Entra ID ile SSO Kurulumu

• YEKE tarafı. Enterprise lisansın sso kalemi etkin olmalı. YEKE_PUBLIC_URL tanımlı olmalı — yönlendirme adresi bundan türer.
• Entra rolleri. Uygulama kaydı için en az Application Developer. Grup açmak için Groups Administrator ya da User Administrator. Girişi atamaya zorunlu kılacaksanız ayrıca Cloud Application Administrator.

1. entra.microsoft.com adresine girin. Birden çok kiracı varsa üst menüdeki Settings simgesiyle kiracı değiştirin.
2. Entra ID → App registrations → New registration.
3. Name alanına bir ad yazın, Supported account types için Single tenant only seçin.
4. Redirect URI platform seçicisinden Web'i seçin, adres kutusuna https://<yeke-adresi>/api/auth/oidc/callback yazın. <yeke-adresi> core'un YEKE_PUBLIC_URL değeridir; YEKE'yi tarayıcıda farklı bir adresle açıyorsanız YEKE_PUBLIC_URL'i esas alın.
5. Register'a tıklayın. Açılan Overview sayfasında Application (client) ID ve Directory (tenant) ID değerlerini bir kenara not edin.

1. Uygulamada Certificates & secrets → Client secrets → New client secret.
2. Bir açıklama yazın, Expires için en fazla 24 ay seçin, Add'e tıklayın.
3. Oluşan satırda Value sütununu kopyalayın — sayfadan ayrılınca bir daha gösterilmez.

Sır süresi dolunca giriş aynı hatayla durur (Entra tarafında AADSTS7000222); yerel hesaplar bundan etkilenmez. Bitiş tarihini takvime yazın — yenileme adımları bu sayfanın sonunda.

1. Entra ID → Groups → All groups → New group.
2. Group type için Security seçin, Group name alanına YEKE Yöneticileri gibi bir ad yazın.
3. Membership type için Assigned'i seçin, Members bağlantısıyla kişileri ekleyin, Create'e tıklayın.
4. Grubun Overview sayfasında Object ID'yi not edin.

Aynı kural Kubernetes grup eşlemesinde de geçerli — oraya da bir Security grubunun Object ID'si yazılır.

1. Uygulamada Token configuration → Add groups claim.
2. Security groups'u işaretleyin.
3. Customize token properties by type altında ID için Group ID'yi seçin.
4. Emit groups as role claims işaretli olmasın; kaydedin.

Kontrol

Uygulamada Manifest sayfasını açıp aşağıdaki iki değeri arayın.

"groupMembershipClaims": "SecurityGroup"

"optionalClaims": {
  "idToken": [
    { "name": "groups", "source": null, "essential": false, "additionalProperties": [] }
  ]
}

additionalProperties boş kalmalı. İçinde emit_as_roles varsa gruplar roles claim'ine gider ve YEKE grup görmez; sam_account_name ya da cloud_displayname varsa GUID yerine ad gelir ve Object ID eşleşmez.

Groups assigned to the application yalnız 200'den fazla gruba üye kullanıcılarda gerekir (Entra ID P1/P2 ister, iç içe gruplar girmez) — çoğu kurulumda atlanabilir.

1. Entra ID → Enterprise apps → All applications'tan uygulamayı açın.
2. Properties altında Assignment required? için Yes seçin, kaydedin.
3. Users and groups → Add user/group'tan kişileri seçip Assign'e tıklayın.
4. Atama zorunlu olduğunda izinlere yönetici onayı da gerekir: uygulama kaydında API permissions → Grant admin consent.

Gruba atama Entra ID P1/P2 ister; ücretsiz katmanda kişileri tek tek atarsınız. Atanmamış bir kişi Microsoft'un giriş sayfasında AADSTS50105 ile durur.

Sağlayıcı ekle'ye tıklayın, kartta Keşfi test et'i çalıştırın, başarılı olursa Etkinleştir'e basın.

Yönetici grubu tanımlıyken rol her girişte gruptan türer; Kullanıcılar ekranından değiştirilemez. Kişiyi admin yapmak ya da adminlikten çıkarmak için Entra'daki gruba ekleyin ya da gruptan çıkarın.

Kubernetes grupları (isteğe bağlı)

Cluster'ın kimlik ekranındaki Dizin grubu eşlemesi bölümünde sol tarafa grubun Object ID'sini, Okunur ad (isteğe bağlı) alanına grup adını yazın; ayrıntı Yetkilendirme ve RBAC sayfasında. Orada da Security grupları kullanılır.

1. Çıkış yapın, giriş ekranındaki SSO düğmesine (ör. Microsoft ile giriş yap) tıklayın.
2. Microsoft'un giriş ekranından geçin.
3. YEKE'ye geri dönün; Menü → Yönetim → Kullanıcılar ekranında hesabınızın Rol sütununda admin yazdığını doğrulayın.

Rol yalnız girişte hesaplanır — gruba ekleme sonrası kişi çıkış yapıp yeniden girmeli. Yerel yönetici hesabını saklayın; acil erişim yoludur.

Entra'nın hata kodunu core logunda bulursunuz:

docker compose logs core 2>&1 | grep "rejected the client authentication"

1. Entra'da uygulamada Certificates & secrets → Client secrets → New client secret ile yeni bir sır oluşturun, Value'yu kopyalayın.
2. YEKE'de sağlayıcı kartında Düzenle → Yeni istemci sırrı (isteğe bağlı) alanına yapıştırın, Değişiklikleri kaydet.
3. SSO ile bir kez giriş yaparak yeni sırrın çalıştığını doğrulayın.
4. Entra'da eski sırrı silin.