Microsoft Entra Hybrid Join Yapılandırması (2026 Rehberi)

Senkronizasyonu kurduğunda kullanıcıların bulutta belirdi — güzel. Ama bir sabah bir kullanıcı Teams’e girmeye çalışıyor ve her seferinde yeniden parola soruluyor; Conditional Access "bu cihazı tanımıyorum" diyor. Çünkü kullanıcıyı senkronladın, cihazı değil.

Microsoft Entra Hybrid Join tam da bu boşluğu kapatır: on-prem domain’e üye kalan bir Windows cihazını, aynı zamanda Microsoft Entra ID’de (eski adıyla Azure AD) de kayıtlı bir cihaz kimliğine kavuşturur. Böylece cihaz hem domain controller’a hem buluta "ben buyum" diyebilir; SSO sorunsuz akar, cihaz tabanlı Conditional Access çalışır, Windows Hello for Business ve Intune uyumluluk senaryoları oturur.

Teoride "Entra Connect’te bir kutu işaretle" kadar basit. Pratikte kurulumların takıldığı yer kutu değil: yanlış UPN, eksik SCP, imaj/sysprep hataları ve en sinsisi — cihazların domain controller’a görüş hattını (line of sight) kaybetmesi. Bu yazıda hem doğru yapılandırmayı hem de bu tuzakları tek tek ele alacağız. Senaryomuz en yaygını: managed ortam (PHS veya PTA + Seamless SSO), federation yok.

Hybrid Join aslında ne yapıyor?

Domain’e üye bir cihaz zaten AD’de bir computer nesnesi. Hybrid Join, bu cihaza ek olarak Entra ID’de de bir device nesnesi oluşturur ve ikisini aynı fiziksel makineye bağlar. Kayıt tamamlandığında cihaz, bir Primary Refresh Token (PRT) alır; bulut tarafındaki SSO ve Conditional Access bu token üzerinden işler.

Kritik nokta şu: Hybrid Join bir "buluta taşıma" değil, bir çift kimliktir. Cihaz domain’e üye kalmaya devam eder; periyodik olarak domain controller’ı görmek zorundadır. Bunu baştan içselleştir, çünkü sahadaki arızaların çoğu bu gerçeği unutmaktan çıkar.

Ön koşullar — sihirbazı açmadan önce

Kimlik altyapısı (en kritik şart)

• Ortam managed olmalı: PHS veya PTA + Seamless SSO. Federation (AD FS) varsa akış farklıdır; bu yazı managed senaryoyu anlatır. Hangi yöntemi seçeceğini PHS, PTA ve Federation karşılaştırmasında ele alıyoruz.
• UPN routable (yönlendirilebilir) ve Entra’da doğrulanmış olmalı. Bu pazarlık konusu değil: nonroutable UPN + managed ortam = DESTEKLENMİYOR. Yani kullanıcıların sirket.local UPN’iyle managed Hybrid Join olmaz. Önce doğrulanmış domain’e geçmen gerekir.
• On-prem UPN ile Entra UPN farklıysa, on-prem UPN’in Entra’da onPremisesUserPrincipalName özniteliğine senkronlanmış olması gerekir; aksi halde kilit ekranındaki Entra SSPR gibi bazı senaryolar çalışmaz.

Cihazlar

• Desteklenen: Windows 11, Windows 10, Windows Server 2016/2019/2022. En güncele çıkmak en iyisi.
• Desteklenmeyenler: Domain Controller rolündeki sunucuda Hybrid Join yapılamaz. Server Core hiçbir cihaz kaydını desteklemez. USMT cihaz kaydıyla çalışmaz.
• TPM: TPM 2.0 ideal. FIPS uyumlu TPM 1.2 desteklenmez (devre dışı bırakılmalı); Windows 10 1903’ten itibaren TPM 1.2 zaten yok sayılır.

Domain controller ve ağ

• Minimum DC sürümü: Windows Server 2008 R2.
• Cihazların periyodik olarak domain controller’a görüş hattı olmalı. Olmazsa cihaz zamanla kullanılamaz hale gelir.
• Cihazların şu bulut uç noktalarına erişmesi gerekir (managed): login.microsoftonline.com, device.login.microsoftonline.com, enterpriseregistration.windows.net ve Seamless SSO için autologon.microsoftazuread-sso.com.

Senkron aracı

• Hybrid Join sihirbazı Microsoft Entra Connect’te gelir (1.1.819.0 ve sonrası). Önce senkron kurulumunu tamamlamış olman gerekir.
• Alternatif: Microsoft Entra Cloud Sync tarafında cihaz senkronu (device sync) ile de Hybrid Join senaryosu desteklenir (genel kullanıma açık). Bu yolda SCP yine gereklidir ve provisioning agent 1.1.1107 veya üzeri olmalıdır.

İşin kalbi: Service Connection Point (SCP)

Hybrid Join’in otomatik çalışmasını sağlayan tek şey SCP‘dir. SCP, AD ormanının configuration naming context bölümünde duran bir nesnedir ve domain’e üye cihazlara "senin tenant’ın şu, kayıt için şuraya git" bilgisini verir. SCP yoksa cihaz hangi tenant’a kayıt olacağını bilemez ve hiçbir şey olmaz.

İki yolla yapılandırılır:

1. Entra Connect sihirbazıyla (önerilen): Connect sunucusunda sihirbazı aç → Configure device options → Configure Hybrid Microsoft Entra join. Hedef ormanı seç, Entra kimlik bilgilerini gir, bitir. Connect SCP’yi senin için yazar.
2. Elle PowerShell ile: Sihirbazı kullanamadığın durumlarda SCP’yi AD’ye elle yazarsın (ormanın configuration partition’ında Device Registration Configuration altında).

Notlar:

• SCP’yi yazmak için Enterprise Admin yetkisi gerekir; iş bitince bu yetki geri alınabilir.
• Çok ormanlı ortamda, domain’e üye bilgisayar bulunan her ormanda SCP ayrı ayrı yapılandırılmalı.
• SCP zaten varsa, değerlerini (azureADName, azureADId) değiştirmeden önce kaydet; yanlış tenant’a yönlendiren bir SCP tüm kayıtları bozar.

Adım adım yapılandırma (managed, Entra Connect ile)

1. Ön koşulları doğrula. Routable/doğrulanmış UPN tamam mı? Ortam PHS/PTA + Seamless SSO mu? Cihazlar DC’yi ve bulut uç noktalarını görüyor mu?
2. Entra Connect sihirbazını aç → Configure device options → Configure Hybrid Microsoft Entra join.
3. Cihaz işletim sistemi/senaryo seçimi: Windows 10 ve üzeri domain’e üye cihazlar için ilerle.
4. SCP yapılandırması: Hedef orman(lar)ı seç. Managed ortamda kimlik doğrulama hizmeti olarak Microsoft Entra ID seçilir — AD FS seçeneği yalnızca federated ortam içindir.
5. Entra kimlik bilgileri: Hybrid Identity Administrator ile oturum aç, SCP’nin yazılmasını onayla.
6. Bitir. Bu noktada SCP ormanda hazır; artık cihazlar kendi kendine kayıt olmaya başlayacak.

Kayıt nasıl ve ne zaman olur?

SCP yazıldıktan sonra sihirli bir "hepsini kaydet" düğmesi yoktur; kayıt cihaz tarafında otomatik gerçekleşir. Domain’e üye Windows cihazları, zamanlanmış görev (Automatic-Device-Join) ve oturum açma tetikleyicileriyle SCP’yi okur, tenant’ı bulur ve kendini Entra’ya kaydeder. Cihaz nesnesi genelde kısa süre içinde Entra admin center → Devices’ta "Microsoft Entra hybrid joined" olarak belirir.

Sahada iki tavsiye:

• Önce pilot (targeted deployment). Tüm ortamı tek seferde açma. Microsoft’un hedefli dağıtım yöntemiyle, SCP’yi AD’den temiz tut ve pilot cihazlara istemci tarafı registry değeriyle (CDJ\AAD altında TenantId) GPO üzerinden tenant bilgisini ver. Farklı roller/profillerden örnek kullanıcılar seç; sorunu 10 cihazda görmek, 10.000 cihazda görmekten iyidir.
• Sabırlı ol ama kontrol et. Hemen belirmezse oturum kapat/aç, cihazın DC ve bulut uç noktalarına erişimini teyit et.

Doğrulama: tek gerçek kaynak dsregcmd /status

Cihazda, yükseltilmiş komut isteminde:

dsregcmd /status

Bakman gereken satırlar:

• AzureAdJoined : YES
• DomainJoined : YES (ikisinin birden YES olması = Hybrid Join tamam.)
• SSO State bölümünde AzureAdPrt : YES — PRT alınmış demektir; SSO ve Conditional Access’in çalışacağının göstergesi budur.

Örnek çıktı (kısaltılmış):

+----------------------------------------------------------------------+
| Device State                                                         |
+----------------------------------------------------------------------+
            AzureAdJoined : YES
             DomainJoined : YES
         EnterpriseJoined : NO

+----------------------------------------------------------------------+
| SSO State                                                            |
+----------------------------------------------------------------------+
               AzureAdPrt : YES

AzureAdJoined : NO görüyorsan, sorun neredeyse her zaman şu dördünden biridir: eksik/yanlış SCP, nonroutable UPN, bulut uç noktalarına erişememe, ya da dual-state (aşağıda).

Sahadan tuzaklar (kurulumu değil, kaydı bozanlar)

• Nonroutable UPN ile managed Hybrid Join denemek. En sık hata. .local ile olmaz; önce doğrulanmış domain + UPN düzeltmesi.
• Domain controller’a görüş hattı kaybı. Cihaz DC’yi düzenli göremezse; parola değişimi, önbelleğe alınmış kullanıcı parolası ve TPM reset senaryoları kırılır, cihaz zamanla kullanılamaz hale gelir. VPN/şube senaryolarını buna göre planla.
• İmaj/Sysprep ve VM snapshot tuzağı. Zaten Hybrid Join olmuş bir cihazdan imaj ya da snapshot alıp çoğaltma. Kayıtlı kimlik klonlanır, çakışma çıkar. Daima "temiz", kaydı yapılmamış imajdan çoğalt.
• Unified Write Filter’ı erken açmak. Diskteki değişiklikleri her yeniden başlatmada silen teknolojiler Hybrid Join tamamlandıktan sonra uygulanmalı; önce açarsan cihaz her reboot’ta kayıttan düşer.
• Dual state (Entra registered + hybrid joined). Eski cihazlarda çift durum oluşabilir. 1803+ sürümler kullanıcı oturum açınca bunu otomatik temizler; gerekirse BlockAADWorkplaceJoin registry değeriyle Entra registered durumunu baştan engelle.
• TPM 1.2 (FIPS) ile ilerlemek. Desteklenmez; donanım üreticisiyle TPM’i uygun moda al ya da devre dışı bırak.
• Tek seferde tüm ortamı açmak. Pilot atlamak = ilk sorunu production’da yaşamak.

Sonuç

Hybrid Join, "bir kutu işaretleme" işi gibi görünür ama asıl iş yapılandırmadan önce başlar: routable/doğrulanmış UPN, managed kimlik altyapısı (PHS/PTA + SSO), her ormanda doğru SCP ve cihazların DC ile buluta kesintisiz erişimi. Bunlar yerindeyse Entra Connect sihirbazı SCP’yi yazar, cihazlar kendini otomatik kaydeder, sen de dsregcmd /status ile doğrularsın. Önce pilot, sonra geneli — ve imaj/snapshot/UWF tuzaklarına dikkat.

Cihazları Entra’ya taşıdıktan sonraki adım, kullanıcının bulutta hangi yöntemle kimlik doğrulayacağını netleştirmektir. Cihaz kimliğini kazandıktan sonra bunu Conditional Access ile "uyumlu/hybrid-joined cihaz iste" koşuluna bağlayabilirsin.