Süper Yönetici hesabınız kilitlendiyse "Enforce 2-Step Verification" Önce yönetici hesabını kaydetmeden şu üç adımı tam sırayla uygulayın:

Yöntem A: Otomatik admin.google.com Alan Adı Doğrulama Yarışması (En Hızlı - 1 ila 24 Saat)¶

1. Normal ofis veya ev Wi-Fi ağınızda bulunan bir bilgisayarda Gizli / Özel bir tarayıcı penceresi açın (Google'ın risk motoru, tanıdık IP alt ağlarını daha yüksek puanlar) ve şu adrese gidin: https://admin.google.com.
2. Kilitli Süper Yöneticinin e-posta adresini girin (admin@yourcompany.com) ve İleri'yi tıklayın.
3. Şifreyi biliyorsanız ancak 2 Adımlı Doğrulama (MFA) tarafından engelleniyorsanız, şifreyi girin ve kullanılamayan tüm yöntemleri tüketene kadar 2FA ekranının alt kısmındaki "Başka bir yol dene" seçeneğini tıklayın. Şifreyi bilmiyorsanız "Şifrenizi mi unuttunuz?" seçeneğine tıklayın ve kullanılamayan her istemin ardından "Başka bir yol dene" seçeneğine tıklayın.
4. Tek yöneticili bir Google Workspace alanında tüm standart kurtarma seçenekleri tükendiğinde, Google'ın otomatik kurtarma motoru Alan Sahipliği Doğrulama ekranını sunar:
5. Şu anda kontrol edebileceğiniz bir iletişim e-posta adresi (kişisel e-posta adresi gibi) girmenizi ister. @gmail.com adresi veya çalışan standart bir çalışan e-posta adresi).
6. Google benzersiz ** içeren bir e-posta gönderirCNAME veya TXT doğrulama kaydı** talimatları.
7. Alan adı kayıt kuruluşunuzun DNS kontrol paneline (Cloudflare, Route 53, GoDaddy, Namecheap) giriş yapın ve tam olarak ekleyin TXT veya CNAME köke kaydedin (@) ile ilgili yourcompany.com 300 saniyelik (5 dakika) TTL ile.
8. Cloudflare Kullanıcıları için Profesyonel İpucu: CNAME Cloudflare DNS içindeki doğrulama kaydı, Griye çevirmek için Turuncu Bulut simgesine tıklayın (DNS Only). Cloudflare'in Turuncu Bulutu (Proxied) doğrulama sırasında etkin bırakıldı CNAME, Cloudflare sorguyu keser ve Google'ın beklenen CNAME hedefi yerine Cloudflare proxy IP'lerini döndürür, bu da doğrulamanın her seferinde başarısız olmasına neden olur.

Yöntem B: Destek Destekli Yönetici Konsolu Kurtarma Portalı (toolbox.googleapps.com/apps/recovery/form)¶

Otomatik giriş döngüsünde yalnızca "Yardım için alan adı yöneticinize başvurun" (alan adı yöneticisi olduğunuzda ironiktir) veya "Google bu hesabın size ait olduğunu doğrulayamadı" yazıyorsa ne olur?

Google'ın özel, kimliği doğrulanmamış Workspace Yönetici Hesabı Kurtarma Portalını kullanın: 1. Açık https://toolbox.googleapps.com/apps/recovery/form tarayıcınızda. 2. Google Workspace birincil alan adınızı girin (ör. yourcompany.com) ve CAPTCHA'yı tamamlayın. 3. Tam acil durum seçeneğini seçin: - Kilitli Süper Yönetici hesabında şifre/2FA sıfırlama talebinde bulunun; VEYA - Eski yönetici saldırgansa/öldüyse önerilir: Alanınızda mevcut bir normal kullanıcı hesabını tanıtma seçeneğini seçin (you@yourcompany.com) Süper Yöneticiye. 4. Bilet güncellemelerini alabileceğiniz, çalışan bir ikincil iletişim e-posta adresi sağlayın. 5. Google'ın sistemi hemen bir Bilet Referans Numarası oluşturur ve size e-postayla benzersiz bir ** gönderirTXT kayıt değeri** (gibi biçimlendirilmiş google-site-verification=rXOxyZ... veya google-workspace-recovery=...). 6. Bunu yayınla TXT alan adınızın genel DNS bölgesine kayıt yapın, aşağıdakileri çalıştırarak doğrudan bir terminalden dünya çapında yayında olduğunu doğrulayın:

dig TXT yourcompany.com @8.8.8.8 +short

Başucu Kitabı 2: Kilitli bir Microsoft 365 / Entra ID Genel Yöneticisini kurtarmak (admin.microsoft.com)¶

Tam yükseltme kanallarını bilmiyorsanız Microsoft 365 kilitlenmeleri Google Workspace kilitlenmelerinden daha zordur; çünkü Microsoft'un ön hat telefon sistemi, arayanlara "bir destek bildirimi açmak için Yönetim Merkezi'nde oturum açmalarını" söylemeye çalışarak Yönetim Merkezi'ne erişiminiz engellendiğinde bir döngü oluşturur.

Microsoft 365 Genel Yönetici kilitlenmesini aşmak için dört tam teknik ve prosedürsel yol şunlardır:

Yol 1: "Gizli İkincil Yönetici" ve .onmicrosoft.com Baypas Kontrolü (5 Dakika Sonra İlk Bunu Kontrol Edin)¶

Microsoft'un Veri Koruma Ekibiyle beklemeye geçmeden önce, "kilitlenen" M365 kiracılarının yüzde 40'ını anında kurtaracak üç şeyi kontrol edin: 1. Bozuk bir SSO / Federasyon sunucusu (Okta, Duo, Cisco, ADFS) seni dışarıda mı bırakayım? - Federasyon yaptığınızda yourcompany.com üçüncü taraf Kimlik Sağlayıcıya (IdP) ve şu şekilde giriş yaparsanız IdP sertifikasının süresinin dolduğunu veya sizi kilitlediğini: admin@yourcompany.com sizi bozuk IdP'ye yönlendirir. - Anında Düzeltme: Her Microsoft 365 kiracısının, ** ile biten, yalnızca bulutta yerel bir yedek etki alanı vardır.@yourtenant.onmicrosoft.com. Git https://entra.microsoft.com, ** yazınadmin@yourtenant.onmicrosoft.com (veya Global Yönetici kullanıcı adı ne olursa olsun .onmicrosoft.com alan adı) ve oturum açın. .onmicrosoft.com hesaplar HER ZAMAN üçüncü taraf SAML/WS-Fed federasyonunu atlar ve doğrudan Microsoft Entra ID'ye göre kimlik doğrulaması yapar. 2. Herhangi bir BT çalışanı "Ayrıcalıklı Kimlik Doğrulama Yöneticisi" rolüne sahip mi? - Birçok şirket, bir BT yöneticisine, kendisini tam bir Genel Yönetici yapmadan Ayrıcalıklı Kimlik Doğrulama Yöneticisi rolünü atar. Microsoft Entra ID'de, Ayrıcalıklı Kimlik Doğrulama Yöneticisi, parolaları sıfırlama VE Genel Yönetici için MFA'yı iptal etme/yeniden gerektirme konusunda tam yasal izne sahiptir. 3. Bir CSP Satıcısı (GoDaddy, Pax8, Sherweb, Ingram, CDW, Rackspace) aracılığıyla BİR lisans bile satın aldınız mı? - Kredi kartı ekstrenize bakın. Microsoft 365 faturanız doğrudan bir iş ortağı yerine bir iş ortağından geliyorsa MICROSOFT*G..., hemen o ortağın destek masasını arayın. Size yalnızca 6 ABD doları tutarında tek bir Exchange Online lisansı satmış olsalar bile, GDAP (Ayrıntılı Yetkilendirilmiş Yönetici Ayrıcalıkları) ilişkileri İş Ortağı Merkezinizde etkinse, mühendisleri Genel Yöneticinizin MFA'sını 3 dakikadan kısa bir sürede sıfırlayabilir.

Yol 2: "Microsoft Veri Koruma Ekibine Nasıl Ulaşılır (DPT)" Sıfır Yöneticiler Giriş Yapabildiğinde¶

Doğrudan Microsoft'tan satın alıyorsanız ve tek Genel Yöneticiniz tamamen kilitlendiyse (Authenticator telefonunuzu kaybettiyseniz veya Microsoft Authenticator'ın, oturum açmaya çalıştığınız Microsoft Authenticator uygulamasında 2 basamaklı bir numarayı onaylamanızı istediği bir döngüye yakalanmışsanız), bir insan Microsoft Veri Koruma Ekibiniz () olmalıdır.DPT) mühendisi Kiracı Sahipliği ve DNS Doğrulama Sıfırlaması gerçekleştirir.

Microsoft'un otomatik yapay zeka telefon ağacını nasıl aşabilirsiniz (IVR) 2 dakika içinde: 1. Bölgesel Microsoft Ticari Destek numarasını arayın (ör. 1-800-865-9408 veya 1-800-642-7676 ABD/Kanada'da; aşağıdaki tam küresel listeye bakın). 2. Otomatik ses botu standart şifre çağrılarını yönlendirecek şekilde programlanmıştır. aka.ms/sspr. Her istemde bu tam olarak söylenen ifadeleri kullanın: - İstem 1 ("Ne için arıyorsunuz?"): Açıkça söyleyin: "Genel Yönetici hesabının kilitlenmesi." - İstem 2 ("Self Servis Parola Sıfırlamayı denediniz mi?"): Şunu söyleyin: "Evet, ticari bir işletme kiracısının tek Genel Yöneticisiyim ve başka yönetici yok." - İstem 3 ("Hangi ürün?"): "Microsoft 365 Business / Entra ID Commercial" deyin ve "Veri Koruma Ekibine Aktarın" komutunu isteyin. 3. Ya telefon ağacı hala yüzünüze kapanıyorsa? "Deneme Kiracı Köprüsü Hilesi"ni kullanın: - Bu, Microsoft'un telefon IVR'sinin sizinle bağlantı kurmayı reddetmesi durumunda iyi bilinen sistem yöneticisi acil durum bypassıdır: Şu adrese gidin: microsoft.com/microsoft-365/business, tek kullanımlık bir ürün kullanarak 30 günlük ücretsiz Deneme Microsoft 365 Kiracısını başlatın temprescue-[yourcompany].onmicrosoft.com isim (3 dakika sürer, 30 gün boyunca ücret alınmaz). - Giriş yap admin.microsoft.com geçici deneme kiracısının içinde, sağ alt köşedeki Destek > Yardım ve Destek seçeneğine tıklayın ve aşağıdakileri belirten bir Önem Derecesi-A Yönetici Destek Bileti açın: > "ACİL VERİ KORUMA EKİBİNİN İLETİŞİMİ: Bu bildirimi geçici bir köprü kiracısından açıyorum çünkü üretim kiracısının [YOURREALDOMAIN.COM / Kiracı Kimliği] tek Genel Yöneticisi benim ve diğer sıfır Genel Yönetici ile MFA'ya tamamen erişimim engellendi. Lütfen bu bildirimi derhal Microsoft Veri Koruma Ekibine aktarın."

Yol 3: Microsoft Veri Koruma Ekibini Geçmek (DPT) Doğrulama Denetimi ve DNS TXT Meydan okumak¶

Bir Microsoft Veri Koruma Ekibi mühendisi durumunuzu talep ettiğinde, MFA'yı Genel Yöneticinizden çıkarmadan veya yeni bir kullanıcı atamadan önce katı bir sıfır güven güvenlik protokolü izler: 1. İşletme ve Faturalandırma Sahipliği Kanıtı: İlk aramada okuyabilmek veya yükleyebilmek için bu dört öğeyi bir klasörde hazır bulundurun: - Alan Adınız (yourcompany.com) Ve onmicrosoft.com Kiracı Adı (tam Kiracı Kimliği GUID'inizi istediğiniz zaman şu adresi ziyaret ederek oturum açmadan bulabilirsiniz: https://login.microsoftonline.com/yourcompany.com/v2.0/.well-known/openid-configuration); - Microsoft faturalandırması (veya güncel Microsoft Ticari Fatura numaraları) için kayıtlı kredi kartının son 4 hanesi ve son kullanma tarihi G0...); - Kiracının Organizasyon Profilinde listelenen tam fatura adresi ve telefon numarası; Ve - Resmi Ana Sözleşme / İşletme Ruhsatı / Hizmet Faturası Eski yöneticinin profiline kendi cep telefonunu koyan hileli bir çalışan olması durumunda. 2. Yetkili DNS TXT Kayıt Kanıtı: - Veri Koruma mühendisi size benzersiz bir doğrulama dizesi verecektir (örneğin, MS=ms12345678 veya duruma özel bir belirteç) ** olarak eklemek içinTXT kökteki kayıt ** (@) ile ilgili yourcompany.com. - Bir kez nslookup -type=TXT yourcompany.com Kaydın canlı olduğunu onayladıktan sonra DPT mühendisi Global Yöneticinin Çok Faktörlü Kimlik Doğrulama kaydını sıfırlar (Require Re-Register MFA) ve oturum açabilmeniz ve yeni bir Authenticator uygulamasına ve FIDO2 anahtarına kaydolabilmeniz için geçici bir şifre verir.

Yol 4: Self Servis "Dahili Yöneticinin Devralınması" (Etki Alanınız "Yönetilmeyen / Viral" Gölge Kiracıda Kilitliyse)¶

Microsoft 365'i aşağıdakiler için kurmaya çalışıyorsanız ne olur? yourcompany.comve Microsoft şu hatayı görüntüler: "yourcompany.com is already being used with another Microsoft 365 organization", çünkü üç yıl önce rastgele bir çalışan, kendi hesaplarını kullanarak ücretsiz bir Power BI, Microsoft Teams Exploratory veya Fabric self-servis hesabına kaydoldu. @yourcompany.com iş e-postası? - Bu "gölge" kiracının sıfır Genel Yönetici'si olduğundan (bu bir Yönetilmeyen Viral Kiracı'dır), Microsoft Destek'i aramanıza gerekmez. - Dahili Yönetici Devralma işlemini anında gerçekleştirebilirsiniz: 1. Herhangi bir etkin öğeyi kullanarak Microsoft 365'te oturum açın @yourcompany.com o viral kiracıda bulunan kullanıcı hesabını kullanın (veya ücretsiz bir Power BI self-servis hesabı oluşturun) admin@yourcompany.com). 2. 'a gidinhttps://portal.office.com/admintakeover (veya Microsoft Graph PowerShell devralma cmdlet'ini çalıştırın). 3. Microsoft hemen bir ** görüntülerTXT doğrulama kodu (MS=msXXXXXXXX). 4. Bunu yapıştır TXT etki alanı kayıt kuruluşunuzun DNS'sine kaydedin, Doğrula'yı tıklayın; Microsoft sizi anında tüm alanın tam Genel Yöneticisi konumuna yükseltir. yourcompany.com 60 saniyede kiracı.

Kurtarma sonrası adım adım güvenlik denetimi (Kilitleme, düşmanca bir eski yöneticiden veya güvenlik ihlalinden kaynaklanıyorsa)¶

Kilitlenmeniz, hoşnutsuz bir eski BT yöneticisinin, işine son verilen yüklenicinin veya harici bir saldırganın kasıtlı olarak ayrıcalıklarınızı elinden alması veya Süper/Global Yönetici hesabınızı ele geçirmesi nedeniyle gerçekleştiyse, yalnızca oturum açma erişimini yeniden kazanmak yeterli değildir. 15 dakika bile olsa Süper Yönetici veya Genel Yönetici erişimine sahip olan düşmanca bir aktör, genellikle "kalıcı arka kapılar" yerleştirir, böylece siz ana şifreyi değiştirdikten sonra bile gelecek hafta sessizce kontrolü yeniden ele geçirebilir.

Kurtarılan konsolunuzda tekrar oturum açtıktan sonraki ilk 30 dakika içinde bu 5 noktalı kalıcı temizleme işlemini gerçekleştirin:

1. Yeni Oluşturulan Hizmet Sorumlularını, Kurumsal OAuth Uygulamalarını ve Uygulama Şifrelerini Denetleyin:
2. Microsoft Entra ID'de (entra.microsoft.com): Git Identity > Applications > Enterprise applications ve App registrations. Oluşturulma Tarihi'ne göre sıralayın. Gelişmiş bir hileli yönetici, verilen gizli bir Uygulama Kaydı oluşturacaktır RoleManagement.ReadWrite.Directory veya Directory.ReadWrite.All 24 aylık İstemci Sırrı ile Microsoft Graph API uygulama izinleri. Sahte yöneticinin kullanıcı hesabını silseniz bile, Python komut dosyası bu Müşteri Sırrını bu gece yeni bir arka kapı kullanıcısını Global Admin'e yükseltmek için evden kullanabilir. Tanınmayan tüm Uygulama Kayıtlarını veya Müşteri Sırlarını derhal silin.
3. Google Workspace'te (admin.google.com): Git Security > Access and data control > API controls > Manage Domain Wide Delegation. Alan Genelinde Yetki Verilmiş olan her Google Cloud Hizmet Hesabı İstemci Kimliğini inceleyin (https://www.googleapis.com/auth/admin.directory.user) ve tanınmayan tüm Google Cloud projelerini veya OAuth jetonlarını silin.
4. İş Ortağı İlişkilerini Kontrol Edin (GDAP / DAP) ve Kiracılar Arası Erişim Ayarları:
5. Microsoft 365 Yönetim Merkezi'nde şuraya gidin: Settings > Partner relationships. Sahte yüklenicinin kendi kişisel Microsoft İş Ortağı Ağını bağlamadığını doğrulayın (MPN) temsilci Bulut Çözüm Sağlayıcısı olarak hesap GDAP Genel Yönetici hakları.
6. Microsoft Entra ID'de kontrol edin External Identities > Cross-tenant access settings ve Users > All users (filtreleme User type == Guest harici bir şey olmadığını doğrulamak için atanmış Dizin Rolleri ile) @gmail.com veya @outlook.com Konuk kullanıcıya sessizce Genel Yönetici veya Ayrıcalıklı Rol Yönetici rolü atandı.
7. Gizli Gelen/Giden Posta Yönlendirme Kurallarını ve Otomatik Yönlendirmeyi Temizleme:
8. Kontrol et Exchange Admin Center > Mail flow > Rules (Microsoft 365'te) veya Apps > Google Workspace > Gmail > Routing (Google Workspace'te) kiracı çapındaki aktarım kuralları için sessizce BCC veya yönetici e-postalarını, şifre sıfırlama bağlantılarını veya banka havalesi faturalarını harici bir adrese yönlendirin.
9. Kiracı Genelinde Tüm Etkin Yenileme Belirteçlerini ve Oturum Çerezlerini İptal Edin:
10. Bulut ortamlarında bir kullanıcının şifresini değiştirmek, etkin OAuth yenileme belirteçlerini veya Sürekli Erişim Değerlendirmesini her zaman anında sonlandırmaz (CAE) zaten kimliği doğrulanmış dizüstü bilgisayarlardaki oturumlar. Güvenliği ihlal edilmiş yönetici hesabında "Oturumları iptal et / Tüm oturumlardan çıkış yap" seçeneğini açıkça tıklayın ve krbtgt / Azure AD SSO Kerberos şifre çözme anahtarı eğer Azure AD Connect / Entra Connect Hibrit senkronizasyon şirket içinde dağıtılır.
11. "Yönetici Onayı / Çok Taraflı Onayı" ve Rol Atamaları Hakkında Uyarıyı etkinleştirin:
12. Google Workspace Yönetici Denetim Günlükleri veya Microsoft Entra ID Ayrıcalıklı Kimlik Yönetimi () içinde anında bir e-posta ve SMS web kancası uyarısı yapılandırın (PIM) böylece her Süper/Global Yönetici, bir kullanıcı yönetici rolüne eklendiğinde veya MFA ayarları değiştirildiğinde anında bant dışı uyarı alır.

Bölgesel acil durum numaraları ve kurum protokolleri¶

Sık sorulan sorular¶

Şu anda DNS'nin sahibi olduğumu kanıtlayabildiğim halde Microsoft'un Veri Koruma Ekibi'nin Genel Yöneticinin kilidini açması neden bazen 5 ila 10 gün sürüyor?¶

Ticari Microsoft 365 kiracıları genellikle milyarlarca dolarlık fikri mülkiyet, banka havalesi yetkisi ve HIPAA/GDPR verilerine sahip olduklarından, sosyal mühendislik saldırganları sıklıkla destek temsilcilerini Genel Yöneticinin MFA'sını sıfırlamaları için kandırmaya çalışır. Sonuç olarak Microsoft, kimliği doğrulanmamış Genel Yönetici MFA sıfırlamalarını **Veri Koruma Ekibi (`DPT`)**. DPT kuyruğunda beklerken: (1) **16 haneli Vaka Numaranızı** referans alarak günde bir kez geri arayın, (2) ön hat temsilcisinden bildirimi **"İş Açısından Kritik - Sıfır Yedekleme Yöneticileriyle Toplam Yönetici Kilitlemesi (Önem Düzeyi A)"** olarak işaretlemesini isteyin ve (3) bir Microsoft Hesap Yöneticiniz, Bulut Çözüm Sağlayıcınız varsa (`CSP`) veya Birleşik Destek sözleşmesi talep ediyorsanız, onlardan vaka numaranıza ilişkin dahili bir **"CritSit" (Kritik Durum)** üst kademeye iletmelerini isteyin; bu, genellikle DPT yanıt süresini 24 saatin altına düşürür.

Ya sahtekar eski BT çalışanı bizi HEM Microsoft 365/Google Workspace'ten HEM de Etki Alanı Kayıt Kuruluşumuzdan (GoDaddy/Cloudflare) kilitlediyse?¶

Ayrılan bir çalışan veya yüklenici kayıtlıysa `yourcompany.com` kendi oturum açma bilgilerini kullanarak veya sizi Etki Alanı Kayıt Kuruluşunuzdan (GoDaddy, Namecheap, Cloudflare, Ağ Çözümleri) kilitledikten sonra, Google/Microsoft DNS'yi yayınlayamayacağınız için **önce Etki Alanı Kayıt Kuruluşu hesabını kurtarmanız gerekir** `TXT` Kayıt şirketi erişimi olmadan kayıt yapın. Her ICANN onaylı kayıt kuruluşunun özel bir **Alan Sahipliği / Hesap Kurtarma Anlaşmazlık Portalı** vardır (örneğin, GoDaddy'nin `Account Recovery & Change of Update Request`). Şunları gönderin: (1) şirketinizin **Ana Sözleşme / IRS EIN Mektubu / İşletme Kaydı**, (2) kurumsal görevli olarak **Fotoğraflı Devlet Kimliğinizin** bir kopyası ve (3) şirketinizin alan adı kaydı ve yenileme ücretlerini ödediğini gösteren **kurumsal kredi kartı veya banka hesap özetleri**. Kayıt şirketi, alanı 48 ila 96 saat içinde yeni bir kurumsal hesaba aktaracak ve DNS'yi yayınlamanıza olanak tanıyacaktır. `TXT` Google Workspace'i veya Microsoft 365'i kaydedip hemen ardından geri alın.

Her bir kişinin portala erişimi engellenirse Microsoft Entra ID "Kiracı Kimliğimi" (GUID) nasıl bulabilirim?¶

Microsoft'un Veri Koruma Ekibini aradığınızda, tam olarak 36 karakterlik **Kiracı Kimliği GUID'inizi** (`xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx`) bilet yönlendirmeyi önemli ölçüde hızlandırır. Şirketinizde hiç kimse oturum açamasa bile Microsoft'un OpenID Connect meta veri uç noktası dünyadaki her etki alanı için herkese açıktır. Herhangi bir web tarayıcısını açın ve şuraya gidin: `https://login.microsoftonline.com/YOURDOMAIN.COM/v2.0/.well-known/openid-configuration` (değiştirme `YOURDOMAIN.COM` şirketinizin alan adı ile). Ekranda görünen JSON metninde, ardından gelen ilk URL'ye bakın. `"token_endpoint"`: hemen ardından gelen 36 karakterlik alfanümerik kod `login.microsoftonline.com/` **Microsoft Entra Kiracı Kimliğiniz** tam olarak budur.

Genel Yöneticiyi veya Süper Yöneticiyi DNS aracılığıyla sıfırlayacak TXT doğrulama herhangi bir e-postayı, OneDrive dosyasını veya Google Drive dokümanını silsin mi?¶

Hayır. Ne Google Workspace DNS Yönetici Kurtarma akışı ne de Microsoft Veri Koruma Ekibi MFA/şifre sıfırlama işlemi, kullanıcı posta kutusu verilerinin, SharePoint sitelerinin, OneDrive klasörlerinin, Teams sohbetlerinin veya Google Drive dokümanlarının tek bir baytına dokunmaz. Aslında, **mevcut bir standart çalışan hesabını Süper Yöneticiye / Genel Yöneticiye yükseltme** seçeneğini tercih ederseniz (ayrılan çalışanın şifresini sıfırlamak yerine), yeni terfi eden yöneticiniz konsolun tüm kontrolünü alırken, ayrılan çalışanın posta kutusu ve dosyalarına hiçbir şekilde dokunulmaz ve yasal keşif için korunur.

Uyumlu bir Intune cihazı veya belirli bir IP adresi isteyerek TÜM kullanıcıları (Genel Yöneticiler dahil) yanlışlıkla engelleyen bir Microsoft Entra Koşullu Erişim ilkesi ayarlarsak ne olur?¶

Buna **Koşullu Erişim Otomatik Kilitleme** adı verilir; örneğin bir yöneticinin Koşullu Erişim politikası hedeflemesi oluşturması `"All Users"` ve `"All Cloud Apps"` karşılanamayan bir denetimle (Hibrit Azure AD'ye Katılmış bir cihaz veya süresi dolmuş bir VPN IP aralığı gerektirmek gibi) ve kontrol etmeyi unutan `"Exclude Emergency Access Accounts"` kutu. Politika oturum açma sırasında her yöneticiyi engellediğinden, parolanızı bilseniz ve MFA telefonunuzu çalışır durumda tutsanız bile içeri girmenize izin vermez. Tek kurtarma yolunuz **Microsoft Ticari Destek**'i aramak, **Veri Koruma Ekibi**'ne iletmek ve DNS'yi iletmektir. `TXT` sahiplik doğrulaması yapın ve DPT mühendisinden kiracınızda **rahatsız edici Koşullu Erişim politikasını devre dışı bırakmak** için dahili arka uç aracını çalıştırmasını isteyin.

İlgili kılavuzlar¶

• Alan adının ele geçirilmesi, süresi dolmuş DNS ve web sitesinin ele geçirilmesi
• Bulut hesabı yasağı: Google, Apple ve Microsoft lokavt itirazları
• Operatör tarafından geri dönüştürülen iki faktörlü kimlik doğrulama telefon numarası ve SMS kilitleme
• Parola yöneticisi kilitleme, ana parola kaybı ve kasa kurtarma

Kaynaklar ve resmi rehberlik¶

• Google Workspace Yöneticisi Yardımı ve Güvenlik Belgeleri: Google Workspace Hesabınıza Yönetici Erişimini Kurtarma (admin.google.com), Destek Destekli DNS TXT/CNAME Doğrulama (toolbox.googleapps.com/apps/recovery/form) ve Süper Yönetici Cam Kırma Hesapları için En İyi Uygulamalar.
• Microsoft Learn (Microsoft Entra ID / Microsoft 365 Belgeleri): Microsoft Entra ID'de Acil Durum Erişim Hesaplarını Yönetin, DNS TXT Doğrulaması aracılığıyla Yönetilmeyen Bir Dizinde Dahili Yönetici Devralması Gerçekleştirin ve Veri Koruma Ekibi aracılığıyla Genel Yönetici MFA Kilitleme Yükseltmesini Gerçekleştirin.
• Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA, Amerika Birleşik Devletleri): Microsoft 365 ve Google Workspace Tenant Resilience için Bulut Güvenliği Teknik Referans Mimarisi ve CISA ScubaGear Temelleri.
• Ulusal Standartlar ve Teknoloji Enstitüsü (NIST): Özel Yayın 800-63B (Dijital Kimlik Yönergeleri: Kimlik Doğrulama ve Yaşam Döngüsü Yönetimi, Çok Faktörlü Kimlik Doğrulayıcı Kurtarma).
• İnternet Tahsisli Sayılar ve İsimler Kurumu (ICANN): Kayıt Sahibinin Hakları ve Sorumlulukları ile Alan Adı Kontrol Doğrulama Protokolleri.