Çoğu kurumsal işletme on-prem Active Directory (AD) ile çalışmaya devam ediyor — eski uygulamalar AD\'ye bağlı, file server\'lar, yazıcı ortamları AD\'de. M365\'e geçince "kullanıcı 2 ayrı şifre, 2 ayrı hesap" sorunu çıkar. Hybrid Entra ID Join ile on-prem AD + bulut Entra ID birleştirilir, kullanıcı tek hesap + tek şifre ile her yere erişir.
Lisans: Hybrid Join temel sürümü Entra ID Free'da çalışır. Conditional Access ile birlikte kullanmak için P1 gerek (M365 Business Premium'da dahil). Password Writeback için P1.
3 Join Modeli Karşılaştırması
| Model | Kullanım | Kullanıcı Deneyimi |
|---|
| Entra ID Join | Yeni cihaz, sadece bulut | M365 + bulut uygulamalar SSO; on-prem AD\'ye erişim yok |
| Hybrid Entra ID Join | Mevcut domain-joined cihaz | Hem on-prem AD hem M365 tek hesapla SSO |
| Entra ID Registered | BYOD (kişisel cihaz) | Sadece M365\'e erişim, cihaz "bilinen" sayılır |
Hybrid Join Mimarisi
Çalışma akışı:
- Microsoft Entra Connect on-prem bir server'a kurulur
- AD\'deki kullanıcı/grup/cihaz nesneleri Entra ID\'ye senkronize edilir
- Şifre hash'i bulut'a kopyalanır (Password Hash Sync) — kullanıcı aynı şifreyi her yerde kullanır
- Domain-joined cihaz hem AD\'ye hem Entra ID\'ye kayıtlı (hybrid)
- Conditional Access, MFA, audit log gibi bulut özellikler aktif
Kurulum — Adım Adım
Adım 1: Önkoşullar
- On-prem Active Directory (Windows Server 2016+ Forest functional level)
- M365 tenant + tenant\'a doğrulanmış custom domain (örn
sirketiniz.com)
- UPN suffix on-prem AD\'de aynı domain (kullanıcı
ali@sirketiniz.com, mail aynı)
- 1 adet Server 2019/2022 (Entra Connect için, 100 user başına 1 GB RAM, 70 GB disk)
- SQL Server LocalDB (Entra Connect ile birlikte gelir)
Adım 2: Entra Connect İndirme + Kurulum
- Server'da microsoft.com → "Microsoft Entra Connect" indir.
- Setup\'ı çalıştır → "I agree" → Express Settings (KOBİ için yeter).
- Entra ID Global Admin hesabı gir.
- On-prem AD Enterprise Admin hesabı gir.
- "Continue" → kurulum başlar (10-20 dk).
Adım 3: Senkronizasyon Doğrulama
- Kurulum bitince Entra Connect başarılı sync raporu verir.
- Entra Admin Center → Identity → Users: AD\'deki kullanıcılar listede görünmeli (yeni "On-Premises sync enabled" status).
- entra.microsoft.com → Connect Health (varsa) ile detay metrik.
Adım 4: Hybrid Join Etkinleştirme
- On-prem domain-joined cihazları otomatik Entra ID\'ye kayıt için Entra Connect tekrar çalıştır.
- Additional tasks → Configure device options → Hybrid Azure AD join.
- Hangi OS\'ler için aktif olacak: Windows 10/11, Windows 7 (legacy).
- Group Policy ile cihazlar otomatik registrasyon yapar (1-2 saat içinde).
Adım 5: Password Writeback (Self-Service Reset)
Kullanıcı parolasını M365 portal'dan değiştirdiğinde on-prem AD\'ye de yansıması:
- Entra Connect → Additional tasks → Customize synchronization options.
- Password writeback ✓.
- Entra Admin Center → Password reset → "Properties" → Self-service password reset enabled: All / Selected.
Sonuç: kullanıcı şifre unutursa SSPR (Self-Service Password Reset) ile M365 üzerinden değiştirir, hem bulut\'a hem on-prem AD\'ye yansır.
Sürekli İzleme
Entra Connect sürekli çalışmalı:
- Sync interval 30 dk (varsayılan) — değişiklikler 30 dk içinde yansır
- Entra Connect Health dashboard ile sync hatalarını izle
- Cihaz kapanırsa sync durur → bulut\'a yeni değişiklikler gitmez (M365 hâlâ çalışır ama AD ↔ M365 senkron koparılır)
- Best practice: Entra Connect serverı ayrı bir cihazda, redundancy için 2. server "staging mode" da hazır bekler
Sık Karşılaşılan Sorunlar
Sorun 1: "User couldn't be found" — AD'de var ama bulut'ta yok
Sebep: kullanıcının UPN suffix'i farklı (örn ali@sirketiniz.local bulut'a yansıyamaz). Çözüm: AD'de kullanıcının UPN'ini ali@sirketiniz.com yap, sync tekrar. Tüm AD için: UPN suffix policy ile toplu değişim.
Sorun 2: Sync sürekli hata veriyor — "duplicate attribute"
Aynı email veya proxyAddress birden fazla kullanıcıda. AD'de duplicate temizle. Microsoft'un IdFix tool ile pre-sync audit önerilir.
Sorun 3: Cihaz Hybrid Joined olamıyor
SCP (Service Connection Point) AD'de yok. Entra Connect "Configure device options" tekrar çalıştır — SCP otomatik yazılır.
Sorun 4: Kullanıcı M365'e giremiyor ama AD'ye giriyor
Password Hash Sync kapalı veya kullanıcı PHS scope'unda değil. Entra Connect Synchronization Service Manager → "Password Hash Sync" log kontrol.
Migration Yol Haritası
| Aşama | Süre |
|---|
| Mevcut AD audit (IdFix ile) | 2-3 gün |
| UPN suffix düzeltme | 1 gün |
| Entra Connect kurulum + ilk sync | 1 gün |
| Hybrid Join etkinleştirme | 1 gün |
| Password Writeback aktivasyon | 0.5 gün |
| Kullanıcı eğitim + SSPR rollout | 1 hafta |
| İzleme + tuning | Sürekli |
Toplam 1-2 hafta tipik 50 kullanıcı KOBİ ortamı için.
🔗 Hybrid Entra ID Join Kurulum + Migration
Mevcut AD audit + Entra Connect kurulum + Hybrid Join + Password Writeback + SSPR + kullanıcı eğitimi. Microsoft Yetkili CSP olarak tek paket 1-2 hafta.
Hybrid Join Kurulum →
İlgili Rehberler