PowerShell ile Azure AD Sync Durumu ve Replikasyon Takibi

Azure AD Connect (Entra Connect), şirket içi Active Directory nesnelerini Microsoft Entra ID’ye (eski adıyla Azure AD) senkronize eder. Operasyon ekipleri için en kritik ihtiyaç; senkronizasyonun çalışıp çalışmadığını, son başarılı zamanı, bekleyen değişiklikleri ve hata durumlarını hızlıca görebilmektir. Bu rehber, yerel sunucuda ADSync modülü ve bulut tarafında Microsoft Graph PowerShell ile durum izleme, tetikleme ve raporlama adımlarını kapsar.

Ön Koşullar

• Azure AD Connect kurulu ve çalışan bir ADSync servisi.
• Yerel sunucuda ADSync PowerShell modülü.
• Bulut durumu için Microsoft Graph PowerShell (Directory.Read.All yetkisi).

Yerel (On-Prem) Durum: ADSync Modülü

ADSync servisinin planlayıcı (scheduler) durumu, son/sonraki senkron zamanı ve döngü tipini görüntüleyin.

# Yükseltilmiş PowerShell
Import-Module ADSync

# Planlayıcı durumu
Get-ADSyncScheduler | Select-Object SyncCycleEnabled, NextSyncCycleStartTime, PStypeName

# Son senkron özeti (Event Log kısa kontrol)
Get-WinEvent -LogName "Application" `
  | Where-Object {$_.ProviderName -like "*Directory Synchronization*"} `
  | Select-Object TimeCreated, Id, Message -First 10

Delta ve Initial Senkronu Elle Tetikleme

# Sadece değişiklikler (önerilen)
Start-ADSyncSyncCycle -PolicyType Delta

# Tam (schema/topoloji değiştiyse)
Start-ADSyncSyncCycle -PolicyType Initial

Bağlayıcı, Çalıştırma Profili ve Kuyruk

Bağlayıcıları ve mevcut profilleri gözden geçirmek için:

Get-ADSyncConnector | Select-Object Name,Type

# Senkronizasyon servisinin yükünü kontrol etmek için servis:
Get-Service ADSync
(Get-Service ADSync).Status

Not: Ayrıntılı senaryo/hata incelemeleri için miisclient.exe (Synchronization Service Manager) arayüzünü kullanın:
"C:\Program Files\Microsoft Azure AD Sync\UIShell\miisclient.exe".

Bulut (Entra ID) Durumu: Microsoft Graph PowerShell

Bulut tarafında dizin senkronizasyonunun etkin olup olmadığını ve son başarılı eşitleme zamanını kontrol edin.

# Modül kurulumu (gerekirse)
Install-Module Microsoft.Graph -Scope AllUsers

# Bağlantı ve temel izin
Connect-MgGraph -Scopes "Directory.Read.All"

# Kuruluş seviyesinde eşitleme durumu
Get-MgOrganization | Select-Object DisplayName, OnPremisesSyncEnabled, OnPremisesLastSyncDateTime

Kullanıcı ve Nesne Bazlı Sağlık Kontrolleri

Belirli bir kullanıcı nesnesinin sourceAnchor / immutableId gibi eşitleme alanlarını doğrulamak için Graph sorguları kullanabilirsiniz:

# Örnek: bulut tarafında kullanıcıyı getir
Get-MgUser -UserId user@contoso.com `
  | Select-Object Id, UserPrincipalName, OnPremisesImmutableId, OnPremisesSyncEnabled

En Sık Görülen Hatalar ve Hızlı Teşhis

• İsim/UPN uyuşmazlıkları: OnPrem UPN suffix’inizin Entra’da verified domain olduğundan emin olun.
• Duplicate attribute: proxyAddresses ve userPrincipalName çakışmaları senkronu bloklar; MIIS client’ta “Export Errors” bölümünü temizleyin.
• Hesap kilidi/bağlantı: Connector’a tanımlı servis hesabının parolası veya izinleri değiştiğinde bağlantı kopar.
• OU/Filtre değişikliği: Initial gerektirebilir; değişiklik sonrası Start-ADSyncSyncCycle -PolicyType Initial.

Performans ve Zamanlama İpuçları

• Default çevrim 30 dk: Aşırı değişiklik yükünde sırayı sıkıştırmayın; delta döngüsünü koruyun.
• Staging Mode: Yedek Connect sunucusunda staging mode ile topoloji testlerini yapın; kesintisiz devralma için idealdir.
• Filtreleme: Gereksiz OU’ları hariç tutmak, run süresini kısaltır.

Sağlık (Health) ve Uyarılar

Geniş kurulumlarda Azure AD Connect Health aracını kullanın. Portal uyarıları, başarısız eşitleme, uzun süren döngüler ve yüksek hata oranlarını bildirir. Yerel izlemeye ek olarak SIEM/SOC’a ADSync event’lerini akıtın.

Otomatik Durum Raporu (Günlük)

Aşağıdaki betik; yereldeki scheduler bilgisi ile bulut tarafındaki son-sync zamanını birleştirip CSV/HTML rapor üretir.

Import-Module ADSync
$loc = Get-ADSyncScheduler |
  Select-Object SyncCycleEnabled, NextSyncCycleStartTime

Connect-MgGraph -Scopes "Directory.Read.All"
$org = Get-MgOrganization |
  Select-Object DisplayName, OnPremisesSyncEnabled, OnPremisesLastSyncDateTime

$report = [pscustomobject]@{
  Tenant     = $org.DisplayName
  CloudSync  = $org.OnPremisesSyncEnabled
  LastCloud  = $org.OnPremisesLastSyncDateTime
  LocalSched = $loc.SyncCycleEnabled
  NextLocal  = $loc.NextSyncCycleStartTime
}
$report | Export-Csv "C:\Reports\AADSyncStatus.csv" -NoTypeInformation -Encoding UTF8
$report | ConvertTo-Html | Out-File "C:\Reports\AADSyncStatus.html" -Encoding UTF8

İş Sürekliliği: Hızlı Kurtarma

• Yedek Connect: İkincil sunucuyu staging mode’da hazır tutun.
• Servis hesabı: Parola değişimlerini izin/mfa politikasına uygun otomatikleştirin.
• Dokümantasyon: OU filtreleri, eşitleme kuralları, writeback özellikleri (Password/Group/Device) kayıt altında olsun.

Sonuç

Entra Connect senkronizasyon sağlığı; ADSync komutları (yerel) ve Graph sorguları (bulut) birlikte izlenerek güvence altına alınır. Delta/Initial döngülerinin doğru kullanımı, OU filtreleme ve staging mode stratejisi ile kesintisiz ve öngörülebilir bir replikasyon akışı elde edebilirsiniz.