Şirket içindeki Active Directory ile Microsoft Entra ID arasında kimlik eşitlemesi yapan kurumlarda yalnızca senkronizasyon aracını kurmak yeterli değildir. Kullanıcıların buluta ulaşamaması, güncellenen bir parolanın gecikmesi veya bir nesnenin eşitlenememesi çoğu zaman izleme ve kök neden analizi gerektirir. Önceki yazımda kısa biçimde değindiğim Azure AD Connect Health, bugün Microsoft Entra Connect Health adıyla bu ihtiyaca yanıt veren izleme hizmetidir. Bu makalede ürünün kapsamını, kurulum önkoşullarını, uyarıları ve doğru sorun giderme yaklaşımını birlikte ele alacağım.
2026 güncelleme notu: Yazının eski sürümündeki Azure AD Connect adlandırması ve azure.microsoft.com/en-us/documentation/... bağlantısı tarihsel referans niteliğindedir. Güncel ürün adı Microsoft Entra Connect Health’tir. Aşağıdaki adımlar modern Microsoft Entra yönetim merkezi esas alınarak hazırlanmıştır. Portal menülerinde zamanla küçük farklılıklar olabilir.
Microsoft Entra Connect Health nedir?
Microsoft Entra Connect Health, hibrit kimlik altyapısındaki belirli bileşenlerin sağlık durumunu merkezî olarak takip etmeye yardımcı olur. Microsoft Entra Connect Sync, Active Directory Domain Services (AD DS) ve Active Directory Federation Services (AD FS) için farklı ajanlar ve farklı veri kümeleri kullanır. Bu hizmet, senkronizasyon işlemini gerçekleştiren ürünün kendisi değildir; izleme, uyarı ve hata analizi katmanıdır.
Örneğin kullanıcı oluşturulmasına rağmen Microsoft 365 tarafında görünmüyorsa, sunucu hizmetinin çalışması tek başına yeterli bir doğrulama değildir. Bağlayıcı işlemleri, nesne düzeyindeki hata, izleme verisinin güncelliği ve varsa filtreleme kuralları ayrı ayrı incelenmelidir.
Connect Sync, Connect Health ve Cloud Sync arasındaki fark
| Bileşen | Temel görevi | Nereden izlenir? |
|---|---|---|
| Microsoft Entra Connect Sync | Şirket içindeki AD nesnelerini Microsoft Entra ID ile senkronize eder. | Sync sunucusunda Synchronization Service Manager ve Connect Health görünümü. |
| Microsoft Entra Connect Health | Connect Sync, AD DS ve AD FS için ajan temelli sağlık izleme ve uyarı sağlar. | Microsoft Entra yönetim merkezindeki Connect Health görünümü. |
| Microsoft Entra Cloud Sync | Bulut tarafından yönetilen, provisioning agent kullanan alternatif senkronizasyon mimarisidir. | Cloud Sync yapılandırma/ajan durumu, Provisioning Logs ve Insights/Workbook. |
Kritik ayrım: Connect Health for Sync ajanını Cloud Sync sunucusuna kurup aynı raporları beklemek doğru değildir. Cloud Sync’te nesne hatalarını çoğunlukla Provisioning Logs, ajan bağlantısını Agent status, toplu eğilimleri ise uygun koşullarda Insights üzerinden izlersiniz.
Microsoft Entra Connect Health hangi sistemleri izler?
- Connect Sync: Senkronizasyon hizmeti, uyarılar, nesne düzeyinde senkronizasyon sorunları ve veri güncelliği.
- AD DS: Etki alanı denetleyicisi altyapısının belirli sağlık, replikasyon ve performans göstergeleri.
- AD FS: Federasyon sunucularında kullanılabilirlik, kimlik doğrulama, belirli performans ve kullanım göstergeleri.
Bunlar aynı raporun üç görünümü değildir. Her bileşen için desteklenen ajanı ilgili sunucuya dağıtmak ve uygun önkoşulları sağlamak gerekir. Ayrıca Connect Health yalnızca izlediği kapsamın sağlığını gösterir; tam teşekküllü SIEM, yedekleme veya uç nokta algılama çözümünün yerine geçmez.
Lisans ve sistem gereksinimleri
Microsoft’un güncel SSS dokümanına göre Connect Health için Microsoft Entra ID P1 veya P2 lisansı gerekir. İlk kayıtlı ajan için en az bir uygun lisans, sonraki her ajan için ek 25 uygun lisans şartı belirtilmiştir. Örneğin iki kayıtlı ajan için 26 lisans gerekir. Toplam ajan sayısı Connect Sync, AD DS ve AD FS bileşenleri birlikte değerlendirilerek hesaplanır. Ürün ve lisans koşulları değişebildiği için dağıtımdan önce güncel Microsoft koşullarını kontrol edin.
Connect Health SSS’de AD DS ve AD FS için desteklenen işletim sistemleri arasında Windows Server 2016, 2019, 2022 ve 2025; Connect Sync içinse 2.5.79.0 ve üzeri sürüm belirtiliyor. Server Core desteklenmiyor. Ajan kurulacak sistemin internet çıkışı, TLS, proxy ve kimlik doğrulama gereksinimleri ayrıca doğrulanmalıdır. Eski Azure AD Connect V1 ürününün desteği sona erdi; Connect Health for Sync için V2 gerekir.
Özellikle senkronizasyon sunucusunu kurarken kullanılacak hesabın rolüne dikkat edin. Microsoft önkoşul dokümanı, Connect Health for Sync amaçlanan senaryoda yalnızca Hybrid Identity Administrator ile kurulan Connect Sync’te Health ajanının devre dışı kalabileceğini; kurulumda Global Administrator gerektiğini bildiriyor. Üretim yönetimi için sürekli Global Administrator kullanımı önermiyorum: kurulum görevi tamamlandıktan sonra en az ayrıcalıklı işletim modeline dönülmelidir.
Connect Health kurulumu ve ilk yapılandırma
- 1. Envanter: Etkin ve staging modundaki Connect Sync sunucularını, AD FS sunucularını ve izlenecek DC’leri belirleyin.
- 2. Sürüm: Connect Sync ve işletim sistemi desteğini, ajan gereksinimlerini ve lisans sayısını doğrulayın.
- 3. İletişim: Microsoft uç noktalarına güvenli dış bağlantıyı, proxy kurallarını ve TLS ayarlarını test edin.
- 4. Kurulum: İlgili hizmet türü için Microsoft’un resmî Health ajanı kurulum adımlarını izleyin. Her rolün ajan modeli aynı değildir.
- 5. Portal: Microsoft Entra yönetim merkezindeki Connect Health altında sunucunun kaydedildiğini ve ilk verinin geldiğini kontrol edin.
- 6. Yetkilendirme: Health okuyucuları ile uyarı ayarlarını yönetecek sorumluları ayırın; e-posta bildirimlerini ilgili operasyon ekibine ulaştırın.
Connect Health for Sync’de ajan, uygun yeni Connect Sync kurulumlarıyla entegre olabilir; ancak bunun her eski veya değiştirilmiş ortamda otomatik ve sağlıklı olduğu varsayılmamalıdır. Portalda sunucunun görünmesini ve telemetri göndermesini doğrulayın. Aşağıdaki kaynaklarda Microsoft’un ajan kurulum yönergesi bulunmaktadır.
Senkronizasyon sağlığı nereden kontrol edilir?
Microsoft Entra yönetim merkezinde Connect Health → Sync services görünümünden ilgili servisi açtığınızda sunucu sağlığı, etkin ve çözülmüş uyarılar, nesne düzeyi eşitleme hataları ve veri güncelliğini birlikte değerlendirebilirsiniz. Tek bir yeşil sağlık göstergesine bakarak bütün nesnelerin doğru eşitlendiği sonucu çıkarılmamalıdır.
En sık rastlanan yaklaşım hatası şudur: Start-ADSyncSyncCycle komutu başarıyla çalıştırıldığı için eşitlemenin tamamlandığı varsayılır. Oysa bu komut döngüyü başlatma talebi üretir; buluta aktarılan nesnelerin tamamını doğrulamaz. Bunun için Sync sunucusundaki Synchronization Service Manager üzerinden Import / Synchronization / Export adımları ve Connect Health nesne hata raporu birlikte incelenmelidir.
Uyarı türleri ve yorumlama
| Örnek belirti | İlk kontrol | Dikkat edilmesi gereken |
|---|---|---|
| Sync service isn’t running | Connect Sync sunucusunda ilgili Windows hizmeti ve olay günlükleri | Servisi başlatmadan önce neden durduğunu ve güncelleme/bakım durumunu kontrol edin. |
| Health service data isn’t up to date | Ajan hizmetleri, internet/proxy erişimi ve son telemetri zamanı | Telemetri yoksa ekrandaki önceki sağlıklı durum güncel olmayabilir. |
| Object-level synchronization errors | Hatalı nesnenin öznitelikleri, benzersizlik çakışmaları, bağlayıcı export hataları | Sorunu rastgele tam eşitleme ile çözmeye çalışmayın. |
| AD DS / AD FS uyarıları | İlgili role özgü Health raporu ve olay günlükleri | Sync raporunun tüm DC ya da federasyon sağlığını kapsadığını varsaymayın. |
Microsoft’un uyarı kataloğunda Error, Warning ve Prewarning düzeyleri bulunur. Bazı uyarılar başarı koşulu oluşunca, bazıları ise belirli süre koşul tekrar görülmediğinde çözümlenebilir. Bu nedenle yalnızca uyarının kapanmasına değil, altta yatan sorunun gerçekten giderildiğine bakılmalıdır.
PowerShell ile zarar vermeyen ilk kontroller
Aşağıdaki örnekler salt okunur kontrollerdir. Microsoft Entra Connect Sync’in kurulu olduğu sunucuda çalıştırılmalıdır. Ortamınızda ajan hizmet adları sürüme ve role göre değişebilir.
Import-Module ADSync
Get-ADSyncScheduler | Format-List *
# Yerel Sync ve Health hizmetlerini keşfedin:
Get-Service | Where-Object { $_.DisplayName -match "Entra|Azure AD|Health|Sync" } | Select-Object Name, DisplayName, Status
# Olası bağlantı sorunlarını ve sistem olaylarını incelemek için:
Get-WinEvent -ListLog * | Where-Object { $_.LogName -match "ADSync|Directory Synchronization|Health" } | Select-Object LogNameBu sorgular hizmet durumunu ve mevcut günlük adlarını keşfetmeye yardımcı olur; belirli bir olay kaydının mutlaka her sunucuda bulunacağını garanti etmez. Ajan veri akışı sorunlarında öncelikle Microsoft’un Connect Health veri güncelliği ve bağlantı testi yönergelerine başvurun.
Cloud Sync kullanan kurumlar nasıl izlemeli?
Cloud Sync tarafında önce Entra yönetim merkezindeki Entra ID → Entra Connect → Cloud sync yapılandırma durumunu ve ajanların sağlığını kontrol edin. Provisioning Logs üzerinde nesne bazındaki oluşturma, güncelleme, atlama ve hata işlemlerini görebilirsiniz. Bir kullanıcı bulunamıyorsa scope/filter kuralları, nesne eşleştirme ve hata mesajlarını inceleyin.
Cloud Sync işleri hata nedeniyle quarantine durumuna geçebilir. Böyle bir durumda önce yetkilendirme, ajan iletişimi ve özgül hata kodunu çözün; nedeni giderilmeden Clear quarantine veya yeniden başlatma işlemlerini tekrarlamak kalıcı çözüm değildir. Uygun tanılama koşullarında Insights workbook ile toplam senkronizasyon durumunu, başarısızlık eğilimlerini ve iş kimliğine (Job ID) göre ayrıntıları inceleyebilirsiniz.
İzleme operasyonu için önerdiğim kontrol düzeni
- Günlük: Son başarılı senkronizasyon, ajan verisinin güncelliği, yeni kritik uyarılar ve hata sayısındaki değişimi kontrol edin.
- Haftalık: Süregelen nesne çakışmaları, karantinaya giren işler, filtrelerden dolayı dışlanan nesneler ve tekrarlayan export hatalarını değerlendirin.
- Değişiklik sonrası: OU filtreleri, UPN, eşitleme kuralları ve parolayla ilişkili değişikliklerde yalnızca döngünün çalışmasını değil, hedef nesneyi de doğrulayın.
- Güvenlik: Connect sunucularını ayrıcalıklı kimlik altyapısı olarak değerlendirin; yama, hesap yetkileri ve yedekleme kontrollerini ihmal etmeyin.
- Süreklilik: Staging sunucu, geri dönüş planı ve ajan/servis uyarıları için sorumluluk ve eskalasyon tanımlayın.
Sık sorulan sorular
Connect Health kullanmak için Cloud Sync’e geçmek gerekiyor mu?
Hayır. Connect Health, Connect Sync ortamlarıyla da kullanılabilir. Cloud Sync farklı mimaride çalışır ve kendi izleme araçları vardır.
Senkronizasyon hizmeti çalışıyorsa bütün kullanıcılar doğru eşitlenmiş midir?
Hayır. Hizmetin çalışması, tekil nesne hatalarını, kapsam dışı bırakılan kullanıcıları veya export aşamasındaki hataları ortadan kaldırmaz.
Connect Health lisansı olmadan temel eşitleme çalışır mı?
Connect Sync ürününün kullanılabilmesiyle Health izleme hizmetinin P1/P2 lisans şartları farklıdır. Sadece Health aboneliğinin bulunmaması, desteklenen temel eşitleme özelliğinin her durumda duracağı anlamına gelmez.
Eski Azure AD Connect Health bağlantısını kullanmalı mıyım?
Eski bağlantı yerine güncel Microsoft Learn sayfalarını kullanmak daha sağlıklıdır. Özellikle desteklenen sürümler, lisans koşulları ve ajan kurulumu sık değişebildiğinden doğrulama için güncel Microsoft dokümanlarına bakın.
Sonuç
Hibrit kimlik altyapılarında benim önemsediğim konu sadece kullanıcı nesnelerinin bulutta oluşması değil, eşitlemenin hatasız, izlenebilir ve sorun çıktığında müdahale edilebilir olmasıdır. Microsoft Entra Connect Health, uygun Sync, AD DS ve AD FS bileşenleri için bu görünürlüğü sağlar. Cloud Sync tercih ettiyseniz aynı hedefe farklı bir izleme modeliyle ulaşırsınız. Bu iki yaklaşımı birbirine karıştırmadan, her biri için ayrı operasyon kontrolleri oluşturulmalıdır. Umarım faydalı bir yazı olmuştur.
