Şirket İçi Active Directory'den Buluta Köprü: Hibrit Kimlik (Hybrid Identity) Mimarisi
Kurumsal yapılarda yerel Active Directory (AD DS) ile Microsoft Entra ID'yi birbirine bağlamanın mimari temellerini, kimlik doğrulama yöntemlerini ve Entra Connect vs. Cloud Sync karşılaştırmasını inceliyoruz.
Birçok orta ve büyük ölçekli kurum, bir yandan Microsoft 365, Azure ve modern SaaS uygulamalarına geçiş yaparken diğer yandan şirket içindeki (On-Premises) kritik sunucularını, dosya paylaşımlarını ve eski (legacy) uygulamalarını Windows Server Active Directory (AD DS) üzerinde tutmaya devam etmektedir.
Kullanıcıların hem şirket içindeki kaynaklara hem de bulut uygulamalarına tek bir kullanıcı adı ve parola (Single Sign-On) ile kesintisiz erişebilmesini sağlayan bu birleşik yapıya Hibrit Kimlik (Hybrid Identity) adı verilir.
1. Hibrit Kimlik Doğrulama Yöntemleri: Hangisini Seçmelisiniz?
Kullanıcı nesnelerini buluta senkronize ettiğinizde yanıtlanması gereken en önemli mimari soru şudur: "Kullanıcı parolasını girdiğinde doğrulama işlemi nerede gerçekleşecek; bulutta mı yoksa şirket içi Domain Controller sunucusunda mı?"
Microsoft Entra ID bu noktada üç farklı kimlik doğrulama modeli sunar:
1. Password Hash Sync (PHS)
En Çok Önerilen Model: Şirket içi AD'deki parola özetinin (hash) bir kez daha özetlenerek (hash of a hash) Entra ID'ye gönderilmesidir. Parola asla açık metin (clear-text) olarak gitmez. Şirket içi bağlantınız kopsa bile kullanıcılar bulut servislerine (M365, Teams) girmeye devam edebilir.
2. Pass-Through Auth (PTA)
Parola doğrulamasının mutlaka şirket içi AD üzerinde yapılmasını şart koşan kurumlar içindir. Buluta hiçbir parola özeti gitmez; sunucunuza kurulan hafif bir ajan (agent) parolayı yerel Domain Controller'a sorar.
3. Federasyon (AD FS)
Kimlik doğrulama işlemini tamamen şirket içindeki AD FS veya üçüncü parti bir sağlayıcıya devreder. Ek sunucu maliyeti ve karmaşıklığı nedeniyle modern mimarilerde yerini büyük ölçüde PHS + Seamless SSO ikilisine bırakmıştır.
2. Microsoft Entra Connect Sync vs. Entra Cloud Sync
Yıllarca şirket içi AD'yi buluta bağlamanın tek yolu Entra Connect Sync (eski adıyla Azure AD Connect) kurmaktı. Ancak Microsoft artık yönetimi buluttan yapılan yeni nesil Entra Cloud Sync mimarisini ön plana çıkarmaktadır. İki aracın farklarını bilmek doğru tasarım için kritiktir:
| Karşılaştırma Kriteri | Microsoft Entra Connect Sync (Klasik) | Microsoft Entra Cloud Sync (Yeni Nesil) |
|---|---|---|
| Kurulum ve Ağırlık | Ağır kurulum (SQL Express veritabanı ve Metaverse içerir) | Çok hafif (Lightweight) provizyon ajanı ile dakikalar içinde kurulur |
| Yönetim Yeri | Sunucu üzerindeki yerel arayüzden yönetilir | Tamamen Entra Admin Center (Web portalı) üzerinden yönetilir |
| Yüksek Erişilebilirlik (HA) | Staging Mode (Yedek sunucu) kurulumu ve manuel geçiş gerektirir | Birden fazla ajan kurularak otomatik aktif-aktif yedeklilik sağlanır |
| Çoklu Forest (Disconnected) | Aralarında ağ bağlantısı (Trust/Network) olmayan AD Forest'ları desteklemez | İzole AD Forest ortamlarını tek bir Entra ID Tenant'ında birleştirebilir |
| Senkronizasyon Sıklığı | Her 30 dakikada bir (Delta Sync) | Her 2 dakikada bir (Kullanıcı ve grup değişiklikleri için çok hızlı) |
3. Saha Operasyonları: PowerShell ile Senkronizasyon Yönetimi
Sistem yöneticilerinin günlük operasyonlarda en sık ihtiyaç duyduğu işlem, Active Directory'de yapılan acil bir değişikliğin (örneğin yeni işe başlayan bir personel veya parola/attribute güncellemesi) 30 dakikalık döngüyü beklemeden anında buluta yansıtılmasıdır.
Entra Connect kurulu sunucu üzerinde ADSync modülü ile kullanabileceğiniz temel komutlar şunlardır:
Sonuç ve Geçiş Önerileri
Hibrit kimlik mimarisi, kurumunuzun mevcut Active Directory yatırımlarını korurken bulutun sunduğu modern güvenlik yeteneklerinden (Conditional Access, MFA, Identity Protection) yararlanmanın en güvenli yoludur. Eğer yeni bir kurulum planlıyorsanız veya çoklu domain/forest yapısına sahipseniz, mimarinizi Entra Cloud Sync ve Password Hash Synchronization (PHS) temelleri üzerine kurgulamanız operasyonel yükünüzü önemli ölçüde azaltacaktır.
Yorumlar
Yorum Gönder