Microsoft Entra ID Connect Kurulumu – Bölüm 1: Temel Yükleme ve Hazırlık

Microsoft Entra Connect Sync (eski adıyla Azure AD Connect), On-Premises Active Directory nesnelerini Microsoft Entra ID ile senkronize eden araçtır. On-Premises ortamda oluşturulan, değiştirilen veya silinen kullanıcı hesapları ve grup üyelikleri Entra ID'ye yansır; kullanıcılar Microsoft 365 ve diğer Microsoft bulut servislerine aynı kimlikle erişir. Kimlik doğrulamanın nerede yapılacağı ise ayrı bir karardır: Password Hash Synchronization (PHS) ile parola Hash'inin türevi buluta taşınır ve doğrulama Entra ID'de yapılır; Pass-through Authentication (PTA) ile doğrulama, Domain-Joined bir sunucuda çalışan Authentication Agent üzerinden Active Directory'ye bırakılır; AD FS ile doğrulama On-Premises Federation sunucusunda yapılır. Microsoft bugün çoğu senaryoda AD FS yerine PHS veya PTA ile Seamless SSO kombinasyonunu öneriyor, çünkü AD FS ek sunucu, sertifika ve operasyon yükü getiriyor.

Bu makale iki bölümden oluşuyor. Bu bölümde kurulum öncesi hazırlığı anlatıyorum: hangi sürümün kurulacağı, sunucunun karşılaması gereken gereksinimler, hesaplar ve yetkiler, TLS 1.2 yapılandırması, Port testleri ve Firewall tarafında açılması gereken Endpoint'ler. Microsoft Entra Connect Kurulumu – Bölüm 2'de ise Wizard'ı ekran ekran geçiyor ve her seçimin neyi değiştirdiğini gösteriyorum.

BÖLÜM 1: HAZIRLIK                          BÖLÜM 2: KURULUM
----------------------------------------   ----------------------------------------
Sürüm ve tarihler                          Wizard ekranları (1-17)
Kurulum öncesi kontrol listesi             İlk senkronizasyon ve doğrulama
TLS 1.2, Port testi, Firewall ve Proxy     Kurulum sonrası kontrol listesi

Hangi Sürümle Kurulum Yapılmalı?

Makaleyi Ekim 2026 itibarıyla güncelledim. Bu tarihte en yeni sürüm, 23 Eylül 2026'da yayımlanan 2.6.92.0. Kurulum dosyası artık yalnızca Microsoft Entra admin center üzerinden indiriliyor; Microsoft Download Center üzerinden dağıtım sonlandırıldı. Mevcut bir sunucunun sürümü Programs and Features listesinden veya Wizard'ın açılış ekranından kontrol edilir. Sürümle ilgili bilinmesi gereken tarihleri aşağıdaki tabloda topladım.

Kurulum Öncesi Kontrol Listesi

Wizard'ı başlatmadan önce aşağıdaki tabloyu baştan sona geçiyorum. Her satır bir gereksinimi, nasıl doğrulanacağını ve Bölüm 2'de hangi adımda karşıma çıkacağını gösteriyor. Satırların ayrıntısı bu makalenin devamındaki bölümlerde yer alıyor.

1- İşletim Sistemi Gereksinimleri

Entra Connect Sync, Sync Engine ve bağlı servislerin çalışabilmesi için belirli Windows Server sürümlerine, Domain üyeliğine ve tam GUI ortamına ihtiyaç duyar. Server Core üzerine kurulum gibi desteklenmeyen bir yapılandırma Wizard tarafından doğrudan reddedilir.

1.1- Desteklenen İşletim Sistemleri

1.2- Active Directory Altyapı Koşulları

İşletim sistemi sürümünün yanında, sunucunun bağlanacağı Active Directory ortamının da aşağıdaki koşulları karşılaması gerekir.

2- Donanım ve Veritabanı Gereksinimleri

Entra Connect Sync sunucusunun kaynakları, Active Directory'deki nesne sayısına göre ölçeklendirilir. Nesne sayısı arttıkça ADSync veritabanı büyür; veritabanı motoru ve Disk kapasitesi de buna göre seçilir. Microsoft'un yayımladığı minimum değerler aşağıdaki tabloda yer alıyor.

Tablodaki rakamlar başlangıç referansıdır. Gerçek kaynak ihtiyacı, senkronizasyon kapsamındaki Attribute sayısına, özel Sync Rule'lara, Password Hash Sync ve Password Writeback gibi etkin özelliklere ve toplam Forest sayısına göre değişir. Kendi kurulumlarımda sanal makine için en az 2 vCPU ayırıyor ve Disk olarak SSD tercih ediyorum; büyük ortamlarda Full Import ve Full Synchronization süresini belirleyen bileşen Disk hızıdır.

Varsayılan kurulum SQL Server Express LocalDB kullanır ve bu motor küçük ve orta ölçekli ortamlar için yeterlidir. SQL Server Express'in 10 GB veritabanı sınırı nedeniyle yaklaşık 100.000 nesneyi aşan ortamlarda Microsoft, Standard veya Enterprise sürümlerinin kullanılmasını ister. Bu sınıra yaklaşan kurulumlarda Express üzerinde devam etmek, ileride sessiz Sync Failure'lara ve veritabanı boyut hatalarına yol açar. Veritabanı seçimi Bölüm 2'deki 4- Install required components adımında yapılır. Performans açısından SQL Server'ın Connect Sync ile aynı sunucuda çalışması tercih edilir; ayrı sunucu kullanılacaksa Microsoft, Sync Engine ile veritabanı arasındaki yoğun trafik nedeniyle ek kaynak ister.

3- .NET Framework Gereksinimi

Sync Engine, Wizard ve PowerShell modülleri .NET Framework üzerinde çalışır. Microsoft'un ön koşul sayfası iki değer veriyor: genel kurulum gereksinimi olarak minimum 4.6.2, güncel sürümün zorunlu yükseltme uyarısında ise 4.7.2. Güncel sürümle kurulum yaptığım için 4.7.2'yi taban kabul ediyorum; Microsoft erişilebilirlik ve performans açısından 4.8 ve üzerini öneriyor. Yüklü sürümü aşağıdaki komutla kontrol ediyorum; Release değeri 461808 ve üzeriyse 4.7.2, 528040 ve üzeriyse 4.8 yüklüdür.

Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\NET Framework Setup\NDP\v4\Full" | Select-Object Version, Release

4- Hesaplar ve Yetkiler

Connect Sync, hem On-Premises Active Directory hem de Entra ID tarafında belirli yetki seviyelerine ihtiyaç duyar. Yanlış kapsamda atanan bir rol kurulumun başarısız olmasına ya da Health Agent gibi bileşenlerin sessizce devre dışı kalmasına yol açar.

4.1- On-Premises Active Directory Hesapları

Active Directory tarafında iki ayrı hesap söz konusudur: Wizard'ın kurulum sırasında kullandığı hesap ve senkronizasyonu yürüten AD DS Connector Account. Hangi hesabın ne zaman gerektiği aşağıdaki tabloda yer alıyor.

Connector Account'un oluşturulması ve izinlerin ADSyncConfig modülüyle atanması Bölüm 2'deki 8- AD forest account adımında, Seamless SSO hesabı ise 14- Enable single sign-on adımında anlatılıyor.

4.2- Microsoft Entra ID Hesabı

Hesap seçimi Bölüm 2'deki 6- Connect to Microsoft Entra ID adımında yapılır.

4.3- Tenant ve Dizin Hazırlığı

5- TLS 1.2 Yapılandırması

Connect Sync, Entra ID ile iletişimde yalnızca TLS 1.2 kullanır. 2.0 sürümünden itibaren TLS 1.0 ve 1.1 desteklenmez; TLS 1.2 etkin değilse kurulum tamamlanmaz. Microsoft Entra ID tarafında TLS 1.3 geçişi tamamlanana kadar TLS 1.3'ü zorlamak yerine TLS 1.2'nin açıkça etkin olmasını sağlamak yeterlidir.

TLS 1.2'nin etkin olup olmadığını kontrol etmek için GitHub üzerinde paylaştığım Check-TLS-1.2.ps1, etkinleştirmek için ise Set-TLS-1.2.ps1 Script'inden faydalanıyorum.

5.1- Mevcut Durumun Kontrolü

Check-TLS-1.2.ps1 Script'ini çalıştırdığımda, sunucudaki SChannel ve .NET Framework katmanlarına ait protokol durumları raporlanıyor. İlk çıktıda SSL 2.0, SSL 3.0, TLS 1.0, TLS 1.1, TLS 1.2 ve TLS 1.3 protokolleri için hem Server hem Client tarafı Not configured (OS default) görünüyor. Bu, ilgili Registry anahtarlarının aşağıdaki SChannel yolu altında ne Enabled ne de DisabledByDefault olarak açıkça tanımlanmadığını, protokol davranışının işletim sisteminin varsayılanına bırakıldığını gösteriyor.

HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

5.2- TLS 1.2'nin Etkinleştirilmesi

Set-TLS-1.2.ps1 Script'ini çalıştırıyorum. Script, Microsoft'un Connect Sync sunucuları için önerdiği Registry yapılandırmasını iki katmanda uygular. SChannel tarafında TLS 1.2 için aşağıdaki Server ve Client yollarına Enabled = 1 ve DisabledByDefault = 0 değerlerini yazar.

HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server
HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client

.NET Framework tarafında ise hem 64-bit hem 32-bit hive'ları için SystemDefaultTlsVersions ve SchUseStrongCrypto değerlerini 1 olarak tanımlar. WOW6432Node yapılandırması atlanmamalıdır; Wizard ve bağımlı bazı bileşenler sunucu 64-bit olsa bile 32-bit .NET Runtime üzerinden çağrı yapar ve bu çağrılar 32-bit Registry hive'ından okur.

HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319
HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5.3- Doğrulama

Sunucu yeniden başlatıldıktan sonra Check-TLS-1.2.ps1 Script'ini tekrar çalıştırıyorum. Bu sefer TLS 1.2 hem Server hem Client tarafında Explicitly Enabled, .NET Framework ve WOW6432Node altındaki iki değer de 1 olarak raporlanıyor. Bu çıktı, kuruluma başlamadan önce TLS yapılandırmasının tamamlandığını gösteren Pre-Flight doğrulamasıdır.

6- Port Gereksinimleri ve Erişim Testi

Connect Sync sunucusu ile Domain Controller'lar arasında açık olması gereken Port'lar aşağıdaki tabloda yer alıyor. Tablo Microsoft'un Hybrid Identity Port referansındaki Table 1'e dayanıyor.

Kuruluma başlamadan önce bu Port'ların gerçekten açık olduğunu doğruluyorum. Firewall, Proxy veya Network Segmentation kaynaklı bir blokaj bu aşamada tespit edilmezse hata kurulumun ortasında ortaya çıkar ve Connector seviyesinde başarısızlık olarak loglanır. Sabit Port'lar ve RPC Dynamic aralığı için aynı Test-NetConnection cmdlet'i kullanılır; dinamik aralık binlerce Port'u kapsadığı için döngü içinde çağrılır. Bu test için GitHub üzerinde paylaştığım Test-NetConnection.ps1 Script'inden faydalanıyorum.



Çıktıda her iki Domain Controller'a (SRVDC01, SRVDC02) yönelik 53, 88, 135, 389, 445, 636, 3268, 5985 ve 9389 Port'larının tamamı Connection Successful döndü. Bu sonuç, Connect Sync sunucusu ile Domain Controller'lar arasında Layer 3 ve Layer 4 seviyesinde tam bağlantı kurulabildiğini gösteriyor. 5985 ve 9389 benim ortamımda AD FS olmadığı için zorunlu değil; Script'te bulundukları için test edildiler.

7- Firewall ve Proxy Yapılandırması

Connect Sync, Microsoft servislerine yönelik tüm trafiği kendi tarafından başlatır. Bu nedenle Firewall yapılandırması yalnızca Outbound yönde tanımlanır; Inbound yönde herhangi bir kural, NAT veya Public Endpoint gerekmez. Yön disiplini ve Proxy kuralları aşağıdaki tabloda yer alıyor.

Firewall Outbound Kuralı

Connect Sync sunucusundan Microsoft Endpoint'lerine giden trafik, Firewall'da aşağıdaki parametrelerle tanımlanır.

🎯 Source (Kaynak)

🎯 Destination (Hedef)

8- Microsoft Outbound Endpoint Listesi

Firewall'da yalnızca Port açmak yeterli değildir; bu Port'lar üzerinden hangi Microsoft Endpoint'lerine erişileceği de tanımlanır. Microsoft bu listeyi aylık günceller. İki resmi kaynak takip edilmelidir: Hybrid Identity required ports and protocols sayfası Port ve protokol gereksinimlerini, Microsoft 365 URLs and IP address ranges sayfası ise tüm Microsoft 365 servislerinin güncel FQDN ve IP aralıklarını içerir; Entra ID Endpoint'leri bu sayfada Identity kategorisi altında yer alır.

Identity ve Service Endpoint'leri (TCP 443)

Entra ID dizin işlemleri, Sync, MFA, Sign-in, Discovery ve Hybrid Join süreçleri için zorunludur.

CRL ve OCSP Endpoint'leri (TCP 80)

TLS sertifika iptal kontrolleri için Microsoft kimlik doğrulama altyapısının kullandığı Endpoint'lerdir. TCP 80 üzerinden taşınan veri imzalı CRL ve OCSP doğrulama bilgisidir; parola, Token veya dizin nesnesi içermez. Bu Endpoint'lerin engellenmesi Sign-in, MFA, Device Registration ve Sync süreçlerinde kesintili veya tam başarısızlığa yol açar.

Connect Health Endpoint'leri (Opsiyonel)

Aşağıdaki Endpoint'ler yalnızca Microsoft Entra Connect Health Agent'ı yüklü ortamlarda gereklidir. Bir kısmı ana Identity tablosuyla örtüşür.

9- İsteğe Bağlı: Client Tarafında Trusted Sites Yapılandırması

Buraya kadar anlatılan Firewall kuralları Connect Sync sunucusunun Microsoft'a giden trafiğini kapsıyor. Bu bölüm ise son kullanıcının tarayıcısıyla ilgili ve kurulumun ön koşulu değil. Microsoft'un oturum açma ve MFA sayfaları tarayıcıda çalışan JavaScript ve CSS bileşenleri üzerinden ilerler; Internet Explorer Mode, Edge WebView2 ve Microsoft 365 masaüstü uygulamalarının gömülü tarayıcısı, Windows'un sistem genelindeki Security Zone yapılandırmasına bağlı çalışır.

Internet Explorer Mode, eski Office sürümleri veya DISA STIG, CIS Benchmark gibi sıkı GPO Baseline'larının uygulandığı ortamlarda bu yapılandırmanın eksikliği üç belirtiyle kendini gösterir.

Authentication Loop. Outlook, Teams ve OneDrive istemcilerinde oturum açma penceresi tekrar tekrar açılır.

AADSTS50058 hatası. Modern Authentication akışında Silent Sign-in başarısız olur.

Conditional Access sinyal kaybı. Politikalar cihaz ve konum sinyallerini doğru değerlendiremez.

GPO ile Site to Zone Assignment List

Bu yapılandırmaya ihtiyaç duyulan ortamlarda ayar, Group Policy üzerinden merkezi olarak uygulanır. Yapılandırma yolu User Configuration > Policies > Administrative Templates > Windows Components > Internet Explorer > Internet Control Panel > Security Page > Site to Zone Assignment List altındadır. Policy etkinleştirilir ve Sign-in ile MFA ekranlarını yükleyen aşağıdaki adresler Zone değeri 2 ile tanımlanır.

https://login.microsoftonline.com           →  2
https://login.microsoft.com                 →  2
https://login.windows.net                   →  2
https://device.login.microsoftonline.com    →  2
https://aadcdn.msftauth.net                 →  2
https://aadcdn.msauth.net                   →  2
https://secure.aadcdn.microsoftonline-p.com →  2
https://passwordreset.microsoftonline.com   →  2

Zone Değerleri ve Neden 2?

Sign-in ve MFA adresleri varsayılan olarak Internet Zone'a düşer. Sıkı Baseline uygulanan ortamlarda Internet Zone'un katı kuralları oturum açma sayfasının Script'lerini engelleyip MFA akışını yarıda kesebilir; Trusted Sites Zone'da daha gevşek kurallar uygulanır ve akış tamamlanır. Bu adreslere 1 verilmez, çünkü Intranet Zone'da tarayıcı otomatik olarak Kerberos veya NTLM kimlik bilgisi göndermeye çalışır ve bu adresler Kerberos beklemez.

Yapılandırmanın etkisi tarayıcıya göre değişir. Internet Explorer Mode, Edge WebView2 ve Microsoft 365 uygulamalarının gömülü tarayıcısı Zone kurallarını doğrudan uygular. Edge Chromium ve Chrome ise Windows Zone haritasını yalnızca Windows Integrated Authentication kararı için okur; Cookie, Cross-Origin ve Mixed Content davranışlarını kendi motorları belirler.

Bölüm 2'ye Geçmeden Önce

Kuruluma başlamadan önce aşağıdaki kontrollerin tamamlanmış olması gerekiyor. Her satır bu makalenin bir bölümüne karşılık geliyor.

Bu kontroller tamamlandığında Wizard'ı başlatabilirim. Microsoft Entra Connect Kurulumu – Bölüm 2'de kurulum ekranlarını, her ekrandaki kararları ve kurulum sonrası yapılacak işleri adım adım anlatıyorum.

Faydalı olması dileğiyle...