Microsoft Entra Connect Sync Kurulumu ve Yapılandırması (2026 Rehberi)

On-prem Active Directory’yi yıllardır yöneten herkesin bildiği bir gerçek var: kullanıcı hesabı artık yalnızca domain’de yaşamıyor. Aynı kullanıcı sabah oturum açarken domain controller’a, öğlen Teams’e girerken Microsoft Entra ID’ye (eski adıyla Azure AD) soruyor. Bu iki dünyayı birbirine bağlayan köprü de senelerdir aynı: dizin senkronizasyonu.

Ama 2026’da bu köprünün adı da, kuralları da değişti. "Azure AD Connect" artık Microsoft Entra Connect. Dahası, Microsoft yeni kurulumlarda Microsoft Entra Cloud Sync‘i stratejik yön olarak öne çıkarıyor — eski, ağır, sunucuya kurulan senkron motorunu her senaryo için önermiyor. Yani işe başlamadan önce sorulması gereken ilk soru "nasıl kurarım" değil, "ben hangisini kurmalıyım?"

Bu yazıda önce o kararı net bir şekilde vereceğiz; sonra Connect Sync’i senin için doğru seçenek yapan senaryoda, sahada gerçekten işe yarayacak şekilde — express sihirbazına "ileri-ileri-bitti" demeden — adım adım kuracağız. Ve en sonda, 2026’da seni sistemde aksatacak iki konuyu konuşacağız: zorunlu sürüm güncellemesi ve hard match güvenlik sertleştirmesi. Çünkü bugün çalışan bir kurulum, önümüzdeki aylarda sırf bunları atladığın için durabilir.

Önce karar: Connect Sync mi, Cloud Sync mi?

Bunu dürüstçe konuşalım, çünkü yanlış başlarsan aylar sonra göç etmek zorunda kalırsın.

Microsoft Entra Cloud Sync, hafif bir provisioning agent’ı ile çalışır; tüm yapılandırma bulutta durur, sunucuda SQL yoktur, ajan kendini otomatik günceller, birden fazla ajanla yük devretme (failover) native gelir ve birbirine bağlı olmayan (disconnected) birden fazla orman’ı tek tenant’a tek yerden senkronlar. Microsoft’un yeni özellikleri önce buraya yazdığı, "stratejik yön" dediği ürün bu. Yeni ve sade bir ortam kuruyorsan, varsayılan tercihin Cloud Sync olmalı. Artık cihaz senkronizasyonu (device sync) ile hybrid join senaryosunu da destekliyor — eskiden bu, "Cloud Sync olmaz" demenin en sık gerekçesiydi.

Microsoft Entra Connect Sync‘i hâlâ seçmenin geçerli nedeni, Cloud Sync’in henüz karşılamadığı belirli bir ihtiyacın olmasıdır. Sahada en sık görülen gerekçe: karmaşık, öznitelik tabanlı filtreleme ve ileri düzey dönüşüm (transformation) kuralları. Ağır, çok ormanlı eski yapılar, özel attribute flow’lar, Connect’in sync rule editor’ına gömülü özel mantık — bunlar varsa Connect Sync hâlâ senin aracın.

Pratik kural:

• Yeni/sade ortam, standart öznitelikler → Cloud Sync değerlendir.
• Var olan Connect Sync kurulumu, karmaşık kurallar → Connect Sync’te kal, ama bu yazının sonundaki 2026 zorunluluklarını mutlaka uygula.
• Kararsızsan → Microsoft’un karar kılavuzundaki karşılaştırma tablosunu kendi ortamının gereksinimlerine göre tek tek işaretle. "Şu an Cloud Sync’in desteklemediği hangi özelliği gerçekten kullanıyorum?" sorusunun yazılı bir cevabı yoksa, Connect Sync’te kalmak için geçerli bir nedenin yok demektir.

Bu yazının geri kalanı, bu kararı verip Connect Sync’te kalmaya/kurmaya karar verdiğin senaryo içindir.

Connect Sync nasıl çalışır (kısa ama net)

Connect Sync, bir Windows sunucusuna kurulan bir senkron motorudur. On-prem AD’den okur, kurallara göre süzüp dönüştürür ve Entra ID’ye yazar. Varsayılan olarak her 30 dakikada bir senkron döngüsü çalışır (Cloud Sync’teki ~2 dakikalık modelden farkı budur; ağır ama kontrollüdür).

Kullanıcının bulutta nasıl kimlik doğrulayacağını ise senkronizasyondan ayrı bir karar belirler:

• Password Hash Sync (PHS): Parolanın hash’inin hash’i Entra’ya senkronlanır. Çoğu ortam için önerilen, en dayanıklı temeldir; on-prem çökse bile bulutta oturum açılır.
• Pass-through Authentication (PTA): Parola doğrulaması on-prem’de kalır, bulutta tutulmaz; agent gerektirir.
• Federation (AD FS): Ayrı bir federasyon altyapısı; bugün çoğu senaryoda gereksiz karmaşıklıktır.

Bu üçünün farkını ve hangisini ne zaman seçeceğini ayrı bir yazıda enine boyuna ele alıyoruz. Bu kurulumda PHS + Seamless SSO varsayacağız — sahada en çok karşılığı olan, en az sürpriz çıkaran kombinasyon budur.

Ön koşullar — kuruluma başlamadan önce masadaki kontrol listesi

Sahada kurulum hatalarının çoğu yanlış tıklamadan değil, atlanan ön koşuldan çıkar. Sihirbazı açmadan önce şunları netleştir:

Sunucu

• Windows Server 2016 veya üzeri (yeni kurulumda 2022/2025 tercih et). Domain’e üye, güncel, ayrılmış bir sunucu olsun — domain controller’a kurmak teknik olarak mümkündür ama prod’da önermem.
• .NET ve PowerShell güncel. TLS 1.2 etkin.
• Antivirüs istisnaları ayarlı (Connect dizini ve SQL dosyaları).

Veritabanı

• ~100.000 nesnenin altındaysan, kurulumla gelen SQL Server Express LocalDB yeterli (10 GB sınırı bu civara denk gelir).
• Daha büyük ortamda tam SQL Server kullan. Bunu başta doğru seç; sonradan taşımak ayrı bir iş.

Hesaplar

• Entra tarafında kurulum için Hybrid Identity Administrator (eski Global Admin) rolü.
• On-prem tarafında, custom kurulumda kullanılacak senkron hesabı (ya sihirbaza oluşturtursun ya önceden yetkilendirirsin).
• Bu hesapları MFA ve Conditional Access istisnaları açısından önceden düşün — kurulum ortasında kimlik doğrulama duvara toslamasın.

İsim alanı (çok kritik)

• Entra’ya senkronlanacak kullanıcıların UPN son eki yönlendirilebilir ve Entra’da doğrulanmış bir domain olmalı (ör. sirket.com), sirket.local değil.
• Gerekiyorsa "Active Directory Domains and Trusts" üzerinden UPN son eki ekle ve kullanıcıların UPN’lerini düzelt. Bunu kurulumdan önce yap; sonradan toplu UPN değişimi başlı başına bir operasyon.

Ağ

• Sunucudan Microsoft uç noktalarına giden (outbound) 80/443 açık olmalı. Proxy varsa Connect’in proxy’yi tanıması gerekir.

Express mi, Custom mı?

Sihirbaz sana iki yol sunar. Express, PHS’li tek ormanlı basit senaryoyu birkaç tıklamayla kurar ve gerekli hesapları kendisi açar. Demolar ve çok küçük ortamlar için uygundur.

Prod ortamında ben Custom (Özelleştirilmiş) kurulumu öneririm. Nedeni basit: express senin yerine karar verir — hangi OU’lar senkronlanacak, hangi öznitelikler, kimlik doğrulama yöntemi ne olacak, hepsini. Custom’da bu kararları sen verirsin ve birkaç ay sonra "bu neden böyle senkronlanmış" sorusunun cevabını bilirsin. Sistem yönetiminde en pahalı şey, kim tarafından niye yapıldığı bilinmeyen yapılandırmadır.

Adım adım kurulum (Custom)

1. En güncel sürümü indir. Her zaman en yeni Connect Sync sürümüyle başla. Eski bir kurulum paketini tekrar kullanma.
2. Kurulumu başlat, lisans şartlarını onayla, "Customize" seç.
3. Bileşen seçenekleri: Özel SQL kullanacaksan burada belirt. Mevcut bir hizmet hesabı dayatman gerekiyorsa yine burada. Aksi halde varsayılanlarla ilerle.
4. Kullanıcı oturum açma (sign-in): Password Hash Synchronization işaretle. Enable single sign-on (Seamless SSO) kutusunu da işaretle.
5. Entra ID’ye bağlan: Hybrid Identity Administrator hesabıyla oturum aç. Yeni sürümlerde kurulum, buluta uygulama tabanlı kimlik doğrulama (application-based authentication) ile bağlanır; eski "dizin senkron hesabı" yöntemi geride bırakılıyor.
6. Dizinleri bağla (connect directories): On-prem orman(lar)ını ekle. Senkron hesabını sihirbaza oluşturt ya da önceden hazırladığını gir.
7. Entra oturum açma yapılandırması (UPN): Sihirbaz, doğrulanmamış UPN son eki olan kullanıcıları burada uyarır. Uyarı görüyorsan durup UPN/domain doğrulama işini bitir, sonra devam et.
8. Filtreleme (domain/OU): Baştan her şeyi senkronlama. Yalnızca Entra’da olması gereken OU’ları seç. Kapsamı dar tut; genişletmek, geri çekmekten her zaman kolaydır.
9. İsteğe bağlı özellikler: Exchange hybrid writeback, grup writeback, parola writeback (SSPR için) gerektiğinde seçilir. İhtiyacın yoksa açma.
10. Yapılandırmayı gözden geçir ve kur. Ortam hassassa doğrulamayı yapana kadar staging mode’da başlatmayı düşün.

Kurulumdan sonraki ilk saat — doğrulama

Kurulum "bitti" demek, iş bitti demek değildir. İlk senkron turunu izlemeden masadan kalkma.

Senkron zamanlayıcıyı kontrol et:

Get-ADSyncScheduler

SyncCycleEnabled : True ve ~30 dakikalık döngü görmelisin.

İlk turu elle tetikle (ilk tam senkron):

Start-ADSyncSyncCycle -PolicyType Initial

• Synchronization Service Manager‘da (miisclient) connector çalıştırmalarına bak: beklenmedik hata ya da yüksek silme sayısı var mı? Toplu silme uyarısı görürsen dur ve incele — bu genelde yanlış filtre demektir.
• Entra admin center → Users: Beklediğin kullanıcılar "Directory synced = Yes" olarak göründü mü?
• İzleme: Microsoft Entra Connect Health’i devreye al.

2026 gerçeği: bugün çalışıyor olması, çalışmaya devam edeceği anlamına gelmiyor

Connect Sync tarafında Microsoft iki konuda net kurallar koydu ve bunları atlayan ortamlar sessizce durma riski taşıyor.

1) Zorunlu sürüm ve uygulama tabanlı kimlik doğrulama (son tarih). Eski kimlik doğrulama (legacy auth) emekliye ayrılıyor. Microsoft Learn’deki güncel yönergeye göre, Connect Sync’i 2.6.84.0 veya üzeri bir sürüme yükseltmen ve uygulama tabanlı kimlik doğrulamayı yapılandırman için verilen son tarih 7 Nisan 2027. Bu gerekler karşılanmazsa, bu tarihten sonra senkronizasyon hizmeti çalışmayı durdurur.

Ayrıca tüm 1.x sürümleri desteklenmiyor ve senkron etmiyor; 2.x sürümleri ise yeni bir sürüm çıktıktan 12 ay sonra emekliye ayrılıyor. Özeti: daima en güncel sürümle çalış, güncellemeyi "sonra" diye erteleme.

2) Hard match güvenlik sertleştirmesi. Entra ID, bulut hesaplarının ele geçirilmesini (account takeover) önlemek için hard match davranışını sıkılaştırdı. 1 Temmuz 2026‘dan itibaren bu koruma otomatik uygulanıyor (yönetici rolü taşıyan hesaplara yönelik engelleme Haziran 2026’da başlamıştı; dağıtım Eylül 2026 sonunda tamamlandı). Bir AD nesnesinin, Entra rolü taşıyan mevcut bir bulut hesabına hard match ile eşlenmesi engellenebiliyor (BlockCloudObjectTakeoverThroughHardMatchEnabled tenant özelliği bununla ilgilidir). Soft match ve ayrıcalıksız hesaplardaki normal eşleşmeler bundan etkilenmez. Engellenen işlem "Hard match operation blocked due to security hardening" hatası döner; çözüm, OnPremisesObjectIdentifier eşlemesini gözden geçirmektir.

Staging mode — sahada hayat kurtaran yapı

Prod senkron sunucusunu tek başına bırakma. İkinci bir sunucuya aynı yapılandırmayla Connect Sync kur ve staging mode‘da tut. Staging sunucusu okur, kuralları işler, veritabanını tutar ama Entra’ya yazmaz (export etmez). Faydası üç yönlü:

• Felaket kurtarma: Birincil sunucu giderse, staging’i aktifleştirip dakikalar içinde senkronu sürdürürsün.
• Güvenli yükseltme: Yeni sürümü/konfigürasyonu önce staging’de dener, export önizlemesine bakar, emin olunca rol değiştirirsin.
• Değişiklik önizleme: Yeni filtre/kuralın ne sileceğini canlıya dokunmadan görürsün.

Tek kuralı: aynı anda yalnızca tek sunucu aktif export yapmalı.

Sahadan tuzaklar (herkesin bir kez düştüğü yerler)

• .local UPN ile başlamak. Doğrulanmış domain’e geçmeden senkronlarsan kullanıcılar onmicrosoft.com ile açılır. Önce isim alanını düzelt.
• Filtreyi geniş bırakmak. "Hepsini al, sonra ayıklarız" deme. Bulutu kirleten nesneyi geri çekmek, hiç göndermemekten zordur.
• Toplu silme eşiğini görmezden gelmek. Connect’in export deletion threshold koruması vardır; büyük silmeyi durdurur. Bu uyarıyı "geç" diye kapatma.
• Tek sunucu, sıfır izleme. Staging yok, Connect Health yok — ilk ciddi arızada körsün.
• Güncellemeyi ertelemek. Yukarıdaki 2026 kuralları tam da bu alışkanlığı cezalandırıyor.
• Kurulum hesabına MFA/Conditional Access takılması. Kurulum ortasında kimlik doğrulama tıkanır; bu hesapların erişimini önceden netleştir.

Sonuç

Microsoft Entra Connect Sync kurmak, birkaç "ileri" tıklamasından ibaret değil. Doğru kararla başlar (bugün çoğu yeni ortam için Cloud Sync’i de masaya koyarak), sağlam ön koşulla devam eder, dar bir filtre ve doğru kimlik doğrulama yöntemiyle kurulur, ilk senkron turu izlenerek doğrulanır ve staging + izleme ile ayakta tutulur. Üstüne 2026’nın iki zorunluluğunu — güncel sürüm/uygulama tabanlı kimlik doğrulama ve hard match sertleştirmesi — eklediğinde, yalnızca bugün çalışan değil, önümüzdeki dönem de çalışmaya devam eden bir yapı kurmuş olursun.

Kullanıcıları senkronladıktan sonraki adım, cihazları da Entra’ya taşımak ve kimlik doğrulama yöntemini netleştirmektir.