Windows’ta MDM Servisi Olmadan PowerShell ile MDM Komutları Çalıştırılabiliyor

Microsoft’un eski çalışanlarından Michael Niehaus tarafından keşfedilen bir yöntem, Windows sistemlerinde herhangi bir MDM hizmeti kurmadan doğrudan PowerShell üzerinden MDM komutlarının çalıştırılabilmesini sağlıyor. Bu yöntem özellikle test ve laboratuvar ortamlarında MDM özelliklerini incelemek isteyen yöneticiler için dikkat çekici bir alternatif sunuyor.

Mobil Cihaz Yönetimi (Mobile Device Management – MDM), kurumların Windows ve diğer mobil cihazları merkezi olarak yönetmesine olanak sağlayan teknolojilerden biri.

Normal şartlarda MDM komutlarının kullanılabilmesi için Microsoft Intune gibi bir MDM hizmeti veya uygun bir yönetim altyapısının bulunması gerekiyor. Ancak eski Microsoft çalışanı Michael Niehaus, Windows içerisinde yaptığı araştırmalar sırasında MDM komutlarının harici bir MDM servisine ihtiyaç duyulmadan da çalıştırılabildiğini keşfetti.

Niehaus’un bu amaçla hazırladığı PowerShell modülü, MDM işlevlerini doğrudan yerel Windows sistemi üzerinden kullanmayı mümkün hale getiriyor.

Keşfin arkasında mdmlocalmanagement.dll bulunuyor

Niehaus, Windows üzerinde MDM ile ilgili araştırmalar yaparken mdmlocalmanagement.dll isimli bir DLL dosyasına rastladı.

Bu dosya, araştırmacının dikkatini çekti ve Windows’un MDM altyapısının nasıl çalıştığını incelemeye başladı.

Deneme ve yanılma yoluyla yaptığı çalışmalar sonucunda Niehaus, normalde bir MDM hizmeti üzerinden çalıştırılması gereken bazı MDM komutlarının doğrudan PowerShell kullanılarak da gönderilebildiğini ortaya çıkardı.

Bu mekanizma Windows’un embedded mode özelliğinden yararlanıyor.

Windows 10 ve Windows 11 Pro sürümlerinde de çalışıyor

Microsoft’un dokümantasyonuna göre kullanılan embedded mode özelliği, resmi olarak Windows 10 IoT Core ve Windows 10 IoT Enterprise platformlarında destekleniyor.

Ancak Niehaus tarafından gerçekleştirilen testlerde mekanizmanın:

• Windows 10 Pro
• Windows 10 Education
• Windows 10 Enterprise
• Windows 11 Pro
• Windows 11 Education
• Windows 11 Enterprise

sürümlerinde de çalıştığı görüldü.

Bu durum, Windows’un yerel MDM yeteneklerinin yalnızca IoT sürümleriyle sınırlı olmadığını gösteriyor.

LocalMDM PowerShell modülü yayımlandı

Niehaus, geliştirdiği yöntemi LocalMDM 1.1 adıyla PowerShell Gallery üzerinden yayımladı.

Modül, Windows içerisindeki yerel MDM sunucusunun işlevlerine PowerShell cmdlet’leri aracılığıyla erişilmesini sağlıyor.

Modülü PowerShell üzerinden yüklemek için:

Install-Module -Name LocalMDM

komutu kullanılabiliyor.

Alternatif olarak PSResource üzerinden:

Install-PSResource -Name LocalMDM

komutuyla da kurulabiliyor.

Kurulum sonrasında kullanıcılar, desteklenen MDM işlemlerini herhangi bir harici MDM hizmeti kurmadan yerel sistem üzerinde test edebiliyor.

4 milyondan fazla indirme

Niehaus’un paylaştığı bilgilere göre hazırladığı PowerShell betiği 4 milyondan fazla kez indirildi.

İlginç olan nokta ise betiğin yeni olmaması. Proje ilk olarak 2022 yılında yayımlanmıştı.

MDM ve Windows yönetimiyle ilgilenen kullanıcıların son dönemde projeye gösterdiği ilginin artması, yöntemin yeniden gündeme gelmesini sağladı.

Microsoft tarafından desteklenmiyor

Burada önemli bir nokta bulunuyor. LocalMDM, Microsoft tarafından resmi olarak desteklenen bir çözüm değil.

Niehaus da PowerShell Gallery üzerindeki açıklamasında bu yöntemin kullanımının desteklenmediğini ve kullanıcıların kendi sorumlulukları altında kullanmaları gerektiğini belirtiyor.

Dolayısıyla yöntemin üretim ortamlarında merkezi cihaz yönetimi amacıyla Microsoft Intune veya başka bir kurumsal MDM çözümünün yerine kullanılması önerilmiyor.

Test ve laboratuvar ortamları için dikkat çekici

LocalMDM’nin en önemli kullanım alanlarından biri laboratuvar ve test ortamları olabilir.

Bir kurumun MDM altyapısını kurmadan önce Windows’un MDM özelliklerini incelemek, belirli CSP’leri (Configuration Service Provider) test etmek veya PowerShell üzerinden MDM komutlarının nasıl çalıştığını görmek istemesi durumunda bu yöntem pratik bir test ortamı sağlayabilir.

Özellikle Microsoft Intune gibi bir MDM servisinin kurulmasını gerektirmeden Windows’un yerel MDM yeteneklerinin incelenebilmesi, sistem yöneticileri ve güvenlik araştırmacıları açısından önemli bir avantaj sunuyor.

Michael Niehaus’un keşfi, Windows içerisinde bulunan ancak günlük sistem yönetiminde doğrudan görünmeyen MDM yeteneklerine dikkat çekiyor.

MDM servisi olmadan MDM komutlarının PowerShell üzerinden çalıştırılabilmesi, özellikle Windows yönetimi, CSP’ler ve cihaz yönetimi konusunda çalışma yapan sistem yöneticileri için ilginç bir test imkânı sunuyor.

Ancak LocalMDM’nin Microsoft tarafından desteklenmediği unutulmamalı. Bu nedenle çözümün özellikle lab, PoC ve test ortamlarında değerlendirilmesi, üretim sistemlerinde ise resmi olarak desteklenen MDM çözümlerinin kullanılmaya devam edilmesi gerekiyor.