Azure AD Connect, on-prem Active Directory (AD) ile Azure Active Directory arasında kimlik senkronizasyonunu sağlayan en kritik bileşenlerden biridir. Ancak yıllardır IT ekiplerinin kafasındaki en popüler soru hiç değişmez:
“Senkronizasyon süresi neden 30 dakika? Daha kısa olamaz mı?”
Aslında bu 30 dakikalık zaman aralığı Microsoft tarafından rastgele seçilmiş bir değer değildir. Hatta arka plandaki mekanizmayı anladığınızda çoğu ortam için en doğru değer olduğunu kabul etmek kolaydır.
Bu makalemde sync cycle mimarisini, performans etkilerini, gerçek zamanlı işleyen işlemleri, senkronizasyonun kısaltılmasının risklerini, ve PHS (Password Hash Sync) istisnalarını teknik olarak detaylandıracağız.
Sync Cycle Aslında Tek Bir İşlem Değildir — Bir İşlem Paketidir
Birçok kişi senkronizasyonu sadece “kullanıcıları Azure’a göndermek” olarak düşünür. Oysa Azure AD Connect her cycle içinde çok adımlı bir pipeline çalıştırır. Bir tam sync cycle şu işlemleri içerir:
AD’den Veri Çekme (Import Stage)
- On-prem Active Directory üzerindeki kullanıcı, grup ve bilgisayar objeleri okunur.
- Değişiklikler, deletions (silinmiş objeler), attribute farkları işlenir.
- Bu süreç I/O yoğun bir işlemdir.
Metaverse’de İşleme (Sync Stage)
- Tüm objeler “Metaverse” adı verilen merkezi mantıksal veri deposuna işlenir.
- Attribute mapping kuralları çalışır (inbound/outbound rules).
- Join, projection, provisioning kuralları uygulanır.
- Burada RAM + CPU yükü oluşur.
Azure Active Directory’e Gönderme (Export Stage)
- Sonuç seti AAD’e aktarılır.
- Azure tarafındaki throttle, API rate limit ve queue gecikmeleri dikkate alınır.
Error Handling ve Loglama
- Hata alan objeler event log’a düşer.
- Sync Service Manager üzerinde “Connectors → Errors” altında kaydedilir.
Attribute Değişikliklerinin Takibi
- Örneğin: proxyAddresses, jobTitle, department, company, manager…
- Bu işlemler, AD üzerinde audit ve delta loglarını okur.
Bu çok adımlı pipeline’ın her cycle’da çalışan bir iş yükü olduğunu düşünürseniz, Microsoft’un neden “30 dakika” gibi bir denge değeri belirlediği daha net anlaşılır.
Performans gerçekliği:
- Çok sık sync çalıştırırsanız: CPU, RAM ve disk yoğunluğu artar.
- Çok seyrek sync çalıştırırsanız: Değişikliklerin Azure’a yansıması gecikir.
30 dakika → performans, stabilite ve işlevsellik arasında optimum nokta.
Sync Cycle Kısaltılabilir mi? Evet, Ama Gerekiyor mu?
Azure AD Connect scheduler varsayılan olarak:
SyncCycleInterval = 00:30:00
yani 30 dakikada bir delta senkronizasyonu tetikler. Bu süreyi düşürmek teknik olarak mümkündür. Örneğin:
Set-ADSyncScheduler -CustomizedSyncCycleInterval 00:15:00
Ama kritik soru şudur:
Senkronizasyonu hızlandırmak gerçek bir sorun çözüyor mu?
Çoğu ortam için cevabı çok nettir: Hayır. Çünkü Azure AD Connect’te “hemen gitmesi gereken” tek veri türü vardır: kullanıcı şifresi ve bunun için sync cycle beklenmez.
Peki Şifreler Neden Anında Azure’a Gider?
Password Hash Synchronization (PHS) Aktifse → Instant Password Sync
Bir kullanıcı AD üzerinde şifresini değiştirdiğinde:
- Domain Controller üzerindeki Password Change Notification Agent (PCNS) tetiklenir.
- Hash bilgisi Azure AD Connect’e gönderilir.
- AAD Connect bunu anında Azure AD’ye yollar.
Bu işlem sync cycle’dan bağımsızdır.
PCNS başarısız olursa ne olur?
Eğer PHS bildirim akışı başarısız olursa:
- Şifre değişikliği 30 dakikalık delta sync cycle’ına kalır.
- Yani “instant sync fallback” olarak çalışır.
Sync Süresini Ne Zaman Kısaltmak Mantıklı?
Gerçekten kısa sync cycle ihtiyacı olan ortam profilleri:
Çok sık kullanıcı oluşturulan yapılar
Örneğin:
- Günlük yüzlerce işe giriş olan call-center şirketleri
- Otomasyonla sürekli account creation yapılan HR entegrasyonları
Departman ve organizasyon birim değişikliği yoğun olan holding yapıları
manager, department, office gibi attribute değişikliklerinin iş süreçlerine etkisi büyükse…
Azure lisans otomasyonunun attribute’lara bağlı olduğu ortamlarda
Örneğin:
- E3 lisansı “Department = Finance” olanlara otomatik atanıyorsa
- Attribute’un geç yansıması iş süreçlerini kesintiye uğratabilir
Bu senaryolarda cycle’ın 15 dakikaya inmesi mantıklıdır.
“Ben Şimdi Sync Çalıştırmak İstiyorum!” Diyenler İçin
Sync cycle’ı manuel tetiklemek kolaydır.
Delta Sync
Sadece değişiklikleri yollar — en hızlısı.
Start-ADSyncSyncCycle -PolicyType Delta
Initial Sync (Full Sync)
Tüm AD verisini baştan işler. Ağırdır, nadiren kullanılmalıdır.
Start-ADSyncSyncCycle -PolicyType Initial
Bu işlemi alışkanlık hâline getirmemek gerekir; sync server’da ciddi CPU yükü yaratır.
Minimum Sync Süresi: Microsoft’un Desteklediği Sınır
Microsoft’un resmi dokümantasyonuna göre:
Minimum desteklenen sync cycle süresi → 5 dakikadır.
Yani 5 dakikanın altı teknik olarak çalışır ancak destek kapsamında değildir.
“30 dakika” bugün Azure AD Connect için hem en güvenli hem de en stabil interval değeridir. Ortamınızın özel ihtiyaçları yoksa Microsoft’un varsayılan ayarlarını korumak her zaman en sağlıklısıdır. Ancak ihtiyaç varsa 15 dakikaya düşürebilir veya manuel sync ile süreci hızlandırabilirsiniz.