Şirket İçi AD'den Azure'a adım adım Geçiş

Şirket içi AD Sunucunuzdan Azure AD'ye Katılmış cihazlara geçiş, artık hızlı, düşük gecikmeli erişim gereksinimi olmayan tüm işletmeler için yaygın bir senaryodur. verilerdir ve hâlihazırda Microsoft 365'e yatırım yapmaktadır.

Bu, tüm şirket iş kolu uygulamalarına web üzerinden erişilebileceği ve bilgilerin Microsoft Teams ve SharePoint gibi platformlar aracılığıyla kaydedilip işbirliği yapılabileceği anlamına gelebilir.

Bu yazıda size şirket içi AD'yi adım adım Azure'a nasıl geçirebileceğinizi göstereceğim.

Burada bu geçişi yapmak ve süreci yaşamak isteyen bir işletmenin varsayımsal bir senaryosunu tartışacağız. Daha sonra, modern iş tabanlı bir çözüme geçişi sağlayacak planlama adımlarını baştan sona detaylandıracağız.

AD Geçiş Senaryosu

OurCloudNetwork, aynı zamanda şirketin ana kurumsal dosya paylaşımını da barındıran tek bir şirket içi etki alanı denetleyicisine sahiptir. Tüm şirket iş istasyonları Active Directory'ye katılmıştır ve e-posta için zaten Microsoft 365 paketindeki Exchange Online'ı kullanmaktadırlar.

Son şirket içi muhasebe uygulamasının buluta taşınabileceği ve bir web tarayıcısı deneyimi kullanmak ve Azure Active Directory ile tek oturum açma yoluyla oturum açmak için erişimin modernize edilebileceği belirlendi. Bu sayede artık istemci/sunucu mimarisine gerek kalmıyor.

Bu senaryoda başka bazı gerçekler de doğrudur:

• Tek Windows sunucusu Windows Server 2012 R2'yi çalıştırıyor
• Bazı istemciler Windows 10'un ve bazı Windows 11'in ilk sürümlerini çalıştırıyor
• Minimum düzeyde yazdırma gereksinimi vardır ve paylaşılan yazıcı yoktur; bazı kullanıcıların kendi USB masa üstü yazıcıları vardır
• Yerel istemci yardımcı program uygulamalarını yönetmek için bazı özel grup ilkeleri kullanılır
• Kullanıcıların masaüstlerine kaydedilen ve yedeklenmeyen dosyalar endişe vericidir
• OurCloudNetwork, harici şirketlerle projeler üzerinde işbirliği yapmak istiyor

Gerekli Nihai Hedef

Mevcut ortam ve gereksinimlere dayanarak, OurCloudNetwork'ün altyapısını modernize etmek için aşağıdaki nihai hedef önerilmiştir.

Şirket İçi Sunucu

Şirket içi sunucu kullanımdan kaldırılacak ve Active Directory'deki kimlikler, Azure AD Connect senkronizasyon aracı kullanılarak Azure Active Directory ile senkronize edilecektir.

Mevcut tüm grup ilkeleri sunucudan dışarı aktarılacak ve Microsoft Intune'a taşınacaktır.

Mevcut dosya paylaşımları, Microsoft 365 grupları tarafından desteklenen izinlerle SharePoint ve Microsoft Teams'e taşınacaktır.

Exchange Online, Microsoft 365 paketinin bir parçası olarak kullanılmaya devam edecek.

Microsoft 365'teki kullanıcı lisanslaması, gerekli değişikliklere uyum sağlamak için Microsoft 365 E3'e yükseltilecektir.

İstemci İş İstasyonları

Tüm istemci iş istasyonları etki alanından kaldırılacak ve cihaz yönetimi için Intune ile Azure Active Directory'ye katılacaktır.

Intune ayrıca makineler genelinde ilkeleri uygulayacak ve Windows işletim sistemi için güncelleme yönetimiyle ilgilenecektir.

Güvenlik

Uyumluluk bir endişe kaynağı olarak tanımlandığından, kontrolü uygulamak için koşullu erişim politikalarıyla desteklenen cihaz uyumluluk politikaları uygulanmalıdır.

Güçlü Çok Faktörlü kimlik doğrulama (SMS veya Telefon görüşmesi değil), kullanımı izlenecek olan kırılmaz hesap haricinde tüm kullanıcılar için uygulanacaktır.

Şirket İçi AD'den Azure'a Geçiş Planı

1. Adım

Tüm kullanıcılarınızın uygulamaya koyduğunuz çözüm için uygun şekilde lisanslandığından emin olarak başlamalısınız. Senaryomuzda Microsoft 365 E3, Kurumsal planını seçtik. Bu lisans bize etkili ve güvenli bir çözüm oluşturmak için ihtiyaç duyduğumuz tüm bulut hizmetlerini, güvenlik araçlarını ve yönetim araçlarını sağlar. Diğer kurumsal planlar şu adreste görüntülenebilir: https://www.microsoft.com/en-gb/microsoft-365/compare-microsoft-365-enterprise-plans. Ayrıca kuruluşunuzun kullanıcı sayısı 300'ün altındaysa ve Exchange Online Plan 2, hibrit lisanslama, ek DLP ve destek gibi gelişmiş özelliklere ihtiyaç duymuyorsa M365 Business Premium lisansını alma seçeneğiniz de vardır.

Mevcut her lisans türü arasındaki farkı incelemeli ve aşağıdaki gibi iş gereksinimlerine göre bir karar vermelisiniz: hibrit sunucu gereksinimleri, güvenlik, uyumluluk ve veriler. Microsoft'tan uç nokta yönetimi ve desteği.

2. Adım

Kullanıcılarınızın iş istasyonlarında kuruluşunuzun yedekleme kapsamı dışında veya bulutta kayıtlı olmayan verileri olması muhtemeldir (bu beyanı kabul etmeseniz bile). Her durumda, bu adım, şirket verilerinizi temizlemenizi ve kullanıcınızın kritik verilerinin (şu anda genellikle üzerinde çalıştıkları) OneDrive'larına (en azından) kaydedilmesini sağlamanızı içermelidir.

Öncelikle, müşterinizin iş istasyonlarında en son OneDrive istemcisinin kurulu olduğundan emin olmalısınız. OneDrive buradan indirilebilir ve önemli verileri 'yedeklemek' için kurulum sırasında sihirbazı izlemelisiniz. Bu aşamada geleneksel olarak verilerini yedeklemediğiniz, yalnızca kişisel bulut depolama alanına (OneDrive) yönlendirdiğiniz için yedekleme diyorum. Microsoft 365'in yanında 3. parti bir yedekleme çözümü de kullanılmalıdır ancak bu konuya en sonda değineceğiz.

Ayrıca yerel dosya sunucularındaki tüm veriler üzerinde çalışmalı ve bu verileri Teams ve SharePoint'e taşınmaya hazırlamalısınız. Verileriniz için modern bir iş çözümüne geçme kararını vermeden önce, SharePoint ve Teams'in doğru çözüm olduğunu belirleyen bir fizibilite çalışması yapılmış olmalıdır. Genellikle, düşük gecikmeli erişim gerektiren büyük dosyaların yerel sunucu depolama alanlarına kaydedildiği ve ortak çalışmaya dayalı proje belgelerinin Teams'de iyi çalıştığı Hibrit çözümün her zaman en iyi sonucu verdiğini göreceksiniz.

Bu genellikle projenin en çok zaman alan adımı olabilir ancak çoğu zaman sevilmeyen bir süreçtir. Bu nedenle, bu aşamada zaman ayırdığınızdan ve bu tür verilerin depolanacağı en iyi plan ve alana karar vermek için kilit paydaşlar ve veri sahipleriyle birlikte çalıştığınızdan emin olun.

3. Adım

Verilerinizi değerlendirip temizledikten sonra Microsoft Teams kullanımını değerlendirmelisiniz. Microsoft Teams, kullanıcıların gerçek zamanlı iletişimle dosyalarda, çağrılarda ve toplantılarda birlikte çalışmasını sağladığından proje odaklı çalışma için harika bir araçtır.

Microsoft Teams ağırlıklı olarak Microsoft 365 grupları tarafından desteklenmektedir. Bir Ekip oluşturduğunuzda Microsoft 365 grubu, SharePoint Çevrimiçi Ekip sitesi, grup Exchange posta kutusu ve OneNote'taki bir koleksiyon gibi birçok başka hizmet de oluşturulur.

Microsoft Teams'in diğer Microsoft 365 hizmetleriyle nasıl mimarilendirildiğini mantıksal olarak anlamak da iyidir:

• Teams'teki kişisel dosyalarınız kişisel OneDrive alanınıza kaydedilir.
• Teams'de paylaşılan dosyalar SharePoint Online sitelerine kaydedilir. Bu aynı zamanda doğrudan Teams'e gitmenize gerek kalmadan dosyalara erişebileceğiniz anlamına da gelir.
• Teams Kanallarındaki iletiler grup Exchange posta kutusuna kaydedilir
• 1'e 1 sohbet mesajları bireysel kullanıcının posta kutusuna kaydedilir.
• Takvim bilgileri bireysel kullanıcının posta kutusuna kaydedilir.

4. Adım

Artık veri stratejinizi SharePoint Online ve Teams kullanarak planladınız, kullanıcı parolalarınızı Windows oturum açma bilgileri ile Microsoft 365 arasında eşitlemek için Azure AD Connect'i bir üye sunucuya veya etki alanı denetleyicisine uygulamanız gerekir.

Azure AD Connect ile parola eşitlemeyi etkinleştirmek, kullanıcının deneyimini basitleştirecek ve böylece artık birden fazla parolayı hatırlamalarına gerek kalmayacak, özellikle de artık yeniden oturum açılmasını isteyen OneDrive ve Teams gibi hizmetleri tanıtacağınız için. Genellikle, bir kuruluş Azure AD Connect kullanmıyorsa kullanıcıların Microsoft 365 parolalarını nadiren hatırlayacağını ve bunun da BT Ekibiniz için bir yönetim yükü oluşturmasına yol açacağını göreceksiniz.

Azure AD Connect'i yükleme konusunda rehberlik için şu gönderime göz atın: Azure AD Connect nasıl kurulur ve yönetilir.

5. Adım

Verilerinizi SharePoint Online ve Microsoft Teams'e geçirmek bir sonraki adımınız olmalıdır. Bunu başarmak için Microsoft tarafından sağlanan 2 muhteşem ve ücretsiz araca sahipsiniz:

• SharePoint Geçiş Aracı (SPMT)
• SharePoint Geçiş yöneticisi

Dosya paylaşımlarınızı SharePoint/Teams'e geçirmeyle ilgili ayrıntılar için Microsoft Learn'ün bu yararlı öğrenme belgesini kullanın.

Verileriniz taşındıktan sonra, geride hiçbir şey kalmadığından emin olmak için dosya sunucunuzu bir süreliğine kapatmalısınız (veya yalnızca ağ bağlantısını kesebilirsiniz).

6. Adım

Bu noktada şirket içi Active Directory ile Azure AD arasında tutarlı kullanıcı kimliklerine sahip olduğunuz bir aşamada olmalısınız. Ayrıca tüm verilerinizin SharePoint ve Microsoft Teams'de olması gerekir.

Tüm kritik sistemleriniz artık bulutta olduğundan, Microsoft 365/Azure kiracınızı, Microsoft Intune aracılığıyla cihazların yönetilmesi ve Otomatik Pilotun kullanılmasına yönelik önerilen çözüm için hazırlamamız gerekiyor.

Aşağıdakileri yaptığınızdan emin olmalısınız:

1. Microsoft Intune için otomatik kaydı etkinleştirin. Bu, cihazların manuel olarak veya OOBE aracılığıyla AzureAD'e bağlandığında cihaz yönetimine de kaydedilmelerini sağlayacaktır.
2. Windows Autopilot hizmetine aygıt ekleme

7. Adım

Maalesef Intune cihaz yönetimini etkili bir şekilde kullanmak için yalnızca yönetim hizmetlerini etkinleştirmek yeterli değildir. Teste başlamadan önce yapılandırmanız gereken başka ayarlar da vardır.

Yapılandırma profilleri - Bunlar, kullanıcı veya cihaz kimliğine göre cihazlarınıza uyguladığınız ayar paketleridir. Örneğin, Windows Defender'ı tüm cihazlarda etkin olacak şekilde yapılandırmak istiyorsanız, bu ayarın etkin olduğu bir yapılandırma profili yapılandırır ve bunu dinamik olarak tüm cihazlara atarsınız.

Uyumluluk politikaları - Bunlar, bir cihazın Intune'da tanımlanan standartla uyumlu olup olmadığını belirler. Örneğin, Windows cihazlarınızın BitLocker'ı kullanmasını istiyorsanız ve bunu etkinleştirdiyseniz bunu uyumluluk politikanızda belirtebilirsiniz; ardından cihazınız uyumlu veya uyumlu değil olarak işaretlenecektir. Uyumluluk politikaları, bir cihazın uyumsuz olarak işaretlenmesi durumunda hizmetlere erişimi engellemek için Koşullu Erişim politikalarıyla birlikte çalışabilir.

Güncelleme halkaları - Güncelleştirme halkası, Windows güncellemelerinin (ve ilişkili uygulamalar ile sürücülerin) iş istasyonlarınıza nasıl dağıtılacağını tanımlar. Özellik ve kalite güncellemesi erteleme dönemlerini, Windows 11 yükseltmesini veya ertelemesini, özellik güncellemesi kaldırma dönemlerini, yayın öncesi dağıtımları, aktif güncelleme saatlerini, otomatik güncelleme davranışını ve çok daha fazlasını yapılandırabilirsiniz. Bu, hem güncellemelerin zamanında dağıtılmasını sağlamak hem de kullanıcının güncelleme deneyimini geliştirmek için kritik bir adımdır.

Intune yönetim merkezini incelemek ve kuruluşunuza değer katabilecek ayarları gözden geçirmek için biraz zaman ayırın.

8. Adım

Planımız her Windows cihazının tamamen sıfırlanması olduğundan, tüm 3. taraf uygulamaların (web tarayıcıları veya yardımcı uygulamalar gibi) yeniden yüklenmesi gerekecektir. Neyse ki Intune, uygulamaları yönetim portalından cihazınıza uzaktan dağıtmanıza olanak tanır.

Cihazınıza dağıtabileceğiniz birçok uygulama türü vardır; yaygın olarak kullanılan uygulama türleri şunları içerir:

• .MSI
• IntuneWin
• Office C2R (Çalıştırmak için tıklayın)
• APX
• İş Uygulamalarına Yönelik Mağaza

9. Adım

Artık test aşamasındasınız. Kesintiye uğrayabilecek bir cihazı ve kullanıcı hesabını tanımlamalı ve Ayarlar > Güncelleme ve Güvenlik > Kurtarma > Bu bilgisayarı sıfırla yoluyla cihazı sıfırlamak için bir pilot çalışma gerçekleştirmelisiniz.

Cihaz sıfırlanmalı ve sizi ilk başlatma (kutudan çıktığı haliyle) deneyimine götürmelidir. Kurumsal hesabınızla oturum açtığınızda cihazın AutoPilot ve Intune hizmetlerine kaydolması gerekir; bu, her hizmette yapılandırdığınız ayarlara ve cihazda yaşadığınız deneyime göre açıkça görülmelidir.

Her adımı gerçekleştirirken, işlemi resim veya video kaydı yoluyla kaydetmelisiniz. Kullanıcı girişi gerektiren herhangi bir adım, özellikle son kullanıcı böyle bir adımı gerçekleştirecekse, dikkatli bir şekilde belgelenmelidir.

Cihazda oturum açıldıktan sonra gerekli tüm uygulamaların ve konfigürasyon profillerinin doğru şekilde dağıtıldığını kontrol edin ve gerekiyorsa ayarlarda ince ayarlar yapın. Eğer süreçten memnunsanız tam sürüme geçebilirsiniz.

10. Adım

Test tamamlandıktan sonra kalan iş istasyonları için tam geçişi gerçekleştirmeye hazırsınız. Sahip olduğunuz cihaz sayısına ve cihazların kaç farklı konumda olduğuna bağlı olarak bu konuya birçok farklı yoldan yaklaşabilirsiniz.

Muhtemelen tek bir konumda yaklaşık 30 cihazınız varsa, cihaz gruplarını tek seferde kolayca manuel olarak sıfırlayabilir ve bu işi birkaç gün veya bir hafta içinde halledebilirsiniz. Bununla birlikte, yüzlerce cihazınız varsa, bazı otomasyon tekniklerini test etmeyi ve belki de sürece yardımcı olması için her konumda bir kişiyi görevlendirmeyi eklemelisiniz. Örneğin, cihazlarınızı hibrit etki alanına katılma ve grup ilkesi aracılığıyla Intune/Autopilot'a kaydedebilir, ardından cihazı yönetim portalı aracılığıyla sıfırlayabilirsiniz. Veya cihazı sıfırlamak için bir RMM aracı kullanabilirsiniz. Yaklaşımınız Windows mülkünüzün boyutuna ve karmaşıklığına bağlı olacaktır.

10. Adım

Bu, özellikle farklı konumların farklı uyumluluklara uyması durumunda ve zaten büyük olan projenize ilave karmaşıklık katacağından, genellikle gözden kaçan bir adım olabilir. Ancak koşullu erişimi uygulamak, altyapınızı modernleştirmede kritik bir adımdır.

Multi-Factor kimlik doğrulaması gerektirme, oturum sınırlamaları ve hatta kontrolleri engelleme gibi hangi uygulamaların ve kullanıcıların belirli kontrollere ihtiyaç duymasını istediğinizi değerlendirmelisiniz.

Mükemmel bir dünyada, MFA için tüm kullanıcıları ve uyumluluk için tüm cihazları hedefleyen yalnızca 1 veya 2 uyumluluk ilkesiyle tüm mülklerinizi yakalamalısınız.

Koşullu Erişim politikasının nasıl oluşturulacağı hakkındaki eğitimimi takip edin.

11. Adım

Son olarak, belirli bir süre sonra, genellikle yaklaşık 2 haftadan bir aya kadar. Gerekiyorsa sunucu altyapınızı devre dışı bırakmalısınız. Bazı durumlarda birkaç Windows sunucusunun bakımını yapmanız gerekebilir, ancak artık bu gereksinim yoksa, bunların yukarıdaki süre boyunca kapalı kalmasını ve ardından hizmet dışı bırakılmasını sağlamalısınız.