Microsoft Intune Non-Compliant Cihaz Sorununun Çözümü (2026)

Özet (TL;DR): Microsoft Intune'da bir cihazın Non-Compliant (uyumsuz) görünmesinin tek bir sebebi yoktur: politikanın atanmamış olması, Compliance Status Validity Period (varsayılan 30 gün) içinde cihazın check-in yapamaması, BitLocker şifrelemenin tamamlanmamış olması, Secure Boot/TPM 2.0 desteğinin yetersiz olması, lisans eksikliği, üçüncü taraf antivirüsün Windows Security Center'a kayıtlı olmaması veya Microsoft'un kendi Defender Firewall yanlış raporlama bug'ı bu listenin başında gelir. Bu rehber yedi yaygın sebebi tek tek ele alır, Intune admin center'da hangi sırayla tanı yapılacağını gösterir, BitLocker ve Firewall workaround'larını adım adım anlatır, Microsoft Entra Conditional Access ile etkileşimi açıklar ve cihaz envanterinin kalıcı olarak temiz tutulması için önleyici yapılandırmaları sıralar.

Non-Compliant Nedir, Nasıl Oluşur?

Microsoft Intune'da bir cihazın Compliance sütununda Compliant yerine Not Compliant görünmesi, basit bir UI etiketinden çok daha kritik bir sinyaldir: bu cihaz, kurumun cihaz uyumluluk politikalarında tanımlı en az bir kuralı karşılamıyor demektir. Microsoft Entra Conditional Access politikalarınız "Require device to be marked as compliant" kontrolüyle yapılandırıldıysa, Non-Compliant durumdaki cihaz Microsoft 365 servislerine — Exchange Online posta kutusuna, SharePoint Online'a, Teams'e — anında erişimini kaybeder.

Microsoft Intune, cihaz uyumluluğunu iki katmanda değerlendirir. Birinci katman tenant-wide compliance policy settings: bu, tüm tenant için tanımlanmış varsayılan davranıştır. İkinci katman device compliance policies: platform bazında (Windows, iOS, Android, macOS, Linux) gruplara veya kullanıcılara atanan kural setleridir. Bir cihaz uyumlu sayılmak için ikisini de karşılamak zorundadır. Cihaz politikadaki herhangi bir kuralı karşılamadığında, Intune o cihazı varsayılan olarak derhal Non-Compliant işaretler ve Microsoft Entra ID'ye bu durumu raporlar.

Non-Compliant Cihazın 7 Yaygın Sebebi

Microsoft Learn dokümantasyonu ve saha tecrübesinden derlenen, bir cihazın Intune'da Non-Compliant görünmesinin en sık karşılaşılan yedi sebebi:

1. Cihaza atanmış uyumluluk politikası yok

Microsoft Intune'da varsayılan tenant ayarı, atanmış politikası olmayan cihazları Compliant sayar. Ancak Conditional Access kullanan kurumlar bu varsayılanı tersine çevirmek zorundadır: Endpoint security > Device compliance > Compliance policy settings > Mark devices with no compliance policy assigned as = Not compliant. Bu güvenlik anahtarı açıldığında, kayıt olmuş ama henüz hiçbir politika kapsamında olmayan tüm cihazlar otomatik Non-Compliant duruma geçer. Bu, hatadan çok bir doğru güvenlik yapılandırmasıdır; çözüm cihazın bulunduğu kullanıcı veya cihaz grubuna en az bir compliance policy atamaktır.

2. Compliance Status Validity Period dolmuş (varsayılan 30 gün)

Tenant ayarlarındaki ikinci kritik anahtar Compliance status validity period (days). Microsoft Learn dokümantasyonuna göre varsayılan değer 30 gündür ve 1 ile 120 gün arasında ayarlanabilir. Bu süre içinde cihazın aldığı her compliance policy için Intune'a başarıyla rapor vermesi gerekir. Cihaz süresi içinde rapor veremezse — uzun süre offline kaldıysa, kullanıcı tatildeyken makineyi açmadıysa, VPN olmadan kurumsal kaynaklara ulaşamadıysa — Intune onu inactive ve noncompliant olarak işaretler. Devices > Monitor > Setting compliance ekranında bu durumun adı Is active sütununda görünür.

3. BitLocker şifreleme tamamlanmamış

Windows compliance policy'sinde Require BitLocker kuralı açıksa ve cihazda BitLocker şifreleme süreci hâlâ devam ediyorsa cihaz Non-Compliant görünür. Şifreleme süresi disk boyutuna, dosya sayısına ve BitLocker ayarlarına bağlı olarak saatler hatta günler alabilir. Microsoft Learn açıkça belirtir: "BitLocker şifrelemesi tamamlanmadığı sürece cihaz Not Compliant olarak işaretlenir." Çözüm: kullanıcının makinesini açık tutması, güç kablosuna takılı bırakması ve şifrelemenin %100'e ulaşmasını beklemek. manage-bde -status komutu PowerShell'de mevcut yüzdeyi gösterir.

4. Secure Boot etkin ama TPM 2.0 desteği yok

Windows compliance policy'de Require Secure Boot to be enabled on the device kuralı açıksa, ancak cihazın anakartı TPM 2.0 veya üzerini desteklemiyorsa — eski donanımlar, bazı hyper-v sanal makineleri, eski IoT cihazları — politika değerlendirme katmanı kuralı geçemez ve Intune cihazı Not Compliant gösterir. Çözüm üç seçenektir: BIOS/UEFI'de Secure Boot'u etkinleştirin (donanım destekliyorsa), TPM 2.0 olan donanıma yükseltin veya bu cihazları farklı bir compliance policy grubuna alıp Secure Boot kuralını Not configured yapın.

5. Intune lisansı atanmamış

Cihaza giriş yapan kullanıcının Microsoft Entra ID profilinde Intune dahil bir lisans (Microsoft 365 E3, M365 E5, EMS E3, EMS E5, M365 Business Premium veya stand-alone Intune Plan) atanmış olmalıdır. Lisansı olmayan kullanıcının cihazı kayıt olabilir ama compliance policy'leri uygulanamaz; sonuçta cihaz Has a compliance policy assigned: No görünür ve tenant ayarınız Mark as Not compliant ise Non-Compliant olarak raporlanır. Çözüm: Microsoft 365 admin center > Active users > kullanıcı > Licenses and apps'tan ilgili lisansı atayın, ardından cihazın bir sonraki sync döngüsünü bekleyin (manuel sync için aşağıya bakın).

6. Antivirüs Windows Security Center'a kayıtlı değil

Compliance policy'de Require antivirus to be registered with Windows Security Center kuralı, cihazda çalışan antivirüsün Windows Security Center API'sine kayıtlı olduğunu doğrular. Microsoft Defender for Endpoint, Symantec, McAfee, Trend Micro gibi belli başlı kurumsal AV ürünleri standart olarak kayıt olur; ancak güncel olmayan tanım dosyaları, bozuk Defender servisi veya rakip iki AV'nin aynı anda yüklü olması bu kaydı bozabilir. Çözüm: Get-MpComputerStatus ile Defender durumunu kontrol edin, sc query WinDefend ile servis çalışıyor mu doğrulayın, çakışan eski AV'leri kaldırın ve sonra cihazı sync edin.

7. Microsoft'un Windows 10 Defender Firewall raporlama bug'ı

Microsoft Learn, Windows 10'da bilinen bir bug'ı resmi olarak belgeler: Microsoft Defender Firewall etkin olmasına rağmen compliance policy'de Firewall: Require kuralı yanlış raporlama yapar ve cihaz Not Compliant görünür. Etkilenen sürümler: Windows 10 versiyonları 1709, 1803, 1809. Microsoft, sırasıyla KB4467681, KB4467682 ve KB4469342 güncellemelerini bu bug için yayımladı (resmi Microsoft Learn troubleshooting belgesi). Update'leri uygulayamayan kurumlar için Microsoft iki workaround önerir; bunları aşağıdaki bölümde detaylandırıyoruz.

Adım Adım Tanı: Hangi Sebep Aktif?

Bir cihaz Non-Compliant göründüğünde paniğe kapılmadan izlenecek tanı sırası şöyledir:

1. Microsoft Intune admin center'a girin (intune.microsoft.com). Devices > All devices yoluyla cihazı bulun. Cihaz adıyla arama yapabilirsiniz.
2. Cihazın detay sayfasında "Device compliance" sekmesine geçin. Burada cihaza atanmış tüm compliance policy'ler ve her birinin durumu listelenir. Not compliant görünen politikaya tıklayın.
3. Politika detayında hangi spesifik ayarın geçemediğini görün. Burada "BitLocker is enabled", "Secure Boot is enabled on the device", "Antivirus is up to date" gibi maddelerin yanında ayrı ayrı pass/fail durumu vardır. Buradaki ilk kırmızı kalem, kök nedendir.
4. Setting compliance görünümünü kontrol edin. Sol menüden Devices > Monitor > Setting compliance yoluyla cihazınızın Is active ayarına bakın. Not compliant — Is active = false ise cihaz uzun süredir check-in yapmıyor demektir; bu Compliance Status Validity Period dolmuş senaryosudur.
5. Cihaz tarafında Company Portal uygulamasını açın. Windows için Settings > Accounts > Access work or school > cihazı seç > Info > Sync. iOS/Android için Company Portal uygulamasında Devices > cihaz adı > Check Status. Manuel sync, en hızlı tanı aracıdır: cihaz Intune'la konuşabiliyorsa sebep politikadadır, konuşamıyorsa sorun ağ/lisans/kayıttadır.
6. Sync sonrası 5-15 dakika bekleyin, ardından admin center'da F5 ile sayfayı yenileyin. Compliance durumu güncellenmediyse 5. maddedeki politika detayı bölümüne geri dönüp 1-7 numaralı sebepleri sırasıyla doğrulayın.

Workaround: Defender Firewall Yanlış Raporlama Bug'ı

Etkilenen Windows 10 sürümlerine güncelleme uygulanamadığında Microsoft'un belgelediği iki workaround vardır:

Yöntem 1 (önerilen): Grace period ekle

1. Microsoft Intune admin center'da Devices > Compliance > ilgili Windows compliance policy'sini açın.
2. Properties > Actions for noncompliance > Mark device noncompliant aksiyonunu seçin.
3. Schedule (days after noncompliance) alanını sıfır yerine 1, 3 veya 7 gün yapın.
4. Save tıklayın.

Bu, cihazın bug nedeniyle yanlış raporlama yaptığı kısa pencerede otomatik düzelmesi için zaman tanır. Cihaz bir sonraki sync döngüsünde doğru durumu raporlarsa Non-Compliant'a hiç düşmez.

Yöntem 2: Firewall kuralını Not configured yap

Etkilenen Windows 10 sürümlerinde Defender Firewall'u zaten ayrı bir Endpoint security policy ile yönetiyorsanız, compliance policy'deki Firewall kuralını Not configured yaparak çakışmayı ortadan kaldırabilirsiniz: Windows compliance policy > Properties > Compliance settings > System Security > Device Security > Firewall = Not configured. Bu yöntem, firewall'un etkinliğini artık compliance katmanında değil endpoint security policy katmanında zorlamanız anlamına gelir; iki katmanı birden boşaltmadığınızdan emin olun.

Actions for Noncompliance: Cezalandırma Değil, Kademeli Yaptırım

Intune'un her compliance policy'sinde Actions for noncompliance bölümü vardır ve varsayılan olarak yalnızca Mark device noncompliant aksiyonu sıfır gün gecikmeyle (yani anında) tetiklenir. Microsoft Learn dokümantasyonuna göre kullanılabilir ek aksiyonlar:

• Send email to end user — Notification message template ile özelleştirilmiş, Intune'un [email protected] adresinden gönderdiği uyarı maili. Posta kutusu politikalarınızda bu adresin engellenmediğinden emin olun. Bildirimler genelde uyumsuzluk işaretlenmesinden sonraki 6 saat içinde gönderilir.
• Remotely lock the noncompliant device — Cihaza uzaktan kilit komutu yollar; kullanıcıdan PIN/şifre istenir. Android device administrator, Android Enterprise, iOS/iPadOS ve macOS desteklenir.
• Add device to retire list — Cihazı, admin onayıyla retire edilecek listesine ekler. Admin onaylayana kadar gerçek bir veri silme olmaz; ama bir kez onaylandığında kurumsal veri ve Intune yönetimi cihazdan tamamen kaldırılır.
• Send push notification to end user — Company Portal veya Microsoft Intune uygulaması üzerinden cihaza push bildirim. Garanti edilmez; teslim birkaç saat gecikebilir veya hiç gelmeyebilir. Acil mesajlar için bu kanalı kullanmayın.

Microsoft Intune admin center kullanıcı arayüzü schedule alanını gün cinsinden gösterir; ama Microsoft Graph API üzerinden ondalıklı değerler (0.25 = 6 saat, 0.5 = 12 saat, 1.5 = 36 saat) tanımlanabilir. Diğer ondalıklı değerler kabul edilmez ve 0.33 gibi denemeler kayıtta hata verir. Aksiyon sayısını da artırabilirsiniz: bir politikaya hem 0. günde mark noncompliant, hem 2. günde send email, hem 5. günde send email tekrar, hem 14. günde retire ekleyerek kademeli bir yaptırım takvimi kurabilirsiniz.

Conditional Access ile Etkileşim: Tek Bir Etiketle Erişim Kapatılır

Compliance ve Microsoft Entra Conditional Access birlikte kullanıldığında etki katmerleşir. Bir cihaz Intune'da Non-Compliant işaretlendiğinde compliance durumu otomatik olarak Microsoft Entra ID'ye akar; Conditional Access politikalarınızda Require device to be marked as compliant grant kontrolü varsa, kullanıcı Outlook, Teams, SharePoint, OneDrive ve diğer Entra-federe servislere o anda erişim kaybeder. Yani tek bir politika kuralı geçemediğinde, kullanıcı pratikte tüm Microsoft 365 ortamından düşer.

Bu güçlü bir güvenlik kontrolüdür ama yanlış yapılandırıldığında ciddi operasyonel kesintiye yol açar. Microsoft Learn dokümantasyonu üç önemli noktaya dikkat çeker:

• Remediated vs Quarantined ayrımı: iOS ve Windows'ta PIN/şifre kuralı Remediated davranışı gösterir — işletim sistemi kullanıcıya PIN belirletene kadar zorlar; cihaz Non-Compliant kalmaz. Android'de ise cihaz şifreleme kuralı Quarantined'dır; OS zorlamaz, kullanıcı kendisi şifrelemediği sürece cihaz Non-Compliant kalır ve Conditional Access erişimi engeller.
• 30 günden uzun lost contact: Cihaz 30 günden fazla Intune'la check-in yapmamışsa Company Portal otomatik enrollment remediation flow'a girer; bir kez daha check-in dener ve başarısız olursa kullanıcıya cihazı manuel olarak yeniden kayıt ettirme komutu çıkarır.
• Tenant ayarı kritik: Conditional Access kullanan tenant'larda Mark devices with no compliance policy assigned as = Not compliant ayarı zorunludur. Aksi halde, hiç politika atanmamış kayıt olmuş bir cihaz Compliant sayılır ve grant kontrolü atlatılır.

Önleyici Yapılandırma: Envanteri Temiz Tutmak

Non-Compliant cihazları sürekli kovalamak yerine, baştan iyi yapılandırarak hata oranını yıllık bazda %80'e kadar düşürebilirsiniz. Microsoft Learn ve saha tecrübesinden derlenen pratikler:

• Compliance Status Validity Period'ı 30 günde tutun — daha kısa süreler (örn. 7 gün) tatildeki kullanıcıları haksız yere Non-Compliant gösterir; daha uzun süreler (örn. 90 gün) çalınmış cihazların kontrolden çıkmasına yol açar. 30 gün, sektör konsensüsüdür.
• BitLocker policy'sine grace period ekleyin — yeni provisioned cihazların ilk şifreleme süresinde Non-Compliant düşmemesi için Mark device noncompliant aksiyonunu 1-2 gün geciktirin.
• Lisans grup tabanlı atayın — yeni işe başlayan kullanıcının cihazı kayıt olmadan önce lisans hazır olsun. Microsoft 365 licensing group ile dinamik üyelik kullanın.
• Email + push bildirim katmanlarını paralel kullanın — push garanti değil, email ise 6 saat gecikebilir. İkisi birden bağlı olduğunda kullanıcı en azından bir kanaldan haberdar olur.
• Aylık "non-compliant report" otomasyonu kurun — Devices > Monitor > Noncompliant devices raporunu Power BI veya Logic Apps ile haftalık olarak IT yöneticilerine yollayın. Görmediğiniz sorunu çözemezsiniz.
• Compliance politikalarını platform bazında ayırın — Windows, iOS, Android, macOS için ayrı policy'ler. "All platforms" tek politika tasarımı, platform-spesifik ayar farklarında karışıklık yaratır.
• Custom compliance settings'ı bilin — Microsoft Intune'un built-in ayar listesinde olmayan bir kontrolü (örn. belirli bir registry anahtarı, belirli bir Linux paketi sürümü) zorlamak için custom compliance mekanizması Linux Ubuntu 24.04/26.04 LTS ve Windows için desteklenir.

Sıkça Sorulan Sorular (SSS)

Cihaz Non-Compliant göründü ama hiçbir kural ihlal etmiyor görünüyor. Neden?

En yaygın iki sebep: birincisi cihazın Compliance Status Validity Period (varsayılan 30 gün) içinde Intune'a check-in yapamamış olması — uzun süre offline kaldıysa, VPN olmadan kurumsal kaynaklara ulaşamadıysa. İkincisi ise Microsoft'un belgelediği Defender Firewall yanlış raporlama bug'ı (Windows 10 1709/1803/1809 sürümlerinde). Cihazda Settings > Accounts > Access work or school'dan manuel sync deneyin; sorun devam ederse Setting compliance görünümünden Is active sütununu kontrol edin.

Intune compliance policy değişikliği cihaza ne kadar sürede ulaşır?

Cihaz Intune ile bir sonraki check-in'inde politika güncellemesini alır. Windows için varsayılan check-in döngüsü 8 saatte bir, Android/iOS için 6-8 saatte bir; cihaz uyandığında veya kullanıcı Company Portal'da manuel sync tıkladığında anında yapılır. Acil değişiklikler için kullanıcıya "Settings > Access work or school > Info > Sync" adımını söyleyin; sync sonrası 5-15 dakika içinde compliance durumu yeni politikayla yeniden değerlendirilir.

Non-Compliant cihaz kullanıcısının Outlook'u açılmıyor — geçici bir bypass var mı?

Hayır, doğru bir bypass yoktur ve aramamak gerekir. Conditional Access politikanızda Require device to be marked as compliant kontrolü varsa, cihaz Compliant olana kadar Outlook (ve diğer Entra-federe servisler) erişim alamaz — bu zaten politikanın amacıdır. Çözüm: cihazı Compliant'a getirmek (BitLocker tamamlamak, eksik update'i yüklemek, AV'yi düzeltmek). Acil iş ihtiyacı varsa, kullanıcıyı geçici olarak ilgili Conditional Access politikasından exclude grubuna ekleyebilirsiniz; ama bu istisna yetkisi denetlenmeli ve 24 saat içinde kapatılmalıdır.

Cihazda BitLocker etkin ama Intune Non-Compliant gösteriyor. Ne kontrol edeyim?

İki noktayı doğrulayın. Birincisi şifreleme yüzdesi: PowerShell'de manage-bde -status komutu çalıştırın; Percentage Encrypted 100% değilse şifreleme hâlâ devam ediyor demektir, %100'e ulaşana kadar makineyi açık tutun. İkincisi şifreleme tipi: politika XTS-AES 256 şart koşuyorsa ama cihazda AES-CBC 128 aktifse uyumsuzluk oluşur — politika ile cihaz şifreleme tipi eşleşmelidir.

Compliance Status Validity Period'ı 30 günden 7 güne indirsem ne olur?

Daha sıkı güvenlik elde edersiniz: 7 günden uzun süredir check-in yapmamış her cihaz Non-Compliant ve inactive sayılır, Conditional Access ile erişimleri kapanır. Ancak yan etki ciddidir: 1 haftalık tatile çıkan kullanıcının cihazı dönüşte Non-Compliant olur ve compliance kapısı kapalı olduğu için ilk check-in'i yapamaz; bu kısır döngüden çıkmak için Company Portal manuel sync gerekir. 30 gün değeri sektör genelinde bu denge için optimum kabul edilir; 7 gün gerçekten ihtiyaç olmadıkça önerilmez.

Birden fazla compliance policy aynı cihaza uygulanırsa ne olur?

Cihazın her bir politikayı ayrı ayrı geçmesi gerekir. Aynı cihaza atanmış üç policy varsa ve cihaz ikisini geçip birini geçemezse, cihaz Non-Compliant'tır. Bu nedenle çakışan kurallar (örn. policy A'da minimum OS sürümü 10.0.19045, policy B'de 10.0.22000) daima en sıkı kuralın geçerli olduğu anlamına gelir. Politika çakışmalarını Devices > Monitor > Setting compliance ekranında görebilir, gerektiğinde gruplama stratejinizi (kullanıcı grupları yerine cihaz grupları) yeniden düzenleyebilirsiniz.

Android Device Administrator ile yönetilen cihazlar için Non-Compliant aksiyonları çalışır mı?

Microsoft, Android device administrator (DA) yönetimini Google Mobile Services (GMS) erişimi olan cihazlar için 2024-2025 döneminde deprecate etti. GMS'siz Android 15 ve öncesi cihazlarda destek devam ediyor ancak yeni cihazlar için Android Enterprise (Fully Managed, Dedicated, Corporate-Owned Work Profile veya Personally Owned Work Profile) kullanılmalı. Üçüncü taraf compliance management partner'ları üzerinden yönetilen cihazlar için send email, remotely lock, retire list, push notification aksiyonlarının desteklenmediğini de unutmayın.

Sonuç: Non-Compliant Bir Hata Değil, Bir Sinyaldir

Microsoft Intune'da bir cihazın Non-Compliant görünmesi, kurumsal güvenlik politikanızın doğru çalıştığının kanıtıdır. Hatalı veya eksik yapılandırılmış cihazları zamanında tespit eden bu sinyal, Conditional Access ile birleştiğinde cihaz uyumluluğunu Microsoft 365 erişimine ön koşul yapan güçlü bir Sıfır Güven uygulamasıdır. Bu rehberdeki yedi yaygın sebep, altı adımlık tanı yolu ve önleyici yapılandırma listesi, IT ekibinizin Non-Compliant raporlarını kovalamak yerine sebep katmanında çözmesini sağlar.

Önemli olan, bir cihaz Non-Compliant düştüğünde refleks olarak "acaba bug mu var" demek yerine sırasıyla atama, validity period, BitLocker, Secure Boot, lisans, AV ve firewall kontrol etmektir. Bu altı dakikalık bir tanı ritüelidir ve doğru uygulandığında çoğu vakanın tek seferde çözülmesini sağlar. Sürekli Non-Compliant gözüken cihazlar varsa, sorun bireysel cihazda değil policy tasarımında veya tenant compliance policy settings'tedir; bu durumda Microsoft Intune admin center'da Setting compliance ve Noncompliant devices raporları üzerinde detaylı kök neden analizi yapın.

Microsoft İstanbul — Xen Bilişim ekibi olarak, kurumunuzun Microsoft Intune cihaz uyumluluk politikalarının tasarımından, Conditional Access entegrasyonuna, BitLocker ve Defender baseline'ından otomatik sync ve raporlama altyapısına kadar uçtan uca destek sağlıyoruz. İletişim sayfamızdan bize ulaşın.