Windows 11’de yönetici yetkisi artık kalıcı değil

Microsoft, Windows 11’de yönetici hesabının çalışma biçimini değiştiren Administrator Protection (Yönetici Koruması) özelliğini daha geniş kullanıma taşıyor. Özellik açıkken oturum boyunca yüksek yetki taşımıyorsunuz; yazılım kurulumu veya kritik sistem değişikliği gerektiğinde Windows, Windows Hello ile onayınızı alıp yalnızca o işlem için geçici bir yönetici belirteci oluşturuyor. Amaç net: kötü amaçlı yazılımın sessizce yetki yükseltmesini zorlaştırmak.

Neden önemli?

Klasik modelde yerel Yöneticiler grubundaki hesaplar, oturum boyunca güçlü yetkilerle geziyor. Bu pratik, ama saldırgan için de geniş bir yüzey. Microsoft’un belgelerine göre Yönetici Koruması “en az yetki” ilkesini uyguluyor: kullanıcı deprivileged (düşük yetkili) token ile başlıyor, yükseltme yalnızca ihtiyaç anında ve açık onayla geliyor. Onaydan sonra sistem, gizli ve ayrı bir profil üzerinden izole bir yönetici token’ı üretiyor; işlem bitince bu token yok ediliyor. Böylece kullanıcı bağlamında çalışan kötü amaçlı kodun, yükseltilmiş oturuma sızması zorlaşıyor.

Klasik UAC’tan farkı ne?

Ekranda benzer bir onay penceresi görünebilir; ancak Microsoft Yönetici Koruması’nı klasik User Account Control’ten (UAC) ayrı konumlandırıyor. UAC daha çok “savunma derinliği” uyarısıyken, Yönetici Koruması yönetici hesabının kendisini standart kullanıcı gibi davranmaya zorluyor. Her yönetici işlemi için etkileşimli onay şart; otomatik yükseltme yok. Chip Online’ın aktardığı ve Microsoft Learn’ün doğruladığı akışta, onaydan sonra oluşturulan yetki işlem bitince kapanıyor — kalıcı açık bir yönetici oturumu bırakılmıyor.

Kimler kullanabilecek, nasıl açılacak?

Özellik Windows 11 Home, Pro, Enterprise ve Education sürümlerinde destekleniyor. Varsayılan olarak kapalı geliyor; yani bilgisayarınızda bir anda davranışı değiştirmiyor. Kullanıcı tarafında yol Windows Security → Account protection (Hesap koruması) altındaki Yönetici Koruması anahtarı. Açtıktan sonra bilgisayarı yeniden başlatmak gerekiyor.

Kurumlarda Intune, Group Policy veya CSP ile yönetilebiliyor. Microsoft Learn’de öne çıkan iki politika: Admin Approval Mode tipini Yönetici Koruması ile ayarlamak ve yükseltme isteminin davranışını seçmek. Intune Settings Catalog altında Local Policies Security Options kategorisinde görünüyor; dağıtım kademeli.

• Just-in-time yükseltme: Yetki yalnızca işlem süresince
• Profil ayrımı: Sistem üretimi ayrı hesap / izole token
• Windows Hello: Yükseltmede kimlik doğrulama
• ETW olayları: Onay (15031) ve red/zaman aşımı (15032) izlenebilir

Kimler dikkat etmeli?

Sürekli yönetici yetkisine yaslanan eski uygulamalar uyumluluk sorunu çıkarabilir. Microsoft, geliştiricilerle uyum çalışması yürüttüğünü söylüyor. Şimdilik özellikle şu senaryolarda özellik önerilmiyor veya desteklenmiyor:

• Windows 365 Cloud PC ve Azure Virtual Desktop oturum ana bilgisayarları
• Hyper-V veya WSL’ye yoğun bağımlı iş istasyonları
• Yükseltilmiş ve normal profil arasında paylaşılan veri / SSO bekleyen iş akışları
• “En yüksek yetkilerle” çalışan zamanlanmış görevler (yeniden tasarım gerekebilir)

Yükseltilmiş oturumda standart oturumun SSO kimlik bilgileri taşınmıyor; ağ sürücüleri ve bazı kurulumlar yerel kopya veya yeniden kimlik doğrulama isteyebilir. Microsoft Learn, özelliğin KB5120998 ile kullanılabilir olduğunu ve varsayılanın kapalı kaldığını belirtiyor.

Kullanıcı ve IT için pratik okuma

Ev kullanıcısı için bu, “her yönetici işleminde ekstra bir Hello onayı” demek: kurulum ve kritik ayar değişikliği biraz daha sürtünmeli, ama sessiz yetki yükseltmesine karşı daha sert bir fren. IT ekipleri için ise İlk adımda pilot, uyumluluk listesi ve Cloud PC filtreleri kritik — LinkedIn’de aktarılan saha notlarında Cloud PC’ye yanlışlıkla uygulanan politikanın girişte sürekli kimlik istemi ve yükseltme hatalarına yol açabileceği uyarılıyor.

Özetle: Windows 11’de “yönetici olmak” artık tüm gün açık bir süper güç değil; ihtiyaç anında, doğrulanmış ve kısa ömürlü bir yetki. Özellik kademeli dağıtıldığı için tüm cihazlarda aynı anda görünmeyebilir. Görürseniz Windows Security’den açıp yeniden başlatmak yeterli; kurumsal ortamda ise Intune/GPO ile kontrollü açmak daha güvenli.