Entra Connect Sync (eski adı Azure AD Connect) ile AD'yi Microsoft 365'e eşitleme: .local için UPN soneki, proxyAddresses ile eski departman adresleri.
Üç ayrı alan adı kullanan bir üretim grubunda şirket içi Active Directory'yi Microsoft 365'e bağladık. Başladığımızda e-posta bir hosting firmasındaki cPanel'deydi ve 40 kullanıcı 20 departman adresini ortak kullanıyordu. Şimdi herkesin kendi adıyla bir kutusu var. Eski bir departman adresine (ör. muhasebe@) yazan müşterinin e-postası da işi yürüten kişiye düşüyor.
Paket seçimi ve DNS gibi genel konuları geçişten önce planlanacak konular yazımızda anlattık.
Entra Connect Sync ne işe yarar?
Microsoft Entra Connect Sync, şirket içi Active Directory (AD) ile Microsoft 365'in kimlik dizini Microsoft Entra ID arasında eşitleme (senkronizasyon) yapan Microsoft aracıdır. Kullanıcıyı AD'de açarsınız, araç onu Microsoft 365'te de oluşturur; adı, oturum açma adı ve e-posta adresleri AD'den gelir. Eski adı Azure AD Connect.
Bu projede oturum açma yöntemi parola karması eşitlemeydi (PHS). Çalışan buluta da şirketteki parolasıyla girer, ama parolanın kendisi buluta gitmez. Entra Connect parola değişikliklerini iki dakikada bir denetler; değişen parolanın AD'deki karmasından (hash) yeni bir karma türetip gönderir. Diğer değişiklikler varsayılan ayarda 30 dakikada bir eşitlenir.
Üç alan adlı grupta ne yaptık?
Şirket içi AD'yi yerinde bıraktık, kullanıcıları Entra Connect Sync ile Microsoft 365'e eşitledik ve e-postayı hosting'den Exchange Online'a taşıdık. Eski departman adresleri çalışmaya devam ediyor; her biri işi yürüten kişinin kutusuna bağlı. Yazıdaki alan adları ve kişi adları örnek.
AD'nin alan adı .local uzantılıydı (örnekte sirket.local). Bu ad Microsoft 365'te doğrulanamadığı için grubun üç alan adını AD'ye UPN soneki olarak ekledik. Bulutta önceden açılmış hesap yoktu, kullanıcıların hepsi Microsoft 365'te eşitlemeyle oluştu. Eski e-postaları cPanel'den IMAP ile taşıdık.
Departman adreslerini bağlamak için etki alanı denetleyicisinde, işi yürüten kişinin proxyAddresses özniteliğine ek adres yazdık. Ardından üç alan adında SPF, DKIM ve DMARC kayıtlarını kurduk; bunları SPF, DKIM ve DMARC rehberimizde anlattık.
Alan adı .local ise UPN nasıl düzeltilir?
UPN (User Principal Name), kullanıcının e-posta biçimindeki oturum açma adıdır; @ işaretinden sonraki kısma UPN soneki denir. Entra Connect kullanıcıları yalnız Microsoft 365'te doğrulanmış alan adlarıyla eşitler. UPN'i ayse.demir@sirket.local olan biri bulutta ayse.demir@<şirketiniz>.onmicrosoft.com adını alır. Microsoft'un önerdiği yol, gerçek alan adını AD'ye alternatif UPN soneki olarak eklemek:
- Her alan adını Microsoft 365 yönetim merkezine ekleyip DNS kaydıyla doğrulayın.
- Active Directory Domains and Trusts konsolunu (etki alanı ve güven ayarları) açın, kök öğenin Properties penceresinde UPN Suffixes sekmesine alan adını ekleyin.
- Active Directory Users and Computers konsolunda (kullanıcı ve bilgisayar hesapları) her kullanıcının Account sekmesinden yeni soneki seçin. Kullanıcı çoksa bunu Set-ADUser ile toplu yaparsınız.
- Eşitlemeden önce Microsoft'un IdFix aracıyla AD'yi tarayın; yinelenen ve hatalı değerleri gösterir. Entra Connect Sync'i en son kurun.
UPN'i kişinin birincil e-posta adresiyle aynı tutmanızı öneririz; kullanıcı tek adres bilir. Bulutta önceden açılmış hesaplar varsa Entra Connect bunları AD'deki hesaplarla eşleştirmeye çalışır. O durumda ayrı bir plan gerekir.
Eski adresler proxyAddresses ile nasıl korunur?
proxyAddresses, AD'de bir kullanıcının bütün e-posta adreslerini tutan, birden çok değer alabilen bir özniteliktir. Başında büyük harfle SMTP: yazan adres birincil adrestir. Giden e-postada o görünür ve her kullanıcıda bir tane olur. Küçük harfle smtp: yazılanlar ek adrestir, onlara gelen posta da aynı kutuya düşer. Liste Entra Connect ile Microsoft 365'e, oradan Exchange Online'a geçer.
| proxyAddresses değeri | Anlamı |
|---|---|
| SMTP:ayse.demir@example.net | Birincil adres. Ayşe Demir'in gönderdiği e-postada görünür. |
| smtp:muhasebe@example.net | Eski departman adresi. Bu adrese gelen posta Ayşe Demir'in kutusuna düşer. |
Arayüzden eklemek için:
- Active Directory Users and Computers'ta View menüsünden Advanced Features'ı işaretleyin (gelişmiş görünüm; Attribute Editor sekmesi ancak böyle görünür).
- Kullanıcının Attribute Editor sekmesinde (özniteliklerin ham değerleri) proxyAddresses'i açın. Birincil adresi SMTP:, eski departman adresini smtp: önekiyle ekleyin.
- AD'deki mail özniteliğine de birincil adresi öneksiz yazın. UPN'i sonradan değiştirirseniz bu iki özniteliği de güncelleyin, yoksa birincil adres beklediğiniz gibi çıkmayabilir.
- Değişiklik bir sonraki döngüde buluta geçer. Beklemek istemezseniz Entra Connect'in kurulu olduğu sunucuda Start-ADSyncSyncCycle -PolicyType Delta komutunu çalıştırın.
PowerShell'de aynı iş tek satır:
$adres = 'smtp:muhasebe@example.net'; Set-ADUser ayse.demir -Add @{proxyAddresses=$adres}
Adresin alan adı Microsoft 365'te doğrulanmış olmalı. Eşitleme, doğrulanmamış alan adına ait adresleri Exchange Online lisansı olan kullanıcıdan atar.
Departman adresi için hangi yol uygun?
Bir adres kiracıda, yani şirketinizin Microsoft 365 ortamında, yalnız tek bir kayıtta durabilir. Kişiye ek adres yolunda her departman adresi bu yüzden tek kişiye bağlanır. Aynı adresi birden çok kişi izleyecekse iki yol var: departman adına yanıt verilecekse paylaşılan posta kutusu, postayı görmek yetiyorsa dağıtım grubu.
| Yol | Nasıl çalışır? | Dikkat edilecek |
|---|---|---|
| Kişiye ek adres | Adres bir kullanıcının ek adresi olur; posta onun kutusuna gelir. | Kişi değişince adres AD'de yeni kişiye taşınır. |
| Paylaşılan posta kutusu | Yetki verilen kişiler kutuyu kendi hesaplarıyla açar, departman adına gönderir. | 50 GB'a kadar lisans gerekmez. Kutuya doğrudan oturum açılmaz. |
| Dağıtım grubu | Gelen posta grubun üyelerine dağıtılır. | Dışarıdan posta alması yöneticinin açacağı bir ayara bağlıdır. |
Bu projede kişiye ek adresi seçtik. Tuzla'da bir denizcilik firmasında ise departman adreslerini e-posta grubuna, gemi adreslerini paylaşılan posta kutusuna çevirmiştik; ayrıntılar denizcilik firmasındaki geçişin proje notunda.
Kişi işten ayrılınca adres ne olur?
Ek adres kişinin hesabına bağlıdır. Hesabı AD'den silerseniz silme Microsoft 365'e de geçer; posta kutusu da departman adresi de hesapla gider ve o adrese yazan müşterinin e-postası kimseye ulaşmaz. Önce adresi taşıyın, hesabı sonra kapatın:
- smtp:muhasebe@example.net değerini eski kullanıcının proxyAddresses listesinden silin. Adres aynı anda iki kayıtta duramaz.
- Aynı değeri yeni sorumlunun listesine ekleyin, eşitlemeyi başlatın.
- Dışarıdan bir adresle departman adresine e-posta gönderin; yeni kişiye düştüğünü görün.
- Eski hesabı devre dışı bırakın. Kutudaki yazışmaları saklayıp saklamayacağınıza silmeden önce karar verin.
Entra Connect sunucusunda neye bakılır?
Bu sunucuda iki şeyi düzenli izleyin: sürümü ve eşitleme hatalarını. Sunucu bakımsız kalırsa yeni kullanıcı, parola ve adres değişiklikleri Microsoft 365'e geçmez. Microsoft, 7 Nisan 2027'ye kadar 2.6.84.0 ya da üstüne yükseltmeyi ve uygulama tabanlı kimlik doğrulamayı yapılandırmayı şart koşuyor; yapılmazsa eşitleme duruyor. Bu projedeki grupla bakım ve destek anlaşması kapsamında çalışıyoruz; sürüm kontrolünü takvime aldık.
Eşitleme hataları, örneğin yinelenen bir adres, Microsoft 365 yönetim merkezinde listelenir ve kiracının teknik iletişim adresine e-postayla gelir. O adresi birinin okuduğundan emin olun. Kurulum sihirbazını da açık bırakmayın; sihirbaz açıkken eşitleme durur.
Microsoft bu sunucuyu etki alanı denetleyicileriyle aynı koruma katmanında (Tier 0) sayıyor. Yönetici erişimini sınırlayın, ayrıcalıklı hesaplarda çok faktörlü doğrulama kullanın.
Sık sorulan sorular
Azure AD Connect ile Entra Connect aynı şey mi?
Evet. Microsoft 2023'te Azure AD'nin adını Microsoft Entra ID yaptı. Azure AD Connect'in adı da Microsoft Entra Connect oldu, eşitleme bileşeninin adı Microsoft Entra Connect Sync. Kurulu sistemler ad değişikliğinden etkilenmedi.
Eşitlenen kullanıcının adresi Microsoft 365'te değiştirilebilir mi?
Normalde hayır. Microsoft 365 yönetim merkezi "This user is synchronized with your local Active Directory" uyarısı verir; adresi AD'de değiştirirsiniz. Posta kutusu bazında açılan IsExchangeCloudManaged ayarı bu yetkiyi Exchange Online'a taşır. Ayar kapalı gelir; açtığınız kutunun Exchange öznitelikleri artık AD'den güncellenmez. Bu ayar için Entra Connect Sync 2.5.190.0 ya da üstü gerekir, değişikliği AD'ye geri yazmak ise ayrıca Microsoft Entra Cloud Sync ister.
Departman adresine gelen e-postaya hangi adresten yanıt gider?
Outlook'un masaüstü sürümü yanıtı kişinin birincil adresinden gönderir. Web sürümü ise e-postanın geldiği ek adresi kullanır. Yönetici SendFromAliasEnabled ayarını açarsa kullanıcı Outlook web'de Kimden alanında ek adresini de seçebilir.
E-posta adresinde Türkçe karakter kullanılabilir mi?
Önermiyoruz. Microsoft Entra ID, oturum açma adında (UPN) harf olarak yalnız A-Z'ye izin veriyor; ç, ğ, ı, ö, ş, ü bu listede yok. Microsoft'a göre eşitleme, RFC 5322 biçimine uymayan adresleri de atıyor. Bu biçim de harf olarak yalnız A-Z'yi kabul eder. Uluslararası adres desteği her sistemde bulunmadığından adresleri Türkçe harfsiz açın: ayse.yilmaz@example.com gibi.
Active Directory'nizi Microsoft 365'e bağlamayı ya da eski departman adreslerini yeni düzene taşımayı düşünüyorsanız Exchange Online geçişi sayfamıza bakın. İşinizle doğrudan Serhat İşbilir ilgilenir. Hosting firması ve alan adı tarafındaki koordinasyonu biz yürütürüz; siz tek kişiyle muhatap olursunuz. Mevcut düzeninizi birlikte gözden geçirmek için bize yazın; mesai içinde 30 dakikada dönüyoruz.