Microsoft Entra Connect Sync ile parola karması eşitlemesini gerçekleştirin

Bu makalede, kullanıcı parolalarınızı bir şirket içi Active Directory örneğinden bulut tabanlı bir Microsoft Entra örneğine eşitlemek için ihtiyacınız olan bilgiler sağlanır.

Not

miiserver.exe.config dosyasını değiştirirseniz, 2.5.190.0 ve 2.6.1.0 eşitleme sürümlerini bağlarken eşitleme hatalarına neden olabilir. Daha fazla bilgi için bkz . Bilinen sorun: miiserver.exe.config daha önce değiştirildiyse yükseltmeden sonra eşitleme başarısız oluyor .

Parola karması eşitleme nasıl çalışır?

Active Directory etki alanı hizmeti, parolaları gerçek kullanıcı parolasının karma değer gösterimi biçiminde depolar. Karma değer, tek yönlü bir matematiksel işlevin ( karma algoritması) sonucudur. Tek yönlü bir işlevin sonucunu parolanın düz metin sürümüne döndürmek için bir yöntem yoktur.

Microsoft Entra Connect Sync, parolanızı eşitlemek için yerel Active Directory örneğinden parola karmasını ayıklar. Parola karması, Microsoft Entra kimlik doğrulama hizmetiyle eşitlenmeden önce ek güvenlik işlemlerine tabi tutulur. Parolalar kullanıcı başına ve kronolojik sırayla eşitlenir.

Parola karması eşitleme işleminin gerçek veri akışı, kullanıcı verilerinin eşitlenmesine benzer. Ancak, parolalar diğer öznitelikler için standart dizin eşitleme penceresinden daha sık eşitlenir. Parola karması eşitleme işlemi 2 dakikada bir çalıştırılır. Bu işlemin sıklığını değiştiremezsiniz. Bir parolayı eşitlediğinizde, mevcut bulut parolasının yerine yazılır.

Parola karması eşitleme özelliğini ilk kez etkinleştirdiğinizde, tüm kapsam içi kullanıcıların parolalarının ilk eşitlemesini gerçekleştirir. Aşamalı Dağıtım , etki alanlarınızı bulut kimlik doğrulamasına geçirmeden önce seçili kullanıcı gruplarıyla birlikte Microsoft Entra çok faktörlü kimlik doğrulaması, Koşullu Erişim, Kimlik Koruması ve Kimlik İdaresi gibi bulut kimlik doğrulama özelliklerini test etmenizi sağlar. Eşitlemek istediğiniz kullanıcı parolalarının bir alt kümesini açıkça tanımlayamazsınız. Ancak, birden çok bağlayıcı varsa, bazı bağlayıcılar için parola karması eşitlemesini devre dışı bırakmak mümkündür, ancak diğerleri için devre dışı bırakmak Set-ADSyncAADPasswordSyncConfiguration cmdlet'ini kullanarak mümkün değildir.

Şirket içi parolayı değiştirdiğinizde, güncelleştirilmiş parola çoğunlukla birkaç dakika içinde eşitlenir. Parola karması eşitleme özelliği başarısız eşitleme girişimlerini otomatik olarak yeniden dener. Parola eşitleme girişimi sırasında bir hata oluşursa, olay görüntüleyicinize bir hata kaydedilir.

Parolanın eşitlenmesi, oturum açmış olan kullanıcıyı etkilemez. Bir bulut hizmetinde oturum açtığınızda parola değişikliği eşitlenirse geçerli oturumunuz etkilenmez.

Bir kullanıcının, şirket ağında oturum açıp açmadığına bakılmaksızın Microsoft Entra Id'de kimlik doğrulaması yapmak için şirket kimlik bilgilerini ikinci kez girmesi gerekir. Ancak kullanıcı giriş sırasında Oturumumu açık bırak (KMSI) seçenek kutusunu seçerse bu kalıp azaltılabilir. Bu seçim, kimlik doğrulamasını 180 gün boyunca atlayan bir oturum tanımlama bilgisi belirler. KMSI davranışı Microsoft Entra yöneticisi tarafından yönetilebilir. Buna ek olarak, Microsoft Entra join veya Microsoft Entra karma katılımını yapılandırarak parola istemlerini azaltabilirsiniz. Bu, kullanıcıları şirket ağınıza bağlı şirket cihazlarında olduklarında otomatik olarak oturum açar.

Diğer avantajlar

• Genellikle, parola karması eşitlemenin uygulanması federasyon hizmetinden daha kolaydır. Daha fazla sunucu gerektirmez ve kullanıcıların kimliğini doğrulamak için yüksek oranda kullanılabilir bir federasyon hizmetine bağımlılığı ortadan kaldırır.
• Parola karması eşitlemesi federasyona ek olarak da etkinleştirilebilir. Federasyon hizmetinizde kesinti yaşanırsa geri dönüş olarak kullanılabilir.

Not

Parola eşitleme yalnızca Active Directory'deki nesne türü kullanıcısı için desteklenir. iNetOrgPerson nesne türü için desteklenmez.

Parola karması eşitlemesinin nasıl çalıştığının ayrıntılı açıklaması

Aşağıdaki bölümde, Active Directory ile Microsoft Entra Id arasında parola karması eşitlemesinin nasıl çalıştığı ayrıntılı olarak açıklanmaktadır.

1. AD Connect sunucusundaki parola karması eşitleme aracısı iki dakikada bir DC'den depolanan parola karmaları (unicodePwd özniteliği) ister. Bu istek, DC'ler arasında verileri eşitlemek için kullanılan standart MS-DRSR çoğaltma protokolü aracılığıyla yapılır. Active Directory Etki Alanı Hizmetleri (ADDS) Bağlayıcı hesabı, parola karmalarını alabilmek için (kurulumda varsayılan olarak verilmiş olan) Dizin Değişikliklerini Çoğalt ve Tüm Dizin Değişikliklerini Çoğalt AD izinlerine sahip olmalıdır.

2. Göndermeden önce DC, Uzaktan Yordam Çağrısı (RPC) oturum anahtarının MD5 karması olan bir anahtar ve bir tuz kullanarak MD4 parola karması şifreler. Ardından sonucu RPC üzerinden parola karması eşitleme aracısına gönderir. DC ayrıca DC çoğaltma protokolünü kullanarak bir eşitleme aracısına salt parametresini iletir, böylece aracı zarfın şifresini çözebilir.

3. Parola karması eşitleme aracısı şifrelenmiş zarfa sahip olduktan sonra, alınan verilerin şifresini orijinal MD4 formatına geri döndürmek için bir anahtar oluşturmak amacıyla MD5CryptoServiceProvider ve tuzu kullanır. Parola karması eşitleme aracısı hiçbir zaman düz metin parolasına erişemez. Parola karması eşitleme aracısı, MD5'i yalnızca etki alanı denetleyicisinin çoğaltma protokolüyle uyumluluk için kullanır. Bu kullanım, etki alanı denetleyicisi ve aracı arasındaki şirket içi iletişimle sınırlıdır.

4. Parola karması eşitleme aracısı, önce karmayı 32 baytlık onaltılık dizeye dönüştürerek ve ardından utf-16 kodlaması ile bu dizeyi ikiliye dönüştürerek 16 baytlık ikili parola karması 64 bayt olarak genişletir.

5. Parola karması eşitleme aracısı, özgün karmayı daha fazla korumak için 64 baytlık ikili dosyaya 10 bayt uzunluğunda tuzdan oluşan kullanıcı başına bir tuz ekler.

6. Parola karması eşitleme aracı daha sonra MD4 karması ile kullanıcı başına tuzu birleştirir ve bunu PBKDF2 işlevine girer. HMAC-SHA256 anahtarlı karma algoritmasının 1.000 yinelemesi kullanılır. Daha fazla ayrıntı için Microsoft Entra Teknik İncelemesi'ne bakın.

7. Parola karması eşitleme aracısı, elde edilen 32 baytlık karmayı alır, hem kullanıcı başına tuzu hem de SHA256 yineleme sayısını birleştirir (Microsoft Entra ID tarafından kullanılmak üzere), ardından dizeyi Microsoft Entra Connect'ten TLS üzerinden Microsoft Entra Id'ye iletir.
   

8. Kullanıcı Microsoft Entra Id'de oturum açmayı denediğinde ve parolasını girdiğinde, parola aynı MD4+salt+PBKDF2+HMAC-SHA256 işlemiyle çalıştırılır. Sonuçta elde edilen karma, Microsoft Entra Kimliği'nde depolanan karmayla eşleşiyorsa, kullanıcının doğru parolayı girdiği ve kimliğinin doğrulandığı anlamına gelir.

Not

Özgün MD4 karması Microsoft Entra Id'ye iletilmez. Bunun yerine, özgün MD4 karmasının SHA256 karması iletilir. Sonuç olarak, Microsoft Entra ID'de depolanan karma elde edilirse, yerleşik bir karma geçişli saldırıda kullanılamaz.

Not

Parola karması değeri SQL'de ASLA depolanmaz. Bu değerler, Microsoft Entra Id'ye gönderilmeden önce yalnızca bellekte işlenir.

Güvenlik konuları

Parolalar eşitlenirken, parolanızın düz metin sürümü parola karması eşitleme özelliğine, Microsoft Entra Kimliği'ne veya ilişkili hizmetlerden herhangi birine gösterilmez.

Kullanıcı kimlik doğrulaması, kuruluşun kendi Active Directory örneğine karşı değil Microsoft Entra'ya karşı gerçekleştirilir. Microsoft Entra Id'de depolanan SHA256 parola verileri (özgün MD4 karması) Active Directory'de depolanandan daha güvenlidir. Ayrıca, bu SHA256 karması çözülemediğinden, kuruluşun Active Directory ortamına geri getirilemiyor ve karma geçiş saldırısında geçerli bir kullanıcı parolası olarak sunulamıyor.

Parola ilkesiyle ilgili dikkat edilmesi gerekenler

Parola karması eşitlemesini etkinleştirmeden etkilenen iki tür parola ilkesi vardır:

• Parola karmaşıklığı ilkesi
• Parola süre sonu ilkesi

Parola karmaşıklığı ilkesi

Parola karması eşitleme etkinleştirildiğinde, şirket içi Active Directory örneğinizdeki parola karmaşıklık ilkeleri eşitlenmiş kullanıcılar için buluttaki karmaşıklık ilkelerini geçersiz kılar. Microsoft Entra hizmetlerine erişmek için şirket içi Active Directory örneğinizdeki herhangi bir geçerli parolayı kullanabilirsiniz.

Not

Doğrudan bulutta oluşturulan kullanıcıların parolaları, bulutta tanımlandığı gibi yine de parola ilkelerine tabidir.

Parola süre sonu ilkesi

Kullanıcı parola karması eşitleme kapsamındaysa, bulut parolası varsayılan olarak Hiçbir Zaman Sona Ermez olarak ayarlanır.

Şirket içi ortamınızda süresi dolan eşitlenmiş bir parola kullanarak bulut hizmetlerinizde oturum açmaya devam edebilirsiniz. Bulut parolanız, şirket içi ortamda parolayı bir sonraki değiştirişinizde güncelleştirilir.

Not

Kullanıcının parolasının süresi dolmuş olsa bile, tanımlama bilgilerini veya belirteçleri kullanan Microsoft Entra ID etkin bir oturum açma oturumu olduğu sürece kullanıcıdan parolasını değiştirmesi istenmez. Parola değiştirme istemi yalnızca kullanıcı parola kullanarak kimlik doğrulamasını açıkça tamamladığında gösterilir. Kullanıcının mevcut bir çoklu oturum açma (SSO) tanımlama bilgisi, yenileme belirteci veya birincil yenileme belirteci (PRT) varsa, parolasını değiştirmesi istenmez. Ayrıca, kullanıcı parolasız kimlik doğrulama yöntemi kullanarak oturum açtığında parola süre sonu değerlendirilmez ve kullanıcıdan parolasını değiştirmesi istenmez. Daha fazla bilgi için bkz . Belirteç iptali.

Buluta Senkronize Edilmiş Kullanıcılar İçin Parola Politikası Etkin

Password-Synced Kullanıcıları için Bulut Parola İlkesi özelliği, Microsoft Entra Id'nin parolaları şirket içi Active Directory'den eşitlenen kullanıcılar için yerel parola ilkelerini (süre sonu ve kilitleme gibi) zorunlu kılmasını sağlar. Bu özellik, eşitlenmiş kullanıcılar için aynı şirket içi Active Directory parola ilkesini Microsoft Entra parola ilkesiyle hizalamanızı sağlar.

Yalnızca Microsoft Entra tümleşik hizmetleriyle etkileşim kuran eşitlenmiş kullanıcılar varsa ve parola süre sonu ilkesiyle de uyumlu olması gerekiyorsa, CloudPasswordPolicyForPasswordSyncedUsersEnabled özelliğini etkinleştirerek onları Microsoft Entra parola süre sonu ilkenize uymaya zorlayabilirsiniz.

CloudPasswordPolicyForPasswordSyncedUsersEnabled devre dışı bırakıldığında (varsayılan ayardır), Microsoft Entra Connect eşitlenen kullanıcıların PasswordPolicies özniteliğini "DisablePasswordExpiration" olarak güncelleştirir. Bu güncelleştirme, kullanıcının parola karması bulutla her eşitlendiğinde gerçekleştirilir ve Microsoft Entra Id'ye söz konusu kullanıcının bulut parolası süre sonu ilkesini yoksaymasını emreder.

Aşağıdaki komutla Microsoft Graph PowerShell modülünü kullanarak PasswordPolicies özniteliğinin değerini de kontrol edebilirsiniz:

Connect-MgGraph -Scopes "User.ReadWrite.All"

(Get-MgUser -UserId "<UPN or Object ID>" -Property PasswordPolicies).PasswordPolicies

CloudPasswordPolicyForPasswordSyncedUsersEnabled özelliğini etkinleştirmek için Graph PowerShell modülünü kullanarak aşağıdaki komutları çalıştırın:

Connect-MgGraph -Scopes "OnPremDirectorySynchronization.ReadWrite.All"

$OnPremSync = Get-MgDirectoryOnPremiseSynchronization
$OnPremSync.Features.CloudPasswordPolicyForPasswordSyncedUsersEnabled = $true

Update-MgDirectoryOnPremiseSynchronization `
  -OnPremisesDirectorySynchronizationId $OnPremSync.Id `
  -Features $OnPremSync.Features

CloudPasswordPolicyForPasswordSyncedUsersEnabled etkinleştirildikten sonra, Microsoft Entra Id eşitlenen her kullanıcı için PasswordPolicies özniteliğinden temizlenmezDisablePasswordExpiration. DisablePasswordExpiration değeri, şirket içi Active Directory'de her kullanıcı için bir sonraki parola karması senkronizasyonu sırasında, kullanıcıların bir sonraki parola değişikliklerinde kaldırılır. Ayrıca, buluta eşitlenen yeni kullanıcıların PasswordPolicies ayarı yoktur.

İpucu

Parola karması eşitlemesini etkinleştirmeden önce CloudPasswordPolicyForPasswordSyncedUsersEnabled'ın etkinleştirilmesi

Graph PowerShell modülünü kullanarak aşağıdaki komutu kullanarak bir kullanıcı için PasswordPolicy'yi el ile temizleyebilirsiniz:

Connect-MgGraph -Scopes "User.ReadWrite.All"

Update-MgUser -UserId "<UPN or Object ID>" -PasswordPolicies None

Not

Tasarım gereği , Update-MgUser ve Update-MgDomain PowerShell komutları federasyon etki alanlarında çalışmaz.

Şirket içi Active Directory'nizdeki ilke farklıysa, aşağıdaki PowerShell komutunu kullanarak Microsoft Entra parola ilkesini eşleşecek şekilde güncelleştirebilirsiniz. Microsoft Entra, kayıtlı etki alanı başına ayrı bir parola süre sonu ilkesini destekler.

Update-MgDomain -DomainId "<domain name>" -PasswordValidityPeriodInDays <Int32> [-PasswordNotificationWindowInDays <Int32>]

Uyarı: Microsoft Entra Id'de süresi dolmayan parolalara sahip olması gereken eşitlenmiş hesaplar varsa (örneğin, etkileşimli oturum açma için kullanılmayan bir hizmet hesabı), değeri Microsoft Entra Id'deki kullanıcının PasswordPolicies özniteliğine açıkça eklemeniz DisablePasswordExpiration gerekir. Aşağıdaki komutu çalıştırarak bu değeri ekleyebilirsiniz:

Update-MgUser -UserID "<UPN or Object ID>" -PasswordPolicies "DisablePasswordExpiration"

Dikkat

Microsoft Entra Etki Alanı Hizmetleri'ni kullandığınızda, Microsoft Entra Connect tarafından tetiklenen tam parola karması eşitlemesi, Microsoft Entra dizininde bir parola karması güncelleştirmesi uygular. Bu, tüm parola karmalarının uçtan uca çoğaltılmasını sağlar: şirket içi Active Directory'den, Microsoft Entra Kimliği aracılığıyla ve Microsoft Entra Etki Alanı Hizmetleri'nde barındırılan etki alanı denetleyicilerine. Sonuç olarak, CloudPasswordPolicyForPasswordSyncedUsersEnabled özelliği etkinleştirildiğinde ve tam parola karması eşitleme tetiklendiğinde Microsoft Entra, parola karması bulutta güncelleştirildiğinde varsayılan davranış olduğundan tüm eşitlenen kullanıcılar için PasswordPolicies özniteliğini temizler. Böyle durumlarda, Microsoft Entra Id'de süresi dolmayan parolalara sahip olması gereken tüm hesaplar için parola ilkesini yeniden el ile ayarlamanız DisablePasswordExpiration gerekir.

Geçici parolaların ve "Sonraki Oturum Açmada Parola Değişikliğini Zorla" seçeneğinin eşitlenmesi

Özellikle yönetici parola sıfırlaması gerçekleştikten sonra, bir kullanıcıyı ilk oturum açma sırasında parolasını değiştirmeye zorlamak normaldir. Genellikle "geçici" parola ayarlama olarak bilinir ve Active Directory'deki (AD) bir kullanıcı nesnesinde "Kullanıcı bir sonraki oturum açmada parolayı değiştirmelidir" bayrağı denetlenerek tamamlanır.

Geçici parola işlevi, birden fazla kişinin bu kimlik bilgisi hakkında bilgi sahibi olduğu süreyi en aza indirmek için kimlik bilgilerinin sahiplik aktarımının ilk kullanımda tamamlanmasını sağlamaya yardımcı olur.

Eşitlenen kullanıcılar için Microsoft Entra Id'de geçici parolaları desteklemek için, Graph PowerShell modülünü kullanarak aşağıdaki komutları çalıştırarak ForcePasswordChangeOnLogOn özelliğini etkinleştirebilirsiniz:

$OnPremSync = Get-MgDirectoryOnPremiseSynchronization
$OnPremSync.Features.UserForcePasswordChangeOnLogonEnabled = $true

Update-MgDirectoryOnPremiseSynchronization `
  -OnPremisesDirectorySynchronizationId $OnPremSync.Id `
  -Features $OnPremSync.Features 

Not

Active Directory'de kullanıcı bir sonraki oturum açmada parolayı değiştirmelidir seçeneğinin seçili olduğu yeni bir kullanıcı oluşturduğunuzda, Microsoft Entra Id her zaman ilk oturum açmada parola değişikliğini zorlamak için kullanıcının bulut hesabını yapılandırıyor. Bu durum ForcePasswordChangeOnLogOn özelliğinin etkinleştirilip etkinleştirilmediğidir, çünkü başlangıçta yeni eşitlenen kullanıcı nesnelerinin Microsoft Entra ID'de parolası yoktur, bu nedenle oturum açmadan önce bir parola ayarlamak zorunda kalmalıdır. ForcePasswordChangeOnLogOn özelliği, yalnızca yerel ortamda bir yönetici tarafından başlatılan parola sıfırlama senaryolarını etkiler, ilk kullanıcı nesnesi eşitlemesini etkilemez. Active Directory'de her ikisi de "Kullanıcı bir sonraki oturum açmada parolayı değiştirmelidir" ile bir kullanıcı hesabı oluşturulduysa, ForcePasswordChangeOnLogOn ve PasswordHashSync özellikleri devre dışı bırakıldıysa, bu kullanıcı oturum açarken "Hesabınız veya parolanız yanlış" hatasını alır (parola değiştirme istemi yerine). Bu sorunu düzeltmek için Active Directory'deki kullanıcının "Kullanıcı bir sonraki oturum açmada parolayı değiştirmelidir" onay kutusunu temizleyin ve yeniden seçin. Bir sonraki eşitlemeden sonra, Microsoft Entra Id kullanıcıdan beklendiği gibi oturum açma sırasında parolasını güncelleştirmesini ister.

Parola Karması Eşitlemesi (PHS) etkinleştirildiğinde, her yeni hesap parola olmadan Microsoft Entra Kimliği'nde sağlanır (çünkü ilk nesne eşitlemesi kullanıcının parolasını içermez). Ancak PHS işlemi, şirket içi AD'den buluta parola karmalarını eşitlemek için sık sık (2 dakikada bir) çalışır. Bir kullanıcının parolası Microsoft Entra Id ile eşitlendiği anda hizmet, UserForcePasswordChangeOnLogonEnabled özelliğinin açık veya kapalı olmasına bağlı olarak "sonraki oturum açmada parola değişikliğini zorla" bayrağını uygular veya atlar. Başka bir deyişle UserForcePasswordChangeOnLogonEnabled yalnızca PHS parolayı buluta eşitlediğinde geçerlilik kazanır. Ancak UserForcePasswordChangeOnLogonEnabled özelliği etkinleştirilmediğinde, eşitleme istemcisi geçici parola eşitlemeyi bile denemez. Ayrıca PHS çalışmıyorsa , UserForcePasswordChangeOnLogonEnabled özelliğinin etkinleştirilmesi veya devre dışı bırakılması, kullanıcı oturum açma davranışını etkilemez.

Aşağıdaki tabloda özellik birleşimleri ve beklenen davranışlar gösterilmektedir:

İstemci Parolasını EşitlemeHashSync	AD "Kullanıcı bir sonraki oturum açmada parolayı değiştirmelidir"	Entra KullanıcıGirişiSırasındaŞifreDeğişikliğineZorlamaEtkin	Entra Kimliği'nde Ortaya Çıkan Oturum Açma Davranışı
False (Devre Dışı)	Yok (PHS devre dışı bırakıldığında bulutta hiçbir etkisi olmaz)	Yok (PHS devre dışı bırakıldığında bulutta hiçbir etkisi olmaz)	Hata: Hesabın parolası olmadığından "Hesabınız veya parolanız yanlış" hatası. Bulut yöneticisinin hesap için bir parola ayarlaması gerekir.
Doğru (Etkin)	Etkinleştirildi	Doğru (Etkin)	Kullanıcıdan ilk oturum açmada parolayı değiştirmesi istenir (geçici parola Entra Id ile eşitlendi).
Doğru (Etkin)	Disabled	Doğru (Etkin)	Kullanıcı normalde eşitlenmiş parolayla oturum açar (parola değiştirme istemi yoktur).
Doğru (Etkin)	Etkinleştirildi	False (Devre Dışı)	Geçici parola eşitlenmez; kullanıcı, şirket içinde parola değiştirilene ve eşitlenene kadar Entra'da oturum açamaz.
Doğru (Etkin)	Disabled	False (Devre Dışı)	Kullanıcı normalde eşitlenmiş parolayla oturum açar (parola değiştirme istemi yoktur).

Dikkat

Bu özelliği yalnızca kiracıda Self-Service Parola Sıfırlama ve Parola Geri Yazma etkinleştirildiğinde kullanmalısınız. Bu, bir kullanıcının parolasını SSPR aracılığıyla değiştirmesi durumunda Active Directory ile eşitlenmesine neden olur.

Hesap süre sonu

Kuruluşunuz kullanıcı hesabı yönetiminin bir parçası olarak accountExpires özniteliğini kullanıyorsa, bu öznitelik Microsoft Entra Id ile eşitlenmez. Sonuç olarak, parola karması eşitlemesi için yapılandırılmış bir ortamda süresi dolan bir Active Directory hesabı Microsoft Entra Id'de etkin olmaya devam eder. Süresi dolduktan sonra kullanıcıların AD hesaplarını devre dışı bırakmaya yönelik zamanlanmış bir PowerShell betiği kullanmanızı öneririz (Set-ADUser cmdlet'ini kullanın). Buna karşılık, bir AD hesabından süre sonunu kaldırma işlemi sırasında hesabın yeniden etkinleştirilmesi gerekir.

Parola karması eşitleme ve akıllı kart kimlik doğrulaması

Müşteriler, kullanıcılarının CaC/PIV fiziksel akıllı kartıyla Windows etki alanlarında oturum açmasını gerektirebilir. Bunu, Active Directory'de Etkileşimli Oturum Açma (SCRIL) için Gerekli Akıllı Kart kullanıcı özelliği ayarını yapılandırarak yapar.

Bir kullanıcı nesnesinde SCRIL etkinleştirildiğinde, kullanıcının AD parolası etki alanı denetleyicisi tarafından kimsenin bilmediği bir değere rastgele oluşturulur ve kullanıcının akıllı kart aracılığıyla Windows etki alanına kaydolması ve ardından kimlik doğrulamasından geçer.

Parola karması eşitlemesi etkinleştirildiğinde, bu AD parola karması Bulut kimlik doğrulaması için de kullanılabilmesi için Microsoft Entra Id ile eşitlenir.

Not

Microsoft Entra Connect Sync'in 2.4.18.0 sürümünün yayımlanmasıyla birlikte, bir kullanıcı nesnesinde SCRIL yeniden etkinleştirildiğinde oluşan bir sorunu düzeltdik. ScRIL'in yeniden etkinleştirilmesi, kullanıcının akıllı kartını kaybettiği, SCRIL'in devre dışı bırakıldığı ve kullanıcıya yeni bir akıllı kart verilene kadar geçici bir parola sağlandığı senaryolarda yaygındır

Daha önce SCRIL yeniden etkinleştirildiğinde ve yeni bir rastgele AD parolası oluşturulduğunda, kullanıcı Microsoft Entra Kimliği'nde kimlik doğrulaması yapmak için eski parolasını kullanmaya devam edebiliyordu. Artık Connect Sync, yeni rastgele AD parolasının Microsoft Entra Id ile eşitlenmesi ve akıllı kart oturum açma etkinleştirildikten sonra eski parolanın kullanılamaması için güncelleştirildi.

AD Etki Alanında SCRIL biti olan kullanıcıları varsa yöneticilerin aşağıdaki eylemlerden herhangi birini gerçekleştirmelerini öneririz

1. Tüm SCRIL kullanıcılarının parolalarının karıştırıldığından emin olmak için bu kılavuza göre tam parola karması eşitlemesi gerçekleştirin
2. SCRIL ayarlarını kapatıp yeniden açarak veya kullanıcının parolasını doğrudan değiştirerek tek bir kullanıcının parolasını karıştırın.
3. SCRIL kullanıcıları için parolaları düzenli aralıklarla döndürün. Sonunda bu tür tüm kullanıcıların parolaları karıştırılır

Senkronize edilmiş parolaların üzerine yaz

Yönetici, PowerShell kullanarak (kullanıcı federasyon etki alanında olmadığı sürece) doğrudan Microsoft Entra ID'de parolanızı el ile sıfırlayabilir.

Bu durumda, yeni parola eşitlenmiş parolanızı geçersiz kılar ve bulutta tanımlanan tüm parola ilkeleri yeni parolaya uygulanır.

Şirket içi parolanızı yeniden değiştirirseniz, yeni parola buluta eşitlenir ve el ile güncelleştirilmiş parolayı geçersiz kılar.

Parola eşitlemesi, oturum açan Azure kullanıcısını etkilemez. Geçerli bulut hizmeti oturumunuz, bir bulut hizmetinde oturum açtığınızda gerçekleşen eşitlenmiş parola değişikliğinden hemen etkilenmez. KMSI bu farkın süresini uzatır. Bulut hizmeti yeniden kimlik doğrulamanızı gerektirdiğinde yeni parolanızı sağlamanız gerekir.

Microsoft Entra Domain Services için parola karması eşitleme işlemi

Kerberos, LDAP veya NTLM kullanması gereken uygulamalar ve hizmetler için eski kimlik doğrulaması sağlamak üzere Microsoft Entra Domain Services kullanıyorsanız, bazı ek işlemler parola karması eşitleme akışının bir parçasıdır. Microsoft Entra Connect, parola karmalarını Microsoft Entra Domain Services'da kullanılmak üzere Microsoft Entra Id ile eşitlemek için aşağıdaki işlemi kullanır:

Önemli

Microsoft Entra Connect yalnızca şirket içi ADDS ortamlarıyla eşitleme için yüklenip yapılandırılmalıdır. Nesneleri Microsoft Entra Id ile yeniden eşitlemek için Microsoft Entra Connect'in Microsoft Entra Domain Services tarafından yönetilen bir etki alanına yüklenmesi desteklenmez.

Microsoft Entra Connect yalnızca Microsoft Entra kiracınız için Microsoft Entra Domain Services'i etkinleştirdiğinizde eski parola karmalarını eşitler. Aşağıdaki adımlar yalnızca şirket içi ADDS ortamını Microsoft Entra Id ile eşitlemek için Microsoft Entra Connect kullanıyorsanız kullanılmaz.

Eski uygulamalarınız NTLM kimlik doğrulaması veya LDAP basit bağlamaları kullanmıyorsa, Microsoft Entra Domain Services için NTLM parola karması eşitlemesini devre dışı bırakmanızı öneririz. Daha fazla bilgi için, Zayıf şifreleme paketlerini ve NTLM kimlik bilgisi karması eşitlemesini devre dışı bırakma konusuna bakın.

1. Microsoft Entra Connect, kiracının Microsoft Entra Domain Services örneği için ortak anahtarı alır.
2. Kullanıcı parolasını değiştirdiğinde, şirket içi etki alanı denetleyicisi parola değişikliğinin (karmalar) sonucunu iki öznitelikte depolar:
   • NTLM parola karması için unicodePwd.
   • Kerberos parola karması için supplementalCredentials .
3. Microsoft Entra Connect, dizin çoğaltma kanalı aracılığıyla parola değişikliklerini algılar (diğer etki alanı denetleyicilerine çoğaltılması gereken öznitelik değişiklikleri).
4. Parolası değiştirilen her kullanıcı için Microsoft Entra Connect aşağıdaki adımları gerçekleştirir:
   • Rastgele bir AES 256 bit simetrik anahtar oluşturur.
   • şifrelemenin ilk turu için gereken rastgele bir başlatma vektörünün oluşturulmasını sağlar.
   • SupplementalCredentials özniteliklerinden Kerberos parola karmalarını ayıklar.
   • Microsoft Entra Domain Services güvenlik yapılandırması SyncNtlmPasswords ayarını denetler.
     • Bu ayar devre dışı bırakılırsa, rastgele, yüksek entropili bir NTLM karması oluşturur (kullanıcının parolasından farklıdır). Bu karma daha sonra supplementalCredentials özelliğinden alınan Kerberos parola karmalarıyla tek bir veri yapısında birleştirilir.
     • Etkinleştirilirse, unicodePwd özniteliğinin değerini supplementalCredentials özniteliğinden ayıklanan Kerberos parola karmalarıyla tek bir veri yapısında birleştirir.
   • AES simetrik anahtarını kullanarak tek veri yapısını şifreler.
   • Kiracının Microsoft Entra Domain Services ortak anahtarını kullanarak AES simetrik anahtarını şifreler.
5. Microsoft Entra Connect şifrelenmiş AES simetrik anahtarını, parola karmalarını içeren şifrelenmiş veri yapısını ve başlatma vektörlerini Microsoft Entra Id'ye iletir.
6. Microsoft Entra ID şifrelenmiş AES simetrik anahtarını, şifrelenmiş veri yapısını ve kullanıcı için başlatma vektörlerini depolar.
7. Microsoft Entra ID şifrelenmiş AES simetrik anahtarını, şifrelenmiş veri yapısını ve bir iç eşitleme mekanizmasını kullanarak başlatma vektörlerini şifrelenmiş bir HTTP oturumu üzerinden Microsoft Entra Domain Services'e gönderir.
8. Microsoft Entra Domain Services, kiracı örneğinin özel anahtarını Azure Key Vault'tan alır.
9. Şifrelenmiş her veri kümesi için (tek bir kullanıcının parola değişikliğini temsil eden), Microsoft Entra Domain Services aşağıdaki adımları gerçekleştirir:
   • AES simetrik anahtarının şifresini çözmek için özel anahtarını kullanır.
   • Parola karmalarını içeren şifrelenmiş veri yapısının şifresini çözmek için başlatma vektörlü AES simetrik anahtarını kullanır.
   • Aldığı Kerberos parola karmalarını Microsoft Entra Domain Services etki alanı denetleyicisine kaydeder. Karmalar, Microsoft Entra Domain Services etki alanı denetleyicisinin ortak anahtarıyla şifrelenmiş olan kullanıcı nesnesinin supplementalCredentials özniteliğine kaydedilir.
   • Microsoft Entra Domain Services, aldığı NTLM parola karmasını Microsoft Entra Domain Services etki alanı denetleyicisine yazar. Karma, kullanıcı nesnesinin unicodePwd özniteliğine kaydedilir ve bu öznitelik, Microsoft Entra Domain Services etki alanı denetleyicisinin ortak anahtarıyla şifrelenir.

Parola karması eşitlemeyi etkinleştirme

Önemli

AD FS'den (veya diğer federasyon teknolojilerinden) Parola Karması Eşitleme'ye geçiriyorsanız, Uygulamaları Microsoft Entra Id'ye geçirmeye yönelik kaynakları görüntüleyin.

Microsoft Entra Connect'i Hızlı Ayarlar seçeneğini kullanarak yüklediğinizde parola karması eşitlemesi otomatik olarak etkinleştirilir. Daha fazla bilgi için bkz . Hızlı ayarları kullanarak Microsoft Entra Connect'i kullanmaya başlama.

Microsoft Entra Connect'i yüklerken özel ayarlar kullanıyorsanız, kullanıcı oturum açma sayfasında parola karması eşitlemesi kullanılabilir. Daha fazla bilgi için bkz . Microsoft Entra Connect'in özel yüklemesi.

Parola özeti eşitleme ve FIPS

Sunucunuz Federal Bilgi İşleme Standardı'na (FIPS) göre kilitlenmişse MD5 devre dışı bırakılır.

Parola karması eşitlemesi için MD5'i etkinleştirmek için aşağıdaki adımları gerçekleştirin:

1. %programfiles%\Microsoft Azure AD Eşitleme\Bin konumuna gidin.
2. miiserver.exe.config dosyasını açın.
3. Dosyanın sonundaki yapılandırma/çalışma zamanı düğümüne gidin.
4. Aşağıdaki düğümü ekleyin: <enforceFIPSPolicy enabled="false" />
5. Değişikliklerinizi kaydedin.
6. Değişikliklerin etkili olması için yeniden başlatın.

Referans için, bu kod parçacığı şu şekilde görünmelidir:

    <configuration>
        <runtime>
            <enforceFIPSPolicy enabled="false" />
        </runtime>
    </configuration>

Not

miiserver.exe.config dosyasını değiştirirseniz, 2.5.190.0 ve 2.6.1.0 eşitleme sürümlerini bağlarken eşitleme hatalarına neden olabilir. Daha fazla bilgi için bkz . Bilinen sorun: miiserver.exe.config daha önce değiştirildiyse yükseltmeden sonra eşitleme başarısız oluyor .

Güvenlik ve FIPS hakkında bilgi için bkz . Microsoft Entra parola karması eşitleme, şifreleme ve FIPS uyumluluğu.

Parola hash eşitleme sorunlarını giderme

Parola karması senkronizasyonu ile ilgili sorunlarınız varsa, Parola karması senkronizasyonu sorunlarını giderme bölümüne bakınız.

Sonraki adımlar

• Microsoft Entra Connect Sync: Eşitleme seçeneklerini özelleştirme
• Şirket içi kimliklerinizi Microsoft Entra Id ile tümleştirme
• Uygulamaları Microsoft Entra ID'ye geçirmek için kaynaklar